Double-Opt-In Pflicht 2026: Verfahren & DSGVO

Bevor wir über Pflichten reden, müssen wir verstehen, worum es geht. (Grundlagen zum E-Mail-Marketing und DSGVO findest du im separaten Guide.)

Double-Opt-In (DOI) bedeutet: Zwei Schritte zur Anmeldung.

Schritt 1: Jemand trägt eine E-Mail-Adresse in dein Formular ein.

Schritt 2: Diese Person erhält eine E-Mail mit Bestätigungslink und klickt darauf.

Erst nach Schritt 2 landet die Adresse auf deiner Liste. Der entscheidende Vorteil: Du hast einen dokumentierten Beweis, dass der Inhaber der E-Mail-Adresse (nicht irgendwer) wirklich zugestimmt hat.

Single-Opt-In (SOI): Nur Schritt 1. Die Adresse landet sofort auf der Liste, ohne Bestätigung. Wann das erlaubt ist, erkläre ich im Single-Opt-In Guide.

Klingt harmlos? Hier kommt das Problem.

Die DSGVO fordert:

• Eine gültige Rechtsgrundlage für die Verarbeitung (z.B. Einwilligung)
• Die Einwilligung muss nachweisbar sein
• Freiwillig, informiert, spezifisch und widerrufbar

DOI ist der einfachste Weg, all das zu beweisen.

UWG §7 (Gesetz gegen unlauteren Wettbewerb)

Werbung per E-Mail ohne "vorherige ausdrückliche Einwilligung" ist verboten. Ausnahme: Bestandskunden (§7 Abs. 3).

Aktuelle Rechtsprechung

Deutsche Gerichte verlangen regelmäßig DOI-Nachweise. Hier die wichtigsten Urteile:

OLG München, 27.09.2012 (Az. 29 U 1682/12): Das Gericht stellte klar, dass der Werbende die volle Darlegungs- und Beweislast für die Einwilligung jedes einzelnen Empfängers trägt. Die konkrete Einwilligungserklärung muss lückenlos dokumentiert sein. Verfahren, bei denen unklar bleibt ob die Einwilligung tatsächlich vom Empfänger stammt, sind als Nachweis ungeeignet. Ohne DOI ist dieser Nachweis in der Praxis kaum zu führen.

BGH, 20.05.2009 (Az. I ZR 218/07 — "E-Mail-Werbung II"): Bereits eine einzige unverlangte Werbe-E-Mail stellt einen rechtswidrigen Eingriff in das Recht am eingerichteten und ausgeübten Gewerbebetrieb dar. Du brauchst also nicht erst tausend Beschwerden — eine reicht.

BGH, 2004 (Az. I ZR 81/01): Das Grundsatzurteil zur E-Mail-Werbung. Der Bundesgerichtshof entschied: Die Einwilligung muss VOR dem Versand vorliegen. Nachträgliche Bestätigungen oder "Widerspruchslösungen" (du bekommst E-Mails, bis du dich abmeldest) sind unzulässig.

Alle Urteile sind über die jeweiligen Gerichtsdatenbanken öffentlich zugänglich. Für eine vollständige DSGVO-Prüfung deines Setups: DSGVO-Risiko-Check.

Die Tendenz ist eindeutig: Deutsche Gerichte setzen DOI de facto als Standard voraus. Kein Gericht hat bisher gesagt: "SOI reicht als Nachweis." Wer ohne DOI arbeitet, schwimmt gegen den Strom der Rechtsprechung.

TDDDG und ePrivacy-VO: Neue Gesetze, gleiche Richtung

Seit Juli 2024 gilt das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Es hat Teile des alten TMG und TKG abgelöst und regelt unter anderem den Schutz der Privatsphäre bei digitalen Diensten. Für dein DOI-Verfahren bedeutet das: Die Rechtsgrundlagen haben sich verschoben, aber die Anforderung an nachweisbare Einwilligungen ist geblieben - eher strenger geworden.

Noch wichtiger: Die EU arbeitet an der ePrivacy-Verordnung, die voraussichtlich ab 2027 gelten wird. Diese Verordnung wird einheitliche Regeln für Direktmarketing per E-Mail in der gesamten EU schaffen. Wer heute schon mit DOI arbeitet, ist für die ePrivacy-VO vorbereitet. Wer auf SOI setzt, wird nachbessern müssen.

Jede neue Regulierung der letzten 20 Jahre — vom UWG-Update 2009 über die DSGVO 2018 bis zum TDDDG 2024 — hat den Einwilligungsnachweis wichtiger gemacht, nicht weniger. DOI ist die zukunftssichere Wahl.

Die Grundregel kennst du jetzt: DOI ist der sicherste Weg. Aber je nach Branche gibt es Besonderheiten, die du kennen solltest.

Ärzte und Gesundheitswesen

Hier gelten die strengsten Anforderungen. Gesundheitsdaten fallen unter Art. 9 DSGVO – das sind "besondere Kategorien personenbezogener Daten". Schon die Tatsache, dass jemand einen Gesundheits-Newsletter abonniert, kann als Gesundheitsdatum gewertet werden. DOI ist hier keine Empfehlung, sondern absolute Pflicht. Eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO muss vorliegen, und DOI ist der einzige praktikable Weg, diese zu dokumentieren.

E-Commerce

Online-Händler profitieren von der Bestandskundenausnahme nach §7 Abs. 3 UWG. Du darfst Kunden nach einem Kauf ohne erneute DOI-Einwilligung anschreiben – aber nur für ähnliche Produkte. Verkaufst du Laufschuhe und willst einen Newsletter zu Kochbüchern versenden? Neue Produktkategorie, neue Einwilligung, also DOI. Im Zweifel: Lieber einmal zu viel DOI als eine Abmahnung.

B2B

Geschäftliche E-Mail-Adressen wie vorname.nachname@firma.de sind personenbezogene Daten und fallen unter die DSGVO. DOI ist auch hier empfohlen. Bei einem bestehenden Geschäftskontakt (du hast Visitenkarten getauscht, ein Angebot erstellt) ist SOI vertretbar. Aber: Für den Nachweis im Streitfall bist du mit DOI besser aufgestellt.

Vereine

Mitglieder-Kommunikation zu vereinsbezogenen Themen kann ohne DOI auf Basis des berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) erfolgen. Das deckt Einladungen zur Jahreshauptversammlung oder Trainingsänderungen ab. Aber: Werbung an Nicht-Mitglieder oder für vereinsfremde Produkte braucht eine Einwilligung – und damit DOI.

Stell dir vor: Du hast 5.000 Kontakte auf deiner Liste. Einer davon beschwert sich bei der Datenschutzbehörde. "Ich habe mich nie angemeldet", sagt er.

Was passiert dann?

Die Behörde schreibt dich an. Sie will Nachweise. Du zeigst deine Datenbank: "Aber hier steht doch die E-Mail-Adresse!" Das reicht nicht. Jemand könnte diese Adresse eingetragen haben – fremd, aus Spaß, versehentlich.

Mit DOI zeigst du: "Am 15. Januar um 14:32 Uhr hat jemand mit dieser IP-Adresse den Bestätigungslink geklickt." Das ist ein Beweis. Ohne DOI hast du keinen.

Die versteckten Kosten von Single-Opt-In

Abmahnkosten: Ein findiger Anwalt schickt dir eine Abmahnung. Streitwert: 3.000-5.000€. Deine Anwaltskosten: 500-1.500€. Seine Anwaltskosten (die du evtl. zahlen musst): nochmal so viel. Ein Brief. Eine Beschwerde. Tausende Euro.

Spam-Beschwerden ruinieren deine Zustellrate: Ohne DOI landen falsche Adressen auf deiner Liste. Bounces häufen sich. Empfänger, die sich nicht erinnern, klicken "Spam melden". Dein Sender-Score sinkt. Am Ende landen auch deine legitimen E-Mails im Spam-Ordner. Die Zustellrate von 99,78%, die CSA-zertifizierte Tools wie KlickTipp bieten, erreichst du nur mit sauberen Listen und korrekter E-Mail-Authentifizierung.

Datenschutz-Bußgelder: Selten bei Einzelfällen, aber das Risiko steigt. Bei wiederholten Beschwerden nimmt die Behörde dich aufs Korn. DSGVO-Bußgelder können bis zu 4% des Jahresumsatzes betragen – oder 20 Millionen Euro. Für die meisten ist das theoretisch, aber willst du es riskieren?

Der versteckte Vorteil: DOI macht deine Liste wertvoller

DOI ist nicht nur Pflichtprogramm – es ist ein Qualitätsfilter.

Jeder, der den Bestätigungslink nicht klickt, wollte sich nicht wirklich anmelden. Vielleicht hat er es sich anders überlegt. Vielleicht war die Adresse falsch. Vielleicht war es Spam.

Diese Leute willst du nicht auf deiner Liste. Sie öffnen nicht. Sie klicken nicht. Sie kaufen nicht. Sie ziehen nur deinen Durchschnitt runter.

DOI filtert automatisch:

• Tippfehler bei der E-Mail-Adresse
• Fake-Anmeldungen (jemand ärgert einen anderen)
• Uninteressierte (wer nicht mal einen Link klickt, wird auch nicht kaufen)

Das Ergebnis: Eine kleinere Liste, aber mit höherer Conversion. Und das ist das, was zählt. Wie du trotz DOI deine E-Mail-Liste aufbauen kannst, erfährst du im separaten Guide.

Viele befürchten: "Mit DOI verliere ich Leads!" Stimmt – du verlierst die schlechten. Die, die ohnehin nie gekauft hätten. Hier ist, wie du DOI so implementierst, dass die Guten klicken:

1. Die Bestätigungs-E-Mail muss sofort raus

Innerhalb von Sekunden, nicht Minuten. Der Interessent ist jetzt aufmerksam. In 5 Minuten hat er 10 andere Tabs offen und vergisst dich. Professionelle Tools wie KlickTipp versenden die DOI-Mail automatisch und sofort – das ist Standard, muss aber eingestellt sein.

2. Der Betreff muss eindeutig sein

Nicht "Newsletter Anmeldung" (langweilig). Nicht "Herzlich willkommen" (kein Call-to-Action). Sondern: "Bitte bestätige: [Dein Versprechen]"

Beispiel: "Bitte bestätige: Dein Zugang zu den 7 E-Mail-Vorlagen"

Der Empfänger erinnert sich, warum er sich angemeldet hat. Er klickt.

3. Ein Button, eine Aufgabe

Die DOI-Mail hat einen einzigen Job: Den Klick auf den Bestätigungslink. Kein Logo-Dschungel. Keine Social-Media-Icons. Keine Werbung. Ein großer Button: "Jetzt bestätigen".

Werbung in DOI-Mails ist übrigens rechtlich umstritten. Die DOI-Mail selbst ist noch keine Einwilligung – du darfst also streng genommen noch nicht werben. Lass es.

4. Die Bestätigungsseite muss liefern

Nach dem Klick: Danke, du bist angemeldet. Und dann: Der Lead Magnet. Sofort. Nicht "kommt per E-Mail in 5 Minuten". Jetzt. Was genau auf diese Bestätigungsseite gehört und wie du danach weitermachst, zeigt die Anleitung zum Newsletter erstellen.

Das ist der Moment des höchsten Engagements. Nutze ihn.

5. Reminder für die Vergesslichen

Wenn nach 24 Stunden keine Bestätigung erfolgt: Erinnerungs-Mail. "Hast du uns vergessen?" mit nochmal dem Link. Nach 48 Stunden: Letzte Erinnerung. Dann aufhören. Wer nach 3 Mails nicht klickt, wird es nie tun.

6. Protokollierung für den Ernstfall — die 7 Pflicht-Datenpunkte

Die DSGVO-Rechenschaftspflicht aus Art. 5 Abs. 2 verlangt: Du musst jederzeit nachweisen können, dass eine gültige Einwilligung vorliegt. Was nicht im Log steht, hat im Streitfall nicht stattgefunden. Diese sieben Datenpunkte muss dein Newsletter-Tool für jeden bestätigten Kontakt speichern und auf Anforderung exportieren können:

• [ ] Eingetragene E-Mail-Adresse — exakt wie im Formular eingegeben
• [ ] Zeitpunkt der Anmeldung — Datum + Uhrzeit, sekundengenau
• [ ] IP-Adresse beim Anmelden — die IP, von der das Formular abgeschickt wurde
• [ ] Zeitpunkt des Bestätigungsklicks — Datum + Uhrzeit, sekundengenau
• [ ] IP-Adresse beim Bestätigen — kann von der Anmelde-IP abweichen
• [ ] Wortlaut der Einwilligungserklärung — der genaue Text, dem der Nutzer zugestimmt hat. Wenn du den Text später änderst, brauchst du ein Versionierungs-System
• [ ] Quelle der Anmeldung — von welcher URL oder welchem Formular kam die Anmeldung

Test deiner Dokumentation in 30 Sekunden: Öffne dein Newsletter-Tool. Wähle einen beliebigen Kontakt aus deiner Liste. Kannst du alle sieben Datenpunkte sehen oder exportieren? Wenn nein — du hast eine Dokumentationslücke und im Streitfall ein Problem.

Tools wie KlickTipp machen die Protokollierung automatisch. Auch CleverReach und Rapidmail implementieren DOI standardmäßig und speichern die nötigen Nachweise. Bei US-amerikanischen Tools wie Mailchimp kommen zur DOI-Thematik noch weitere DSGVO-Fragen hinzu — was du dabei beachten musst, erklärt der Mailchimp DSGVO Guide. Bei ActiveCampaign hängt die Bewertung zusätzlich am Serverstandort und CLOUD-Act-Risiko. Bei kostenlosen oder älteren Tools: Prüfe, ob alle sieben Datenpunkte gespeichert werden. Wenn nicht, hast du im Streitfall keinen Beweis. Welche Tools DOI sauber umsetzen, zeigt der Newsletter Tool Vergleich.

Mythos 1: "DOI ist nur für große Unternehmen relevant"

Falsch. Gerade kleine Unternehmen und Solopreneure können sich eine Abmahnung weniger leisten. Streitwert bei E-Mail-Spam-Klagen: 1.500–5.000 Euro. Dazu kommen Anwaltskosten auf beiden Seiten. Für ein Startup kann das existenzbedrohend sein. DOI kostet dich nichts – eine Abmahnung kostet dich tausende Euro.

Mythos 2: "Die DOI-Mail darf auch werben"

Gefährlich. Die DOI-Mail dient ausschließlich der Bestätigung der Einwilligung. Die Einwilligung gilt erst NACH dem Klick auf den Bestätigungslink. Alles, was du vor diesem Klick sendest, ist streng genommen noch nicht durch eine Einwilligung gedeckt. Werbung in der DOI-Mail kann als unerlaubte E-Mail-Werbung gewertet werden.

Mythos 3: "Wenn der Kontakt nicht bestätigt, kann ich ihn trotzdem anschreiben"

Verboten. Ohne Bestätigung hast du keine Einwilligung. Punkt. Auch keine Erinnerung nach 2 Wochen mit "Du hast dich eingetragen, hier ist unser Angebot". Erlaubt sind maximal 1–2 Erinnerungen an den Bestätigungslink selbst – danach musst du die Adresse löschen.

Mythos 4: "DOI muss ich nur bei Privatkunden machen"

Falsch. Die DSGVO gilt für alle personenbezogenen Daten. Eine geschäftliche E-Mail-Adresse wie max.mueller@firma.de ist ein personenbezogenes Datum. B2B-Newsletter brauchen genauso eine nachweisbare Einwilligung wie B2C.

Mythos 5: "Mein Tool macht das automatisch, ich muss nichts prüfen"

Riskant. Ja, Tools wie KlickTipp implementieren DOI automatisch. Aber du bist verantwortlich, dass die Protokollierung stimmt. Prüfe: Werden IP-Adresse, Zeitstempel und Formular-URL bei Anmeldung UND Bestätigung korrekt gespeichert? Im Streitfall musst DU die Nachweise vorlegen – nicht dein Tool-Anbieter. Wichtig: Programme wie Outlook können kein DOI — wer Newsletter über Outlook verschickt, hat weder automatische Bestätigungsmails noch Protokollierung.

Ist Double-Opt-In Pflicht? Technisch nein. Praktisch ja.

Ohne DOI riskierst du:

• Abmahnungen
• Beweisnotstand bei Beschwerden
• Schlechte Listenqualität
• Zustellbarkeitsprobleme

Die einzigen Ausnahmen: Bestandskunden, Transaktions-Mails, bereits verifizierte Adressen.

Meine Empfehlung: Nutze immer DOI für Newsletter-Anmeldungen. Für Bestandskunden kannst du SOI nutzen — aber dokumentiere sauber, woher die Einwilligung kommt. Die komplette Checkliste für rechtssicheren Newsletter-Versand zeigt alle 7 Pflichten mit Mustertexten.