DSGVO-konformes E-Mail-Marketing 2026: Der komplette Leitfaden

· 24 Min. Lesezeit

DSGVO-konformes E-Mail-Marketing steht und fällt mit sieben prüfbaren Punkten: Einwilligung, Double-Opt-In, AVV, Serverstandort, Datenschutzerklärung, Abmeldelink und Nachweise. Dieser Guide zeigt dir, was sofort sitzen muss, welche Tool-Fragen kritisch sind und welche Mustertexte du als Startpunkt nutzen kannst.

DSGVO-konformes E-Mail Marketing beginnt mit fünf prüfbaren Punkten: gültige Einwilligung, Double-Opt-In-Nachweis, AVV mit dem Tool, Impressum plus Abmeldelink in jeder E-Mail und ein sauber erklärter Serverstandort. Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 in der gesamten EU. Sie regelt, wie du personenbezogene Daten — also auch E-Mail-Adressen — verarbeiten darfst. Die Certified Senders Alliance (CSA) ist ein Whitelist-Projekt des eco-Verbands und des DDV, das DSGVO-konformen Versand zusätzlich mit technischen Zustellbarkeits-Standards koppelt. (Neu beim Thema? Starte mit den E-Mail Marketing Grundlagen.)

E-Mail-Adressen sind personenbezogene Daten. Punkt. Sobald du sie sammelst, speicherst, oder für den Versand nutzt, fällt das unter die DSGVO.

Transparenz

Rechtsgrundlagen basieren auf dem DSGVO-Volltext (Art. 6, 7, 13, 28), UWG §7, eRecht24, der BfDI-Newsletter-Orientierung, dem BfDI und der KlickTipp Dokumentation. Dies ist keine Rechtsberatung. Affiliate-Links enthalten.

Wichtiger Hinweis

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Bei konkreten rechtlichen Fragen wende dich an einen Anwalt für IT-Recht. Die Informationen entsprechen dem Stand April 2026.

Für Coaches & Berater: Prüfe zuerst Einwilligung, Leadmagnet-Kopplung, Double-Opt-In, Tracking und Abmeldung. Erst wenn diese Beweiskette steht, ist die Tool-Auswahl wirklich belastbar.

Für Handwerker: Du brauchst keinen juristischen Tiefkurs, sondern eine klare Prüfliste: Zustimmung einholen, Anmeldung bestätigen, Anbieter dokumentieren und in jeder Mail sauber abmelden lassen.

Für E-Commerce: Bei Warenkorbabbrecher-Mails und automatisierten Sequenzen ist DSGVO-Konformität Pflicht. Klare Opt-Ins und transparente Kommunikation schützen dich vor Abmahnungen. Hier die wichtigsten Regeln.

Für Agenturen & Freelancer: Als Profi musst du DSGVO-konform arbeiten - schon wegen deiner Reputation. Ausführliche Opt-In-Texte und saubere Dokumentation sind Pflicht. Hier die Best Practices.

DSGVO-Überblick: Was du verstehen musst

DSGVO-konformes E-Mail-Marketing bezeichnet den rechtssicheren Versand kommerzieller Newsletter nach der EU-Datenschutzgrundverordnung. Fünf Kernpflichten: dokumentierte Einwilligung per Double-Opt-In, Auftragsverarbeitungsvertrag mit dem Newsletter-Tool, Impressum und Abmeldelink in jeder E-Mail, Serverstandort in der EU und Aktualität der Datenschutzerklärung. Wer diese fünf Pflichten erfüllt, reduziert Abmahn- und Bußgeldrisiken deutlich — vorausgesetzt, Einwilligung, Dokumentation und Datenschutzerklärung passen zum konkreten Versand.

DSGVO-konformes E-Mail-Marketing: Sofort-Check in 7 Fragen

Wenn du nicht den ganzen Leitfaden zuerst lesen willst, prüfe diese sieben Punkte. Sobald du bei einem Punkt "nein" antwortest, ist dein Setup nicht belastbar genug — selbst wenn dein Newsletter-Tool behauptet, DSGVO-konform zu sein.

PrüffrageWenn neinNächster sinnvoller Schritt
Hast du eine ausdrückliche Newsletter-Einwilligung?Kein rechtssicherer WerbeversandEinwilligungstext sauber formulieren
Wird jede Anmeldung per Double-Opt-In bestätigt?Beweisproblem bei BeschwerdenDouble-Opt-In Verfahren prüfen
Speichert dein Tool Einwilligungstext, Zeitpunkte und IPs?Nachweis lückenhaftTool-Protokolle exportierbar machen
Ist ein AVV mit dem Tool abgeschlossen?Art. 28 DSGVO nicht erfülltAVV im Tool oder beim Anbieter abschließen
Stehen Server und Betreiber im EU-/DACH-Raum?Drittlandtransfer muss zusätzlich abgesichert werdenNewsletter-Tool-Vergleich prüfen
Enthält jede E-Mail Impressum und Abmeldelink?Abmahnrisiko ab der ersten MailTemplate sofort korrigieren
Ist deine Datenschutzerklärung aktuell?Informationspflichten verletztNewsletter-Absatz aktualisieren

Der wichtigste Unterschied: Ein Anbieter kann einzelne DSGVO-Funktionen haben, ohne dass dein konkreter Versand DSGVO-konform ist. Die Verantwortung bleibt bei dir. Darum brauchst du nicht nur ein Tool, sondern einen überprüfbaren Prozess.

Für eine schnelle Selbstprüfung nutze den DSGVO-Risiko-Check und entscheide danach, ob du dein Tool, deine Texte oder deine Einwilligungslogik anpassen musst.

Warum die DSGVO existiert

Vor der DSGVO war der Datenschutz ein Flickenteppich. Unternehmen sammelten Daten ohne Grenzen, verkauften sie weiter, und du hattest kaum Kontrolle. Die DSGVO — verabschiedet von der EU am 25. Mai 2018, überwacht vom Europäischen Datenschutzausschuss (EDPB) und in Deutschland vom Bundesbeauftragten für Datenschutz (BfDI) sowie den Landesdatenschutzbehörden (z.B. BayLDA) — gibt dir als Nutzer diese Kontrolle zurück. Und verpflichtet dich als Unternehmer, sauber zu arbeiten.

Die wichtigsten Begriffe

  • Personenbezogene Daten: Alles, was eine Person identifizierbar macht - Name, E-Mail, IP-Adresse, Klickverhalten
  • Verarbeitung: Jeder Umgang mit Daten - Sammeln, Speichern, Nutzen, Löschen
  • Verantwortlicher: Du. Die Person/Firma, die entscheidet, was mit den Daten passiert
  • Auftragsverarbeiter: Dein Newsletter-Tool. Verarbeitet Daten in deinem Auftrag
  • Betroffener: Die Person, deren Daten verarbeitet werden - dein Newsletter-Abonnent

Was das für E-Mail Marketing bedeutet

Du sammelst E-Mail-Adressen - Du bist Verantwortlicher. Du nutzt ein Newsletter-Tool - Das ist Auftragsverarbeitung. Deine Abonnenten - Die sind Betroffene mit Rechten.

Du musst: Einwilligung einholen, transparent sein, Daten schützen, Rechte respektieren, dokumentieren.

Reihenfolge für die Umsetzung

  1. Einwilligung und Zweck am Formular klären.
  2. Double-Opt-In aktivieren und Nachweise exportierbar halten.
  3. AVV, Serverstandort und Subprozessoren des Tools prüfen.
  4. Datenschutzerklärung, Impressum und Abmeldelink aktualisieren.
  5. Testanmeldung durchführen und den gesamten Nachweis speichern.

Die 6 DSGVO-Grundprinzipien (und was sie für dich bedeuten)

Die DSGVO basiert auf sechs Grundprinzipien. Wenn du sie verstehst, verstehst du die ganze Verordnung:

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz

Was es bedeutet: Du brauchst einen guten Grund (Rechtsgrundlage) für die Verarbeitung. Beim E-Mail Marketing: die Einwilligung. Und du musst ehrlich sein - keine versteckten Klauseln, kein Kleingedrucktes.

Für dich: Klar kommunizieren, wofür du die E-Mail-Adresse nutzt. Keine Überraschungen.

2. Zweckbindung

Was es bedeutet: Daten dürfen nur für den Zweck genutzt werden, für den sie erhoben wurden.

Für dich: Wenn jemand sich für deinen "Marketing-Newsletter" anmeldet, darfst du ihm keine "Sonderangebote von Partnerfirmen" schicken. Der Zweck muss bei der Anmeldung klar sein.

3. Datenminimierung

Was es bedeutet: Sammle nur Daten, die du wirklich brauchst.

Für dich: Für einen Newsletter brauchst du: E-Mail-Adresse. Vielleicht Vorname (für Personalisierung). Mehr nicht. Geburtsdatum, Adresse, Telefon? Nur wenn es einen echten Grund gibt.

4. Richtigkeit

Was es bedeutet: Daten müssen korrekt und aktuell sein.

Für dich: Ermögliche Abonnenten, ihre Daten zu korrigieren. Bounce-Management: Ungültige E-Mails entfernen.

5. Speicherbegrenzung

Was es bedeutet: Daten nicht länger speichern als nötig.

Für dich: Inaktive Kontakte (12+ Monate keine Aktivität) solltest du anschreiben und bei Nichtreaktion löschen. Abgemeldete Kontakte: Löschen - aber Nachweis der Abmeldung für 3 Jahre aufheben (für Rechtsstreit).

6. Integrität und Vertraulichkeit

Was es bedeutet: Daten vor unbefugtem Zugriff schützen.

Für dich: Sichere Passwörter für dein Newsletter-Tool. Zugänge nur für Mitarbeiter, die sie brauchen. Korrekte E-Mail-Authentifizierung (SPF, DKIM, DMARC) beim Anbieter prüfen. Seriösen Anbieter mit guter Infrastruktur wählen.

Die Prinzipien kennst du jetzt. Prüfe mit unserem kostenlosen DSGVO-Check, ob dein Setup die Anforderungen erfüllt. Aber wie setzt du sie konkret um - angefangen beim wichtigsten Schritt?

Die Kurzform

Sei ehrlich, sammle nur was du brauchst, schütze die Daten, lösche was du nicht mehr brauchst, und respektiere die Rechte deiner Abonnenten. Das ist 90% der DSGVO.

DSGVO ist nicht allein: TDDDG, DDG und ePrivacy-VO

Die DSGVO ist das bekannteste Gesetz, aber nicht das einzige. Seit 2024 gelten zwei weitere Gesetze, die dein E-Mail Marketing direkt betreffen - und eine EU-Verordnung steht vor der Tür.

TDDDG (seit 2024)

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) ist seit dem 1. Juli 2024 in Kraft. Es hat Teile des alten Telemediengesetzes (TMG) und des Telekommunikationsgesetzes (TKG) ersetzt und den Datenschutz für digitale Dienste neu geregelt.

Was bedeutet das für dein E-Mail Marketing? Das TDDDG regelt unter anderem den Schutz der Privatsphäre bei der Nutzung von Endeinrichtungen — also auch, wann Cookies und Tracking-Technologien auf deiner Anmeldeseite erlaubt sind. Konkret betrifft das zwei Szenarien:

1. Tracking auf der Anmeldeseite: Wenn du auf deiner Newsletter-Landing Page Tracking einsetzt (Google Analytics, Facebook Pixel, Conversion-Tracking von Werbeanzeigen), brauchst du dafür eine separate TDDDG-konforme Einwilligung über deinen Cookie-Banner — unabhängig von der Newsletter-Einwilligung.

2. Tracking-Permission im Newsletter: Öffnungsraten-Tracking (Zählpixel) und Klick-Tracking in E-Mails sind ebenfalls personenbezogene Datenverarbeitung. Die meisten Newsletter-Tools tracken standardmäßig. Streng genommen brauchst du dafür eine eigene Einwilligung — oder du informierst in der Datenschutzerklärung darüber und stützt dich auf berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Inxmail empfiehlt eine separate Tracking-Permission zusätzlich zum DOI — das ist die sicherste Variante, in der Praxis aber selten umgesetzt.

DDG (Digitale-Dienste-Gesetz)

Das Digitale-Dienste-Gesetz (DDG) setzt den EU Digital Services Act in deutsches Recht um. Es regelt unter anderem Impressumspflichten und Transparenzanforderungen für digitale Dienste. Die bisherigen Impressumspflichten aus dem TMG finden sich jetzt im DDG. Für dich als E-Mail-Versender ändert sich praktisch wenig - aber die Rechtsgrundlage deiner Impressumspflicht verweist jetzt auf das DDG statt auf das TMG.

ePrivacy-Verordnung (geplant)

Die ePrivacy-Verordnung (ePrivacy-VO) soll die DSGVO im Bereich elektronische Kommunikation ergänzen. Sie wird die E-Privacy-Richtlinie von 2002 ersetzen und einheitliche EU-Regeln für E-Mail-Werbung, Cookies und Tracking schaffen. Der Entwurf wird seit Jahren verhandelt, ein Inkrafttreten ist frühestens 2027 realistisch.

Was könnte sich ändern? Die ePrivacy-VO wird voraussichtlich strengere Regeln für Direktmarketing per E-Mail bringen. Die genauen Auswirkungen sind noch offen, aber Unternehmen, die heute schon DSGVO-konform mit Double-Opt-In und EU-Servern arbeiten, werden am wenigsten nachbessern müssen. Welche regulatorischen Entwicklungen 2026 sonst noch relevant sind, zeigt der E-Mail Marketing Trends 2026 Guide.

Gesetzeslage im Überblick

DSGVO (seit 2018), TDDDG (seit 2024), DDG (seit 2024), UWG §7 (Werbewiderspruch), ePrivacy-VO (geplant, frühestens 2027). Wer heute sauber arbeitet, ist auch für kommende Regulierung vorbereitet.

Einwilligung richtig einholen (mit Mustertext)

Die Einwilligung (auch: Opt-In) ist das Herzstück des DSGVO-konformen E-Mail Marketings. Die Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit Art. 7 DSGVO (Bedingungen für die Einwilligung) und §7 Abs. 2 Nr. 3 UWG (Verbot unzumutbarer Belästigung durch E-Mail-Werbung). Ohne gültige Einwilligung darfst du keine Werbe-E-Mails versenden.

Die 5 Anforderungen an eine gültige Einwilligung

1. Freiwillig

Der Nutzer muss echte Wahlfreiheit haben. Keine Kopplung an andere Leistungen! "Newsletter-Pflicht für Kauf" ist verboten. "Newsletter ankreuzen, um PDF zu bekommen" ist problematisch (Koppelungsverbot).

2. Informiert

Der Nutzer muss VOR der Einwilligung wissen:

  • WER schickt E-Mails? (Dein Unternehmen/Name)
  • WAS für E-Mails? (Newsletter, Angebote, Updates)
  • WIE OFT? (Ungefähre Frequenz)
  • WELCHE Daten werden erhoben?
  • WIE kann man sich abmelden?

3. Aktiv

Der Nutzer muss selbst handeln: Checkbox anklicken, Button drücken. Niemals vorausgefüllte Checkboxen! Das ist der häufigste und teuerste Fehler.

4. Nachweisbar

Du musst dokumentieren können:

  • WANN hat jemand zugestimmt? (Timestamp)
  • WIE? (IP-Adresse, Formular-URL)
  • WOMIT? (Der genaue Text, dem zugestimmt wurde)

Ein gutes Newsletter-Tool protokolliert das automatisch.

5. Widerrufbar

Abmeldung muss jederzeit möglich sein - und genauso einfach wie die Anmeldung. Ein Klick auf den Abmeldelink reicht. Kein Login, keine Bestätigung, keine "Schade dass du gehst"-Seite mit verstecktem Link.

So nicht (häufige Fehler)

  • "Ich möchte den Newsletter erhalten." (zu vage)
  • Vorausgefüllte Checkbox
  • "Mit Absenden des Formulars stimmen Sie dem Erhalt von Werbung zu" (versteckt in AGB)
  • "Newsletter abonnieren" als einziger Button (keine aktive Einwilligung)

So richtig (Mustertext)

Am Formular: Ja, ich möchte den kostenlosen Newsletter von [Firmenname] mit Thema ca. [1-2x pro Woche/monatlich] per E-Mail erhalten. Die Einwilligung kann ich jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an [E-Mail] widerrufen. Hinweise zur Verarbeitung meiner Daten finde ich in der Datenschutzerklärung.

Double-Opt-In: Dein rechtlicher Schutzschild

Double-Opt-In (DOI) ist ein zweistufiges Anmeldeverfahren. Der Nutzer bestätigt seine Anmeldung durch einen Klick in einer Bestätigungs-E-Mail.

Ist DOI Pflicht? Gesetzlich nicht. Aber de facto ja. Denn ohne DOI kannst du die Einwilligung nicht beweisen. Im Streitfall steht Aussage gegen Aussage - und du verlierst. Ausführlicher: Double-Opt-In-Pflicht erklärt. (Wer Newsletter noch über Outlook versendet: Dort gibt es kein DOI — ein ernstes DSGVO-Risiko.)

Der DOI-Ablauf

  1. Schritt 1: Nutzer füllt Formular aus - Der Nutzer trägt seine E-Mail-Adresse ein und setzt aktiv ein Häkchen bei der Einwilligung. Keine vorausgefüllten Checkboxen!
  2. Schritt 2: System sendet Bestätigungs-E-Mail - Automatisch und sofort nach der Anmeldung. Die E-Mail enthält NUR den Bestätigungslink - keine Werbung, keine anderen Inhalte.
  3. Schritt 3: Nutzer klickt auf Bestätigungslink - Erst durch diesen Klick wird die Anmeldung gültig. Das Tool protokolliert: IP-Adresse, Zeitpunkt, verwendeter Link.
  4. Schritt 4: Anmeldung ist bestätigt - Der Kontakt ist jetzt in deiner Liste. Du darfst E-Mails senden. Bei Streit kannst du die Bestätigung nachweisen.

Was in die Bestätigungs-E-Mail gehört

  • Kurzer Text: "Bitte bestätige deine Anmeldung"
  • Der Bestätigungslink (klar sichtbar)
  • Was passiert nach dem Klick
  • Kontaktdaten für Fragen

Was NICHT reingehört: Werbung, Angebote, Links zu anderen Seiten, Social Media Icons. Die DOI-Mail dient nur einem Zweck: Bestätigung.

Warum DOI so wichtig ist

  • Beweis: Du kannst nachweisen, dass die Anmeldung vom Inhaber der E-Mail-Adresse kam
  • Schutz vor Dritten: Niemand kann fremde E-Mail-Adressen eintragen und dich verklagen
  • Qualität: Nur echte Interessenten in deiner Liste - bessere Öffnungsraten
  • Zustellbarkeit: Weniger Spam-Beschwerden = bessere Inbox-Platzierung. Ob deine IP auf einer Shared oder Dedicated IP läuft, beeinflusst das zusätzlich
  • Vertrauen: Professioneller Eindruck beim Abonnenten

Double-Opt-In schützt dich rechtlich. Aber es gibt noch ein Risiko, das viele unterschätzen.

DOI-Nachweis aufheben

Hebe die DOI-Nachweise auf, solange der Kontakt in deiner Liste ist - plus 3 Jahre nach Abmeldung (für eventuelle Rechtsstreitigkeiten). Gute Tools machen das automatisch.

DSGVO-konforme E-Mail-Anbieter 2026: Serverstandort EU vs. USA

Die Frage, wo die Server deines Newsletter-Tools stehen, ist entscheidend für deine DSGVO-Compliance. Und leider kompliziert.

Das Problem mit US-Tools

Viele bekannte Newsletter-Tools haben ihre Hauptserver in den USA. Das ist problematisch, weil:

  • Cloud Act: US-Behörden können theoretisch auf Daten zugreifen - auch wenn sie in der EU gespeichert sind
  • Schrems II: 2020 wurde das Privacy Shield gekippt. Seitdem ist die Datenübertragung in die USA rechtlich wackelig
  • Data Privacy Framework: 2023 kam ein neues Abkommen. Aber: Experten erwarten, dass auch dieses wieder gekippt wird

Was das praktisch bedeutet

Bei US-Tools musst du:

  • Einen AVV mit dem Anbieter abschließen
  • In deiner Datenschutzerklärung auf die US-Datenübertragung hinweisen
  • Die aktuelle Rechtsgrundlage nennen (aktuell: EU-US DPF)
  • Damit leben, dass sich die Rechtslage jederzeit ändern kann

Die sichere Alternative: EU-Server

Viele unterschätzen das Risiko. Schon eine einzelne Abmahnung wegen fehlerhafter Datenschutzerklärung nach einem Rechtslagewechsel (wie dem Schrems-II-Urteil 2020) kann 1.000–5.000 Euro kosten — plus eigene Anwaltsgebühren. Wer ein US-Tool nutzt, muss bei jedem neuen Urteil und Abkommen prüfen, ob die Datenschutzerklärung noch stimmt. Mehr zum Thema: ActiveCampaign Serverstandort-Check.

Mit einem Tool, das Server in Deutschland oder der EU hat, fallen all diese Probleme weg:

  • Keine US-Datenübertragung
  • Kein Risiko bei Abkommen-Änderungen
  • Einfachere Datenschutzerklärung
  • Oft deutscher Support

Newsletter-Anbieter DSGVO im Vergleich: Risiko-Check 2026

Wer 2026 einen DSGVO-konformen E-Mail-Anbieter sucht, prüft drei harte Kriterien: Serverstandort, DSGVO-Risiko-Einstufung und ob Double-Opt-In als unveränderlicher Standard gesetzt ist. Die folgende Übersicht zeigt gängige Newsletter-Tools auf diesen drei Achsen — von strikt EU-basiert (KlickTipp, CleverReach, Rapidmail) bis US-Server mit FISA-702-Risiko (Mailchimp, ActiveCampaign). Wer E-Mail-Marketing DSGVO-konform betreiben will, findet hier die Kurzorientierung — die Detail-Einordnung folgt darunter.

AnbieterServerstandortDSGVO-RisikoDOI Standard
KlickTippEUNiedrigJa (unveraenderlich)
CleverReachDeutschlandNiedrigJa
BrevoFrankreich (EU)NiedrigEinstellbar
GetResponsePolen (EU)NiedrigEinstellbar
RapidmailDeutschlandNiedrigJa
MailchimpUSAMittel-Hoch (FISA 702)Nein (SOI Standard!)
ActiveCampaignUSAMittel-Hoch (FISA 702)Einstellbar

Wer trotz der Risiken bei ActiveCampaign bleibt, sollte zumindest die DACH-optimierten Alternativen kennen — allein schon, um im Ernstfall schnell wechseln zu können.

KlickTipp, CleverReach und Rapidmail sind zudem CSA-zertifiziert — das verbessert die Zustellrate bei deutschen Providern wie GMX und Web.de. Warum Mailchimp besonders problematisch ist, erklaert der Mailchimp DSGVO-Check im Detail. Eine ausfuehrliche Uebersicht findest du im Newsletter Tool Guide.

Für den DACH-Raum: US-Tools = Restrisiko

Für den deutschsprachigen Raum sind Tools mit EU-Servern die einzig sichere Wahl. Das EU-US Data Privacy Framework kann jederzeit gekippt werden - dann stehst du ohne Rechtsgrundlage da. Kosten pro Abmahnung: 1.500-5.000 Euro plus Anwaltsgebühren. Besonders kleine Unternehmen können sich dieses Risiko nicht leisten.

DSGVO-Setup sauberer aufsetzen

US-Tools bringen zusätzliche Prüfpflichten unter der DSGVO. KlickTipp arbeitet mit deutschen Servern, integriertem Double-Opt-In und AVV per Klick. 30 Tage Geld-zurück-Garantie.

KlickTipp prüfen

* Affiliate-Link – für dich entstehen keine Mehrkosten.

Der Auftragsverarbeitungsvertrag (AVV)

Wenn du ein Newsletter-Tool nutzt, verarbeitet dieses Tool personenbezogene Daten (die E-Mail-Adressen deiner Abonnenten) in deinem Auftrag. Dafür brauchst du einen Auftragsverarbeitungsvertrag (AVV).

Was ist ein AVV?

Ein AVV ist ein Vertrag zwischen dir (Verantwortlicher) und deinem Tool-Anbieter (Auftragsverarbeiter). Er regelt:

  • Welche Daten verarbeitet werden
  • Zu welchem Zweck
  • Welche Sicherheitsmaßnahmen gelten
  • Was bei Datenpannen passiert
  • Was nach Vertragsende mit den Daten geschieht

Wo bekomme ich einen AVV?

Bei seriösen Anbietern findest du den AVV:

  • Im Account-Backend zum Akzeptieren
  • Als PDF-Download auf der Website
  • Auf Anfrage beim Support

Wichtig: Du musst den AVV aktiv abschließen - meist durch Akzeptieren im Tool. Mach das BEVOR du den ersten Kontakt sammelst.

Was tun, wenn es keinen AVV gibt?

Dann darfst du das Tool nicht nutzen. Punkt. Ein Anbieter ohne AVV ist nicht DSGVO-konform - und du machst dich mitschuldig.

Bei KlickTipp

Bei KlickTipp findest du den AVV direkt im Account-Backend. Ein Klick zum Akzeptieren - fertig. So sollte es sein.

Deine Pflichten als E-Mail-Versender

In jeder E-Mail müssen vorhanden sein:

1. Impressum

Entweder vollständig in der E-Mail oder als Link zu deinem Website-Impressum. Pflichtangaben:

  • Name / Firma
  • Anschrift
  • Kontaktmöglichkeit (E-Mail reicht)
  • Bei juristischen Personen: Vertretungsberechtigte, Registereintrag

2. Abmeldelink

In jeder E-Mail, gut sichtbar (nicht in Schriftgröße 6 versteckt). Ein Klick muss zur Abmeldung führen - kein Login, keine Bestätigung, keine "Wollen Sie wirklich?"-Nachfragen.

3. Bei US-Tools: Transparenz-Hinweis

Wenn du ein US-Tool nutzt, weise in der E-Mail auf die Datenübertragung hin - oder verlinke auf den entsprechenden Absatz in deiner Datenschutzerklärung.

In deiner Datenschutzerklärung muss stehen:

  • Dass du Newsletter versendest
  • Welches Tool du nutzt (Name + Anbieter + Serverstandort)
  • Welche Daten du sammelst (E-Mail, ggf. Name, IP bei DOI)
  • Rechtsgrundlage (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO)
  • Bei US-Tools: Hinweis auf Datenübertragung und Rechtsgrundlage (EU-US DPF)
  • Speicherdauer (bis zur Abmeldung + 3 Jahre Aufbewahrung der Einwilligung)
  • Wie man sich abmelden kann (Abmeldelink in jeder E-Mail)
  • Ob Tracking stattfindet (Öffnungen, Klicks) und auf welcher Rechtsgrundlage

Bei der Anmeldung:

  • Klarer Einwilligungstext (siehe oben)
  • Link zur Datenschutzerklärung
  • Hinweis auf Widerrufsmöglichkeit
  • Keine vorausgefüllten Checkboxen

Muster: DSE-Absatz für Newsletter (zum Kopieren)

Newsletter: Wenn Sie unseren Newsletter abonnieren, verarbeiten wir Ihre E-Mail-Adresse und optional Ihren Vornamen zum Versand regelmäßiger E-Mails. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit über den Abmeldelink in jeder E-Mail widerrufen können. Wir nutzen [Toolname] ([Anbieter], Server in [Land]) als Versanddienstleister; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist abgeschlossen. Die Anmeldung erfolgt per Double-Opt-In. Wir speichern Ihre Daten bis zur Abmeldung; den Einwilligungsnachweis bewahren wir 3 Jahre auf (Verjährungsfrist). Wir messen Öffnungs- und Klickraten zur Optimierung unserer Inhalte (Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

DSGVO, TDDDG, ePrivacy — ein Tool, das alles abdeckt

Neue Gesetze, neue Pflichten — aber nicht dein Problem. KlickTipp: Deutsche Server, automatisches Double-Opt-In, AVV per Klick. Heute DSGVO-konform, morgen ePrivacy-ready. 30 Tage Geld-zurück-Garantie.

KlickTipp entdecken →

* Affiliate-Link – für dich entstehen keine Mehrkosten.

Die Bestandskunden-Ausnahme (UWG §7 Abs. 3)

Es gibt genau eine Situation, in der du E-Mails ohne separate Newsletter-Einwilligung versenden darfst: die Bestandskunden-Ausnahme nach UWG §7 Abs. 3.

Die 4 Voraussetzungen (ALLE müssen erfüllt sein)

  1. Bestehende Geschäftsbeziehung: Du hast die E-Mail-Adresse im Rahmen eines Verkaufs oder einer Dienstleistung erhalten — nicht über ein Newsletter-Formular
  2. Ähnliche Produkte: Du bewirbst nur Produkte oder Dienstleistungen, die dem ursprünglichen Kauf ähnlich sind
  3. Kein Widerspruch: Der Kunde hat der Nutzung nicht widersprochen
  4. Hinweis bei Erhebung und in jeder E-Mail: Der Kunde wurde bei der Datenerhebung auf sein Widerspruchsrecht hingewiesen und kann sich in jeder E-Mail abmelden

Praktisches Beispiel

Ein Kunde kauft einen Online-Kurs zu "Facebook Ads". Du darfst ihm E-Mails zu deinem neuen Kurs "Instagram Ads" schicken (ähnliches Produkt). Du darfst ihm nicht deinen allgemeinen Newsletter mit Kochtipps schicken (kein ähnliches Produkt).

Vorsicht: Die Ausnahme ist eng

Die Bestandskunden-Ausnahme wird von Gerichten restriktiv ausgelegt. Im Zweifel: Separate Einwilligung einholen. Die Ausnahme ist kein Freifahrtschein für Massenmailings an ehemalige Kunden.

Abmahnungen und Bußgelder: Echte Fälle

Was passiert, wenn du es falsch machst? Keine Theorie — echte Fälle:

Konkrete Gerichtsurteile zum E-Mail Marketing

FallVergehenStrafeUrteil
AG Pfaffenhofen (2021)Unerwünschte Werbe-E-Mail300 € SchadensersatzAz. 2 C 133/21
LG Lüneburg (2023)13 Werbe-Mails trotz Abmeldung500 € Schadensersatzdr-bahr.com
LG Berlin (2023)Vorausgefüllte Einwilligungs-CheckboxUnterlassungAz. 16 O 420/19
AOK Baden-WürttembergWerbung ohne wirksame Einwilligung1,24 Mio € Bußgelddr-datenschutz.de

Wichtige Einschränkung (BGH 2025): Der Bundesgerichtshof hat am 28. Januar 2025 (Az. VI ZR 109/23) entschieden, dass eine einzelne unerwünschte Werbe-E-Mail allein noch keinen DSGVO-Schadensersatz begründet. Das bedeutet aber nicht, dass man Entwarnung geben kann — Unterlassungsansprüche bestehen weiterhin ab der ersten E-Mail (BGH, Az. I ZR 218/07), und bei wiederholten Verstößen (wie im LG-Lüneburg-Fall) werden Schadensersatzansprüche zugesprochen.

Die theoretischen Strafen

Die DSGVO erlaubt Bußgelder von bis zu 20 Millionen Euro oder 4% des Jahresumsatzes. In der Praxis treffen diese Zahlen Konzerne. Für kleine Unternehmen ist das echte Risiko ein anderes — und wer die aktuellen E-Mail Marketing Statistiken kennt, versteht, wie hoch das finanzielle Potenzial des Kanals ist und warum sich rechtssichere Grundlagen doppelt lohnen:

Das reale Risiko: Abmahnungen

Abmahnungen kommen von Wettbewerbern, Verbraucherschutzverbänden und privaten Abmahnern. Kosten pro Abmahnung: 1.000–5.000 Euro plus eigene Anwaltskosten.

Das Perfide: Abmahnungen sind oft automatisiert. Crawler scannen Websites auf DSGVO-Verstöße, Anwälte schicken Massenabmahnungen. Ein fehlender Abmeldelink, eine vorausgefüllte Checkbox — reicht.

Die häufigsten Abmahngründe (nach Fallhäufigkeit)

  1. Kein Double-Opt-In-Nachweis — der mit Abstand häufigste Grund
  2. Vorausgefüllte Newsletter-Checkbox — zweithäufigster Klassiker
  3. E-Mails nach Abmeldung — technisches Problem, teure Konsequenz
  4. Newsletter nicht in Datenschutzerklärung erwähnt — leicht vermeidbar
  5. Kein AVV mit Tool-Anbieter — besonders bei US-Tools relevant
  6. E-Mails an Personen ohne Einwilligung — gekaufte Listen!

Wie du dich schützt

Die beste Verteidigung: Es von Anfang an richtig machen. Die Checkliste unten führt dich Schritt für Schritt.

Finger weg von gekauften Listen!

Das ist der schnellste Weg zu teuren Abmahnungen. Gekaufte E-Mail-Listen haben keine gültige Einwilligung für DICH. Jede E-Mail, die du an diese Adressen schickst, ist ein potenzieller Verstoß. Kosten bei 1.000 Adressen mal 1.500 Euro Strafe? Mach die Mathe. Warum das so gefährlich ist, erklärt der Guide E-Mail Liste kaufen: Warum das schadet. Baue stattdessen deine eigene E-Mail-Liste auf.

DSGVO-konformes E-Mail Marketing: Die 7-Punkte-Checkliste

Bevor du die Checkliste durchgehst: Unser kostenloser DSGVO-Risiko-Check prüft dein bestehendes Setup automatisch und zeigt dir in 2 Minuten, wo Schwachstellen liegen — bevor es ein Anwalt tut.

Geh diese Liste durch, bevor du deinen ersten Newsletter verschickst:

Vor dem Start

  • Newsletter-Tool mit EU-Servern gewählt (oder US-Tool rechtlich abgesichert)
  • Auftragsverarbeitungsvertrag (AVV) mit Tool-Anbieter abgeschlossen
  • Datenschutzerklärung um Newsletter-Absatz erweitert
  • Double-Opt-In im Tool aktiviert

Das Anmeldeformular

  • Einwilligungstext formuliert (wer, was, wie oft, Widerruf)
  • Checkbox ist NICHT vorausgefüllt
  • Link zur Datenschutzerklärung vorhanden
  • Nur notwendige Daten abgefragt (E-Mail reicht!)
  • Kein Koppelungsverbot-Verstoß (Newsletter nicht Pflicht für anderen Service)

Die Bestätigungs-E-Mail (DOI)

  • Wird automatisch und sofort versendet
  • Enthält nur Bestätigungslink (keine Werbung)
  • Betreff ist klar ("Bitte bestätige deine Anmeldung")
  • Tool protokolliert Zeitpunkt und IP der Bestätigung

Jede Newsletter-E-Mail

  • Impressum oder Link zum Impressum vorhanden
  • Abmeldelink vorhanden und gut sichtbar
  • Abmeldung funktioniert mit einem Klick
  • Bei US-Tool: Transparenz-Hinweis oder Link zur DSE

Laufender Betrieb

  • Abmeldungen werden sofort umgesetzt
  • Inaktive Kontakte werden regelmäßig angeschrieben/bereinigt
  • DOI-Nachweise werden aufbewahrt
  • Datenschutzerklärung wird bei Änderungen aktualisiert
  • Barrierefreiheit (BFSG) geprüft: Kontraste, Alt-Texte, Schriftgrößen

Tipp

Drucke diese Checkliste aus und gehe sie Punkt für Punkt durch. Oder speichere sie als Referenz. Einmal richtig einrichten = für immer Ruhe.

Prüfe dein Setup in 2 Minuten

Unser DSGVO-Check zeigt dir sofort, wo dein E-Mail-Marketing Schwachstellen hat — bevor es ein Anwalt tut.

Zum DSGVO-Risiko-Check →

* Affiliate-Link – für dich entstehen keine Mehrkosten.

Musterformulierungen (Copy und Paste)

Einwilligungstext am Formular

Ja, ich möchte den kostenlosen Newsletter von [Firmenname] mit Tipps und Informationen zu Thema ca. [X-mal pro Woche/Monat] per E-Mail erhalten. Die Einwilligung kann ich jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an [E-Mail-Adresse] widerrufen. Hinweise zur Verarbeitung meiner Daten finde ich in der Datenschutzerklärung.

Absatz für die Datenschutzerklärung (deutsches Tool)

Newsletter

Wenn Sie unseren Newsletter abonnieren, nutzen wir die von Ihnen eingegebenen Daten ausschließlich für den Versand des Newsletters. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Für den Newsletter-Versand nutzen wir [Tool-Name], einen Dienst der [Firma], [Adresse]. Mit diesem Anbieter haben wir einen Auftragsverarbeitungsvertrag geschlossen. Die Daten werden auf Servern in Deutschland gespeichert.

Beim Versand werden auch Öffnungs- und Klickraten erfasst, um den Newsletter zu verbessern.

Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie sich über den Abmeldelink in jeder E-Mail abmelden oder uns eine E-Mail an [E-Mail] senden. Die Rechtmäßigkeit der bereits erfolgten Verarbeitung bleibt davon unberührt.

Betreff für DOI-E-Mail

Bitte bestätige deine Anmeldung für [Newsletter-Name/Thema]

Text für DOI-E-Mail

Hallo,

Du hast dich gerade für unseren Newsletter zu Thema angemeldet. Um die Anmeldung abzuschließen, klicke bitte auf diesen Link:

[BESTÄTIGUNGSLINK]

Wenn du dich nicht angemeldet hast, ignoriere diese E-Mail einfach. Du wirst dann keine weiteren E-Mails von uns erhalten.

Bei Fragen erreichst du uns unter [E-Mail/Telefon].

Viele Grüße

[Name/Firma]

Anpassen nicht vergessen!

Diese Texte sind Vorlagen. Ersetze die Platzhalter [in Klammern] durch deine echten Daten. Bei Unsicherheiten: Anwalt fragen.

Fazit: DSGVO-konformes E-Mail-Marketing ist machbar

Die DSGVO ist kein Grund, auf E-Mail Marketing zu verzichten. Mit den richtigen Grundlagen bist du auf der sicheren Seite:

  • Klare Einwilligung mit vollständigem Text
  • Double-Opt-In für nachweisbare Anmeldungen
  • Ein Tool mit EU-Servern und abgeschlossenem AVV
  • Abmeldelink und Impressum in jeder E-Mail
  • Newsletter in der Datenschutzerklärung erwähnt

Das ist kein Hexenwerk. Einmal richtig einrichten — fertig. Die operative Schritt-für-Schritt-Anleitung mit Mustertexten zum Kopieren findest du im Newsletter rechtssicher versenden Guide. Das gilt für Unternehmen genauso wie für Vereine mit eigenem Newsletter — die DSGVO macht keinen Unterschied.

Und dann? Dann kannst du dich auf das konzentrieren, worum es eigentlich geht: Großartige E-Mails schreiben, die deinen Abonnenten helfen - und dir Umsatz bringen.

DSGVO-Risiken im Newsletter-Setup reduzieren

KlickTipp bietet deutsche Server, AVV per Klick und automatisches Double-Opt-In. 4,9/5 Sterne bei 2.300+ Bewertungen, 99% Empfehlungsrate und 30 Tage Geld-zurück-Garantie.

KlickTipp Preise prüfen

* Affiliate-Link – für dich entstehen keine Mehrkosten.

Häufig gestellte Fragen

Ist E-Mail Marketing ohne Einwilligung erlaubt?

Grundsätzlich nein. Für Werbe-E-Mails brauchst du eine ausdrückliche Einwilligung (Opt-In). Mehr zu den Grundlagen im E-Mail Marketing Guide. Es gibt eine schmale Ausnahme für Bestandskunden (Paragraph 7 Abs. 3 UWG): Wenn ein Kunde bei dir gekauft hat, darfst du ihm E-Mails zu ähnlichen Produkten schicken - aber nur unter strengen Bedingungen.

Was ist Double-Opt-In und warum brauche ich das?

Double-Opt-In (DOI) ist ein zweistufiges Anmeldeverfahren: 1) Nutzer trägt E-Mail ein, 2) Nutzer bestätigt per Klick in einer Bestätigungs-E-Mail. DOI ist in Deutschland nicht gesetzlich vorgeschrieben, aber dringend empfohlen. Der Unterschied zu Single-Opt-In ist entscheidend für die Beweisbarkeit.

Darf ich US-Tools in Deutschland nutzen?

Ja, mit Einschränkungen. Du brauchst: 1) Auftragsverarbeitungsvertrag (AVV), 2) Hinweis in deiner Datenschutzerklärung. Problem: Die Rechtslage kann sich ändern. Sicherer: Ein Tool mit EU-Servern wie KlickTipp. Mehr im Newsletter-Tool-Vergleich.

Welche Strafe droht bei DSGVO-Verstößen im E-Mail Marketing?

Die DSGVO erlaubt Bußgelder bis 20 Millionen Euro oder 4% des Jahresumsatzes. Häufiger und schmerzhafter sind Abmahnungen von Wettbewerbern. Prüfe dein Setup mit unserem DSGVO-Risiko-Check. Kosten pro Abmahnung: 1.000-5.000 Euro zzgl. Anwaltskosten.

Was muss in jeder E-Mail stehen?

Pflicht in jeder Newsletter-E-Mail: 1) Impressum (Name, Adresse, Kontakt) oder Link dorthin, 2) Funktionierender Abmeldelink, 3) Bei US-Tools: Hinweis auf Datenübertragung. Tipps zum Newsletter erstellen findest du hier.

Was ist ein Auftragsverarbeitungsvertrag (AVV) und brauche ich einen?

Ein AVV regelt, wie dein Newsletter-Tool-Anbieter mit den Daten deiner Kontakte umgeht. Du bist verpflichtet, einen AVV mit jedem Dienstleister abzuschließen. Bei seriösen Anbietern wie KlickTipp kannst du den AVV direkt im Backend akzeptieren.

Wie lange darf ich E-Mail-Adressen speichern?

So lange der Kontakt auf deiner Liste bleiben möchte. Nach einer Abmeldung musst du die Daten löschen. Inaktive Kontakte solltest du regelmäßig anschreiben und bei Nichtreaktion entfernen - das verbessert auch deine Zustellrate.

Was ist bei Lead Magnets zu beachten?

Ein Lead Magnet (kostenloses PDF, Checkliste) darf nicht an eine Newsletter-Anmeldung gekoppelt werden — das verstößt gegen das Koppelungsverbot. Lösung: Trenne die Einwilligung. Eine Checkbox für das PDF, eine separate für den Newsletter.

Welches Newsletter-Tool ist DSGVO-konform?

Tools mit EU-Serverstandort sind am sichersten: KlickTipp (Deutschland), CleverReach (Deutschland), Rapidmail (Deutschland). Alle drei bieten AVV, Double-Opt-In und CSA-Zertifizierung. US-Tools wie Mailchimp erfordern zusätzliche Absicherung. Vergleich im Newsletter-Tool-Vergleich.

Was hat sich 2026 bei der DSGVO für E-Mail Marketing geändert?

Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ersetzt seit 2024 das TTDSG. Neu: Strengere Regeln für Cookie-Einwilligungen, erweiterte Informationspflichten und höhere Anforderungen an die E-Mail-Authentifizierung (SPF, DKIM, DMARC). Wer seine Authentifizierung nicht korrekt eingerichtet hat, riskiert Zustellprobleme bei Gmail und Yahoo.

Ist E-Mail Marketing ohne Cookies möglich?

Ja. Tag-basierte Systeme wie KlickTipp tracken Verhalten über Tags statt über Browser-Cookies. Das vereinfacht die DSGVO-Konformität erheblich, weil weniger personenbezogene Daten im Browser gespeichert werden.

Simon Haenel

Simon Haenel

Informatiker EFZ · Systemtechnik

Informatiker EFZ (Systemtechnik) mit IT-Praxis in Verkehrsleittechnik, Managed Services und Firewall-Hardening. Analysiert E-Mail-Marketing-Tools aus der technischen Perspektive — Zustellarchitektur, Serverstandort, DSGVO-Infrastruktur.

Verifiziert gegen Primärquellen
Fakten geprüft