Newsletter rechtssicher versenden: Die 7-Punkte-Checkliste

Newsletter rechtssicher versenden — dafür brauchst du kein Jura-Studium, aber 7 Pflichten die du kennen musst. Dieser Artikel ist die operative Checkliste: Was muss in den Newsletter, was in die Datenschutzerklärung, was ins Anmeldeformular? Mit Mustertexten zum Kopieren.

Der Unterschied zum DSGVO-Grundlagen-Guide: Dort steht das Warum, hier steht das Wie.

1. Einwilligung einholen (Opt-In)

Ohne ausdrückliche Einwilligung darfst du keine Werbe-E-Mails versenden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO + § 7 Abs. 2 Nr. 3 UWG.

Anforderungen an die Einwilligung:

• Freiwillig (keine vorausgefüllten Checkboxen)
• Informiert (der Nutzer weiss wofür er sich anmeldet)
• Spezifisch (getrennte Einwilligung für Newsletter und andere Zwecke)
• Nachweisbar (du musst beweisen können, dass die Einwilligung erteilt wurde)

Koppelungsverbot: Die Newsletter-Einwilligung darf nicht an ein Freebie gekoppelt werden. Du darfst ein Lead Magnet anbieten — aber die Checkbox für den Newsletter muss separat sein. Beispiel: Eine Checkbox für "PDF herunterladen" und eine separate für "Newsletter erhalten".

2. Double-Opt-In einrichten

Double-Opt-In ist in Deutschland zwar nicht gesetzlich vorgeschrieben, aber de facto Pflicht. Ohne DOI kannst du die Einwilligung im Streitfall nicht beweisen. Das OLG München hat das bestätigt (Az. 29 U 1682/12).

Der Ablauf:

1. Nutzer füllt Formular aus
2. System sendet Bestätigungs-E-Mail mit Klick-Link
3. Nutzer klickt den Link → Anmeldung bestätigt
4. System protokolliert: IP-Adresse, Zeitstempel, Browser

Professionelle Newsletter-Tools haben DOI standardmässig eingebaut — du musst es nur aktivieren, nicht programmieren.

3. Datenschutzerklärung ergänzen

Deine Datenschutzerklärung muss einen Absatz zum Newsletter enthalten. Pflichtangaben nach Art. 13 DSGVO:

4. Auftragsverarbeitungsvertrag (AVV) abschliessen

Wer ein externes Newsletter-Tool nutzt, übergibt personenbezogene Daten (E-Mail-Adressen) an einen Dritten. Dafür ist ein AVV nach Art. 28 DSGVO Pflicht.

Ohne AVV: Die Nutzung des Newsletter-Tools ist selbst ein DSGVO-Verstoss — unabhängig davon wie sauber deine Listen sind.

5. Impressum in jeder E-Mail

Nach § 5 DDG (ehemals TMG) muss jede geschäftsmässige E-Mail ein Impressum enthalten. Mindestangaben:

• Name/Firma des Versenders
• Postanschrift (kein Postfach!)
• E-Mail-Adresse oder Kontaktformular
• Optional: Telefonnummer, Handelsregister, USt-IdNr.

In der Praxis: Ein Link "Impressum" im Footer jeder E-Mail reicht, wenn die Zielseite alle Pflichtangaben enthält.

6. Abmeldelink in jeder E-Mail

Jede Newsletter-E-Mail muss einen funktionierenden Abmeldelink enthalten. Der Abmeldevorgang darf nicht aufwändiger sein als die Anmeldung (Art. 7 Abs. 3 DSGVO).

Was das konkret bedeutet:

• Ein Klick auf "Abmelden" muss reichen — kein Login, keine Bestätigungsseite mit 5 Optionen
• Die Abmeldung muss sofort wirksam sein (nicht "innerhalb von 7 Tagen")
• Nach der Abmeldung dürfen keine weiteren Mails kommen

Seit Juni 2024 verlangt Gmail zusätzlich einen List-Unsubscribe-Header — einen maschinenlesbaren Abmeldelink im E-Mail-Header. Professionelle Newsletter-Tools setzen diesen Header automatisch. Bei Outlook ist er seit Februar 2025 ebenfalls empfohlen.

7. Tracking transparent machen

Die meisten Newsletter-Tools tracken Öffnungen (über Tracking-Pixel) und Klicks (über Redirect-Links). Das ist personenbezogene Datenverarbeitung und muss in der Datenschutzerklärung stehen.

Rechtsgrundlage für Tracking:

• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — für aggregierte Statistiken (Öffnungsrate, Klickrate)
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — für personenbezogenes Tracking (wer hat was geklickt)

Die Abgrenzung ist rechtlich umstritten. Die sicherste Variante: Im Einwilligungstext erwähnen dass Öffnungs- und Klickraten gemessen werden.

Bestandskunden-Ausnahme (§ 7 Abs. 3 UWG)

Es gibt genau eine Situation, in der du E-Mails ohne separate Newsletter-Einwilligung versenden darfst: An Bestandskunden, wenn alle 4 Voraussetzungen erfüllt sind. Details: DSGVO-Guide, Abschnitt Bestandskunden-Ausnahme.

Newsletter für Vereine

Auch ehrenamtliche Vereine unterliegen der DSGVO. Vorstand und Kassenwart haften persönlich. Die häufigsten Fehler: CC statt BCC, fehlende Einwilligung, kein Abmeldelink.

Transaktionsmails vs. Werbemails

Transaktionsmails (Bestellbestätigungen, Versandbenachrichtigungen) brauchen keine Einwilligung — sie sind Teil der Vertragserfüllung. Aber: Sobald die Transaktionsmail Werbung enthält ("Kunden die X kauften, kauften auch Y"), wird sie zur Werbemail und braucht eine Einwilligung.

• [ ] Einwilligungstext am Anmeldeformular (freiwillig, informiert, spezifisch)
• [ ] Double-Opt-In aktiviert und getestet
• [ ] Datenschutzerklärung enthält Newsletter-Absatz (Zweck, Tool, Tracking, Widerruf)
• [ ] AVV mit Newsletter-Tool-Anbieter abgeschlossen
• [ ] Impressum oder Impressum-Link im Footer jeder E-Mail
• [ ] Abmeldelink in jeder E-Mail (1-Klick-Abmeldung)
• [ ] Tracking in der Datenschutzerklärung erwähnt
• [ ] Kein Newsletter an Kontakte ohne Einwilligung
• [ ] Einwilligungsnachweise gespeichert (IP, Zeitstempel, DOI-Klick)
• [ ] E-Mail-Authentifizierung eingerichtet (SPF, DKIM, DMARC)