Newsletter rechtssicher versenden: Die 7-Punkte-Checkliste

Für Werbung per elektronischer Post nennt § 7 Abs. 2 UWG als Ausgangspunkt die vorherige ausdrückliche Einwilligung. Die Bestandskunden-Ausnahme in § 7 Abs. 3 UWG greift nur, wenn alle vier dort genannten Voraussetzungen zusammen erfüllt sind:

1. Du hast die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten.
2. Du wirbst für eigene ähnliche Waren oder Dienstleistungen.
3. Der Kunde hat der Verwendung nicht widersprochen.
4. Du hast bei Erhebung und bei jeder Verwendung klar auf die jederzeitige Widerspruchsmöglichkeit hingewiesen, ohne dass dafür andere als Übermittlungskosten nach Basistarif entstehen.

Fehlt eine dieser Voraussetzungen, behandelst du die Adresse nicht als Bestandskunden-Ausnahme. „B2B“, eine Visitenkarte, eine öffentlich sichtbare Firmenadresse oder ein früherer Kontakt ersetzen den Erlaubnisweg nicht.

Kopplung nicht als Ja-Nein-Regel behandeln

Art. 7 Abs. 4 DSGVO verlangt bei der Beurteilung der Freiwilligkeit, besonders zu berücksichtigen, ob eine nicht erforderliche Datenverarbeitung zur Bedingung für einen Vertrag oder eine Leistung gemacht wird. Das ist keine Textstelle, aus der sich für jedes Freebie automatisch dieselbe Antwort ableiten lässt.

Dokumentiere deshalb:

• welche Leistung die Person erhält,
• ob der Newsletter für diese Leistung erforderlich ist,
• welche Daten und Zwecke verbunden werden,
• ob eine getrennte Wahl möglich ist,
• wie klar Widerruf und Folgen erklärt werden.

Wenn dein Geschäftsmodell gerade von dieser Kopplung abhängt, gehört die konkrete Gestaltung in eine Rechtsprüfung — nicht in eine pauschale Checkbox-Vorlage.

Das Gesetz schreibt den Begriff „Double-Opt-In“ nicht als bestimmten technischen Ablauf vor. Art. 7 Abs. 1 DSGVO verlangt aber, dass der Verantwortliche die Einwilligung nachweisen kann. Double-Opt-In ist dafür ein verbreiteter Arbeitsablauf: Eine Person trägt eine Adresse ein, erhält eine Bestätigungsmail und aktiviert erst über den individuellen Link den Werbeversand.

Der Nachweis sollte mindestens verbinden:

• Zeitpunkt und Quelle der Anmeldung,
• Wortlaut oder Versionskennung der Einwilligung,
• bestätigte E-Mail-Adresse,
• Zeitpunkt der Bestätigung,
• technische Kennung des Bestätigungsvorgangs,
• späteren Widerruf oder Widerspruch.

Die Bestätigung belegt den Zugriff auf das Postfach und die aktive Betätigung des Links. Sie beweist nicht zweifelsfrei die bürgerliche Identität der Person. Bewahre deshalb nur Felder auf, deren Zweck du erklären kannst; ein möglichst grosser Datensatz ist kein Qualitätsmerkmal.

Bestätigungsmail funktional halten

Die Bestätigungsmail hat eine klare Aufgabe: die angefragte Anmeldung bestätigen oder ablehnen. Sie sollte Absender, Zweck, Bestätigungslink und einen Hinweis enthalten, was bei einer fremden Anmeldung zu tun ist. Produktwerbung oder ein zusätzlicher Kauf-CTA vermischt diesen Vorgang mit Werbung.

Eine mögliche Arbeitsstruktur — kein ungeprüfter Rechtstext zum Kopieren:

Betreff: Bitte bestätige deine Anmeldung für Thema

Du hast die Adresse E-Mail für Nachrichten von Absender zu Themen eingetragen.

Anmeldung bestätigen

Wenn du das nicht warst, bestätige nicht. Die unbestätigte Anfrage wird nach deiner dokumentierten Löschfrist entfernt.

Es gibt in den genannten Primärquellen keine allgemeine gesetzliche „7-Tage-“ oder „14-Tage-Frist“ für den Bestätigungslink. Lege Token-Laufzeit und Löschfrist als Sicherheits- und Datenminimierungsentscheidung fest, dokumentiere sie und teste, was nach Ablauf passiert.

Vertiefung: Double-Opt-In: Pflichtfrage und technischer Nachweis.

Ein Formular ist erst prüfbar, wenn Einwilligung, sichtbarer Hinweis und verlinkte Datenschutzinformation dieselbe Verarbeitung beschreiben. Nutze keine vorgefertigte „rechtssichere“ Passage, ohne sie an dein Setup anzupassen.

Vor Veröffentlichung müssen diese Fragen beantwortet sein:

• Absender: Wer versendet?
• Inhalt: Welche Themen und Angebotsarten kommen vor?
• Häufigkeit: Gibt es eine feste Frequenz oder nur anlassbezogene Mails?
• Daten: Ist nur die E-Mail-Adresse Pflicht? Wozu dienen weitere Felder?
• Messung: Werden Öffnungen, Klicks oder Profile gemessen?
• Dienstleister: Welcher Anbieter verarbeitet Daten und in welcher Rolle?
• Widerruf: Wie funktioniert die Abmeldung?
• Nachweis: Welche Version des Formulartextes wird im Anmeldeprotokoll gespeichert?

Die Seite Datenschutzerklärung muss diese echte Verarbeitung abbilden. Ein Link auf eine allgemeine Erklärung genügt nicht, wenn dort Dienstleister, Zwecke, Empfänger, Speicherdauer oder Betroffenenrechte nicht zur tatsächlichen Konfiguration passen.

Versionskennung statt Screenshot-Chaos

Vergib jeder veröffentlichten Formularfassung eine Versionskennung, zum Beispiel newsletter-einwilligung-2026-07-16. Speichere diese Kennung mit der Anmeldung und archiviere den zugehörigen Wortlaut. Dann kannst du später zeigen, wozu eine konkrete Adresse eingewilligt hat, ohne aus dem aktuellen Website-Text auf die Vergangenheit zu schliessen.

Wenn ein Versanddienstleister personenbezogene Daten in deinem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen Vertrag mit den dort genannten Inhalten. Ein Logo, ein Rechenzentrumsland oder die Marketingaussage „DSGVO-konform“ ersetzt weder Rollenklärung noch den tatsächlich geschlossenen Vertrag.

Prüfe für deinen Account:

1. Wer ist Verantwortlicher und wer Auftragsverarbeiter?
2. Ist die ausführbare Vertragsfassung für genau diesen Account angenommen oder unterzeichnet?
3. Welche Unterauftragsverarbeiter sind aktuell aufgeführt?
4. In welchen Regionen liegen Primärdaten, Sicherungen, Supportzugriffe und weitere Verarbeitungen?
5. Welche Übermittlungsmechanismen gelten ausserhalb des EWR?
6. Wie funktionieren Export, Löschung und Vertragsende?
7. Wie wirst du über Änderungen informiert?

Archiviere Vertragsfassung, Annahmedatum und Unterauftragsverarbeiter-Liste. Eine öffentliche DPA-Seite ist eine Prüfquelle; verbindlich ist die für dein Vertragsverhältnis geltende Fassung.

Personenbezogene Öffnungs- und Klickmessung ist nicht dasselbe wie der reine Versand. Dokumentiere deshalb vor der Aktivierung:

• welches Ereignis erfasst wird,
• ob es einem Kontaktprofil zugeordnet wird,
• wofür du die Daten nutzt,
• welche Rechtsgrundlage dein konkretes Modell trägt,
• wie die Person informiert wird,
• wie Widerruf, Widerspruch und Löschung technisch wirken.

Es gibt keine belastbare Abkürzung wie „aggregiert = immer berechtigtes Interesse“ oder „Tracking = immer Einwilligung“. Die rechtliche Bewertung hängt von Technik, Zweck und Zuordenbarkeit ab. Wenn du keine begründete Entscheidung dokumentieren kannst, starte ohne personenbezogenes Tracking und lasse die geplante Messung prüfen.

Ausserdem verfälschen technische Schutzfunktionen Öffnungssignale. Behandle die Öffnungsrate deshalb nicht als Beweis dafür, dass eine konkrete Person den Inhalt gelesen hat. Für die operative Auswertung sind bestätigte Klicks, Antworten und nachgelagerte Handlungen getrennte Messwerte.

Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf so einfach möglich ist wie die Einwilligung. § 7 Abs. 3 UWG verlangt bei der Bestandskunden-Ausnahme den Hinweis auf den Widerspruch bei Erhebung und bei jeder Verwendung.

Für jeden Versand testest du deshalb:

• sichtbaren Abmeldelink,
• Zielseite und Bestätigung,
• sofortige Sperre für weitere Werbung,
• Umgang mit mehreren Listen oder Themen,
• Fortbestand notwendiger Transaktionsmails,
• Protokoll des Widerrufs beziehungsweise Widerspruchs.

Die Gmail-Anforderung zur Ein-Klick-Abmeldung ist eine zusätzliche Plattformregel für Absender, die mehr als 5.000 Nachrichten pro Tag an private Gmail-Konten senden. Google verlangt für Marketing- und abonnierte Nachrichten dieser Bulk-Sender den technischen One-Click-Mechanismus und einen sichtbaren Abmeldelink; die Details stehen in den E-Mail-Absenderrichtlinien von Google und der FAQ für Bulk-Sender. Diese Schwelle ersetzt nicht die allgemeinen Widerrufs- und Widerspruchspflichten für kleinere Versender.

Anbieter ändern Oberflächen, Tarife und Klickpfade. Eine Anleitung wie „klicke in Menü X und nach fünf Minuten ist alles rechtssicher“ veraltet und prüft nicht das Ergebnis.

Arbeite stattdessen diese sieben Ergebnisprüfungen ab:

1. Formularversion: Eine Testanmeldung speichert die sichtbare Einwilligungsfassung oder ihre eindeutige Kennung.
2. Unbestätigter Kontakt: Vor der Bestätigung geht keine Werbemail an die Testadresse.
3. Bestätigung: Der einmalige Link aktiviert genau die angefragte Adresse und keinen anderen Datensatz.
4. Nachweisexport: Der Export verbindet Anmeldung, Textversion, Bestätigung und Status verständlich.
5. Abmeldung: Nach dem Klick wird ein weiterer Testversand an diesen Kontakt verhindert.
6. Löschung und Sperrliste: Der Prozess trennt notwendige Unterdrückung von nicht mehr benötigten Profildaten.
7. Vertragsunterlagen: Die für den Account geltende Auftragsverarbeitung und Unterauftragsverarbeiter-Liste sind archiviert.

Vereine

Auch ein Vereinsnewsletter kann Werbung oder personenbezogene Datenverarbeitung enthalten. Mitgliederinformation, Veranstaltungshinweis, Sponsorenwerbung und externe Interessentenliste sind unterschiedliche Zwecke und brauchen eine getrennte Einordnung.

Die Behauptung, Vorstand oder Kassenwart hafte bei jedem Fehler automatisch persönlich, ist falsch. § 31a BGB begrenzt unter den dort genannten Voraussetzungen die Haftung unentgeltlich tätiger oder gering vergüteter Organmitglieder gegenüber Verein und Mitgliedern auf Vorsatz und grobe Fahrlässigkeit und regelt einen Freistellungsanspruch bei Drittansprüchen. Ob die Voraussetzungen im Einzelfall erfüllt sind, muss anhand Rolle, Vergütung und Verhalten geprüft werden.

Gesundheits-, Beratungs- und andere sensible Inhalte

Wenn bereits Themenwahl, Segment oder Klickverhalten Gesundheitsdaten, politische Ansichten, Religion oder andere besondere Kategorien erkennen lassen, reicht eine allgemeine Newsletterprüfung nicht. Kläre vor Erhebung, ob Art. 9 DSGVO betroffen ist, welche Ausnahme greift und ob der Versanddienstleister diese Verarbeitung vertraglich und technisch tragen darf.

Transaktionsmail und Werbung

Rechnung, Terminbestätigung oder Zugangsdaten haben eine andere Aufgabe als Werbung. Ein werblicher Block in einer notwendigen Nachricht kann die Einordnung verändern. Halte Transaktionsinhalt und Werbezweck deshalb in Templates, Auslösern und Sperrlogik getrennt.

Lege vor dem ersten echten Versand einen nachvollziehbaren Nachweisordner an:

• aktuelle und frühere Formulartexte mit Versionskennung,
• Datum und URL der Veröffentlichung,
• Datenschutzinformation der jeweiligen Fassung,
• dokumentierter Erlaubnisweg,
• Auftragsverarbeitungsvertrag und Unterauftragsverarbeiter-Liste,
• Testergebnisse für Anmeldung, Bestätigung und Abmeldung,
• festgelegte Lösch- und Sperrlogik,
• Tracking-Entscheidung mit Zweck und Rechtsgrundlage,
• Musterexport eines Einwilligungsnachweises,
• Verantwortliche Person und Datum der nächsten Prüfung.

Der DSGVO-Risiko-Check hilft dir, fehlende Punkte in diesem Ablauf zu finden. Er ersetzt keine Rechtsprüfung und erklärt nicht, dass ein Setup „bestanden“ hat.

• [ ] Für jede Empfängergruppe ist der Erlaubnisweg dokumentiert.
• [ ] Zweck und Inhalt passen zur damals gespeicherten Formularversion.
• [ ] Datenschutzinformation und Dienstleister entsprechen dem aktuellen Setup.
• [ ] Die für den Account geltende Auftragsverarbeitung ist abgeschlossen.
• [ ] Bestätigung, Abmeldung und Sperre wurden mit Testadressen geprüft.
• [ ] Öffnungs- und Klickmessung entspricht der dokumentierten Entscheidung.
• [ ] Transaktionsmails und Werbung sind in Vorlage und Auslöser getrennt.
• [ ] Absender, Betreff, Inhalt und Zielseite versprechen dasselbe.
• [ ] Ein Nachweisexport ist ohne interne Toolkenntnis verständlich.
• [ ] Anbieter- und Rechtsänderungen haben ein konkretes nächstes Prüfdatum.

Rechtssicherheit ist hier kein Etikett, sondern eine überprüfbare Kette: Erlaubnis → Information → Bestätigung → Versand → Widerruf → Nachweis.