Kurz gesagt: Newsletter sind in Deutschland grundsätzlich nur mit nachweisbarer Einwilligung zulässig. Wer ohne diese Einwilligung Werbe-Mails verschickt, verstößt gegen §7 UWG, unabhängig davon, wie gut das Angebot gemeint ist. Double-Opt-In, lückenlose Pflichtangaben und ein Auftragsverarbeitungsvertrag mit dem Versandtool sind dabei keine netten Extras, sondern die drei Säulen, auf denen ein rechtssicherer Newsletterversand steht.
Drei Dinge sollten Sie sofort klären, bevor Sie den nächsten Newsletter verschicken:
- Setzen Sie auf Double-Opt-In als praktischen Nachweis der Einwilligung, denn im Streitfall müssen Sie diese belegen können.
- Prüfen Sie, ob Impressum, Abmeldelink und Absenderkennzeichnung in jeder E-Mail korrekt eingebunden sind.
- Klären Sie, ob Ihr Tool einen AVV anbietet und ob Tracking eine gesonderte Einwilligung voraussetzt.
Für den Versand von Newslettern ist grundsätzlich eine ausdrückliche, vorherige Einwilligung des Empfängers nach §7 Abs. 2 Nr. 2 UWG erforderlich. Wer diese Einwilligung nicht dokumentieren kann, hat im Zweifel schon verloren, denn die Beweislast liegt beim Versender.
Wichtige Erkenntnisse
Rechtssicherer Newsletterversand in Deutschland steht auf drei Säulen: nachweisbare Einwilligung durch Double-Opt-In, vollständige Pflichtangaben in jeder Mail und ein AVV mit dem Versandtool.
| Thema | Details |
|---|---|
| Einwilligung dokumentieren | Speichern Sie Zeitstempel, IP-Adressen, Einwilligungstext und Anmeldequelle exportierbar ab. |
| Bestandskundenausnahme prüfen | Nutzen Sie §7 Abs.3 UWG nur, wenn alle vier Voraussetzungen kumulativ erfüllt sind. |
| Pflichtangaben einbauen | Impressum, Abmeldelink und Absenderkennzeichnung gehören in jede einzelne Mail. |
| Tracking separat regeln | Öffnungs- und Klicktracking brauchen eine eigene, abschaltbare Einwilligung nach §25 TDDDG. |
| Tool sorgfältig prüfen | Testen Sie AVV, Serverstandort, DOI-Export und Löschworkflow vor der endgültigen Entscheidung. |
Inhaltsverzeichnis
- DSGVO Newsletter Pflichten: Welche Gesetze wirklich gelten
- Double-Opt-In als Nachweis: Diese Daten müssen Sie protokollieren
- Bestandskunden ohne Einwilligung kontaktieren: Wann das erlaubt ist
- Pflichtangaben im Newsletter: Impressum, Abmeldelink und Absender
- Öffnungs- und Klicktracking: Braucht das eine eigene Einwilligung?
- AVV und Tool-Auswahl: Diese Fragen sollten Sie Ihrem Anbieter stellen
- Newsletter-Compliance-Checkliste: Die richtige Reihenfolge
- Quellen
DSGVO Newsletter Pflichten: Welche Gesetze wirklich gelten
Zwei Gesetze bestimmen, was beim Newsletterversand erlaubt ist, und sie greifen unterschiedlich tief. §7 UWG regelt das Werberecht: Ohne vorherige Einwilligung ist eine Werbe-E-Mail schlicht unzulässig, ganz gleich, wie freundlich der Betreff formuliert ist. Die DSGVO setzt einen zweiten Hebel an und verlangt nicht nur, dass die Einwilligung vorliegt, sondern dass Sie sie auch belegen können. Art. 5 Abs. 2 DSGVO nennt das die Rechenschaftspflicht, Art. 7 Abs. 1 verlangt konkret den Nachweis.
Manche Unternehmer hoffen, mit „berechtigtem Interesse“ nach Art. 6 Abs. 1 lit. f DSGVO um die Einwilligung herumzukommen. Das funktioniert fast nie für klassische Werbe-Newsletter, weil §7 UWG als spezielleres Gesetz die Einwilligungspflicht ohnehin vorschreibt. Ein Vertrag (Art. 6 Abs. 1 lit. b) deckt höchstens transaktionale Mitteilungen ab, etwa eine Versandbestätigung, aber keinen werblichen Newsletter mit Produktangeboten.
Orientierung geben die Hinweise des BfDI und der Datenschutzkonferenz (DSK), ergänzt durch Urteile des EuGH und einzelner Oberlandesgerichte, die die Grenzen der Bestandskundenausnahme immer wieder neu ziehen. Wer sich an diesen Leitlinien orientiert, statt sich auf Bauchgefühl zu verlassen, spart sich im Ernstfall viel Ärger.
- §7 UWG: keine Werbe-Mail ohne vorherige Einwilligung
- DSGVO Art. 5 und 7: Nachweispflicht für jede erteilte Einwilligung
- Art. 6 DSGVO: alternative Rechtsgrundlagen greifen nur in engen Ausnahmen
Double-Opt-In als Nachweis: Diese Daten müssen Sie protokollieren
Double-Opt-In ist zwar nirgendwo wortwörtlich als Pflicht kodifiziert, hat sich in Deutschland aber als der praktische Standard etabliert, um Einwilligungen gerichtsfest zu belegen. Ohne DOI-Protokoll stehen Sie im Streitfall mit leeren Händen da.
Folgende Daten muss Ihr System für jeden Abonnenten speichern:
- Die E-Mail-Adresse und der Zeitstempel der Erstanmeldung
- Der Zeitstempel der DOI-Bestätigung, also des Klicks im Bestätigungslink
- Die IP-Adresse bei Anmeldung und die IP-Adresse bei Bestätigung
- Der exakte Wortlaut des Einwilligungstexts, wie er zum jeweiligen Zeitpunkt galt
- Die Quelle beziehungsweise URL, über die sich der Nutzer angemeldet hat
Die Bestätigungsmail selbst sollte rein transaktional bleiben, ohne Werbebotschaften oder Produktbilder, sonst verschicken Sie faktisch schon Werbung ohne Einwilligung. Der Aktivierungslink sollte eine zeitliche Begrenzung enthalten, damit die Anmeldung innerhalb eines angemessenen Zeitrahmens bestätigt wird. Prüfen Sie unbedingt vorab, ob sich die DOI-Protokolle aus Ihrem Tool tatsächlich exportieren lassen. Viele Anbieter versprechen das, scheitern aber im Praxistest an unvollständigen Exportformaten.
Bestandskunden ohne Einwilligung kontaktieren: Wann das erlaubt ist
Die Bestandskundenausnahme nach §7 Abs. 3 UWG erlaubt Werbung ohne vorherige Einwilligung, aber nur wenn vier Bedingungen gleichzeitig erfüllt sind: Sie haben die E-Mail-Adresse im Zusammenhang mit einem Verkauf erhalten, Sie werben für eigene, ähnliche Waren oder Dienstleistungen, der Kunde hat der Nutzung nicht widersprochen, und er wurde bei Erhebung sowie in jeder weiteren Mail klar auf sein Widerspruchsrecht hingewiesen.
Aktuelle EuGH-Entscheidungen zeigen, dass auch redaktionell wirkende Newsletter und Freemium-Modelle unter bestimmten Umständen unter diese Ausnahme fallen können. Das ist keine Blankovollmacht, denn die Informationspflichten aus Art. 13 DSGVO bleiben trotzdem bestehen.
- Prüfen Sie, ob alle vier Voraussetzungen wirklich kumulativ vorliegen
- Dokumentieren Sie intern, woher die Kundenbeziehung stammt und wann der Kauf erfolgte
- Bauen Sie den Widerspruchshinweis in jede einzelne Mail ein, nicht nur einmalig
Wer sich auf diese Ausnahme verlässt, ohne den Nachweis führen zu können, trägt im Streitfall das volle Risiko.
Pflichtangaben im Newsletter: Impressum, Abmeldelink und Absender
Jede Werbe-Mail braucht drei feste Bestandteile. Ein Link zum Impressum darf im Footer nicht fehlen, die Absenderkennzeichnung muss erkennbar und seriös sein, und der Abmeldelink muss so leicht zu finden sein wie der Anmeldebutton auf Ihrer Website.
- Impressum-Link im Footer, nicht versteckt hinter drei Klicks
- Abmeldelink direkt im sichtbaren Bereich, ohne Login-Zwang
- Absenderadresse, die tatsächlich funktioniert, keine reine NOREPLY-Adresse
- Bei Bestandskundenmails zusätzlich der Widerspruchshinweis in jeder Ausgabe
Profi-Tipp: Testen Sie den Abmeldeprozess selbst, mit einem echten Klick, nicht nur in der Theorie. Viele Tools verstecken die Abmeldung hinter einem zusätzlichen Formular oder einer Bestätigungsseite, die Nutzer erst überzeugen soll, doch zu bleiben. Das gilt rechtlich als unzulässige Erschwerung.
Öffnungs- und Klicktracking: Braucht das eine eigene Einwilligung?
Ja, in der Regel schon. Tracking-Pixel greifen technisch in das Endgerät des Empfängers ein, und diese Handlung ist von der reinen Newsletter-Einwilligung nicht automatisch gedeckt. Nach §25 TDDDG brauchen Sie dafür eine gesonderte Zustimmung, unabhängig davon, ob die eigentliche Werbe-Mail rechtmäßig verschickt wird.
In der Praxis gibt es zwei saubere Wege. Option A: eine getrennte Checkbox mit einer klaren Formulierung wie „Ich möchte, dass Öffnungs- und Klickverhalten zur Optimierung ausgewertet wird“. Option B, oft der pragmatischere Weg: Tracking ist standardmäßig deaktiviert, Nutzer können es optional aktivieren.
- Tracking-Pixel niemals über die allgemeine Newsletter-Einwilligung mitlaufen lassen
- Consent-Management-Systeme nutzen, die die Trennung technisch erzwingen
- Serverseitige Aggregate statt individueller Klickverfolgung erwägen, wo es reicht
Profi-Tipp: Prüfen Sie, ob sich das Tracking in Ihrem Tool tatsächlich pro Abonnent abschalten lässt, nicht nur global. Ein Standard-Setup ohne Pixel sollte technisch möglich sein, damit Abonnenten ohne Tracking-Opt-In trotzdem den Newsletter erhalten.
AVV und Tool-Auswahl: Diese Fragen sollten Sie Ihrem Anbieter stellen
Der Auftragsverarbeitungsvertrag mit dem Newsletter-Tool ist keine Formalie, sondern die Grundlage dafür, dass die Verarbeitung überhaupt rechtmäßig läuft. Fragen Sie aktiv nach dem Serverstandort, nach eingesetzten Subprozessoren und danach, ob bei Drittlandtransfers Standardvertragsklauseln oder ein Data Privacy Framework als Absicherung greifen.
- Liegt ein vollständiger AVV vor, der Serverstandort und Subprozessoren nennt?
- Lässt sich das DOI-Protokoll vollständig und maschinenlesbar exportieren?
- Gibt es einen klaren Löschworkflow für ausgetragene oder inaktive Adressen?
- Ist Tracking pro Abonnent abschaltbar, und wer hat Zugriff auf die Listen?
Bevor Sie sich final entscheiden, sollten Sie eine Testanmeldung durchspielen: anmelden, DOI bestätigen, Logs exportieren, anschließend die Löschung testen. Anbieter mit EU- oder Deutschland-Fokus erleichtern die Nachweisführung oft erheblich, ersetzen aber nicht die eigene Prüfung im Einzelfall.
Technische Basics: HTTPS, Zugriffsschutz und Löschkonzept
Ein Anmeldeformular ohne HTTPS ist schon ein Warnsignal. Beschränken Sie den Zugriff auf Abonnentenlisten auf wenige Personen, aktivieren Sie Zwei-Faktor-Authentifizierung für Admin-Konten und rotieren Sie Passwörter regelmäßig.
- Nur die E-Mail-Adresse als Pflichtfeld verlangen, alles andere optional kennzeichnen
- Löschfristen für inaktive oder ausgetragene Adressen konkret festlegen
- DOI-Logs getrennt und revisionssicher aufbewahren, mit klarer Backup-Policy
Newsletter-Compliance-Checkliste: Die richtige Reihenfolge
Die häufigste Fehlerquelle ist nicht fehlendes Wissen, sondern die falsche Reihenfolge. Wer zuerst das Tool aussucht und danach über Rechtsgrundlagen nachdenkt, baut auf Sand. Datenschutzexperten empfehlen genau den umgekehrten Weg.
- Einwilligungstext präzise formulieren und versionieren
- Double-Opt-In im Tool aktivieren und die Bestätigungsmail transaktional gestalten
- AVV mit dem Anbieter abschließen und Serverstandort dokumentieren
- Datenschutzerklärung um Newsletter-Passus ergänzen
- Pflichtangaben in allen Mail-Templates prüfen
- Trackingfrage klären und technisch trennen
- Testanmeldung durchführen und den Export der Logs verifizieren
DOI-Logs sollten Sie über die gesamte Dauer der Einwilligung plus eine angemessene Nachweisfrist danach aufbewahren. Legen Sie alle Unterlagen, vom Einwilligungstext bis zum AVV, in einem eigenen Compliance-Ordner ab, damit Sie im Auditfall nicht erst suchen müssen.
Autorperspektive: Warum DOI-Logs mehr sind als eine Checkbox
Der größte Fehler, der in der Praxis immer wieder auffällt: Double-Opt-In wird als technische Formalität abgehakt, nicht als Beweiskette gepflegt. Viele Unternehmen aktivieren DOI im Tool, prüfen aber nie, ob sich die Protokolle im Ernstfall tatsächlich exportieren lassen, oder ob der Einwilligungstext von vor drei Jahren überhaupt noch mit der aktuellen Datenschutzerklärung übereinstimmt. Genau da liegt das Problem: Eine Einwilligung, die Sie nicht belegen können, ist rechtlich fast wertlos, auch wenn sie tatsächlich erteilt wurde.
Was gut funktioniert: Testen Sie den Export regelmäßig, nicht nur bei der Einrichtung. Versionieren Sie jede Änderung am Einwilligungstext mit Datum, damit Sie später nachweisen können, welcher Wortlaut zu welchem Zeitpunkt galt. Und überprüfen Sie Ihr Newsletter-Tool mindestens einmal jährlich neu, denn Anbieter ändern Subprozessoren und Serverstandorte öfter, als man denkt.
Wer Affiliate-Newsletter oder Trading-Signale versendet, wie es im Umfeld von Signalpartners üblich ist, sollte besonders sauber dokumentieren. Werbliche Finanzinhalte ziehen erfahrungsgemäß genauere Prüfungen nach sich, gerade weil die Zielgruppe oft sensibel auf Datenschutzfragen reagiert.
— Johann
Quellen
- Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit – Newsletter‑Bestellung auf Webseiten
- Fabian Reiter – Newsletter rechtssicher aufsetzen 2026