Wer in Deutschland Newsletter verschickt, braucht dafür eine Einwilligung – und muss sie im Zweifel beweisen können. Das Double-Opt-In-Verfahren ist der etablierte Weg, beides zu erfüllen. Dieser Ratgeber erklärt die rechtlichen Grundlagen, den Ablauf und was du protokollieren solltest. Er ersetzt keine Rechtsberatung, zeigt aber, worauf es in der Praxis ankommt.
Die rechtliche Grundlage
- § 7 Abs. 2 Nr. 2 UWG: Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung ist eine unzumutbare Belästigung. Abmahnungen und Unterlassungsansprüche sind die Folge.
- Art. 6 Abs. 1 lit. a und Art. 7 Abs. 1 DSGVO: Die Verarbeitung auf Basis einer Einwilligung setzt voraus, dass du sie nachweisen kannst. Die Beweislast liegt bei dir.
- Art. 7 Abs. 3 DSGVO: Der Widerruf muss so einfach sein wie die Erteilung – ein Klick in jeder Mail.
Eine Ausnahme regelt § 7 Abs. 3 UWG für Bestandskunden: Wer die Adresse im Zusammenhang mit einem Verkauf erhalten hat, darf für eigene ähnliche Produkte werben, wenn der Kunde nicht widersprochen hat und bei Erhebung und in jeder Mail auf das Widerspruchsrecht hingewiesen wird. Die Voraussetzungen sind eng; im Zweifel ist die Einwilligung der sicherere Weg.
Warum „Double“?
Beim einfachen Opt-In trägt jemand eine Adresse ins Formular ein – aber war es wirklich die Inhaberin? Erst der Klick auf einen Link, der an genau diese Adresse geschickt wurde, belegt, dass die Person Zugriff auf das Postfach hat und den Newsletter will. Ohne diese Bestätigung kannst du kaum nachweisen, dass die Einwilligung von der richtigen Person stammt.
Der Ablauf in vier Schritten
- Anmeldeformular: E-Mail-Adresse als einziges Pflichtfeld (Datensparsamkeit), ein nicht vorausgefülltes Kontrollkästchen mit klarem Text: wer schreibt, worüber, wie oft, und dass der Widerruf jederzeit möglich ist. Ein Link zur Datenschutzerklärung gehört dazu.
- Bestätigungsmail: sofort, sachlich, ohne Werbung. Sie enthält nur die Bitte um Bestätigung und den Link. Werbliche Inhalte in dieser Mail machen sie selbst angreifbar.
- Bestätigung: Der Klick aktiviert das Abonnement. Erst ab jetzt darf der Newsletter kommen.
- Protokoll: Anmeldung und Bestätigung werden mit Zeitpunkt gespeichert.
Was du protokollieren solltest
- Zeitpunkt der Anmeldung und der Bestätigung,
- die Quelle (welches Formular, welche Seite, Import mit Herkunft),
- den Wortlaut der Einwilligung, wie er angezeigt wurde,
- eine IP-Adresse – gekürzt genügt in der Regel als Indiz und ist datensparsamer,
- jede spätere Abmeldung und Änderung der Themen.
Bewahre den Nachweis so lange auf, wie Ansprüche geltend gemacht werden können. Die regelmäßige Verjährung beträgt drei Jahre (§ 195 BGB), beginnend mit dem Ende des Jahres.
Typische Fehler
- Vorausgewählte Häkchen sind keine wirksame Einwilligung.
- Kopplung: Newsletter-Zustimmung als Bedingung für Download oder Gewinnspiel kann gegen das Kopplungsverbot (Art. 7 Abs. 4 DSGVO) verstoßen.
- Bestätigung per GET-Link: Sicherheitsscanner in Firmen öffnen Links automatisch. Wird schon das Öffnen als Bestätigung gewertet, „bestätigen“ Maschinen. Besser: Der Link führt auf eine Seite mit einem Bestätigungsknopf.
- Unbestätigte Adressen behalten: Lösche Anmeldungen, die nach einigen Tagen nicht bestätigt wurden.
- Gekaufte Listen: Für sie gibt es keine wirksame Einwilligung – und sie ruinieren die Zustellbarkeit.
Abmelden muss einfach sein
Jede Mail braucht einen funktionierenden Abmeldelink. Gmail und Yahoo verlangen für Massenversender zusätzlich die One-Click-Abmeldung über die Kopfzeilen List-Unsubscribe und List-Unsubscribe-Post (RFC 8058). Abmeldungen müssen sofort, spätestens innerhalb von zwei Tagen wirken.