Newsletter und DSGVO: der praktische Leitfaden für Deutschland, Österreich und die Schweiz

Aktualisiert am 18. Oktober 20265 Min. Lesezeit

Kurz gesagt

Für rechtssichere Newsletter in Deutschland brauchst du fünf Dinge: die ausdrückliche Einwilligung der Empfänger (oder, für deine Kunden, die Bestandskunden-Ausnahme nach § 7 Abs. 3 UWG), den Nachweis dieser Einwilligung, in der Praxis per Double-Opt-in, eine klare Datenschutzerklärung, einen Abmeldelink in jeder E-Mail und einen Anbieter, der die Daten in deinem Auftrag verarbeitet, mit einem Auftragsverarbeitungsvertrag (AV-Vertrag), am besten mit Daten in der EU. Hier ist jeder Punkt praktisch erklärt.

Wann du eine Einwilligung brauchst

In Deutschland regeln zwei Gesetze die Werbung per E-Mail: die DSGVO für personenbezogene Daten allgemein und vor allem das Gesetz gegen den unlauteren Wettbewerb (UWG). Nach § 7 Abs. 2 Nr. 2 UWG ist Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung des Empfängers eine unzumutbare Belästigung.

Eine Einwilligung zählt nur, wenn sie bestimmte Bedingungen erfüllt:

Sie ist freiwillig: keine vorangekreuzten Kästchen und keine Einwilligung als Bedingung für einen Service oder ein Gratis-Download.
Sie ist bestimmt: Die Einwilligung in den Newsletter ist getrennt von AGB oder Bestellung.
Sie ist informiert: Du sagst, wer du bist und was du schicken wirst.
Sie ist eine aktive Handlung: Schweigen oder Untätigkeit ist keine Einwilligung.
Eine Adresse, die du im Internet, auf einer Website oder in einem Verzeichnis gefunden hast, ist keine Erlaubnis.

Wichtig: Das gilt auch für Geschäftskunden. Das UWG macht für E-Mail-Werbung keine Ausnahme für B2B-Adressen.

Die Bestandskunden-Ausnahme nach § 7 Abs. 3 UWG

Für Händler gibt es eine nützliche Ausnahme. Du darfst Kunden ohne gesonderte Einwilligung E-Mail-Werbung schicken, wenn alle vier Bedingungen erfüllt sind:

Du hast die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten.
Du bewirbst nur eigene ähnliche Waren oder Dienstleistungen.
Der Kunde hat nicht widersprochen.
Du hast ihn bei der Erhebung der Adresse und in jeder E-Mail klar darauf hingewiesen, dass er jederzeit widersprechen kann, ohne andere als die üblichen Übermittlungskosten.

Die Ausnahme deckt keine Adressen aus Gewinnspielen, Visitenkarten oder Angebotsanfragen ohne Kauf und keine Angebote von Partnern. In Österreich gilt mit § 174 TKG 2021 eine sehr ähnliche Regel, in der Schweiz mit Art. 3 Abs. 1 lit. o UWG.

Double-Opt-in: in Deutschland der Standard

Die DSGVO verlangt (Art. 7), dass du die Einwilligung nachweisen kannst, und im Streitfall musst du beweisen, dass der Empfänger zugestimmt hat. Mit einem einfachen Formular kannst du nicht ausschließen, dass jemand eine fremde Adresse eingetragen hat. Deshalb ist das Double-Opt-in in Deutschland der anerkannte Weg: Wer sich anmeldet, bestätigt per Klick in einer E-Mail, und erst dann ist er eingetragen.

Die Bestätigungs-E-Mail enthält keine Werbung, nur die Bitte um Bestätigung.
Gespeichert werden Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, Quelle und Wortlaut der Einwilligung.
Wer nicht bestätigt, bekommt keine weiteren E-Mails.

Was in jede E-Mail gehört

Wer du bist: dein Unternehmen als Absender, gut erkennbar. Der werbliche Charakter darf nicht verschleiert werden.
Ein Abmeldelink, der mit einem Klick funktioniert. Gmail und Yahoo verlangen ihn von Großversendern auch als technischen Header und erwarten, dass Abmeldungen innerhalb von zwei Tagen wirken.
Impressumsangaben: Die Pflichtangaben nach § 5 Digitale-Dienste-Gesetz (DDG) oder ein Link darauf gehören nach gängiger Empfehlung auch in jeden Newsletter.
Inhalte, die zur Anmeldung passen.

Spedito fügt den Abmeldelink automatisch ein, auch die Abmeldung mit einem Klick direkt aus dem Posteingang, dazu deine Postanschrift, jeweils in der Sprache des Empfängers. Einen Link auf dein Impressum kannst du in die Fußzeile deiner Vorlage schreiben. Wer sich abmeldet, bekommt nichts mehr, auch wenn du ihn versehentlich erneut importierst.

Der Anbieter: AV-Vertrag und Speicherort der Daten

Der Newsletter-Anbieter verarbeitet die Daten deiner Abonnenten in deinem Auftrag: Nach der DSGVO ist er Auftragsverarbeiter, und du brauchst einen schriftlichen Vertrag (Art. 28 DSGVO). Prüfe auch, wo die Daten gespeichert werden: Für Übermittlungen außerhalb der EU sind zusätzliche Garantien nötig.

Bei Spedito gilt der AV-Vertrag für jeden Kunden und steht in unseren Rechtstexten. Die Daten bleiben in der Europäischen Union: Datenbank in Frankfurt, Versand von Servern in Irland. Die vollständige Liste der Dienstleister steht in der Datenschutzerklärung.

Gekaufte Listen, Rechte und Sanktionen

Kauf keine Adresslisten. Der Verkäufer kann dir keine Einwilligung übertragen, die ihm gegeben wurde, und gekaufte Listen sind voller alter Adressen und Spamfallen, die auch deine Zustellbarkeit ruinieren.

Menschen haben das Recht zu erfahren, welche Daten du speicherst, sie berichtigen und löschen zu lassen. In Spedito exportierst du die Daten eines Kontakts oder löschst ihn endgültig mit einem Klick aus seinem Profil.

Bußgelder nach der DSGVO (Art. 83) reichen bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. In Deutschland kommt das Risiko einer Abmahnung hinzu: Wettbewerber und Verbraucherverbände können unerlaubte E-Mail-Werbung abmahnen. Und im Alltag schaden Spam-Beschwerden am meisten, weil sie auch die E-Mails an deine Fans in den falschen Ordner schieben.

Die Checkliste

Anmeldeformular mit klarem Zweck und nicht angekreuztem Kästchen (falls nötig).
Datenschutzerklärung im Formular verlinkt.
Double-Opt-in aktiviert, Bestätigungs-E-Mail ohne Werbung.
Für Bestandskunden: Widerspruchshinweis beim Kauf und in jeder E-Mail.
Quelle, Zeitpunkt und Wortlaut der Einwilligung für jeden Kontakt gespeichert.
Abmeldelink, Postanschrift und Impressum in jeder E-Mail.
AV-Vertrag mit dem Anbieter, Daten in der EU.
Keine gekauften oder aus dem Netz kopierten Adressen.

Häufige Fragen

Ist Double-Opt-in in Deutschland Pflicht?

Kein Gesetz schreibt es ausdrücklich vor. Aber du musst die Einwilligung beweisen können, und in der Praxis ist das Double-Opt-in der einzige verlässliche Weg dazu. Ohne es gehst du ein hohes Abmahnrisiko ein.

Darf ich meinen Kunden ohne Einwilligung Newsletter schicken?

Ja, nach § 7 Abs. 3 UWG: für eigene ähnliche Produkte, wenn du die Adresse beim Verkauf erhalten hast, der Kunde nicht widersprochen hat und du ihn beim Erheben und in jeder E-Mail auf sein Widerspruchsrecht hinweist.

Darf ich Geschäftskunden ohne Einwilligung anschreiben?

Nein, nicht per E-Mail: Das UWG unterscheidet hier nicht zwischen Privat- und Geschäftskunden. Es gilt dasselbe wie für Verbraucher, einschließlich der Bestandskunden-Ausnahme.

Wie lange darf ich Kontakte speichern?

Solange die Person angemeldet ist und es sinnvoll ist, ihr zu schreiben. Wer lange nichts mehr öffnet, sollte besser entfernt werden: Das verbessert auch die Zustellbarkeit. Die Nachweise der Einwilligung bewahrst du auf, solange du die Daten nutzt und solange du sie vorlegen können musst.

Ist Spedito DSGVO-konform?

Spedito speichert die Daten in der Europäischen Union, bietet jedem Kunden den AV-Vertrag, speichert den Nachweis der Einwilligung inklusive Double-Opt-in, fügt jeder E-Mail die Abmeldung hinzu und lässt dich die Daten eines Kontakts exportieren oder löschen. Wen du anschreiben darfst, bleibt deine Verantwortung.