E-Mail ist einer der wenigen Kanäle, die einem Betrieb tatsächlich gehören: keine Plattform dazwischen, keine Reichweite, die über Nacht neu berechnet wird, kein Preis pro Klick. Genau deshalb ist der Weg in den Posteingang eng geregelt. Werbung unter Verwendung elektronischer Post ist ohne vorherige ausdrückliche Einwilligung unzulässig, und wenn es zum Streit kommt, muss nicht die Empfängerin das Fehlen der Einwilligung belegen, sondern der Betrieb ihr Vorliegen. Dieser Leitfaden beschreibt den vollständigen Ablauf einer tragfähigen Newsletter-Anmeldung: vom Formular über die Bestätigungsmail und das Protokoll bis zum Abmeldelink und zum Löschen inaktiver Adressen. Er ordnet außerdem ein, was die viel zitierte Bestandskunden-Ausnahme wirklich erlaubt und warum gekaufte Adresslisten und Rabatte gegen Newsletter-Anmeldung regelmäßig Probleme machen. Eine Rechtsberatung im Einzelfall ersetzt er nicht.
Warum die Einwilligung der eigentliche Kern ist
Die technische Seite einer Newsletter-Anmeldung ist an einem Vormittag gebaut: ein Eingabefeld, ein Knopf, eine Liste. Der eigentliche Aufwand liegt woanders, nämlich im Nachweis. Rund 89 Prozent (Statistisches Bundesamt) der Unternehmen mit Internetzugang betreiben eine eigene Website, und 97 Prozent (Statistisches Bundesamt) der Menschen zwischen 16 und 74 Jahren in Deutschland sind online. Ein Verteiler steht damit praktisch jedem Betrieb offen. Ob er belastbar ist, entscheidet sich nicht an seiner Größe, sondern daran, ob zu jeder einzelnen Adresse dokumentiert ist, wann sie eingetragen wurde, welchem Text die Person zugestimmt hat und wodurch sie die Anmeldung bestätigt hat. Eine Liste mit 300 sauber protokollierten Adressen ist im Zweifel mehr wert als eine mit 3.000, deren Herkunft niemand mehr rekonstruieren kann.
Zwei Regelwerke greifen dabei ineinander. Das Wettbewerbsrecht bestimmt, ob eine Werbe-E-Mail überhaupt versendet werden darf: Eine unzumutbare Belästigung liegt vor bei Werbung unter Verwendung elektronischer Post, ohne dass eine vorherige ausdrückliche Einwilligung des Adressaten vorliegt (Gesetz gegen den unlauteren Wettbewerb, Paragraf 7 Absatz 2 Nummer 2). Das Datenschutzrecht bestimmt, unter welchen Bedingungen die Adresse verarbeitet werden darf und wer im Zweifel etwas belegen muss: Der Verantwortliche muss nachweisen können, dass die betroffene Person in die Verarbeitung eingewilligt hat (Datenschutz-Grundverordnung, Artikel 7 Absatz 1). Die Beweislast liegt damit beim Absender, nicht beim Empfänger, und sie lässt sich nachträglich kaum herstellen. Wer erst nach dem ersten Beschwerdeschreiben zu suchen beginnt, findet in aller Regel nichts Verwertbares mehr.
Von einem Anfrageformular unterscheidet sich die Newsletter-Anmeldung deutlicher, als die Optik vermuten lässt. Wer über ein Kontaktformular eine konkrete Anfrage stellt, erwartet eine Antwort auf genau dieses Anliegen; diese Verarbeitung stützt sich auf die Anbahnung oder Durchführung eines Vertrags und benötigt keine gesonderte Einwilligung. Eine Newsletter-Anmeldung dagegen erzeugt eine dauerhafte Erlaubnis für künftige Werbung, die belegt werden muss. Deshalb gehören beide Wege getrennt: getrennte Felder, getrennte Texte, getrennte Speicherorte. Ein Häkchen mit der Aufschrift „Ich möchte den Newsletter erhalten“ unter einer Angebotsanfrage vermischt zwei Zwecke, die getrennt dokumentiert werden müssen, und schwächt im Zweifel beide Nachweise.
Dieser Beitrag ersetzt keine Rechtsberatung
Was Paragraf 7 UWG für Werbung per E-Mail verlangt
Der Gesetzeswortlaut ist kurz und lässt wenig Spielraum: Eine unzumutbare Belästigung liegt vor bei Werbung unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post, ohne dass eine vorherige ausdrückliche Einwilligung des Adressaten vorliegt (Gesetz gegen den unlauteren Wettbewerb, Paragraf 7 Absatz 2 Nummer 2). Drei Begriffe tragen dabei die ganze Last. Vorherig heißt: vor der ersten Werbemail, nicht nach ihr und auch nicht durch sie. Ausdrücklich heißt: eine aktive Erklärung, kein Schweigen, keine Voreinstellung und kein Rückschluss aus einer Bestellung. Einwilligung heißt: freiwillig, für den bestimmten Fall und informiert abgegeben (Datenschutz-Grundverordnung, Artikel 4 Nummer 11).
Unterschätzt wird regelmäßig, wie weit der Werbebegriff reicht. Er umfasst nicht nur Angebote und Rabatte, sondern jede Äußerung mit dem Ziel, den Absatz zu fördern. Praktisch fallen darunter deutlich mehr Aussendungen, als in vielen Betrieben angenommen wird:
- Newsletter mit Produktneuheiten, Terminen oder Aktionen, auch wenn darin kein Preis genannt wird.
- Einladungen zu Tagen der offenen Tür, Sprechstunden, Webinaren oder Messeständen.
- Zufriedenheitsbefragungen und Bitten um eine Bewertung nach abgeschlossenem Auftrag.
- Automatische Erinnerungen an einen abgebrochenen Warenkorb oder ein auslaufendes Angebot.
- Geburtstags- und Jubiläumsmails mit Gutscheincode oder Aktionshinweis.
- Weitergeleitete Angebote von Kooperationspartnern unter dem eigenen Absendernamen.
Besonders die dritte und die vierte Zeile sorgen für Überraschungen. Eine Bitte um eine Bewertung wirkt harmlos, dient aber der Absatzförderung und wird deshalb wie Werbung behandelt; wer Bewertungen aktiv einsammeln möchte, sollte Anlass und Rechtsgrundlage vorher klären. Reine Vertragskommunikation bleibt dagegen zulässig: eine Auftragsbestätigung, eine Terminerinnerung, eine Rechnung, eine Versandmitteilung. Entscheidend ist, dass diese Nachrichten keine werblichen Zusätze enthalten, denn ein angehängter Aktionsblock macht aus einer Systemnachricht eine Werbemail.
Wer ohne Einwilligung versendet, riskiert in erster Linie zivilrechtliche Folgen: einen Unterlassungsanspruch, eine Abmahnung mit Kostenerstattung und eine strafbewehrte Unterlassungserklärung, aus der bei jedem weiteren Verstoß eine Vertragsstrafe fällig wird. Bußgelder kommen hinzu und treffen im Wettbewerbsrecht vor allem die Telefonwerbung: Werbeanrufe ohne Einwilligung sind mit bis zu 300.000 Euro (Gesetz gegen den unlauteren Wettbewerb, Paragraf 20), Dokumentationsverstöße mit bis zu 50.000 Euro (Gesetz gegen den unlauteren Wettbewerb, Paragraf 20) bedroht. Dass das kein theoretischer Rahmen ist, zeigt die Praxis der zuständigen Behörde: allein 1.435.000 Euro (Verbraucherzentrale) an Bußgeldern wegen unerlaubter Telefonwerbung und Rufnummernunterdrückung im Jahr 2023. Datenschutzrechtlich kommt ein eigener Rahmen hinzu, der bei Verstößen gegen die Einwilligungsvorgaben bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes reicht (Datenschutz-Grundverordnung, Artikel 83 Absatz 5).
Das Anmeldeformular: sparsam fragen, klar formulieren
Für den Versand eines Newsletters ist genau eine Angabe erforderlich: die E-Mail-Adresse. Alles Weitere ist Komfort und muss als freiwillig erkennbar sein, denn personenbezogene Daten sind auf das für den Zweck notwendige Maß zu beschränken (Datenschutz-Grundverordnung, Artikel 5 Absatz 1 Buchstabe c). Jedes zusätzliche Pflichtfeld kostet Anmeldungen und erzeugt zugleich Erklärungsbedarf: Wer Geburtsdatum, Telefonnummer und Firmenanschrift verlangt, muss begründen können, wofür diese Daten beim Versand eines Newsletters gebraucht werden. In der Praxis genügt für die persönliche Ansprache ein optionales Vornamensfeld, sichtbar als freiwillig markiert und ohne Auswirkung darauf, ob die Anmeldung abgeschickt werden kann.
Ein Pflichtfeld
Die E-Mail-Adresse ist das einzige Feld, das für den Versand zwingend gebraucht wird. Ein zweites Eingabefeld zur Kontrolle der Schreibweise ist zulässig, ersetzt die Bestätigung per Klick aber nicht.
Freiwillige Angaben
Anrede, Vorname oder Interessengebiet dürfen erhoben werden, müssen aber sichtbar als freiwillig gekennzeichnet sein und dürfen den Absendevorgang nicht blockieren.
Aktive Zustimmung
Die Checkbox bleibt leer, bis die Person sie selbst setzt. Ein vorangekreuztes Kästchen und eine Zustimmung durch bloßes Weiterscrollen tragen als Einwilligung nicht.
Dass die Zustimmung aktiv erfolgen muss, ist gerichtlich geklärt: Ein voreingestelltes Ankreuzkästchen stellt keine wirksame Einwilligung dar (Gerichtshof der Europäischen Union, Rechtssache C-673/17). Genauso wenig trägt eine Konstruktion, bei der die Einwilligung in den allgemeinen Geschäftsbedingungen versteckt wird; das Ersuchen um Einwilligung muss in verständlicher und leicht zugänglicher Form, in klarer und einfacher Sprache und klar von anderen Sachverhalten unterscheidbar erfolgen (Datenschutz-Grundverordnung, Artikel 7 Absatz 2). Praktisch heißt das: eine eigene Checkbox, unmittelbar daneben oder darunter der vollständige Einwilligungstext, und kein weiterer Zweck im selben Häkchen.
Bedienbarkeit gehört zur Wirksamkeit dazu, denn eine Erklärung, die jemand versehentlich abgibt, ist keine informierte Erklärung. Die Beschriftung muss fest mit dem Eingabefeld verbunden sein, Fehlermeldungen müssen im Klartext sagen, was fehlt, und die gesamte Anmeldung muss sich mit der Tastatur bedienen lassen. Das sind dieselben Anforderungen, die auch für barrierefreie Texte und Formulare gelten. Die Anmeldung braucht außerdem einen festen Platz: eine eigene, verlinkbare Seite mit dem vollständigen Text, ergänzt um einen kompakten Block im Fußbereich. Diese Seite gehört von Anfang an in die Seitenstruktur einer Unternehmenswebsite und nicht in ein nachträglich eingefügtes Overlay.
Der Einwilligungstext: was hineingehört
Informiertheit ist kein weiches Kriterium, sondern ein prüfbares Merkmal. Die Aufsichtsbehörden halten fest, dass Informiertheit voraussetzt, dass auch die Art der beabsichtigten Werbung, die Produkte oder Dienstleistungen, für die geworben werden soll, und das werbende Unternehmen benannt sind (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Ein Satz wie „Ja, ich möchte Informationen erhalten“ erfüllt das nicht: Er nennt weder den Absender noch den Inhalt noch den Weg. Der Text muss so konkret sein, dass sich Jahre später aus ihm ablesen lässt, wofür genau die Erlaubnis erteilt wurde.
- Wer wirbt: der vollständige Name des Betriebs, nicht nur ein Markenname oder eine Abkürzung.
- Womit geworben wird: die Themen, Leistungen oder Produktbereiche, um die es im Newsletter geht.
- Auf welchem Weg: der Versand per E-Mail, ausdrücklich benannt und nicht auf weitere Kanäle ausgedehnt.
- Wie oft ungefähr: eine ehrliche Frequenzangabe statt einer unverbindlichen Formel wie „gelegentlich“.
- Wie widerrufen wird: der Hinweis, dass die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden kann (Datenschutz-Grundverordnung, Artikel 7 Absatz 3).
- Wo Details stehen: ein Verweis auf die Datenschutzerklärung, ohne die Einwilligung selbst dorthin auszulagern.
Über das Widerrufsrecht und seinen Umfang ist bereits vor der Abgabe der Einwilligung zu unterrichten, und zwar im direkten Zusammenhang mit ihrer Einholung (Datenschutz-Grundverordnung, Artikel 7 Absatz 3 Satz 3; Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Ein Hinweis, der ausschließlich in der Datenschutzerklärung steht, erfüllt diese Anforderung nicht zuverlässig. Sinnvoll ist außerdem ein zweiter Hinweis, der häufig fehlt: Der Nachweis der Einwilligung wird auch nach einem Widerruf weiter aufbewahrt, und darauf ist bereits bei der Erhebung der Daten hinzuweisen (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung).
Sprachlich gilt für den Einwilligungstext dasselbe wie für alle anderen Seiteninhalte: kurze Sätze, bekannte Wörter, keine Schachtelkonstruktionen. Wer beim Schreiben verständlicher Website-Texte auf Fachjargon verzichtet, sollte das ausgerechnet an der Stelle nicht aufgeben, an der eine rechtlich bindende Erklärung abgegeben wird. Ein brauchbarer Test: Lassen Sie den Text von einer Person lesen, die den Betrieb nicht kennt, und fragen Sie danach, was diese Person nun erwartet. Weichen Antwort und Absicht voneinander ab, ist der Text zu ungenau.
Die Bestätigungsmail: ein Link, keine Werbung
Nach dem Absenden des Formulars passiert zunächst nichts außer einer einzigen Nachricht: eine E-Mail an die eingetragene Adresse mit der Bitte, die Anmeldung durch einen Klick zu bestätigen. Erst dieser Klick schaltet die Adresse frei. Der Zweck des Verfahrens ist schnell erklärt: Es soll ausschließen, dass jemand eine fremde Adresse einträgt, und es soll belegen, dass die Person, die den Posteingang kontrolliert, die Anmeldung tatsächlich wollte. Für elektronisch erklärte Einwilligungen halten die Aufsichtsbehörden das Double-Opt-In-Verfahren deshalb für geboten (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung).
Die Bestätigungsmail ist kein Werbeplatz
Zur Beweiskraft trägt bei, dass die Bestätigung erkennbar von der angegebenen Adresse ausgeht. Die Aufsichtsbehörden verweisen darauf, dass digitale Signaturen wie DKIM die Authentizität einer E-Mail und damit der Einwilligung belegen können (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Das setzt eine eigene, korrekt eingerichtete Absenderdomain voraus. Wer dafür noch keinen sauberen Aufbau hat, findet die Grundlagen unter eigene Domain und geschäftliche E-Mail-Adresse: Ein Newsletter, der von einer Freemail-Adresse aus versendet wird, landet häufiger im Spam-Ordner und ist im Streitfall schlechter zuzuordnen.
Bleibt die Bestätigung aus, ist die Adresse kein stiller Zugewinn, sondern ein Risiko. Sinnvoll ist eine kurze Frist von wenigen Tagen, danach wird der unbestätigte Eintrag gelöscht. Eine einzelne, sachliche Erinnerung ohne werblichen Inhalt ist vertretbar; eine zweite oder dritte Erinnerung mit Angebotsanteil ist es nicht. Der wichtigste Punkt für die Praxis: Unbestätigte Adressen gehören in keine Aussendung, auch nicht in eine vermeintlich rein informative.
Protokollieren: Zeitpunkt, Wortlaut, Bestätigung
Der Nachweis entsteht nicht durch das Verfahren allein, sondern durch das, was dabei mitgeschrieben wird. Bei der Protokollierung sind die Nachweisanforderungen des Bundesgerichtshofs zum Wettbewerbsrecht zu berücksichtigen (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung; Bundesgerichtshof, Urteil vom 10. Februar 2011, I ZR 164/09). Die Einwilligung muss vollständig nachweisbar sein, auch hinsichtlich ihres Wortlauts; bei elektronisch übermittelten Erklärungen setzt das deren Speicherung und die jederzeitige Möglichkeit voraus, sie auszudrucken (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Ein Häkchen in einer Datenbankspalte genügt dafür nicht, denn daraus geht der Text nicht hervor, dem zugestimmt wurde.
Das bloße Abspeichern einer IP-Adresse und die Behauptung, dass von dieser IP-Adresse aus eine Einwilligung erteilt worden sei, genügen auch nach der Rechtsprechung des BGH zum UWG nicht.
Praktisch bedeutet das ein kleines, aber vollständiges Protokoll je Anmeldung. Es muss nicht kompliziert sein, es muss nur überdauern: einen Systemwechsel, einen Dienstleisterwechsel und den Abstand von mehreren Jahren zwischen Anmeldung und Beschwerde.
| Protokollierte Angabe | Nachweiswert | Warum das im Streitfall zählt |
|---|---|---|
| Zeitstempel der Anmeldung | hoch | Belegt, dass die Einwilligung vor der ersten Aussendung vorlag und nicht nachträglich eingeholt wurde. |
| Wortlaut des Einwilligungstextes | hoch | Der Umfang der Erlaubnis ergibt sich aus dem Text, dem zugestimmt wurde, nicht aus der heutigen Fassung der Seite. |
| Zeitpunkt der Bestätigung aus der Check-Mail | hoch | Verknüpft die Erklärung mit dem Postfach, an das später versendet wird. |
| Herkunft: Seite, Formular, Sprachversion | mittel | Ordnet die Anmeldung einer konkreten Quelle zu und erklärt Abweichungen im Einwilligungstext. |
| Ausschließlich die IP-Adresse | gering | Ohne bestätigten Klick und ohne Wortlaut lässt sich daraus keine Einwilligung ableiten. |
Aufbewahrt wird der Nachweis so lange, wie Ansprüche geltend gemacht werden können. Die Aufsichtsbehörden orientieren sich dabei an der bußgeldrechtlichen und zivilrechtlichen Regelverjährung von drei Jahren (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Auch nach einem Widerruf und nach dem Entfernen der Adresse aus dem Verteiler muss der Betrieb die frühere Einwilligung noch belegen können, weshalb der Nachweis getrennt vom aktiven Verteiler abgelegt gehört (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Für Einwilligungen in Telefonwerbung gilt eine eigene, längere Dokumentationspflicht von fünf Jahren (Gesetz gegen den unlauteren Wettbewerb, Paragraf 7a) — ein guter Grund, Telefon- und E-Mail-Einwilligung getrennt zu erheben und getrennt zu speichern.
Abmeldelink und Pflichtangaben in jeder Aussendung
Die Einwilligung endet nicht mit dem Versand, sie begleitet jede einzelne Aussendung. Betroffene Personen haben das Recht, der Verarbeitung ihrer Daten für Direktwerbung jederzeit zu widersprechen; danach dürfen die Daten für diesen Zweck nicht mehr verarbeitet werden (Datenschutz-Grundverordnung, Artikel 21 Absatz 2 und Absatz 3). Auf dieses Recht ist spätestens zum Zeitpunkt der ersten Kommunikation ausdrücklich und in einer von anderen Informationen getrennten Form hinzuweisen (Datenschutz-Grundverordnung, Artikel 21 Absatz 4). Und der Widerruf der Einwilligung muss so einfach sein wie ihre Erteilung (Datenschutz-Grundverordnung, Artikel 7 Absatz 3 Satz 4).
Die Abmeldung von E-Mail-Werbung sollte möglichst mit einem Klick ohne zusätzliche Hürden bzw. Erschwernisse möglich sein. Insbesondere dürfen Abfragen nach dem Grund der Abmeldung nicht verpflichtend sein.
- Ein Abmeldelink, der ohne Anmeldung im Kundenkonto und ohne erneute Eingabe der Adresse funktioniert.
- Keine verpflichtende Abfrage des Abmeldegrunds und keine Zwischenseite mit Rückhalteangebot.
- Der Hinweis auf das Widerspruchsrecht deutlich abgesetzt, nicht als letzte Zeile im Kleingedruckten.
- Absenderangabe und Anbieterkennzeichnung, wie sie auch für die Rechtstexte der Website gelten.
- Eine antwortfähige Absenderadresse; bei einer reinen no-reply-Adresse zumindest eine gesetzte Antwortadresse.
- Ein Betreff, der den Inhalt trifft, damit niemand die Nachricht für eine Systemmeldung hält.
Der Abmeldelink muss auch unterwegs zu treffen sein. Etwa neun von zehn (Bitkom) Menschen in Deutschland nutzen ein Smartphone, und ein großer Teil der Aussendungen wird auf genau diesen Geräten geöffnet. Ein Link in Achtpunktschrift zwischen zwei anderen Fußzeilenzeilen ist damit faktisch eine Hürde, auch wenn er formal vorhanden ist. Praktisch bewährt hat sich eine eigene Zeile mit ausreichendem Abstand, ein Ziel von mindestens 44 mal 44 Pixeln und ein Text, der die Funktion benennt, statt einer Formulierung wie „Einstellungen verwalten“.
Zur Absenderadresse gibt es eine deutliche Empfehlung: Wer no-reply-Adressen verwendet, schneidet einen naheliegenden Weg des Widerspruchs ab und muss dafür einen einfachen, schnellen Ersatzweg anbieten; das Setzen einer Antwortadresse wird ausdrücklich empfohlen (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Ebenso wenig taugt ein Spam-Filter als Ausrede: Auch E-Mails, die im Spam-Ordner landen, gelten als zugegangen, und der Betrieb muss organisatorisch sicherstellen, dass Nachrichten zu Betroffenenrechten trotzdem zur Kenntnis genommen werden (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung).
Ein Widerspruch ist unverzüglich umzusetzen. Erfolgt er über einen Link in einer Werbe-E-Mail oder über eine Einstellung im Kundenkonto, gibt es für rein elektronisch versandte Werbung keinen Grund, vom Gesetzeswortlaut abzuweichen, nach dem der Widerspruch sofort zu beachten ist (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Wer nur den Widerspruch dokumentiert, die Adresse aber ohne Vermerk löscht, riskiert, dass dieselbe Adresse beim nächsten Import erneut im Verteiler landet. Beruht die werbliche Nutzung auf einer Interessenabwägung, kommt dafür eine Werbesperrdatei in Betracht, über deren Sinn und Zweck die betroffene Person zu unterrichten ist (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung).
Die enge Bestandskunden-Ausnahme
Es gibt genau einen gesetzlich geregelten Weg, ohne ausdrückliche Einwilligung per E-Mail zu werben. Er wird häufig zitiert und ebenso häufig zu weit ausgelegt. Die Ausnahme greift nur, wenn alle vier Voraussetzungen gleichzeitig erfüllt sind (Gesetz gegen den unlauteren Wettbewerb, Paragraf 7 Absatz 3):
- Der Unternehmer hat die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von der Kundin oder dem Kunden selbst erhalten.
- Die Adresse wird zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet.
- Die Kundin oder der Kunde hat der Verwendung nicht widersprochen.
- Bei Erhebung der Adresse und bei jeder Verwendung wird klar und deutlich darauf hingewiesen, dass der Verwendung jederzeit widersprochen werden kann, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.
Ähnlich heißt wirklich ähnlich
Zwei Punkte werden in der Praxis oft übersehen. Erstens muss der Betrieb nachweisen können, dass es sich bei der zu Werbezwecken verwendeten Adresse überhaupt um die eines Bestandskunden handelt (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung; Datenschutz-Grundverordnung, Artikel 5 Absatz 2). Damit stellt sich dieselbe Dokumentationsfrage wie bei der Einwilligung, nur mit anderem Bezugspunkt. Zweitens empfehlen die Aufsichtsbehörden, bereits im Bestellprozess klar und verständlich darauf hinzuweisen, dass unabhängig von einer Newsletter-Anmeldung Werbung für ähnliche Leistungen möglich ist, und eine sofortige Ausübung des Widerspruchsrechts zu ermöglichen, etwa durch eine Checkbox oder einen Link (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Genau das verhindert die Irritation, die entsteht, wenn nach einer Bestellung Werbung eintrifft, obwohl niemand einen Newsletter bestellt hat.
Gekaufte Listen, Gewinnspiele und Rabatt gegen Anmeldung
Zugekaufte oder getauschte Adresslisten sind der schnellste Weg zu einem Verteiler und zugleich der unsicherste. Eine Einwilligung wird gegenüber einem bestimmten Unternehmen für einen bestimmten Zweck erteilt; sie ist keine handelbare Ware. Selbst wenn der Verkäufer eine Einwilligung behauptet, muss der versendende Betrieb sie nachweisen können, und zwar gerade bezüglich des für die Werbung benutzten Kommunikationsmittels und einschließlich des Wortlauts (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Eine Sammelbestätigung des Verkäufers erfüllt das in aller Regel nicht. Hinzu kommt der praktische Effekt: Adressen ohne Bezug zum Betrieb erzeugen Beschwerden und Spam-Markierungen und verschlechtern damit die Zustellbarkeit für alle übrigen Empfänger.
Ähnlich heikel ist die Kopplung. Wird ein Rabatt, ein Download, ein Gewinnspiel oder eine Terminvergabe von der Newsletter-Anmeldung abhängig gemacht, obwohl die Anmeldung dafür nicht erforderlich ist, fehlt es regelmäßig an der Freiwilligkeit, und die Einwilligung ist unwirksam (Datenschutz-Grundverordnung, Artikel 7 Absatz 4; Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung). Der Unterschied liegt in der Freiwilligkeit, nicht im Anreiz: Ein Rabattcode, der auch ohne Anmeldung erhältlich ist, bleibt zulässig; ein Rabattcode, den es ausschließlich gegen die Anmeldung gibt, ist die klassische Kopplung. Wer Preisvorteile ohnehin transparent kommuniziert, findet die Grundlagen dazu unter Preise auf der Website zeigen.
Inaktive Adressen löschen, Einwilligungen auffrischen
Eine Einwilligung erlischt grundsätzlich nicht allein durch Zeitablauf; das hat der Bundesgerichtshof zur insoweit gleichlautenden Rechtslage klargestellt (Bundesgerichtshof, Urteil vom 1. Februar 2018, III ZR 196/17). Daraus folgt aber nicht, dass ein Verteiler unbegrenzt weiterlaufen sollte. Aus den Grundsätzen der Transparenz und der Speicherbegrenzung kann sich ergeben, dass sich Verantwortliche nicht mehr auf eine Einwilligung berufen können, wenn sie diese über längere Zeit nicht genutzt haben und die betroffenen Personen mit einer Verarbeitung nicht mehr rechnen müssen (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung; Datenschutz-Grundverordnung, Artikel 5 Absatz 1 Buchstabe e). Konkret empfehlen die Aufsichtsbehörden, bei länger als zwei Jahren ungenutzten Einwilligungen vorsorglich die Information oder auch die Einwilligung selbst zu erneuern (Datenschutzkonferenz, Orientierungshilfe zur Direktwerbung).
- Adressen ohne Bestätigung: nach kurzer Frist löschen, ohne weitere Aussendung.
- Adressen mit Widerspruch: aus dem Verteiler entfernen, den Nachweis der früheren Einwilligung getrennt aufbewahren.
- Adressen ohne Öffnung oder Klick über lange Zeit: gezielt ansprechen und bei ausbleibender Reaktion aus dem Verteiler nehmen.
- Ungenutzte Einwilligungen nach etwa zwei Jahren: Information erneuern oder die Einwilligung neu einholen.
- Verteiler bei einem Systemwechsel: Protokolle mit übernehmen, sonst geht der Nachweis beim Umzug verloren.
Der Aufwand dafür bleibt gering, wenn er zur Routine gehört. Ein fester Termin pro Quartal genügt: Zahlen ansehen, inaktive Adressen aussortieren, Einwilligungstexte gegen die aktuelle Praxis prüfen. Wer die Website-Pflege ohnehin als feste Routine organisiert, hängt den Verteiler einfach an dieselbe Liste. Der Nebeneffekt ist wirtschaftlich: Kleinere, aktive Verteiler erzielen bessere Zustellraten, weil Anbieter von Postfächern das Empfängerverhalten auswerten. Eine Liste ohne Reaktionen schadet der Zustellbarkeit der gesamten Absenderdomain.
Anmeldungen ohne fremde Skripte entgegennehmen
Viele Anmeldeformulare werden als fertiger Baustein eingebunden: ein Skript von einem fremden Anbieter, ein eingebettetes Formular in einem Rahmen, ein Fenster aus einer externen Quelle. Damit wandert die Anmeldung technisch aus der eigenen Seite heraus. Die Folgen sind aus dem Umgang mit eingebetteten Karten, Videos und Schriften bekannt: Beim Aufruf der Seite werden Verbindungen zu Dritten aufgebaut, IP-Adressen übertragen und je nach Ausgestaltung Informationen im Endgerät gespeichert. Für eine Seite, die statisch ausgeliefert wird und ansonsten ohne Drittinhalte auskommt, ist das ein vermeidbarer Bruch.
Der schlankere Weg funktioniert auch bei statischer Auslieferung: Das Formular ist Bestandteil der ausgelieferten Seite, das Absenden geht an einen Endpunkt auf derselben Domain, und die Verarbeitung passiert dort. Es wird kein fremdes Skript geladen, keine Verbindung zu einem Drittanbieter aufgebaut und kein Cookie gesetzt, das über die technische Notwendigkeit hinausgeht. Nebenbei bleibt die Seite dadurch schnell, weil vor der Darstellung kein zusätzliches JavaScript geladen werden muss.
Eigene Domain
Formular und Endpunkt liegen unter derselben Domain. Allein durch den Aufruf der Seite entstehen keine Verbindungen zu Dritten.
Protokoll im eigenen Haus
Zeitpunkt, Einwilligungstext, Bestätigung und Herkunft werden dort gespeichert, wo auch die übrigen Anfragen liegen, und bleiben exportierbar.
Ohne Zusatzskripte
Kein eingebettetes Fremdformular, kein zusätzliches Tracking. Was der Spam-Schutz braucht, läuft serverseitig und ohne Profilbildung.
Ein häufiges Missverständnis betrifft die Einwilligung im Consent-Banner. Ein Anmeldeformular, das keine Informationen im Endgerät speichert und keine Drittinhalte lädt, benötigt dafür keine gesonderte Einwilligung; die Einwilligung in den Newsletter ist etwas anderes als die Einwilligung in Speicherzugriffe auf dem Endgerät. Wie beide zusammenspielen, ist unter DSGVO und Consent auf der Website beschrieben. Sobald ein Dienstleister die Adressen im Auftrag verarbeitet, kommt ein Vertrag zur Auftragsverarbeitung hinzu; die Anforderungen daran sind unter Auftragsverarbeitung mit Website-Dienstleistern zusammengefasst.
Anmeldung, Nachweis und Rechtstexte mit XICflow
In XICflow entsteht das Anmeldeformular als Baustein der Seite und nicht als eingebundenes Fremdelement. Die Absendung läuft über einen Endpunkt auf der eigenen Domain der Website, die Auslieferung bleibt statisch und damit schnell. Der Einwilligungstext ist dabei nicht nur Beschriftung: Er wird zusammen mit der Anmeldung gespeichert, sodass später nachvollziehbar bleibt, welchem Wortlaut zugestimmt wurde und wann das geschehen ist.
- Anmeldeformular mit einem Pflichtfeld, freiwilligen Zusatzfeldern und einer leeren, aktiv zu setzenden Checkbox.
- Speicherung von Einwilligungstext, Zeitpunkt, Herkunftsseite und Bestätigung, exportierbar für den Fall einer Nachfrage.
- Bestätigungsmail ohne werbliche Inhalte, versendet über die eigene Domain der Website.
- Automatische Verlinkung auf Datenschutzerklärung und Impressum, in jeder Sprachversion der Seite.
- Abmeldeweg über einen Link, der ohne Kundenkonto und ohne erneute Eingabe der Adresse funktioniert.
- Statische Auslieferung ohne eingebettete Fremdformulare, damit die Seite ohne Zusatzskripte auskommt.
Wie das im fertigen Zustand aussieht, lässt sich an den Beispiel-Websites nachvollziehen: Anmeldeblock, Rechtstexte und Kontaktwege stammen aus derselben Datenbasis und weichen deshalb nicht voneinander ab. Welche Bausteine dahinterstehen und wie Formulare, Rechtstexte und Auslieferung zusammenhängen, ist in der Produktübersicht beschrieben. Bestehende Verteiler lassen sich übernehmen, sobald für die enthaltenen Adressen ein Nachweis vorliegt; für alles Übrige ist eine erneute, protokollierte Anmeldung der ehrlichere Weg.
Quellen und Studien