Newsletter nach DSGVO: Einwilligung und Double-Opt-in richtig umsetzen
Bei Newslettern greifen Datenschutzrecht und Wettbewerbsrecht ineinander. Entscheidend sind eine konkrete Einwilligung oder eine eng begrenzte Bestandskundenausnahme, ein belastbarer Anmeldenachweis, transparente Informationen, eine einfache Abmeldung und ein datensparsamer Versand ohne ungeprüftes Tracking. Newsletter nach DSGVO erfordern eine belastbare Rechtsgrundlage, einen sauberen Nachweis und eine einfache Abmeldung. Ein Newsletter nach DSGVO braucht eine wirksame Einwilligung und ein sauber dokumentiertes Double-Opt-in.
Für einen E-Mail-Newsletter ist grundsätzlich eine vorherige, konkrete und nachweisbare Einwilligung erforderlich. Das Double-Opt-in-Verfahren ist der geeignete Standard, um die Anmeldung einer E-Mail-Adresse zu bestätigen und den Ablauf zu dokumentieren. Newsletter nach DSGVO: Einwilligung und Double-Opt-in richtig umsetzen erfordert einen nachweisbaren Anmeldeprozess und eine einfache Abmeldung.
Ohne Einwilligung kommt bei Unternehmen nur die enge Bestandskundenausnahme nach § 7 Abs. 3 UWG in Betracht. Alle vier gesetzlichen Voraussetzungen müssen gleichzeitig erfüllt sein.
Ein Abmeldelink muss einfach erreichbar sein. Personenbezogenes Öffnungs- oder Klicktracking ist nicht von der bloßen Newsletter-Einwilligung umfasst und sollte ohne gesonderte Einwilligung deaktiviert bleiben.
Einordnung
Welche Daten werden beim Newsletter verarbeitet?
Bereits die E-Mail-Adresse ist regelmäßig ein personenbezogenes Datum. Je nach Gestaltung kommen Name, Anrede, Themenauswahl, Anmeldedatum, Bestätigungszeitpunkt, technische Nachweise, Abmeldestatus und Nutzungsdaten hinzu.
Newsletter enthalten häufig Werbung im rechtlichen Sinn. Darunter können nicht nur Angebote fallen, sondern auch Kundenbefragungen, Veranstaltungshinweise, Spendenaufrufe, Mitgliederwerbung oder Maßnahmen zur Förderung eigener Leistungen.
Deshalb müssen zwei Ebenen gemeinsam geprüft werden: Die DSGVO regelt die Verarbeitung personenbezogener Daten. § 7 UWG bestimmt zusätzlich, wann Werbung über elektronische Post zulässig ist.
Eine datenschutzrechtliche Rechtsgrundlage allein macht eine Werbe-E-Mail nicht automatisch wettbewerbsrechtlich zulässig. Umgekehrt ersetzt die Bestandskundenausnahme des UWG nicht die Pflichten aus der DSGVO.
Rechtsrahmen
Wird der Versand auf eine Einwilligung gestützt, sind insbesondere Art. 4 Nr. 11, Art. 6 Abs. 1 Buchst. a und Art. 7 DSGVO maßgeblich. Die Zustimmung muss freiwillig, informiert, bestimmt, unmissverständlich und nachweisbar sein.
Art. 13 DSGVO verlangt, dass die betroffene Person bereits bei der Anmeldung über die Verarbeitung informiert wird. Werden externe Versanddienste eingesetzt, sind außerdem Art. 28 DSGVO, technische und organisatorische Maßnahmen sowie mögliche Drittlandübermittlungen zu prüfen.
Für Werbe-E-Mails ist § 7 UWG zentral. Ohne vorherige ausdrückliche Einwilligung ist elektronische Werbung grundsätzlich unzulässig, soweit nicht die engen Voraussetzungen für Bestandskunden erfüllt sind.
Werden Zählpixel oder vergleichbare Technologien eingesetzt, kommt zusätzlich § 25 TDDDG in Betracht. Eine allgemeine Einwilligung in den Newsletterbezug umfasst solche Zugriffe nicht automatisch.
Bayerische öffentliche Stellen
Was sagt der BayLfD?
Der BayLfD behandelt den Newsletter-Versand bayerischer öffentlicher Stellen in einer eigenen Kurz-Information. Danach erfordert der Versand grundsätzlich eine wirksame, insbesondere freiwillige Einwilligung.
Zum Nachweis empfiehlt der BayLfD das Double-Opt-in-Verfahren. Erst nach der Bestätigung wird die E-Mail-Adresse in den Verteiler aufgenommen. Dadurch soll verhindert werden, dass Dritte fremde Adressen anmelden.
Die Einwilligung für den Newsletter umfasst nach dem BayLfD keine E-Mail-Zählpixel oder ähnlichen Trackingtechnologien mit Zugriff auf das Endgerät. Dafür ist eine gesonderte Einwilligung erforderlich.
Außerdem müssen öffentliche Stellen die Verarbeitung in ihr Verzeichnis von Verarbeitungstätigkeiten aufnehmen, die Informationen nach Art. 13 DSGVO bereitstellen und einen Widerruf ermöglichen, der so einfach ist wie die Anmeldung.
Als datensparsame Alternative nennt der BayLfD einen RSS-Feed. Er ermöglicht den Bezug aktueller Inhalte, ohne dass die öffentliche Stelle eine personenbezogene Verteilerliste führen muss.
Bayerische Unternehmen
Das BayLDA unterscheidet klar zwischen Neukundenwerbung und der engen Ausnahme für Bestandskunden. Bei neuen Kontakten ist eine vorher ausdrücklich erklärte Einwilligung grundsätzlich auch im B2B-Bereich erforderlich.
Pauschale Formulierungen wie „Werbung“ oder „Marketingzwecke“ reichen nicht aus. Erkennbar sein müssen insbesondere die Werbeform, die beworbenen Produkte oder Dienstleistungen und die werbenden Stellen.
Für elektronische Anmeldungen bezeichnet das BayLDA Double-Opt-in als geeignetes Verfahren. Die Rückfrage-E-Mail sollte abgesehen von der Bestätigungsaufforderung werbefrei bleiben. Zudem sind die einzelnen Verfahrensschritte möglichst genau zu dokumentieren.
Das BayLDA weist außerdem darauf hin, dass Werbewidersprüche organisatorisch zuverlässig umgesetzt werden müssen. Hierfür kann eine interne Werbesperrdatei notwendig sein.
Anmeldung
Der Text muss vor der aktiven Auswahl deutlich machen, wer den Newsletter versendet, welche Inhalte zu erwarten sind und über welchen Kommunikationskanal die Ansprache erfolgt.
Eine gute Einwilligung enthält mindestens:
- den Verantwortlichen beziehungsweise die konkret werbende Stelle,
- die Art und den thematischen Umfang des Newsletters,
- den Versand per E-Mail,
- einen klaren Hinweis auf den jederzeitigen Widerruf,
- einen gut erreichbaren Link zu den Datenschutzhinweisen.
Die Auswahl muss freiwillig und aktiv erfolgen. Vorangekreuzte Kästchen, ein Newsletterzwang beim Vertragsabschluss oder eine versteckte Zustimmung in allgemeinen Geschäftsbedingungen genügen nicht.
Werden mehrere thematisch unterschiedliche Newsletter angeboten, sollten diese getrennt auswählbar sein. Das erleichtert später auch die gezielte Änderung oder Abmeldung.
Nachweis
Die interessierte Person trägt ihre E-Mail-Adresse ein und stimmt dem konkret beschriebenen Newsletter aktiv zu.
Das System sendet eine einzelne Rückfrage mit Bestätigungslink. Sie sollte keinen Newsletter und keine darüber hinausgehende Werbung enthalten.
Erst der Klick auf den eindeutigen Link bestätigt, dass auf das angegebene Postfach zugegriffen werden kann.
Vor der Bestätigung darf die Adresse nicht regulär für Newsletter oder andere Werbenachrichten genutzt werden.
Gespeichert werden Einwilligungstext, Version, Anmeldung, Bestätigung und die erforderlichen technischen Nachweise.
Eine IP-Adresse allein beweist keine wirksame Einwilligung. Der Verantwortliche muss den gesamten Prozess und vor allem den Inhalt der damals abgegebenen Erklärung nachvollziehbar belegen können.
Nicht bestätigte Anmeldungen dürfen nicht unbegrenzt gespeichert werden. Dafür sollte eine kurze, festgelegte Löschfrist im System hinterlegt sein.
Art. 13 DSGVO
Welche Datenschutzhinweise sind bei der Anmeldung nötig?
Die Informationen müssen vor der Einwilligung erreichbar sein. Ein gut sichtbarer Link direkt am Formular kann genügen, wenn die Hinweise ohne Medienbruch und ohne unnötige Suche aufrufbar sind.
Zu erläutern sind insbesondere Verantwortlicher, Zweck, Rechtsgrundlage, Empfänger, eingesetzter Dienstleister, mögliche Drittlandübermittlungen, Speicherdauer, Widerruf, Betroffenenrechte und Beschwerdemöglichkeit.
Werden Öffnungen, Klicks oder Interessenprofile ausgewertet, muss dies gesondert und deutlich beschrieben werden. Die allgemeine Formulierung „Optimierung unseres Newsletters“ reicht für personenbezogenes Tracking nicht aus.
Pflichtfeld sollte regelmäßig nur die E-Mail-Adresse sein. Name, Anrede oder Interessen dürfen nur verlangt werden, wenn dafür ein nachvollziehbarer Zweck besteht. Freiwillige Angaben müssen als solche erkennbar sein.
§ 7 Abs. 3 UWG
Die Ausnahme greift nur, wenn alle vier gesetzlichen Voraussetzungen gleichzeitig erfüllt sind:
Die E-Mail-Adresse wurde im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten.
Die Adresse wird ausschließlich für eigene ähnliche Waren oder Dienstleistungen verwendet.
Der Kunde hat der werblichen Nutzung nicht widersprochen.
Bereits bei Erhebung und bei jeder Verwendung wird klar auf die jederzeitige kostenfreie Widerspruchsmöglichkeit hingewiesen.
Eine bloße Anfrage, der Download eines Dokuments, ein Messekontakt oder ein nicht zustande gekommener Vertrag erfüllen die Ausnahme nicht automatisch. Ebenso wenig erlaubt ein früherer Kauf Werbung für beliebige fremde oder völlig andere Angebote.
Datenschutzrechtlich ist zusätzlich eine Rechtsgrundlage zu bestimmen und über die Werbenutzung zu informieren. Bei einem Widerspruch muss die Ansprache sofort beendet werden.
Für Behörden ist Art. 6 Abs. 1 Buchst. f DSGVO bei der Erfüllung ihrer Aufgaben nicht anwendbar. Der BayLfD geht deshalb bei kommunalen Newslettern grundsätzlich von einer Einwilligung aus.
Zählpixel und Links
Viele Versandwerkzeuge aktivieren Öffnungs- und Klicktracking standardmäßig. Ein Zählpixel kann erkennen lassen, ob, wann und mit welchem Gerät eine Nachricht geöffnet wurde. Personalisierte Links können das Verhalten einzelnen Abonnenten zuordnen.
Die Einwilligung in den Newsletter-Versand umfasst solche Auswertungen nicht automatisch. Der BayLfD verlangt für E-Mail-Zählpixel oder vergleichbare Endgerätezugriffe eine gesonderte Einwilligung. Auch die Datenschutzkonferenz hat Ende 2025 bekräftigt, dass Trackingpixel in Werbe-E-Mails eine Einwilligung benötigen.
Ohne separate, freiwillige Zustimmung sollte personenbezogenes Öffnungs- und Klicktracking deshalb deaktiviert bleiben. Eine rein aggregierte Erfolgsmessung ohne individuelle Zuordnung ist davon zu unterscheiden, muss technisch aber tatsächlich entsprechend umgesetzt sein.
Auch mit Einwilligung bleiben Datenminimierung, Zweckbindung, Transparenz und angemessene Speicherfristen maßgeblich. Detaillierte Verhaltens- oder Interessenprofile sind deutlich eingriffsintensiver als eine einfache Versandstatistik.
Praktischer Standard für kleine Unternehmen und Kommunen: Newsletter ohne personenbezogenes Tracking versenden, sofern die Auswertung nicht wirklich benötigt und gesondert rechtskonform umgesetzt wird.
Widerruf und Widerspruch
Jeder Newsletter sollte einen gut sichtbaren und unmittelbar nutzbaren Abmeldelink enthalten. Ein Login, ein schriftlicher Brief oder eine lange Suche nach einer Kontaktadresse dürfen nicht verlangt werden.
Der BayLfD hält bei einer Anmeldung in zwei Schritten höchstens einen ebenfalls zweistufigen Widerruf für angemessen. In der Praxis ist eine direkte Ein-Klick-Abmeldung häufig noch nutzerfreundlicher.
Nach Abmeldung darf kein weiterer Newsletter versandt werden. Das gilt unabhängig davon, ob die Erklärung rechtlich als Widerruf einer Einwilligung oder als Werbewiderspruch zu behandeln ist.
Eine minimale Sperrdatei kann erforderlich sein, um eine erneute Aufnahme durch spätere Datenimporte zu verhindern. Sie darf nur die notwendigen Angaben enthalten, muss vor anderen Nutzungen geschützt werden und benötigt eine eigene Rechtsgrundlage.
Die Abmeldung muss systemübergreifend wirken. Ein Austrag aus dem Newslettertool hilft nicht, wenn dieselbe Adresse aus CRM, Veranstaltungslisten oder anderen Verteilerquellen erneut importiert wird.
Speicherung
Aktive Abonnentendaten dürfen grundsätzlich so lange verarbeitet werden, wie die Einwilligung besteht und der Newsletter tatsächlich angeboten wird. Eine allgemeine starre Laufzeit gibt es nicht.
Nach einem Widerruf sind die für den laufenden Versand verwendeten Daten zu löschen, sofern keine andere Rechtsgrundlage besteht. Davon zu unterscheiden sind ein begrenzter Einwilligungsnachweis und ein minimaler Sperrvermerk.
Die DSK hält eine weitere Aufbewahrung des Einwilligungsnachweises innerhalb einschlägiger zivil- und ordnungswidrigkeitenrechtlicher Verjährungsfristen für möglich. Zweck, Umfang und Löschfrist müssen bereits in den Datenschutzhinweisen erklärt werden.
Unbestätigte Anmeldungen, technische Protokolle, Versandberichte und personenbezogene Trackingdaten benötigen jeweils eigene Löschfristen. Ein Newslettertool sollte diese Daten nicht standardmäßig unbegrenzt aufbewahren.
Versandsoftware
Verarbeitet der Anbieter E-Mail-Adressen und Versanddaten weisungsgebunden, liegt regelmäßig eine Auftragsverarbeitung vor. Dann ist ein Vertrag nach Art. 28 DSGVO erforderlich.
Vor dem Einsatz sollten insbesondere folgende Punkte geprüft werden:
- Serverstandorte und mögliche Drittlandübermittlungen,
- Unterauftragnehmer und deren Aufgaben,
- technische und organisatorische Maßnahmen,
- Double-Opt-in- und Nachweisfunktionen,
- deaktivierbares Öffnungs- und Klicktracking,
- Löschung, Export und Sperrlisten,
- Unterstützung bei Betroffenenrechten und Datenschutzvorfällen.
Ein fertiger AV-Vertrag oder die Werbeaussage „DSGVO-konform“ genügt nicht. Entscheidend ist, ob das Werkzeug in der konkreten Konfiguration rechtskonform eingesetzt werden kann.
Kommunale Praxis
Welche Besonderheiten gelten für Kommunen?
Kommunen versenden Newsletter beispielsweise zu Veranstaltungen, Kultur, Tourismus, Wirtschaftsförderung, Jugendangeboten oder Bürgerinformationen. Auch sachliche Inhalte können dabei personenbezogene Verteiler und Einwilligungen erfordern.
E-Mail-Adressen aus Anträgen, Gewerbekontakten, Vereinsförderung, Beteiligungsverfahren oder früheren Veranstaltungen dürfen nicht ohne Weiteres für einen Newsletter übernommen werden. Zweckbindung und Freiwilligkeit müssen gewahrt bleiben.
Der kommunale Prozess sollte mindestens Anmeldung, Double-Opt-in, Art.-13-Hinweise, Verzeichnis von Verarbeitungstätigkeiten, einfache Abmeldung, Löschfristen und Dienstleisterprüfung abdecken.
Ein RSS-Feed oder eine reine Veröffentlichung auf der Website kann datensparsamer sein, wenn keine persönliche Zustellung erforderlich ist.
Praxisfehler
Typische Fehler beim Newsletter-Versand
Kunden-, Vereins-, Veranstaltungs- oder Gewerbekontakte werden ohne passende Rechtsgrundlage übernommen.
Inhalt, werbende Stelle und Kommunikationskanal bleiben unklar.
Es wird nur die IP-Adresse gespeichert, nicht aber der vollständige Ablauf und Wortlaut der Einwilligung.
Die Kontroll-E-Mail enthält bereits Angebote, obwohl die Adresse noch nicht bestätigt wurde.
Eine frühere Anfrage oder irgendein Kauf wird als Freigabe für sämtliche Newsletter behandelt.
Zählpixel und personenbezogene Klickprofile laufen ohne gesonderte Einwilligung.
Die Adresse wird später aus einem anderen System erneut in den Verteiler importiert.
Anmeldungen, Protokolle und Nutzungsdaten haben keine getrennten Löschfristen.
Prüfpunkte
Checkliste für Newsletter nach DSGVO
Ist geklärt, ob der Inhalt rechtlich als Werbung einzuordnen ist?
Liegt eine konkrete, freiwillige und aktive Einwilligung vor?
Sind Absender, Themen und Versandkanal im Einwilligungstext genannt?
Werden unterschiedliche Newsletter getrennt auswählbar angeboten?
Ist Double-Opt-in technisch vollständig eingerichtet?
Bleibt die Bestätigungs-E-Mail frei von zusätzlicher Werbung?
Sind Wortlaut, Version, Anmeldung und Bestätigung nachweisbar?
Werden unbestätigte Anmeldungen nach kurzer festgelegter Frist gelöscht?
Sind die Hinweise nach Art. 13 DSGVO direkt am Formular erreichbar?
Werden bei Bestandskunden alle vier Voraussetzungen des § 7 Abs. 3 UWG erfüllt?
Sind personenbezogene Öffnungs- und Klickauswertungen deaktiviert oder gesondert eingewilligt?
Enthält jede Nachricht einen einfachen Abmeldelink?
Wirken Abmeldung und Werbesperre auch gegenüber CRM und späteren Importen?
Sind Newsletterdienst, AV-Vertrag, Unterauftragnehmer und Drittlandtransfers geprüft?
Bestehen getrennte Löschfristen für aktive Abonnenten, Nachweise, unbestätigte Anmeldungen und Trackingdaten?
Häufige Fragen
FAQ zu Newsletter und DSGVO
Braucht jeder Newsletter eine Einwilligung?
Grundsätzlich ja. Bei Unternehmen kann ausnahmsweise die Bestandskundenausnahme des § 7 Abs. 3 UWG greifen, wenn sämtliche Voraussetzungen erfüllt sind. Bayerische Behörden benötigen nach der Linie des BayLfD regelmäßig eine Einwilligung.
Ist Double-Opt-in gesetzlich ausdrücklich vorgeschrieben?
Der Begriff steht nicht als allgemeine Pflicht im Gesetz. Verantwortliche müssen die Einwilligung jedoch nachweisen. Datenschutzaufsichtsbehörden betrachten Double-Opt-in bei elektronischen Newsletter-Anmeldungen als das geeignete beziehungsweise gebotene Verfahren.
Darf die Double-Opt-in-E-Mail Werbung enthalten?
Sie sollte ausschließlich der Bestätigung dienen. Zusätzliche Angebote oder ein regulärer Newsletter sind problematisch, weil die E-Mail-Adresse zu diesem Zeitpunkt noch nicht bestätigt wurde.
Darf ich Bestandskunden automatisch in einen Newsletter aufnehmen?
Nur wenn alle Voraussetzungen des § 7 Abs. 3 UWG erfüllt sind. Eine frühere Anfrage oder irgendeine Geschäftsbeziehung reicht nicht. Insbesondere sind eigene ähnliche Leistungen und Hinweise auf das Widerspruchsrecht erforderlich.
Braucht Newsletter-Tracking eine eigene Einwilligung?
Personenbezogene Zählpixel und vergleichbare Trackingtechnologien sind nicht von der bloßen Einwilligung in den Versand umfasst. Dafür ist grundsätzlich eine gesonderte Einwilligung erforderlich.
Muss jeder Newsletter einen Abmeldelink enthalten?
Eine einfache Widerrufs- oder Widerspruchsmöglichkeit ist erforderlich. Ein direkt nutzbarer Abmeldelink in jeder Nachricht ist dafür der übliche und geeignete Weg.
Darf die E-Mail-Adresse nach der Abmeldung gespeichert bleiben?
Die Adresse darf nicht im aktiven Verteiler verbleiben. Ein minimaler Sperrvermerk oder ein begrenzter Einwilligungsnachweis kann jedoch auf einer anderen Rechtsgrundlage erforderlich sein, um erneute Werbung zu verhindern oder die frühere Einwilligung nachzuweisen.
Ergebnis
Ein rechtskonformer Newsletter beginnt nicht erst beim Versand. Entscheidend sind ein konkreter Einwilligungstext, vollständiges Double-Opt-in, transparente Hinweise und eine technisch zuverlässige Abmeldung.
Die Bestandskundenausnahme darf nur eingesetzt werden, wenn jede Voraussetzung nachweisbar erfüllt ist. Trackingpixel und personenbezogene Klickprofile benötigen eine gesonderte Bewertung und grundsätzlich eine eigene Einwilligung.
Ebenso wichtig sind ein geeigneter Versanddienst, getrennte Löschfristen und eine Sperrlogik, die verhindert, dass abgemeldete Adressen später versehentlich erneut angeschrieben werden.
Weiterlesen
Nachweise
Einwilligungstext, Double-Opt-in, Bestandskunden, Abmeldung, Sperrlisten, Tracking und Versanddienst müssen zusammenpassen. Eine Prüfung zeigt, an welcher Stelle rechtliche oder technische Lücken bestehen.
Newsletter prüfen lassen