Newsletter DSGVO: der rechtssichere Praxisleitfaden

Sie befinden sich: Home > News Archiv > Webmaster > Newsletter DSGVO: de...

Eine einzige Werbemail ohne Einwilligung reicht für eine Abmahnung. Wer den Newsletter DSGVO-konform aufsetzt, hat das Risiko in einer Sitzung erledigt. Double-Opt-In, Anbieterwahl, Tracking und Pflichtangaben im Überblick.

Eine einzige Werbemail an eine Adresse ohne Einwilligung reicht für eine Abmahnung. Streitwerte zwischen 1.000 und 6.000 Euro sind dabei üblich, Anwaltskosten von 150 bis über 1.000 Euro kommen obendrauf. Wer seinen Newsletter DSGVO-konform aufsetzt, nimmt sich dieses Risiko in einer Nachmittagssitzung vom Tisch. Der Aufwand liegt fast vollständig am Anfang.

UWG und DSGVO: ohne Einwilligung keine Werbemail

Das Gesetz gegen den unlauteren Wettbewerb erklärt in § 7 Abs. 2 Nr. 2 UWG jede Werbung per E-Mail, die ohne vorherige ausdrückliche Einwilligung versandt wird, zur unzumutbaren Belästigung. Das gilt für Verbraucher und für Unternehmen gleichermaßen, ein B2B-Bonus existiert nicht.

Entscheidend ist, wie weit der Werbebegriff reicht. Er umfasst jede Äußerung, die den Absatz fördern soll. Darunter fallen Dinge, die sich für die Absender nicht nach Werbung anfühlen: Kundenzufriedenheitsumfragen, Bitten um eine Bewertung, Produktempfehlungen bis hinunter zur E-Mail-Signatur, Gutscheine, Imagewerbung. Der BGH hat am 10. Juli 2018 sogar eine Zufriedenheitsbefragung, die einer Rechnungsmail beigefügt war, als Werbung eingestuft (VI ZR 225/17).

Wer seinen Newsletter DSGVO-konform betreiben will, braucht also zwei Dinge nebeneinander: die wettbewerbsrechtliche Einwilligung nach UWG und eine Rechtsgrundlage für die Datenverarbeitung nach der Datenschutz-Grundverordnung. Beim laufenden Betrieb des Newsletters ist Letztere die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Das Double-Opt-In-Verfahren macht die Einwilligung nachweisbar

Vorgeschrieben ist das Double-Opt-In-Verfahren nirgends. Unverzichtbar ist es trotzdem, weil die Beweislast beim Versender liegt (Art. 7 Abs. 1 DSGVO, dazu BGH I ZR 81/01). Wer nicht belegen kann, dass jemand zugestimmt hat, hat im Streitfall verloren.

Der Ablauf hat drei Schritte. Der Nutzer trägt seine Adresse ins Formular ein. Er bekommt eine Bestätigungsmail mit einem Link. Erst nach dem Klick landet er im Verteiler. Der BGH hat das Verfahren am 10. Februar 2011 ausdrücklich anerkannt (I ZR 164/09), allerdings nur für E-Mail-Werbung. Für Telefonwerbung taugt es als Nachweis nicht.

Ein Detail wird regelmäßig übersehen: Die Bestätigungsmail muss werbefrei sein. Kein Angebot, kein Rabattcode, kein „Übrigens, unsere neue Kollektion“. Der BGH hat das am 15. Dezember 2015 festgehalten (VI ZR 134/15), das OLG München sah 2012 schon in einer recht harmlosen Bestätigungsmail potenziell unzulässige Werbung.

Für jeden Abonnenten protokollieren müssen Sie vier Angaben, und zwar so, dass Sie sie jederzeit ausdrucken können: Zeitpunkt der Anmeldung, IP-Adresse, den genauen Einwilligungstext in der damals gültigen Fassung, Zeitpunkt der Bestätigung. Ändern Sie später den Text auf der Website, bleibt die alte Fassung für die alten Anmeldungen maßgeblich. Genau daran scheitern die meisten Verteiler im Ernstfall, und genau das trennt einen Newsletter DSGVO-konform von einem, der nur so aussieht.

Bestandskunden: Direktwerbung ohne Einwilligung

§ 7 Abs. 3 UWG erlaubt Werbung ohne Einwilligung, aber nur wenn alle vier Bedingungen zugleich erfüllt sind.

Bedingung	Worauf es ankommt
Adresse beim Verkauf erhoben	Eine bloße Registrierung reicht nicht, es braucht einen Kaufabschluss
Werbung nur für eigene ähnliche Produkte	Wird eng ausgelegt, siehe unten
Kunde hat nicht widersprochen	Widersprüche zuverlässig dokumentieren
Hinweis auf das Widerspruchsrecht	Bei der Erhebung und in jeder einzelnen Mail

„Ähnlich“ ist der Punkt, an dem es kippt. Wer einen Drucker gekauft hat, darf Tintenpatronen beworben bekommen. Ein allgemeiner Newsletter über das gesamte Sortiment sprengt die Grenze bereits. Die pauschale Aufnahme aller Bestandskunden in den Hauptverteiler ist von der Ausnahme praktisch nie gedeckt.

Am 13. November 2025 hat der EuGH entschieden, dass bei erfüllten Voraussetzungen des Art. 13 Abs. 2 ePrivacy-Richtlinie die Rechtmäßigkeitsprüfung nach Art. 6 DSGVO nicht zusätzlich greift (C-654/23). Geklagt hatte ein rumänisches Medienhaus, das seinen Tagesnewsletter an Inhaber kostenloser Konten schickte. In der Fachpresse wurde daraus stellenweise eine Revolution gemacht. Das ist sie nicht: Wer sauber nach § 7 Abs. 3 UWG geworben hat, durfte das vorher schon, und die vier Bedingungen sind unverändert eng. Das Urteil nimmt eine Diskussion aus dem Weg, es öffnet keine Tür.

Das DSGVO-konforme Anmeldeformular und die Informationspflichten

Hier entscheidet sich, ob der Verteiler später trägt. Eine DSGVO-konforme Anmeldung steht auf sechs Punkten:

• Von allen Daten ist nur die E-Mail-Adresse Pflichtfeld. E-Mail-Adressen sind das Einzige, was Sie für den Versand wirklich brauchen. Name, Anrede, Firma dürfen abgefragt werden, aber freiwillig.
• Die Checkbox ist nicht vorausgewählt. Der EuGH hat das am 1. Oktober 2019 in der Sache Planet49 entschieden (C-673/17). Es braucht eine aktive Handlung.
• Einwilligungstext, Checkbox und Button gehören zusammen, nicht über die Seite verteilt.
• Kein Kopplungszwang. Art. 7 Abs. 4 DSGVO verbietet es, eine unabhängige Leistung an die Newsletter-Anmeldung zu binden.
• Link zur Datenschutzerklärung und Hinweis auf den Widerruf, der so einfach möglich sein muss wie die Zustimmung (Art. 7 Abs. 3 DSGVO).
• Inhalt und Frequenz benennen. Wer „etwa zweimal im Monat“ verspricht, sollte sich daran halten.

Ein Einwilligungstext, der diese Anforderungen abdeckt, kann so aussehen: „Ja, ich möchte den Newsletter der [Firma] mit Neuigkeiten und Angeboten zu [Themen] per E-Mail erhalten (etwa [X] mal pro Monat). Ich kann mich jederzeit über den Abmeldelink oder formlos abmelden. Hinweise zur Verarbeitung meiner Daten stehen in der [Datenschutzerklärung].“ Passen Sie ihn an Ihre Verhältnisse an, statt ihn zu kopieren.

Adressen gewinnen, ohne sich angreifbar zu machen

Anreize sind erlaubt. Eine Checkliste, ein Rabattcode, ein Whitepaper gegen die Anmeldung ist grundsätzlich in Ordnung. Kritisch wird es beim Kopplungsverbot, wenn eine davon unabhängige Leistung zwingend an den Newsletter geknüpft wird, klassisch beim Gewinnspiel. Zwei saubere Wege gibt es: eine getrennte, freiwillige Checkbox für den Newsletter, oder eine erkennbare Gestaltung nach dem Muster Leistung gegen Daten, bei der allen klar ist, dass der Newsletter die Gegenleistung ist. Ein Rabattcode für jeden Anmelder ist meist unproblematisch, weil weder ein Losverfahren noch eine echte Kopplung vorliegt.

Klar verboten oder zumindest riskant sind gekaufte und gemietete Listen mit E-Mail-Adressen, Adressen aus Impressen und von Visitenkarten, das stille Übernehmen von Kunden in den Verteiler und der Import alter Listen ohne Nachweis. Eine im Impressum veröffentlichte Adresse ist nach ständiger Rechtsprechung keine Einwilligung in Werbung.

Altbestände: das unbequeme Kapitel

Für einen über Jahre gewachsenen Verteiler ohne saubere Dokumentation gibt es keine bequeme Lösung, und an dieser Stelle widersprechen sich die Ratgeber offen.

Wer seinen Newsletter DSGVO-konform aufstellen will, kommt an dieser Frage nicht vorbei. Die Marketing-Seite empfiehlt eine Re-Permission-Kampagne: einmal alle anschreiben und um eine neue Bestätigung bitten. Die juristische Seite hält dagegen, dass genau diese Mail selbst schon Werbung ist und damit unzulässig, wenn kein Opt-In vorliegt. Auf den Punkt gebracht: Wer ein Opt-In nachweisen kann, braucht kein Re-Opt-In. Wer keines hat, verschickt mit der Re-Permission-Mail den Verstoß, den er heilen wollte.

Die vorsichtige Linie lautet deshalb: Adressen ohne belegbare Einwilligung sind rechtlich verbrannt und gehören gelöscht. Neue Einwilligungen holt man über Kanäle, die keine Werbemail brauchen, also über die Website, den Login-Bereich oder den Bestellprozess. Das tut weh, ist aber die einzige Variante, die im Streitfall hält. Bei einem größeren Bestand lohnt der Anruf bei einer Kanzlei mehr als jede Checkliste.

Newsletter-Tools: Deutschland, EU oder USA

Für kleine Listen im deutschsprachigen Raum sind Newsletter-Tools mit Servern in Deutschland oder der EU der kürzeste Weg zum Newsletter DSGVO-konform, weil die Drittlandfrage gar nicht erst entsteht.

Anbieter	Sitz	Einstieg	Für wen
rapidmail	Deutschland	Testversand bis 2.000 Empfänger, danach ab etwa 15 Euro/Monat	Einsteiger, Telefonsupport auf Deutsch
CleverReach	Deutschland	kostenlos bis 250 Kontakte, Basic ab 15 Euro/Monat	kleine Listen mit Wachstumsplan
Brevo	Frankreich, Server in der EU	gratis 300 Mails pro Tag, Starter ab etwa 7 Euro	wer Automation braucht
MailerLite	Litauen	gratis bis 1.000 Kontakte	englischsprachiger Support genügt
GetResponse	Polen	gratis bis 500 Kontakte	Mittelweg
Mailchimp	USA	Gratis-Stufe 2026 auf 250 Kontakte gekürzt	nur mit Prüfaufwand

Zu den US-Anbietern gehört die Vorgeschichte. Das Bayerische Landesamt für Datenschutzaufsicht erklärte am 15. März 2021 den Einsatz von Mailchimp in einem Einzelfall für unzulässig, und zwar nicht generell, sondern weil das Unternehmen nicht geprüft hatte, ob zu den Standardvertragsklauseln zusätzliche Maßnahmen nötig sind. Seit Juli 2023 gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, das Gericht der EU hat ihn am 3. September 2025 bestätigt (T-553/23), und seit dem 31. Oktober 2025 liegt das Rechtsmittel beim EuGH.

Nüchtern heißt das: US-Werkzeuge sind 2026 nutzbar, wenn der Anbieter im Framework zertifiziert ist, ein Auftragsverarbeitungsvertrag geschlossen wurde und Sie das Restrisiko dokumentiert haben. Sicher im Sinne von unangreifbar sind sie nicht. Wer diese Diskussion nicht führen will, nimmt einen EU-Anbieter und hat das Thema erledigt.

Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist übrigens keine Kür, sondern bei jedem externen Dienst Pflicht. Ohne diesen Vertrag ist der Newsletter-Versand nicht DSGVO-konform, egal wie sauber das Formular ist. Bei EU-Anbietern erledigt ihn meist ein Klick im Konto.

Selbst hosten in WordPress

Plugins wie MailPoet, Newsletter, FluentCRM oder Mailster halten alle Daten in der eigenen WordPress-Datenbank. Das bringt Datenhoheit und spart die Kosten pro Kontakt. Der Haken sitzt beim Versand: Was über den eigenen Webserver versandt wird, landet zuverlässig im Spam-Ordner.

Die Lösung ist ein externer Versanddienst per SMTP oder API, gekoppelt über ein Plugin wie FluentSMTP oder WP Mail SMTP. Infrage kommen Brevo, Postmark, Mailgun oder Amazon SES. SES ist mit 0,10 US-Dollar je 1.000 Mails konkurrenzlos günstig, hat für Neukonten seit dem 15. Juli 2025 aber kein dauerhaftes Gratiskontingent mehr, sondern nur noch ein Startguthaben. Warum Zustellbarkeit an SPF, DKIM und DMARC hängt, steht im Ratgeber zur E-Mail-Zustellbarkeit.

Pflichtangaben bei jedem Newsletter-Versand

• Anbieterkennzeichnung nach § 5 DDG, also im Ergebnis das Impressum.
• Funktionierender Abmeldelink. Einmal im Quartal selbst durchklicken, defekte Abmeldelinks sind ein Klassiker.
• Ehrliche Betreff- und Absenderzeile. Verschleiern ist nach § 6 Abs. 2 DDG eine Ordnungswidrigkeit und kann bis zu 50.000 Euro kosten.
• Erkennbarer Werbecharakter. Ein Newsletter, der sich als redaktionelle Nachricht tarnt, ist trotzdem Werbung.

Die Grundlagen zu Impressum und Datenschutzerklärung stehen im Ratgeber zur rechtssicheren Website.

Tracking im Newsletter: was Aufsichtsbehörde und DSK sagen

Hier entscheidet sich, ob ein Newsletter DSGVO-konform bleibt oder nicht. Öffnungsraten werden über ein Zählpixel gemessen, Klicks über individualisierte Links. Nach überwiegender Behördenauffassung ist beides einwilligungspflichtig, und zwar über § 25 Abs. 1 TDDDG, weil schon das Laden des Pixels ein Zugriff auf das Endgerät ist. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit formuliert, der Einsatz des Tracking-Pixels sei „regelmäßig nach § 25 TDDDG einwilligungsbedürftig“, und hält einen einwilligungsfreien Einsatz praktisch für ausgeschlossen.

Die Datenschutzkonferenz hat das Thema am 12. Dezember 2025 wegen zahlreicher Beschwerden aufgegriffen und angekündigt, sich 2026 dazu zu äußern. Wichtig zur Einordnung, weil die Berichterstattung darüber hinausschoss: Das war eine Ankündigung, kein Beschluss und keine Verschärfung. Überschriften wie „Das Ende der Spy-Pixel“ überzeichnen den Vorgang. Unverändert gilt aber, dass sich personalisiertes Tracking nach Behördensicht regelmäßig nicht auf berechtigtes Interesse stützen lässt.

Zwei Wege führen aus dem Problem: eine gesonderte Checkbox für das Tracking, oder der Verzicht auf personenbezogene Auswertung zugunsten aggregierter Zahlen. Was nicht geht, ist der Versand nur gegen Tracking-Einwilligung, das wäre wieder eine Kopplung.

Datenschutz nach der Abmeldung: Widerruf und Sperrliste

Bei einer Abmeldung wird die Adresse in aller Regel nicht vollständig gelöscht. Sie wandert auf eine Sperrliste, damit dieselbe Person nicht beim nächsten Import versehentlich wieder angeschrieben wird. Die eigentlichen Werbedaten fallen weg, der Eintrag auf der Sperrliste bleibt. Diese Datenverarbeitung stützt sich auf das berechtigte Interesse, niemanden versehentlich erneut anzuschreiben. Das ist kein Widerspruch zum Löschanspruch, sondern dessen technische Umsetzung.

Einwilligungsnachweise bewahren Sie so lange auf, wie Ansprüche drohen können. Tracking-Berichte unterliegen der Speicherbegrenzung und gehören turnusmäßig gelöscht. Auskunfts- und Löschanfragen sind binnen eines Monats zu beantworten, auch dann, wenn die Antwort lautet, dass keine Daten vorliegen.

Was Gmail und Yahoo verlangen

Neben der Frage, ob der Newsletter DSGVO-konform ist, steht die technische Hürde. Seit Februar 2024 stellen Google und Yahoo an Massenversender ab 5.000 Mails pro Tag drei Anforderungen: Authentifizierung über SPF und DKIM plus DMARC mindestens auf p=none, ein One-Click-Unsubscribe über den List-Unsubscribe-Header nach RFC 8058, und eine niedrige Spam-Beschwerderate. Google nennt in seinen Richtlinien eine Zielmarke unter 0,1 Prozent und eine Grenze, die niemals 0,3 Prozent erreichen soll. Gemessen wird täglich über die Postmaster Tools, Yahoo spiegelt die Schwelle. Google hat die Durchsetzung im November 2025 verschärft, Microsoft ist im Mai 2025 nachgezogen.

Wie Sie die drei Einträge setzen, steht Schritt für Schritt im Ratgeber zu SPF, DKIM und DMARC.

Kennzahlen, die nach Apple noch taugen

Bei Newslettern ist die Öffnungsrate als Leitgröße erledigt. Seit Apple im September 2021 die Mail Privacy Protection eingeführt hat, lädt Apple die Zählpixel selbst, und alle Mails erscheinen als geöffnet. Was bleibt, ist die Klickrate.

Kennzahl	Aussage	Benchmark DACH 2025
Öffnungsrate	durch Apple verzerrt	24,1 Prozent im Schnitt, B2C 24,7, B2B 22,8
Klickrate	verlässlichste Größe	3,3 Prozent
Effektive Klickrate	Passung von Betreff und Inhalt	14,8 Prozent, gefallen um 1,7 Punkte
Abmelderate	Warnsignal	manche Anbieter sperren ab 1 Prozent
Bounce-Rate	Listenqualität	Hard Bounces sofort entfernen

Die Zahlen stammen aus dem Inxmail-Benchmark vom 6. März 2026, ausgewertet wurden rund vier Milliarden E-Mails aus 342.400 Mailings von 1.022 Versendern. Es sind Anbieterdaten, und sie schwanken stark nach Branche, im Tourismus liegt die Öffnungsrate bei über 51 Prozent. Als Größenordnung taugen sie, als Zielvorgabe nicht.

Listenhygiene zahlt doppelt: Hard Bounces sofort entfernen, inaktive Empfänger nach einer Re-Engagement-Strecke bereinigen. Das hebt die Zustellbarkeit und drückt die Spam-Rate, an der bei Gmail alles hängt. Eine kleine, gepflegte Liste aus echten Abonnenten schlägt jeden großen Verteiler.

Checkliste: Newsletter DSGVO-konform starten

1. Ziel, Zielgruppe und Frequenz festlegen.
2. Newsletter-Tool wählen, für den einfachsten Weg eines aus Deutschland oder der EU.
3. Auftragsverarbeitungsvertrag abschließen.
4. Versanddomain einrichten, SPF, DKIM und DMARC setzen.
5. Anmeldeformular und Double-Opt-In aufsetzen, Bestätigungsmail werbefrei halten.
6. Datenschutzerklärung um den Abschnitt zum Betrieb des Newsletters ergänzen.
7. Willkommensstrecke einrichten.
8. Ersten Versand testen: mobile Ansicht, Abmeldelink, Impressum.

Damit steht der Newsletter DSGVO-konform. Vor jedem einzelnen Versand dann die kurze Runde: dokumentierte Einwilligung vorhanden, Impressum drin, Abmeldelink funktioniert, Betreff ehrlich, Werbecharakter erkennbar, Tracking nur mit Einwilligung.

Häufige Fragen zum Newsletter

Rund um Newsletter und DSGVO drehen sich die meisten Rückfragen um diese Punkte.

So stellen Sie Ihren Newsletter rechtssicher auf

Nehmen Sie sich zuerst Ihr bestehendes Anmeldeformular vor und prüfen Sie die drei Punkte, an denen es meistens klemmt: vorausgewählte Checkbox, Pflichtfelder über die E-Mail-Adresse hinaus, fehlender Link zur Datenschutzerklärung. Danach schicken Sie sich selbst eine Anmeldung und sehen nach, ob die Bestätigungsmail wirklich werbefrei ist und der Abmeldelink im nächsten Newsletter funktioniert. Beides zusammen dauert eine halbe Stunde und deckt den größten Teil des Abmahnrisikos ab. Wenn Sie danach Ihren Newsletter DSGVO-konform aufstellen wollen, arbeiten Sie jetzt die Checkliste zum Cookie-Banner gleich mit durch, denn beim Tracking greifen dieselben Regeln. Bei Altbeständen und bei US-Anbietern ist der Gang zur Kanzlei allerdings kein Zeichen von Übervorsicht, sondern der günstigere Weg.

Newsletter DSGVO Datenschutz Abmahnung

Webung: Hier bekommen Sie PHP fähigen Webspace der mit Ökostrom betrieben wird ab bereits 2 Euro/ Monat für ihre Homepage. Zusätzlich ist eine eigene Internetadresse mit enthalten.

Neusten News in der Kategorie "Webmaster"

• Mehrsprachige Website erstellen: WordPress, SEO, Kosten 76 Prozent der Online-Käufer wollen Produktinfos in ihrer Muttersprach...

• DNS-Einträge erklärt: von DNS über A-Record bis MX Eine falsche Signatur legte am 5. Mai 2026 das halbe deutsche Netz lah...

• Google Maps DSGVO: Karte einbinden oder besser ersetzen Eine Google-Karte auf der Kontaktseite lädt Daten von Google, bevor je...

• Online-Terminbuchung DSGVO-konform: Calendly und Co. 64 Prozent der Deutschen haben schon online einen Arzttermin gebucht. ...

• PHP Sicherheitslücke: Notfallupdate gegen PHP2Shell Zwei kritische Sicherheitslücken im PHP-Kern lassen Angreifer ohne Pas...

• Bilder rechtssicher verwenden: Abmahnungen vermeiden Fast jedes Foto im Netz ist geschützt, auch der Handy-Schnappschuss. W...

• Zahlungsarten im Onlineshop: Kosten, Recht, Auswahl Ohne PayPal und Kauf auf Rechnung fehlt über die Hälfte der gewohnten ...

• Google Analytics Alternative 2026: DSGVO-konform messen Rund 60 Prozent der Besucher lehnen die Einwilligung ab. Wer eine Goog...

• Domain rechtssicher registrieren: Fallen vermeiden Seit April 2026 prüft die DENIC die Daten von .de-Inhabern, falsche An...

• Onlineshop rechtssicher 2026: Widerrufsbutton, GPSR Wer seinen Onlineshop rechtssicher führen will, hat 2026 neue Baustell...