Newsletter-Marketing und DSGVO: rechtssicher starten

Die kurze Antwort vorweg: Ein DSGVO-konformer Newsletter steht auf drei Säulen: einer nachweisbaren Einwilligung über das Double-Opt-in-Verfahren, Pflichtangaben in jeder Mail (Impressum, Abmeldelink) und einer sauberen Dokumentation, wer wann womit eingewilligt hat. Wer ohne Einwilligung wirbt, riskiert Abmahnungen und Bußgelder. Mit dem richtigen Ablauf ist das aber gut beherrschbar.

E-Mail-Marketing gehört zu den wirtschaftlichsten Kanälen überhaupt, weil du Menschen erreichst, die schon Interesse gezeigt haben. Im DACH-Raum lag die durchschnittliche Öffnungsrate 2025 bei rund 24 Prozent (Inxmail E-Mail-Marketing-Benchmark 2026). Der Haken: In Deutschland ist Newsletter-Versand ohne korrekte Einwilligung schnell rechtswidrig. Hier kommt die Praxis-Anleitung.

Hinweis: Dieser Beitrag erklärt die Grundlagen praxisnah und ersetzt keine Rechtsberatung. Für den konkreten Einzelfall solltest du eine anwaltliche oder datenschutzrechtliche Prüfung einholen.

Die Rechtsgrundlage: ohne Einwilligung kein Newsletter

Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung gilt nach § 7 Abs. 2 des Gesetzes gegen den unlauteren Wettbewerb grundsätzlich als unzumutbare Belästigung (§ 7 UWG). Datenschutzrechtlich brauchst du zusätzlich eine Rechtsgrundlage; im Regelfall ist das die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Eine wirksame Einwilligung muss laut DSGVO mehrere Bedingungen erfüllen: Sie ist freiwillig, informiert, für den konkreten Zweck bestimmt und unmissverständlich. Außerdem muss sie sich jederzeit so einfach widerrufen lassen, wie sie erteilt wurde. Eine bereits angekreuzte Checkbox erfüllt das nicht, weil die Zustimmung dann nicht aktiv erfolgt.

Das Double-Opt-in-Verfahren

Das Double-Opt-in ist nicht wortwörtlich im Gesetz vorgeschrieben, gilt aber als der etablierte Standard, um die Einwilligung im Streitfall nachweisen zu können. So läuft es ab:

1. Anmeldung. Jemand trägt seine Adresse in dein Formular ein.
2. Bestätigungsmail. Er bekommt eine Mail mit einem Bestätigungslink. Wichtig: Diese Mail darf noch keine Werbung enthalten, sonst ist sie selbst ein Verstoß.
3. Bestätigung. Erst mit Klick auf den Link ist die Anmeldung gültig, und du darfst Newsletter senden.

Dieser Zwischenschritt schützt davor, dass jemand fremde Adressen einträgt, und liefert dir den Nachweis, dass die Einwilligung echt war.

Pflichtangaben in jeder Mail

Jeder Newsletter braucht zwei Dinge zwingend:

• Ein vollständiges Impressum, wie auf deiner Website.
• Einen funktionierenden Abmeldelink in jeder einzelnen Mail. Der Widerruf muss so einfach sein wie die Anmeldung, also ein Klick, keine Hürdenstrecke.

Beim Anmeldeformular gehört außerdem ein klarer Datenschutzhinweis dazu, der erklärt, wofür die Adresse genutzt wird. Eine technisch sauber gebaute Website nimmt dir bei Consent und Datenschutzhinweisen viel Arbeit ab; mehr dazu unter Web & Technik.

Dokumentation: die Nachweispflicht

Die DSGVO verlangt, dass du eine Einwilligung nachweisen kannst (Art. 5 Abs. 2 und Art. 7 Abs. 1). Praktisch heißt das: Dein Newsletter-Tool sollte protokollieren, wann sich jemand angemeldet hat, was genau er bestätigt hat und dass das Double-Opt-in durchlaufen wurde. Gängige Tools übernehmen das automatisch. Wirf trotzdem einmal einen Blick darauf, ob diese Daten bei dir tatsächlich gespeichert werden, denn im Zweifel musst du sie vorlegen können.

Newsletter-Tools und der AVV

Die meisten Betriebe versenden über einen Dienstleister wie Brevo, CleverReach oder Mailchimp. Sobald ein solcher Anbieter personenbezogene Daten für dich verarbeitet, brauchst du in der Regel einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Den stellen die Anbieter meist bereit; du musst ihn nur abschließen. Bei Anbietern mit Servern außerhalb der EU kommt das Thema Drittlandtransfer hinzu, weshalb viele KMU einen Dienst mit EU-Serverstandort bevorzugen.

Was nicht erlaubt ist

Ein paar Dinge führen zuverlässig in Schwierigkeiten:

• Gekaufte oder gemietete Adresslisten. Für diese Adressen liegt dir keine Einwilligung vor, Punkt.
• Vorausgefüllte Opt-in-Häkchen. Zustimmung muss aktiv erfolgen.
• Werbung in der Bestätigungsmail. Die Double-Opt-in-Mail bleibt werbefrei.
• Einwilligung an ein Gewinnspiel koppeln, ohne sie klar zu trennen.
• Tracking-Pixel ohne separate Einwilligung, etwa um Öffnungen zu messen.

Warum das ernst zu nehmen ist, zeigt der Bußgeldrahmen: Bei Verstößen gegen die Einwilligung sieht Art. 83 DSGVO Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor (Art. 83 DSGVO). Für einen kleinen Betrieb wird es selten so hoch, aber schon eine Abmahnung kostet Geld und Nerven.

Die Ausnahme für Bestandskunden

Es gibt eine eng gefasste Ausnahme: § 7 Abs. 3 UWG erlaubt unter bestimmten Bedingungen Werbung an Bestandskunden auch ohne separate Einwilligung. Die Voraussetzungen müssen allerdings alle gleichzeitig erfüllt sein: Du hast die Adresse beim Verkauf einer eigenen Ware oder Leistung erhalten, du bewirbst nur ähnliche eigene Angebote, der Kunde hat beim Erhalt und in jeder Mail eine einfache Widerspruchsmöglichkeit, und er hat nicht widersprochen. Der Europäische Gerichtshof hat diese enge Linie im November 2025 bestätigt (Rechtssache C-654/23, juristische Einordnung). Das ist keine Lockerung, sondern eine enge Ausnahme. Wer sich darauf stützen will, sollte das anwaltlich prüfen lassen.

Deine Checkliste zum Abhaken

1. Anmeldeformular mit aktiver Zustimmung und Datenschutzhinweis.
2. Double-Opt-in aktiviert, Bestätigungsmail ohne Werbung.
3. Impressum und Abmeldelink in jeder Mail.
4. Einwilligungen werden vom Tool dokumentiert.
5. AVV mit dem Newsletter-Anbieter abgeschlossen.
6. Keine gekauften Listen, keine vorausgefüllten Häkchen.

Wenn diese sechs Punkte stehen, hast du die wichtigsten Grundlagen abgedeckt.

Häufige Fragen

Brauche ich für jeden Newsletter eine Einwilligung?

Im Regelfall ja, über das Double-Opt-in. Eine Ausnahme gilt nur unter den engen Bedingungen der Bestandskundenregelung, die alle gleichzeitig erfüllt sein müssen.

Reicht ein einfaches Opt-in nicht aus?

Technisch versenden könntest du auch so, aber dir fehlt dann der saubere Nachweis, dass die Einwilligung echt war. Das Double-Opt-in gilt als sicherste Methode und ist gängige Praxis.

Darf ich meine bestehenden Kundenkontakte einfach anschreiben?

Nur unter den Voraussetzungen der Bestandskundenausnahme, und auch dann mit Widerspruchsmöglichkeit. Bestehende Adressen ohne Einwilligung pauschal zu bewerben ist riskant.

Was passiert bei einem Verstoß?

Möglich sind Abmahnungen durch Wettbewerber oder Verbände sowie Bußgelder der Datenschutzbehörden. Schon eine Abmahnung verursacht Kosten, deshalb lohnt sich der saubere Aufbau von Anfang an.

Fazit

Newsletter-Marketing und DSGVO schließen sich nicht aus, im Gegenteil: Wer die Einwilligung sauber über das Double-Opt-in einholt, die Pflichtangaben einbaut und alles dokumentiert, hat einen der stärksten Marketingkanäle rechtssicher in der Hand. Der Newsletter ist dabei ein Baustein im größeren Online-Marketing für kleine Unternehmen und ergänzt sich gut mit gutem Content-Marketing. Wenn du den Aufbau für deinen Betrieb in Bremen, Verden oder Umgebung sauber angehen willst, schau dir unsere Online-Marketing-Leistungen an oder schreib uns kurz. Das erste Gespräch kostet nichts.