Einen Newsletter startest du rechtssicher mit einer ausdrücklichen Einwilligung per Double-Opt-in, einer lückenlosen Protokollierung und einem Abmeldelink in jeder Mail. Erst wenn Anmeldung, Nachweis und Versandtool stehen, lohnt es sich, über Inhalte, Betreffzeilen und die erste Kampagne nachzudenken.
Werbung per E-Mail ist nach § 7 Abs. 2 UWG ohne vorherige ausdrückliche Einwilligung unzulässig. Die Datenschutzkonferenz (DSK) hält für elektronische Einwilligungen das Double-Opt-in-Verfahren für geboten und verlangt, dass du die Einwilligung samt Wortlaut nachweisen kannst. Für Bestandskunden gibt es eine enge Ausnahme in § 7 Abs. 3 UWG. Öffnungs- und Klicktracking braucht eine eigene Einwilligung. Mit dem 5-Schritte-Newsletter-Start gehst du die Punkte der Reihe nach durch.
Brauchst du für einen Newsletter immer eine Einwilligung?
Ja, im Regelfall. § 7 Abs. 2 Nr. 2 UWG stuft Werbung mit elektronischer Post ohne vorherige ausdrückliche Einwilligung des Empfängers als unzumutbare Belästigung ein. Das gilt für Privatpersonen und Geschäftskunden gleichermaßen, unabhängig davon, wie klein dein Verteiler ist.
Datenschutzrechtlich stützt sich der Versand dann auf Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung muss freiwillig, für den konkreten Fall, informiert und unmissverständlich sein (Art. 4 Nr. 11 DSGVO). Laut DSK-Orientierungshilfe zur Direktwerbung (Februar 2022) ist sie nur informiert, wenn die Werbeart, die beworbenen Produkte und das werbende Unternehmen genannt werden. Ein Feld „Newsletter abonnieren“ ohne jede Angabe, worum es geht, reicht also nicht.
Wann darfst du Bestandskunden ohne Einwilligung anschreiben?
Nur unter den vier Bedingungen von § 7 Abs. 3 UWG: Adresse aus einem Verkauf, Werbung nur für eigene ähnliche Produkte, kein Widerspruch des Kunden und ein klarer Hinweis auf das Widerspruchsrecht bei der Erhebung und in jeder Mail.
| Situation | Rechtsgrundlage | Was du brauchst |
|---|---|---|
| Neuer Interessent meldet sich über das Formular an | § 7 Abs. 2 Nr. 2 UWG, Art. 6 Abs. 1 lit. a DSGVO | Ausdrückliche Einwilligung, Double-Opt-in, Protokoll |
| Kunde hat im Shop gekauft, Werbung für ähnliche Produkte | § 7 Abs. 3 UWG | Widerspruchshinweis bei der Bestellung und in jeder Mail |
| Kunde soll Werbung für andere Sortimente erhalten | § 7 Abs. 2 Nr. 2 UWG | Einwilligung wie bei Neuinteressenten |
| Adresse aus Visitenkarte, Messe oder gekaufter Liste | § 7 Abs. 2 Nr. 2 UWG | Nachweisbare Einwilligung; ohne sie kein Versand |
| Öffnungs- und Klickmessung | § 25 TDDDG, Art. 6 DSGVO | Gesonderte Einwilligung, auch bei Bestandskunden |
Quellen: § 7 UWG (gesetze-im-internet.de), DSK-Orientierungshilfe Direktwerbung (Februar 2022), Stand der Recherche: November 2026.
Die DSK betont, dass du nachweisen können musst, dass es sich tatsächlich um einen Bestandskunden handelt, und dass der Werbezweck schon bei der Erhebung transparent war. Im Bestellprozess gehört deshalb ein gut sichtbarer Hinweis auf die Werbung für ähnliche Produkte und auf das Widerspruchsrecht hin. Wie das in den übrigen Ablauf deines Shops passt, beschreibt Online-Shop starten.
Wie funktioniert ein Double-Opt-in, das vor Gericht hält?
Die Person trägt ihre Adresse ein, bekommt eine Bestätigungsmail ohne Werbung und klickt dort einen Link. Erst danach landet sie auf der Versandliste. Du speicherst Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung und den genauen Einwilligungstext.
Die DSK schreibt in ihrer Orientierungshilfe, die Einwilligung müsse „vollständig nachweisbar sein, auch hinsichtlich ihres Wortlauts“. Das bloße Speichern einer IP-Adresse genüge nicht. Der Bundesgerichtshof hat schon 2011 (Az. I ZR 164/09) klargestellt, dass die Beweislast für die Einwilligung beim Werbenden liegt; eine Bestätigung per E-Mail trägt nach dem Urteil für E-Mail-Werbung, nicht aber für Werbeanrufe. Wer seinen Verteiler auch für Telefonmarketing nutzen will, braucht dafür einen eigenen Nachweis.
In der Bestätigungsmail selbst sollte keine Werbung stehen, also kein Gutschein, kein Produktbild und kein Hinweis auf Angebote. Halte sie kurz: wer du bist, wofür die Adresse eingetragen wurde, der Bestätigungslink und der Hinweis, dass ohne Klick nichts passiert. Mehr zum Begriff findest du im Glossar unter Double-Opt-in.
Exportiere einmal testweise den Datensatz einer eigenen Testanmeldung aus deinem Versandtool. Stehen dort Anmeldezeit, Bestätigungszeit, Formular und Einwilligungstext? Wenn das Tool nur „Status: aktiv“ zeigt, fehlt dir im Streitfall der Nachweis. Ändert sich dein Einwilligungstext später, archiviere die alte Fassung mit Datum, damit du für jede Adresse belegen kannst, welchem Wortlaut sie zugestimmt hat.
Was gehört ins Anmeldeformular und in jede Mail?
Ins Formular gehören ein Pflichtfeld für die E-Mail-Adresse, ein klarer Einwilligungstext mit Inhalt und Häufigkeit des Newsletters, ein Link zur Datenschutzerklärung und der Hinweis auf den jederzeit möglichen Widerruf. In jede Mail gehören Absender, Impressumsangaben und ein Abmeldelink.
Weitere Felder wie Vorname oder Geburtstag sollten freiwillig bleiben; das folgt aus dem Grundsatz der Datenminimierung in Art. 5 Abs. 1 lit. c DSGVO. Ein Gewinnspiel oder Rabatt nur gegen Newsletter-Anmeldung prüft die DSK am Maßstab der Freiwilligkeit: Wird etwas Nicht-Erforderliches an eine Einwilligung gekoppelt, fehlt nach Art. 7 Abs. 4 DSGVO regelmäßig die Freiwilligkeit. Die DSK stellt außerdem klar, dass eine Pflichtabfrage des Abmeldegrunds nicht zulässig ist und die Abmeldung möglichst mit einem Klick funktionieren sollte.
Verstöße gegen die DSGVO können nach Art. 83 Abs. 5 mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, unerwünschte Werbung zusätzlich Abmahnungen nach dem UWG auslösen. Gekaufte Adresslisten ohne nachweisbare Einwilligung solltest du deshalb nicht anschreiben. Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung; lass Einwilligungstext und Datenschutzerklärung im Zweifel von einer Fachanwältin oder einem Fachanwalt prüfen.
Darfst du Öffnungen und Klicks messen?
Nur mit Einwilligung. Zählpixel und personalisierte Klicklinks lesen Informationen auf dem Gerät des Empfängers aus. Das fällt nach verbreiteter Auffassung unter § 25 Abs. 1 TDDDG, und die Auswertung je Empfänger ist Profilbildung, für die du nach DSGVO eine Rechtsgrundlage brauchst.
In der Praxis nimmst du das Tracking ausdrücklich in den Einwilligungstext auf, etwa „Ich willige ein, dass … Öffnungen und Klicks auswertet“, und erklärst es in der Datenschutzerklärung. Für Bestandskunden, die du nach § 7 Abs. 3 UWG anschreibst, reicht der Widerspruchshinweis für die Werbung, aber nicht für die Messung. Dort schaltest du personenbezogenes Tracking ab oder holst die Zustimmung gesondert ein.
Ohnehin sind Öffnungsraten nur eingeschränkt aussagekräftig. Apples Mail-Datenschutz (Mail Privacy Protection) lädt entfernte Inhalte laut Apple-Support im Hintergrund, sobald eine Nachricht eingeht, und verbirgt die IP-Adresse. Eine Mail kann dann als „geöffnet“ zählen, obwohl niemand sie gelesen hat. Klicks, Antworten und Käufe sind verlässlichere Kennzahlen.
Welches Versandtool und welche Technik brauchst du?
Ein Tool, das Double-Opt-in, Protokollierung, Abmeldelink und einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mitbringt. Dazu kommen authentifizierte Absenderdomains, denn große Postfachanbieter wie Gmail filtern schlecht konfigurierte Massenmails konsequent aus. Ohne diese Grundlagen landet selbst ein sauber angemeldeter Newsletter schnell im Spamordner.
Google verlangt seit dem 1. Februar 2024 von allen Absendern an Gmail-Konten SPF oder DKIM. Wer mehr als 5.000 Nachrichten pro Tag an Gmail-Konten schickt, braucht zusätzlich DMARC, eine Abmeldung mit einem Klick und eine in den Postmaster Tools gemessene Spamrate unter 0,3 Prozent; empfohlen sind unter 0,1 Prozent. Für Abonnements empfiehlt Google ausdrücklich eine doppelte Bestätigung der Adresse und die Umsetzung von Abmeldungen innerhalb von 48 Stunden. Wie du die DNS-Einträge prüfst, steht in E-Mails landen im Spam: SPF, DKIM und DMARC prüfen; die Begriffe erklären die Glossareinträge SPF, DKIM und DMARC.
Bei Anbietern mit Sitz in den USA stützt sich die Übermittlung meist auf das EU-US Data Privacy Framework. Die EU-Kommission hat den Angemessenheitsbeschluss am 10. Juli 2023 erlassen, das Gericht der EU hat eine Nichtigkeitsklage dagegen am 3. September 2025 abgewiesen (Az. T-553/23). Dagegen ist ein Rechtsmittel beim EuGH anhängig (Rs. C-703/25 P), das Verfahren ist also nicht abgeschlossen. Wer dieses Risiko meiden will, wählt einen Anbieter mit Sitz und Servern in der EU; Hinweise zur Anbieterwahl gibt der Beitrag E-Mail-Anbieter mit Sitz in Europa 2026: Alternativen zu Gmail und Outlook im Vergleich.
Wie planst du die erste Kampagne mit dem 5-Schritte-Newsletter-Start?
Erst die Rechtsgrundlage, dann die Technik, dann der Inhalt. Der 5-Schritte-Newsletter-Start bündelt die Punkte dieses Beitrags in eine feste Reihenfolge, damit keine Mail rausgeht, bevor Nachweis, Abmeldung und Absenderauthentifizierung funktionieren. So vermeidest du, dass ein einzelner Fehler gleich den ganzen Verteiler betrifft.
- Versprechen festlegen: Thema, Nutzen und Rhythmus in einem Satz formulieren, zum Beispiel „Einmal im Monat neue Produkte und Pflegetipps“. Genau dieser Satz kommt in den Einwilligungstext.
- Anmeldung bauen: Formular mit E-Mail als einzigem Pflichtfeld, Einwilligungstext inklusive Tracking, Link zur Datenschutzerklärung, werbefreie Bestätigungsmail.
- Nachweis testen: Selbst anmelden, bestätigen, Datensatz exportieren und prüfen, ob Zeitpunkte und Wortlaut gespeichert sind. Danach Abmeldung testen.
- Absender absichern: SPF, DKIM und DMARC für die Versanddomain einrichten, Impressum und Reply-to-Adresse in die Vorlage aufnehmen.
- Erste Mail senden: Willkommensmail mit dem versprochenen Nutzen, ein klares Ziel pro Mail, ein Link als Hauptaktion. Danach Klicks und Abmeldungen auswerten statt Öffnungsraten.
In der Willkommensmail wiederholst du das Versprechen, zeigst ein Beispiel für typische Inhalte und sagst, wann die nächste Ausgabe kommt. Wer einen Shop betreibt, kalkuliert das Versandtool als laufende Position mit ein; eine Übersicht der übrigen Posten findest du unter Was kostet ein Online-Shop im laufenden Betrieb?
💬 Meine Einschätzung
Verbreitet ist die Annahme, mit dem Double-Opt-in sei das Thema erledigt, weil der Klick auf den Bestätigungslink alles beweise. Das greift zu kurz. Die DSK verlangt, dass du den Wortlaut der Einwilligung nachweisen kannst, und hält die bloße IP-Adresse ausdrücklich für unzureichend. Der Bundesgerichtshof hat 2011 zudem gezeigt, dass die Bestätigungsmail nur für den Kanal trägt, für den sie eingeholt wurde. Entscheidend ist also nicht der Klick allein, sondern ein Protokoll, das du im Streitfall vorlegen kannst.
- E-Mail-Werbung braucht nach § 7 Abs. 2 UWG eine vorherige ausdrückliche Einwilligung.
- Die DSK hält Double-Opt-in für geboten und verlangt den Nachweis samt Wortlaut.
- Bestandskunden darfst du nur unter den vier Bedingungen von § 7 Abs. 3 UWG anschreiben.
- Öffnungs- und Klicktracking braucht eine eigene Einwilligung.
- Ab 5.000 Mails täglich an Gmail verlangt Google DMARC, Ein-Klick-Abmeldung und eine Spamrate unter 0,3 Prozent.
Wie der Newsletter in deine übrige Website-Planung passt, zeigt der Leitfaden Website erstellen für Selbstständige.
Häufige Fragen zum DSGVO-konformen Newsletter
Reicht eine Checkbox ohne Double-Opt-in?
Riskant. Ohne Bestätigung kann jemand eine fremde Adresse eintragen, und du kannst nicht belegen, dass der Inhaber selbst zugestimmt hat. Die DSK hält das Double-Opt-in für elektronische Einwilligungen deshalb für geboten. Die Checkbox darf außerdem nicht vorangekreuzt sein.
Darf ich bestehende Kontakte aus meinem Adressbuch importieren?
Nur, wenn du für jede Adresse eine nachweisbare Einwilligung hast oder die Bedingungen von § 7 Abs. 3 UWG erfüllt sind. Eine Mail mit der Frage, ob jemand den Newsletter möchte, ist selbst schon Werbung und ohne Einwilligung nicht erlaubt.
Muss im Newsletter ein Impressum stehen?
Der Absender darf nach § 7 Abs. 2 Nr. 3 UWG nicht verschleiert werden, und für Werbemails gelten die Transparenzpflichten des Digitale-Dienste-Gesetzes. Üblich ist ein vollständiger Impressumsblock oder ein direkter Link darauf im Footer jeder Mail.
Wie lange darf ich Adressen nach der Abmeldung speichern?
Die Adresse selbst nimmst du sofort aus dem Versand. Den Nachweis der früheren Einwilligung und eine Sperrliste darfst du in der Regel aufbewahren, um Vorwürfe abwehren und erneuten Versand verhindern zu können. Lege die Dauer in deiner Datenschutzerklärung fest und lass sie im Zweifel prüfen.
Quellen
Die Angaben stammen aus Gesetzestexten, Behörden- und Gerichtsdokumenten sowie offiziellen Anbieterseiten, Stand der Recherche: November 2026.
- § 7 UWG Unzumutbare Belästigungen · gesetze-im-internet.de · Einwilligungspflicht für E-Mail-Werbung, Pflichtangaben, Bestandskundenausnahme (abgerufen November 2026).
- Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung · datenschutzkonferenz-online.de · Double-Opt-in, Nachweis des Wortlauts, Kopplung, Abmeldung, Bestandskunden (Februar 2022).
- BGH, Urteil vom 10.02.2011, I ZR 164/09 (Double-opt-in-Verfahren) · dejure.org · Beweislast und Reichweite der Bestätigungsmail (10.02.2011).
- Email sender guidelines · support.google.com · Anforderungen an alle Absender und an Absender ab 5.000 Mails pro Tag, Spamraten-Schwellen (abgerufen November 2026).
- Email subscription guidelines for senders · support.google.com · Doppelte Bestätigung, Ein-Klick-Abmeldung, Umsetzung binnen 48 Stunden (abgerufen November 2026).
- Newsletter-Tracking: Anleitung für rechtssichere Messung von Öffnungs- und Klickraten · datenschutz-generator.de · Einwilligung nach § 25 TDDDG und DSGVO für Tracking (06.08.2025).
- Use Mail Privacy Protection on Mac · support.apple.com · Hintergrundladen entfernter Inhalte, Verbergen der IP-Adresse (abgerufen November 2026).
- EuG bestätigt Wirksamkeit des EU-US Data Privacy Framework · heuking.de · Urteil T-553/23 vom 03.09.2025, Angemessenheitsbeschluss vom 10.07.2023 (03.09.2025).
- Rechtsmittel Philippe Latombe gegen das Urteil T-553/23, Rs. C-703/25 P · eur-lex.europa.eu · Veröffentlichung des Rechtsmittels im Amtsblatt (C/2025/6610, 2025).