Newsletter Datenschutz: Pflichten 2026
Rechtsanwalt
Zuletzt aktualisiert
• 18 Min Lesezeit
Das Wichtigste in Kürze
- Wer braucht eine Einwilligung für den Newsletter-Versand?
- Newsletter-Versand an Kunden, Leads und Geschäftskontakte ist nach § 7 Abs. 2 Nr. 2 UWG grundsätzlich einwilligungsbedürftig, und Art. 7 Abs. 1 DSGVO verlangt zusätzlich den Nachweis dieser Einwilligung.
- Seit wann können Verbände DSGVO-Verstöße abmahnen?
- Seit dem BGH-Urteil vom 27. März 2025 (I ZR 186/17) können Verbraucherschutzverbände DSGVO-Verstöße bei Newsletter-Anmeldungen auch ohne individuelles Mandat abmahnen.
- Wie schützt ein Newsletter-Audit vor Abmahnungen?
- Ein vollständiger Audit aus Einwilligungstext, Double-Opt-In-Protokollierung, Tracking-Zustimmung und AVV ist die wichtigste Verteidigungslinie gegen Abmahnungen und Bußgelder.
Individuelle Prüfung
Jeder Fall ist speziell. Lassen Sie uns Ihren Sachverhalt unverbindlich prüfen.
Newsletter sind für viele Unternehmen der wichtigste direkte Kommunikationskanal zu Kund:innen, Leads und Mitgliedern. Gleichzeitig sind sie einer der abmahnträchtigsten Bereiche im digitalen Marketing. Wer eine einzige Werbe-E-Mail ohne belastbare Einwilligung versendet, riskiert Unterlassungsansprüche, Bußgelder der Aufsichtsbehörden und, seit dem BGH-Urteil vom März 2025, zusätzliche Klagen von Verbraucherschutzverbänden. Bei konkretem Handlungsbedarf vertieft unsere Beratung zu DSGVO Abmahnung die rechtliche Umsetzung.
Dieser Ratgeber beantwortet drei Fragen:
- Welche rechtlichen Anforderungen gelten 2026 in Deutschland für die Newsletter-Anmeldung und den Versand?
- Welche Pflichten haben Unternehmen beim Informieren, Dokumentieren und Verwalten der Einwilligung, inklusive Tracking und Drittlandtransfer?
- Welche aktuellen Urteile (BGH, EuGH, LG Berlin II) verändern die Praxis, und wie setzen Unternehmen die Anforderungen konkret um?
Was bedeutet Newsletter-Datenschutz für Unternehmen?
Abgrenzung: Werbe-Mail, Transaktionsmail und Service-Mail
- Transaktionsmail: Bestellbestätigung, Versandinformation, Passwort-Reset. Grundlage ist die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO; keine Einwilligung erforderlich, solange keine Werbung beigemischt wird.
- Service-Mail: Ablauf eines Vertrags, Sicherheitshinweis, Rechnungsinformation. Grundlage sind rechtliche Verpflichtungen oder berechtigte Interessen; keine werblichen Inhalte zulässig.
- Werbe-Mail (Newsletter): Jede E-Mail mit dem Ziel, den Absatz eigener oder fremder Produkte zu fördern, also Rabattaktionen, Produkt-Launches, Veranstaltungseinladungen oder Spendenaufrufe. Grundlage ist regelmäßig die Einwilligung, ausnahmsweise die Bestandskundenregelung nach § 7 Abs. 3 UWG.
Grundprinzip des Newsletter-Datenschutzes
Newsletter-Versand ist in Deutschland einwilligungsbedürftige Kommunikation. Das UWG setzt eine eigenständige Einwilligungshürde, die unabhängig und oft strenger als die DSGVO wirkt. Wer sich nur auf ein “berechtigtes Interesse” nach der DSGVO stützt, übersieht regelmäßig das UWG und macht damit den Versand insgesamt unzulässig.
Warum das Thema 2026 besonders kritisch ist
Drei Entwicklungen machen Newsletter-Datenschutz 2026 zu einem regulatorischen Hochdruckthema. Erstens hat der Bundesgerichtshof mit seinem Urteil vom 27.
Für die Praxis bedeutet das: Ratgeber aus den Jahren 2023 oder 2024 sind in wesentlichen Punkten überholt, und Einwilligungs- wie Anmeldeprozesse sollten jedes Jahr gegen die aktuelle Rechtsprechung geprüft werden.
Welche Einwilligung brauche ich für den Newsletter-Versand?
Nach Art. 4 Nr. 11 DSGVO ist eine Einwilligung jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutig bestätigenden Handlung.
Was eine wirksame Einwilligung ausmacht
Nach Art. 7 DSGVO muss der Verantwortliche die Einwilligung nachweisen können, sie in verständlicher und zugänglicher Form einholen, ihre jederzeitige Widerrufbarkeit sicherstellen und bei der Prüfung der Freiwilligkeit dem Umstand in größtmöglichem Umfang Rechnung tragen, ob die Erfüllung eines Vertrags von einer Einwilligung abhängig gemacht wird, die für die Erfüllung nicht erforderlich ist.
Die Rechtsprechung des Europäischen Gerichtshofs konkretisiert diese Anforderungen.
Grundsatzentscheidung zur aktiven Einwilligung
Der Europäische Gerichtshof hat in seinem Urteil vom 1. Oktober 2019 (Rs. C-673/17, Planet49) entschieden, dass eine durch voreingestellte Checkbox erteilte Zustimmung keine wirksame Einwilligung im Sinne der DSGVO darstellt.
Für Newsletter-Anmeldeformulare bedeutet das: Das Einwilligungsfeld darf nicht vorausgewählt sein, und der Akt der Anmeldung muss eine eindeutig bestätigende Handlung sein, nicht das bloße Ausfüllen eines anderen Formularfeldes.
Warum Double-Opt-In faktisch Pflicht ist
Der Bundesgerichtshof hat in seinem Urteil vom 14. März 2017 (Az. VI ZR 721/15) festgestellt, dass Generaleinwilligungen unwirksam sind und eine wirksame Einwilligung für Werbe-E-Mails spezifisch auf die konkrete Werbung bezogen sein muss.
Das Double-Opt-In-Verfahren löst dieses Problem: Nach dem Ausfüllen des Anmeldeformulars versendet das System eine Bestätigungs-E-Mail mit einem Aktivierungslink. Erst der Klick auf diesen Link aktiviert den Versand.
Ein Irrtum, der regelmäßig teuer wird, betrifft die Bestätigungsmail selbst.
Die Bestätigungsmail darf keine Werbung enthalten
Das Oberlandesgericht München hat in seinem Urteil vom 27. September 2012 (Az. 29 U 1682/12) entschieden, dass die Double-Opt-In-Bestätigungsmail selbst eine unzulässige Werbung darstellen kann, wenn zu diesem Zeitpunkt noch keine wirksame Einwilligung vorlag, und dass die Darlegungs- und Beweislast für die Einwilligung beim Versender liegt.
Die Bestätigungsmail muss deshalb rein transaktional formuliert sein: Aufforderung zur Bestätigung, Hinweis auf die Anmeldung, Aktivierungslink. Rabatte, Willkommensangebote oder werbliche Formulierungen sind tabu.
Soft-Opt-In: Die Bestandskundenausnahme im Detail
Nach § 7 Abs. 3 UWG ist eine E-Mail-Werbung ohne ausdrückliche Einwilligung zulässig, wenn erstens die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhoben wurde, zweitens die Werbung für eigene ähnliche Waren oder Dienstleistungen erfolgt, drittens der Kunde der Verwendung nicht widersprochen hat und viertens klar und deutlich auf das jederzeitige Widerspruchsrecht bei der Erhebung und in jeder Mail hingewiesen wurde.
Die Kriterien werden von Gerichten und Aufsichtsbehörden eng ausgelegt.
Neue Grenzen für kostenlose Nutzerkonten
Der Europäische Gerichtshof hat in seinem Urteil vom 13. November 2025 (Rs. C-654/23, Inteligo Media) klargestellt, dass eine E-Mail-Adresse, die im Rahmen einer kostenlosen Nutzerkonto-Registrierung erhoben wurde, als “im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung” im Sinne von Art. 13 Abs. 2 ePrivacy-Richtlinie gelten kann, sofern die Dienstleistung mittelbar über kostenpflichtige Premium-Angebote refinanziert wird.
Für SaaS- und Freemium-Anbieter bedeutet das eine vorsichtige Öffnung: Wer ein Gratis-Konto anbietet und daraus Leads für sein Bezahlangebot generiert, kann sich unter bestimmten Voraussetzungen auf die Bestandskundenausnahme berufen, allerdings weiterhin mit allen anderen Voraussetzungen (ähnliche Produkte, Widerspruchshinweis, Widerspruchsfreiheit). Der klassische Newsletter-Versand an Interessierte bleibt einwilligungspflichtig.
Sonderfall B2B: Derselbe Maßstab, andere Empfänger
Eine der hartnäckigsten Fehlvorstellungen im B2B-Marketing lautet: “An Geschäftskontakte darf ich ohne Einwilligung schreiben.” Diese Annahme ist falsch.
Strategisch klug im B2B ist deshalb ein zweistufiger Ansatz: Content-Marketing mit Opt-in-Formularen (Whitepaper, Webinare, Reports) generiert Leads, die aktiv in den Newsletter einwilligen.
Das Kopplungsverbot bei Lead-Magneten
Whitepaper, E-Books, Checklisten und Webinare sind klassische Lead-Magnete im B2B- und D2C-Marketing. Die Mechanik ist überall gleich: Interessierte geben ihre E-Mail-Adresse ein und erhalten im Gegenzug das Download-Objekt.
Nach Art. 7 Abs. 4 DSGVO ist bei der Beurteilung der Freiwilligkeit einer Einwilligung in größtmöglichem Umfang dem Umstand Rechnung zu tragen, ob die Erfüllung eines Vertrags, einschließlich der Erbringung einer Dienstleistung, von der Einwilligung zu einer Verarbeitung von personenbezogenen Daten abhängig gemacht wird, die für die Erfüllung des Vertrags nicht erforderlich ist.
Das OLG Jena hat entschieden (NJOZ 2011, 1165), dass eine voreingestellte Checkbox für den Newsletterbezug bei Eröffnung eines Kundenkontos keine ausdrückliche Einwilligung nach § 7 Abs. 2 Nr. 3 UWG darstellt und somit unzulässig ist, da es an einem separaten aktiven Einwilligungsakt fehlt.
Für Online-Shops und Plattformen folgt daraus: Die Registrierung und die Newsletter-Anmeldung müssen technisch und optisch trennbar sein.
Welche Pflichten gelten bei Versand und Dokumentation?
Eine wirksame Einwilligung allein reicht nicht.
Informationspflichten beim Anmeldeformular
Der Moment der Datenerhebung, also das Ausfüllen des Anmeldeformulars, ist der zentrale Transparenzpunkt. Hier muss der Verantwortliche proaktiv über die wesentlichen Parameter der Verarbeitung informieren.
Nach Art. 13 DSGVO muss der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung der Daten Informationen über seine Identität, die Kontaktdaten des Datenschutzbeauftragten, die Zwecke und Rechtsgrundlage der Verarbeitung, die Empfänger der Daten, eine geplante Übermittlung in Drittländer, die Speicherdauer, die Betroffenenrechte, das Bestehen eines Widerrufsrechts und die Beschwerdemöglichkeit bei einer Aufsichtsbehörde mitteilen.
In der Praxis werden diese Informationen selten vollständig neben dem Anmeldeformular platziert, sondern in der verlinkten Datenschutzerklärung gebündelt.
Die folgende Übersicht zeigt, was ein DSGVO-konformes Anmeldeformular mindestens umfassen muss:
| Element | Pflicht | Praxishinweis |
|---|---|---|
| E-Mail-Feld | Ja | Nur E-Mail als Pflichtfeld; weitere Felder (Name, Firma) nur optional und zweckbezogen |
| Aktive Einwilligungs-Checkbox | Ja | Nicht vorausgefüllt, spezifisch auf Newsletter bezogen |
| Kurzhinweis auf Inhalt und Frequenz | Ja | 'Etwa einmal pro Monat Produkt-News und Rabattaktionen' |
| Link zur Datenschutzerklärung | Ja | Unmittelbar neben der Checkbox; Informationen nach Art. 13 DSGVO leicht zugänglich bereitstellen |
| Hinweis auf Widerrufsrecht | Ja | 'Sie können jederzeit widerrufen, Link in jeder Mail' |
| Hinweis auf Tracking (falls eingesetzt) | Ja | Explizit benennen, welche Metriken erhoben werden |
| Hinweis auf Drittlandübermittlung | Bei US-Tools | 'Ihre Daten werden an einen Dienstleister in den USA übermittelt' |
| Double-Opt-In-Hinweis | Empfohlen | 'Sie erhalten gleich eine Bestätigungsmail zur Aktivierung' |
Wer das Formular schlank halten möchte, konzentriert die ausführlichen Informationen in der Datenschutzerklärung und beschränkt den Text neben der Checkbox auf die Kernelemente: Zweck, Widerrufsrecht, Link zur Datenschutzerklärung.
Pflichtangaben in jeder versendeten Newsletter-Mail
- Absenderkennzeichnung: Der Absender muss klar erkennbar sein; eine Verschleierung oder irreführende Absenderadresse ist nach § 6 DDG und § 7 UWG unzulässig.
- Impressum: Nach § 5 Digitale-Dienste-Gesetz (DDG) muss jede geschäftsmäßig versendete E-Mail die gleichen Pflichtangaben enthalten wie ein Website-Impressum, in der Regel über einen Link.
- Abmeldelink: Ein funktionierender, leicht auffindbarer Link zur sofortigen Abmeldung. Der Link darf nicht hinter einem Login versteckt sein und muss mit maximal zwei Klicks zur Austragung führen.
- Hinweis auf Widerspruchsrecht: Bei Bestandskundenversand nach § 7 Abs. 3 UWG ist der Widerspruchshinweis in jeder Mail Pflicht.
- Werbekennzeichnung: Werbliche Inhalte müssen als solche erkennbar sein; Schleichwerbung ist nach § 5a Abs. 4 UWG unlauter.
Nach Art. 21 Abs. 2 DSGVO hat die betroffene Person das Recht, jederzeit gegen die Verarbeitung ihrer personenbezogenen Daten zum Zwecke der Direktwerbung Widerspruch einzulegen, und nach Art. 21 Abs. 4 DSGVO muss spätestens bei der ersten Kommunikation ausdrücklich auf dieses Recht hingewiesen werden.
Besonders häufig verstoßen Unternehmen gegen die Vorgabe, dass Widerruf und Abmeldung so einfach sein müssen wie die Anmeldung.
Nach Art. 7 Abs. 3 DSGVO muss der Widerruf der Einwilligung so einfach wie deren Erteilung möglich sein, und die betroffene Person ist vor Abgabe der Einwilligung über diese Widerruflichkeit zu informieren.
Die Nachweispflicht: Was wirklich dokumentiert werden muss
Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass Unternehmen die Einhaltung der Datenschutzgrundsätze nicht nur sicherstellen, sondern auch beweisen können.
| Dokumentationselement | Funktion | Beispiel |
|---|---|---|
| Einwilligungstext im Wortlaut zum Anmeldezeitpunkt | Nachweis der Informiertheit | Gespeicherter HTML-Schnipsel oder Textversion |
| URL der Anmeldeseite | Nachweis des Kontexts | https://beispiel.de/newsletter |
| Zeitstempel der Anmeldung | Nachweis der Erteilung | 2026-03-15T14:32:11+01:00 |
| IP-Adresse und User Agent | Nachweis der Herkunft | IP gekürzt gespeichert, Browser-String |
| Double-Opt-In-Bestätigungs-URL und Zeitstempel | Nachweis der Verifikation | Klick auf Aktivierungslink, zweiter Zeitstempel |
| Versionierung der Datenschutzerklärung | Nachweis der Informationspflichten | Version 2026-01-15 verlinkt |
| Tracking-Einwilligung (falls vorhanden) | Getrennte Dokumentation | Separates Flag in der Datenbank |
Professionelle E-Mail-Marketing-Systeme speichern diese Informationen in Einwilligungs-Logs. Unternehmen sollten beim Anbieterwechsel darauf achten, dass diese Logs vollständig migriert werden, andernfalls droht bei Altkontakten ein faktischer Nachweisverlust und damit im Streitfall die Notwendigkeit einer Re-Opt-In-Kampagne.
Widerspruch, Abmeldung und Aufbewahrung
- Login-Zwang zum Abmelden: Der Abmeldelink führt auf eine Login-Seite statt direkt zur Austragung.
- Mehrstufiges Bestätigungsformular: Die Abmeldung erfordert Begründungen oder wiederholte Bestätigungen.
- Verzögerter Versandstopp: Nach Abmeldung werden noch geplante Kampagnen ausgespielt.
- Versteckter Abmeldelink: Der Link ist klein, grau auf grau oder nur im Quelltext auffindbar.
- Abmeldung ohne Wirkung auf Tochtergesellschaften: Kunden werden von verbundenen Marken weiter angeschrieben.
- Preference-Center statt Abmeldung: Der “Abmelden”-Button führt nur zu einer Frequenzreduktion.
- Rückgewinnungs-Mail nach Abmeldung: Das System versendet eine Rückfrage, ob der Nutzer wirklich abmelden möchte, die selbst werblichen Charakter trägt.
Wer eine dieser Fallen in seinem aktuellen Prozess findet, sollte unverzüglich nachbessern.
Tracking, Drittländer und aktuelle Rechtsprechung
Öffnungsraten und Klickraten sind die wichtigsten Performance-Kennzahlen im E-Mail-Marketing. Rechtlich sind sie gleichzeitig einer der am häufigsten unterschätzten Risikopunkte.
Newsletter-Tracking und die Einwilligungspflicht nach TDDDG
Öffnungstracking funktioniert technisch über einen unsichtbaren Pixel, der beim Laden der Mail vom Server des Versenders nachgeladen wird. Klicktracking leitet jeden Link im Newsletter über einen Tracker-Zwischenschritt, der den Klick registriert, bevor der Nutzer auf die Zielseite umgeleitet wird.
Nach § 25 Abs. 1 TDDDG ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat, wobei sich der Maßstab der Einwilligung nach Art. 4 Nr. 11 DSGVO richtet.
- Eine kombinierte Einwilligung, deren Text ausdrücklich den Hinweis auf Öffnungs- und Klickmessung enthält (“Ich willige ein, dass der Absender meine E-Mail-Adresse für den Versand des Newsletters verwendet und Öffnungs- und Klickstatistiken auswertet”).
- Eine separate zweite Checkbox ausschließlich für das Tracking, wobei der Newsletter auch ohne Tracking-Einwilligung versendet werden darf.
Der Europäische Datenschutzausschuss hat im Oktober 2024 in seinen Guidelines 2/2023 klargestellt, dass Tracking-Pixel, URL-Parameter-Tracking und vergleichbare Techniken vom Anwendungsbereich des Art. 5 Abs. 3 ePrivacy-Richtlinie erfasst sind, also der europarechtlichen Grundlage des § 25 TDDDG.
Versand über US-Dienstleister: DPF, SCCs und TIA
Viele der meistgenutzten E-Mail-Marketing-Plattformen haben ihren Hauptsitz in den USA oder betreiben dort zentrale Server.
Der Europäische Gerichtshof hat in seinem Urteil vom 16. Juli 2020 (Rs. C-311/18, Schrems II) den EU-US-Privacy-Shield für ungültig erklärt und zugleich entschieden, dass Standardvertragsklauseln zwar grundsätzlich gültig sind, der Datenexporteur aber im Einzelfall prüfen muss, ob im Empfängerland ein im Wesentlichen gleichwertiges Schutzniveau besteht und gegebenenfalls zusätzliche Schutzmaßnahmen erforderlich sind.
Seit Juli 2023 bietet das EU-US Data Privacy Framework (DPF) eine vereinfachte Grundlage, allerdings nur für Dienstleister, die unter dem DPF zertifiziert sind.
Die Europäische Kommission hat mit Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 festgestellt, dass die Vereinigten Staaten für Datenübermittlungen an nach dem EU-US Data Privacy Framework zertifizierte Organisationen ein angemessenes Schutzniveau gewährleisten.
Wer sich langfristig absichern möchte, prüft zusätzlich europäische Alternativen. Die folgende Gegenüberstellung zeigt die typischen Trade-Offs:
| Kriterium | Versand über US-Anbieter (DPF-zertifiziert) | Versand über EU-Anbieter |
|---|---|---|
| Rechtsgrundlage des Drittlandtransfers | Angemessenheitsbeschluss DPF + Zertifizierung | Kein Drittlandtransfer erforderlich |
| Dokumentationsaufwand | DPF-Zertifikat + Datenschutzerklärung | Standardmäßiger AVV |
| Restrisiko bei politischer Kehrtwende | Hoch (Rücknahme wie Privacy Shield möglich) | Gering |
| Funktionsumfang und Integrationen | Sehr breit (Marktstandard) | Zunehmend konkurrenzfähig |
Die Tabelle macht deutlich: DPF-basierte Lösungen sind funktional leistungsfähig, rechtlich aber weiter mit einem Restrisiko behaftet. Wer stark regulierte Zielgruppen bedient (Gesundheitswesen, öffentliche Hand, Enterprise-B2B), entscheidet sich oft bewusst für europäische Alternativen.
Aktuelle Urteile 2025: Was sich in der Praxis verschiebt
Drei Entscheidungen haben das Praxisbild 2025 verändert und gehören in jedes Update eines Newsletter-Prozesses.
Die erste Entscheidung betrifft den Umgang mit einzelnen unerwünschten Werbe-E-Mails und die damit verbundenen Schadensersatzansprüche.
Kein automatischer Schadensersatz bei einzelner Werbemail
Der Bundesgerichtshof hat in seinem Urteil vom 28. Januar 2025 (Az. VI ZR 109/23) entschieden, dass der Versand einer einzelnen unerlaubten Werbe-E-Mail nicht automatisch einen immateriellen Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO begründet und die betroffene Person einen tatsächlich eingetretenen Schaden darlegen muss, wobei bloßer Ärger oder Unmut nicht ausreichen.
Für Unternehmen ist das ein Stück Entlastung gegen Abmahn-Massengeschäft. Bedeutsam bleibt aber, dass die Entscheidung nicht den Unterlassungsanspruch betrifft: Eine einzelne unerlaubte Mail kann weiterhin mit einer Abmahnung nebst Unterlassungserklärung und Vertragsstrafe für Wiederholungsfälle geahndet werden. Die Entscheidung reduziert nur die Attraktivität pauschaler Schadensersatzklagen.
Der Bundesgerichtshof hat mit Urteil vom 27. März 2025 (Az. I ZR 186/17, App-Zentrum Meta) klargestellt, dass Verbraucherschutzverbände DSGVO-Verstöße auf Grundlage des Unterlassungsklagengesetzes und des Gesetzes gegen den unlauteren Wettbewerb in Verbindung mit Art. 80 Abs. 2 DSGVO auch ohne individuelles Mandat der betroffenen Personen gerichtlich verfolgen können.
Die dritte Entscheidung verändert die Soft-Opt-In-Praxis im digitalen Geschäft nachhaltig und wurde oben bereits im Kontext der Bestandskundenausnahme dargestellt: Das EuGH-Urteil zur Behandlung kostenloser Nutzerkonten als “Verkauf” erweitert den Anwendungsbereich des § 7 Abs. 3 UWG vorsichtig auf Freemium-Modelle, ersetzt aber nicht die Double-Opt-In-Pflicht für klassische Newsletter-Anmeldungen.
Wer weitere aktuelle Entwicklungen verfolgt, findet auf unserer Seite aktuelle Beiträge zur Abmahnung wegen unzulässiger E-Mail-Werbung und Hintergründe zur DSGVO-Abmahnfähigkeit durch Mitbewerber in unserer Aktuelles-Rubrik.
Praxis-Checkliste für DSGVO-konforme Newsletter
Die folgende Checkliste bündelt die Anforderungen in eine Reihenfolge, in der sie in der Praxis aufgesetzt werden sollten. Sie eignet sich für den Aufbau eines neuen Newsletter-Programms ebenso wie als Audit-Raster für bestehende Prozesse. Wichtig: Diese Liste ist keine Rechtsberatung und deckt Sonderfälle wie Vereinswerbung, Beschäftigten-Newsletter oder regulierte Branchen nicht vollständig ab.
- Anmeldeformular gestalten. Aktive, nicht vorausgefüllte Einwilligungs-Checkbox; Link zur Datenschutzerklärung; Kurzhinweis auf Inhalt, Frequenz und Widerrufsrecht; falls Tracking: separater Hinweis oder zweite Checkbox.
- Double-Opt-In einrichten. Bestätigungsmail streng transaktional, kein Willkommens-Rabatt; Aktivierungslink zeitlich begrenzt (z.B. 48 Stunden); vollständige Protokollierung mit Zeitstempel, IP und gespeichertem Einwilligungstext.
- Datenschutzerklärung aktualisieren. Alle Informationen aus Art. 13 DSGVO abdecken; Versanddienstleister als Auftragsverarbeiter nennen; bei US-Anbietern DPF-Zertifizierung verlinken; Widerruf und Widerspruch separat erklären.
- Auftragsverarbeitungsvertrag abschließen. Mit dem Versanddienstleister einen vollständigen AVV nach Art. 28 DSGVO abschließen und dokumentieren; bei Drittlandtransfer TIA ergänzen. Mehr dazu im Ratgeber zum Auftragsverarbeitungsvertrag und seinen Pflichten.
- Pflichtangaben in jeder Mail sicherstellen. Impressum, Abmeldelink, Absenderklarheit; bei Soft-Opt-In zusätzlich Widerspruchshinweis; Werbekennzeichnung im Betreff oder Header bei reinen Werbemails.
- Abmeldeprozess testen. Ein-Klick-Link; keine Login-Pflicht; sofortiger Versandstopp; dokumentierter Widerspruch; Aufnahme in Sperrliste; keine Rückgewinnungs-Mails nach der Abmeldung.
- Einwilligungsdokumentation prüfen. Vollständiger Einwilligungstext, URL der Anmeldeseite, Zeitstempel, IP, DOI-Bestätigungs-URL und -Zeitstempel sowie Versionierung der Datenschutzerklärung speichern, idealerweise revisionssicher.
- Tracking-Einwilligung gesondert behandeln. Öffnungs- und Klicktracking nur nach Einwilligung nach § 25 TDDDG; Kontakte ohne Tracking-Zustimmung erhalten untrackbare Versandvarianten.
- Bestandskundenversand prüfen. Nur ähnliche Produkte, Widerspruchshinweis bei Erhebung und in jeder Mail, keine Altlisten aus Messen oder Gewinnspielen.
- Re-Opt-In planen. Alte oder unsaubere Einwilligungen nicht weiter nutzen, sondern eine klar kommunizierte Re-Permission-Kampagne durchführen; Nicht-Bestätiger nach definierter Frist archivieren oder löschen.
- Datenschutz-Audit regelmäßig einplanen. Mindestens jährlich sollte der gesamte Newsletter-Stack geprüft werden. Der Ratgeber zum Datenschutz-Audit für Unternehmen liefert eine systematische Vorlage.
- Bei Auskunftsersuchen vorbereitet sein. Anfragen nach Art. 15 DSGVO nehmen zu; Details dazu im Ratgeber zum Auskunftsanspruch nach der DSGVO.
Wann rechtliche Hilfe sinnvoll ist
Ein Newsletter-Programm ist in der Grundstruktur standardisierbar. Anwaltliche Unterstützung wird erfahrungsgemäß in drei Konstellationen nötig. Erstens nach einer Abmahnung, denn hier zählt jede Tagesfrist, und die Art der Antwort entscheidet über Vertragsstrafe, Wiederholungsgefahr und mögliche Schadensersatzansprüche. Zweitens bei einem größeren Umbau, Anbieterwechsel, Internationalisierung oder Integration neuer Datenquellen, weil diese regelmäßig die Rechtsgrundlagen des gesamten Verteilers berühren. Drittens bei B2B-Audits durch Enterprise-Kunden, die einen vollständigen Compliance-Nachweis über Einwilligung, AVV, TIA und technische Maßnahmen verlangen.
Wer seine Datenschutzstruktur insgesamt prüfen möchte, findet eine Einordnung im übergreifenden Ratgeber zur DSGVO-Compliance für Unternehmen oder im Angebot unserer Kanzlei für Datenschutzberatung.
Fazit
Newsletter-Datenschutz 2026 ist keine Frage der großen Linien, sondern der präzisen Ausführung.
Unternehmen, die einen Newsletter betreiben, kommen mit einer jährlichen Prüfung ihres Anmeldeformulars, Einwilligungstextes, Versandprozesses und Abmeldeflusses sehr weit. Wer dagegen von einer Abmahnung, einem Audit oder einer Behördenanfrage überrascht wird, hat in der Regel genau einen der oben genannten Bausteine vernachlässigt. Eine saubere Dokumentation der Einwilligung ist in dieser Situation die wichtigste Verteidigungslinie; sie entscheidet darüber, ob ein Verstoß als einmaliger technischer Fehler oder als systematisches Versäumnis bewertet wird.
Wer vor einer Neugestaltung, einem Anbieterwechsel oder einer Auditsituation steht, sollte den eigenen Prozess einmal vollständig gegen die aktuelle Rechtslage und Rechtsprechung spiegeln lassen. Kleine Änderungen an der richtigen Stelle, ein präziserer Einwilligungstext, ein klarerer Abmeldelink, ein sauber strukturierter AVV, sparen im Ernstfall deutlich mehr Kosten, als sie in der Umsetzung verursachen.
Antworten auf einen Blick
Häufige Fragen
Die häufigsten Fragen zum Thema, kompakt beantwortet. Für die vollständige Einordnung bleiben die Abschnitte oben maßgeblich.
Welche Einwilligung brauche ich für den Newsletter-Versand?
Für Newsletter an Privatpersonen und Geschäftskontakte brauchen Unternehmen eine ausdrückliche, vorherige Einwilligung nach § 7 Abs. 2 Nr. 2 UWG plus eine datenschutzrechtliche Grundlage nach Art. 6 DSGVO. Die Einwilligung muss freiwillig, bestimmt, informiert und unmissverständlich sein (Art. 4 Nr. 11 DSGVO). Vorausgefüllte Checkboxen sind seit dem EuGH-Urteil vom 1. Oktober 2019 (Planet49) unwirksam. Sammeleinwilligungen für mehrere Zwecke sind ebenfalls unzulässig. Das Anmeldeformular braucht eine aktive, nicht vorausgefüllte Checkbox mit spezifischem Bezug zum Newsletter, Link zur Datenschutzerklärung und Hinweis auf das jederzeitige Widerrufsrecht.
Ist Double-Opt-In beim Newsletter Pflicht?
Rechtlich ist Double-Opt-In (DOI) nicht ausdrücklich vorgeschrieben, faktisch aber unverzichtbar. Art. 7 Abs. 1 DSGVO verlangt den Nachweis der Einwilligung, und beim Single-Opt-In kann nicht belegt werden, dass die eingetragene Adresse tatsächlich der anmeldenden Person gehört. Der BGH hat bereits 2017 klargestellt, dass ein pauschaler Einwilligungsnachweis nicht genügt. Beim DOI speichert das System Zeitstempel, IP-Adresse, Bestätigungs-URL und Klickzeitpunkt als Nachweis. Die Bestätigungsmail muss streng transaktional formuliert sein, das OLG München hat entschieden, dass werbliche Inhalte darin selbst unzulässige Werbung darstellen. Rabatte und Willkommensangebote sind tabu.
Wann darf ich ohne Einwilligung an Bestandskunden mailen?
Die Bestandskundenausnahme nach § 7 Abs. 3 UWG erlaubt Newsletter-Versand ohne Einwilligung, wenn vier Voraussetzungen kumulativ erfüllt sind: Die E-Mail-Adresse wurde beim Verkauf einer Ware oder Dienstleistung erhoben, die Werbung betrifft eigene ähnliche Produkte, der Kunde hat nicht widersprochen und es wurde bei Erhebung und in jeder Mail auf das Widerspruchsrecht hingewiesen. „Eigene ähnliche Produkte" wird eng ausgelegt, nicht das gesamte Sortiment. Der EuGH hat am 13. November 2025 (Rs. C-654/23, Inteligo Media) die Bestandskundenausnahme vorsichtig auf Freemium-Modelle geöffnet, sofern das Gratis-Konto über kostenpflichtige Premium-Angebote refinanziert wird.
Brauche ich eine separate Einwilligung für Newsletter-Tracking?
Ja, Öffnungs- und Klicktracking erfordert eine eigene Einwilligung nach § 25 Abs. 1 TDDDG. Tracking-Pixel und Link-Weiterleitungen greifen auf das Endgerät des Empfängers zu und fallen damit in den Anwendungsbereich des TDDDG. Die Ausnahme für „unbedingt erforderliche" Zugriffe greift nicht, da die E-Mail-Zustellung ohne Tracking funktioniert. Zwei Gestaltungen sind zulässig: eine kombinierte Einwilligung, deren Text Tracking ausdrücklich benennt, oder eine separate zweite Checkbox nur für das Tracking. Der EDPB hat im Oktober 2024 in Guidelines 2/2023 bestätigt, dass Tracking-Pixel und URL-Parameter-Tracking unter Art. 5 Abs. 3 der ePrivacy-Richtlinie fallen.
Gelten andere Regeln für B2B-Newsletter?
Nein, der Rechtsrahmen ist im Kern identisch. Das UWG unterscheidet nicht zwischen B2C und B2B, sondern spricht von „Marktteilnehmern", worunter auch Unternehmen und Selbstständige fallen. Der Versand an „info@firma.de" oder an eine persönliche Geschäftsadresse ist ohne Einwilligung oder Bestandskundenprivileg nach § 7 Abs. 3 UWG unzulässig. Öffentlich zugängliche Kontaktdaten aus Impressum oder Unternehmens-Website sind keine Zustimmung zu kommerzieller Kommunikation. Empfehlenswert im B2B ist ein zweistufiger Ansatz: Content-Marketing mit Opt-in-Formularen (Whitepaper, Webinare) generiert Leads, die aktiv einwilligen. Gekaufte Kontaktlisten oder Messekontakte mit versteckter Einwilligung sind als Grundlage unbrauchbar.
Wie muss der Abmeldeprozess beim Newsletter gestaltet sein?
Nach Art. 7 Abs. 3 DSGVO muss der Widerruf so einfach wie die Anmeldung möglich sein. Ein One-Click-Unsubscribe-Link im Mail-Footer ist der Standard. Der Link darf nicht hinter einem Login versteckt sein und muss mit maximal zwei Klicks zur Austragung führen. Nach Abmeldung muss der Versand unverzüglich eingestellt werden. Typische Fehler, die Aufsichtsbehörden regelmäßig beanstanden: Login-Zwang, mehrstufige Bestätigungsformulare, verzögerter Versandstopp, versteckter Abmeldelink, Preference-Center statt echter Abmeldung und Rückgewinnungs-Mails nach der Abmeldung. Abgemeldete Adressen werden in einer Sperrliste geführt; die Speicherung erfolgt nur so lange, wie dies nach Datenschutz- und Wettbewerbsrecht sowie zur Abwehr begründeter Rechtsansprüche erforderlich ist.
Welche Pflichtangaben muss jeder Newsletter enthalten?
Jeder Newsletter braucht kumulativ: klare Absenderkennzeichnung (keine verschleiernde Absenderadresse, § 6 DDG und § 7 UWG), Impressum nach § 5 DDG (in der Regel als Link), einen funktionierenden Abmeldelink, einen Hinweis auf das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO bei Erstversand und bei Soft-Opt-In in jeder Mail, sowie Werbekennzeichnung bei rein werblichen Inhalten nach § 5a Abs. 4 UWG. Beim Bestandskundenversand ist der Widerspruchshinweis in jeder E-Mail Pflicht. Werbliche Inhalte in Transaktionsmails machen die gesamte Mail zur einwilligungsbedürftigen Werbe-Mail. Alle Pflichtangaben gelten unabhängig davon, ob es sich um einen wöchentlichen Kampagnen-Newsletter oder eine Einzeleinladung handelt.
Was gilt beim Newsletter-Versand über US-Dienstleister?
Der Versand über US-Anbieter erfordert eine Prüfung in drei Schritten: Erstens: Wenn die Übermittlung auf die EU-US Data Privacy Framework-Angemessenheitsentscheidung gestützt werden soll, muss der US-Dienstleister auf der offiziellen DPF-Teilnehmerliste des U.S. Department of Commerce stehen (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023). Zweitens muss die Datenschutzerklärung die Übermittlung ausdrücklich benennen. Drittens empfiehlt sich eine Transfer-Folgenabschätzung (TIA) als zusätzliche Risikoprüfung, da eine politische Rücknahme jederzeit möglich ist. Für nicht-zertifizierte US-Anbieter sind Standardvertragsklauseln nach dem Schrems-II-Urteil des EuGH vom 16. Juli 2020 plus ergänzende Maßnahmen erforderlich. Je nach Rolle des Newsletter-Dienstleisters braucht es einen AVV nach Art. 28 DSGVO oder eine Vereinbarung über gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.
Darf ich Newsletter-Einwilligung an ein Whitepaper koppeln?
Nur eingeschränkt. Art. 7 Abs. 4 DSGVO enthält ein Kopplungsverbot: Die Freiwilligkeit der Einwilligung ist fraglich, wenn die Vertragserfüllung von einer Einwilligung abhängig gemacht wird, die dafür nicht erforderlich ist. Die zulässige Konstruktion verlangt zwei separate, unabhängig setzbare Checkboxen: eine für den Download, eine zweite für den Newsletter. Wer die Newsletter-Checkbox vorauskreuzt oder als Download-Voraussetzung konstruiert, riskiert die Unwirksamkeit. Eine automatische Newsletter-Anmeldung bei Kontoeröffnung verletzt das nach Art. 7 Abs. 4 DSGVO gebotene Kopplungsverbot, da Registrierung und Newsletter-Anmeldung technisch und optisch trennbar sein müssen.
Droht Schadensersatz bei einer einzelnen unerlaubten Werbemail?
Nicht automatisch. Der BGH hat am 28. Januar 2025 (Az. VI ZR 109/23) entschieden, dass eine einzelne unerlaubte Werbe-E-Mail nicht automatisch einen immateriellen Schadensersatz nach Art. 82 DSGVO begründet. Die betroffene Person muss einen tatsächlich eingetretenen Schaden darlegen, bloßer Ärger genügt nicht. Allerdings bleibt der Unterlassungsanspruch davon unberührt: Eine einzelne Mail kann weiterhin mit einer Abmahnung nebst Unterlassungserklärung und Vertragsstrafe für Wiederholungsfälle geahndet werden. Seit dem BGH-Urteil vom 27. März 2025 können zudem Verbraucherschutzverbände DSGVO-Verstöße bei Newsletter-Anmeldungen ohne individuelles Mandat abmahnen, was das Risiko strukturell erhöht.
Noch offene Fragen?
Wir prüfen Ihren Anmeldeprozess, Ihre Einwilligungsdokumentation und Ihren Versand-Stack und wehren unberechtigte Abmahnungen ab.
Weiterlesen
Beliebte Ratgeber
Rechtlicher Hinweis: Die Informationen auf dieser Seite dienen der allgemeinen Orientierung und stellen keine Rechtsberatung im Einzelfall dar. Für eine verbindliche Einschätzung Ihrer konkreten Situation kontaktieren Sie uns bitte direkt.