Newsletter DSGVO-konform vorbereiten: Verbreitete Konfigurationen

Stand: 2026-05-17 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche regulatorische Grundlage gilt?

Werbliche Newsletter werden in Deutschland regelmäßig parallel durch Datenschutz- und Wettbewerbsrecht reglementiert:

• Art. 6 Abs. 1 lit. a DSGVO — Rechtsgrundlage der Verarbeitung der E-Mail-Adresse zu werblichen Zwecken ist regelmäßig die Einwilligung.
• Art. 7 DSGVO — Anforderungen an die Einwilligung: freiwillig, informiert, ausdrücklich, nachweisbar; jederzeit widerrufbar.

Detail

• § 7 Abs. 2 Nr. 2 UWG — werbliche Telefon-, Fax- und E-Mail-Werbung an Verbraucher ohne ausdrückliche Einwilligung ist regelmäßig unzulässig.
• § 7 Abs. 3 UWG — eine eng begrenzte Bestandskunden-Ausnahme erlaubt unter vier kumulativen Voraussetzungen Werbung ohne ausdrückliche Einwilligung an Bestandskunden zu eigenen ähnlichen Waren oder Dienstleistungen.

Die DSK-Orientierungshilfe für Anbieter von Telemedien sowie die Verlautbarungen einzelner Aufsichten (etwa BlnBDI und LfDI Baden-Württemberg) konkretisieren die Anforderungen. Die zivilgerichtliche Rechtsprechungs-Linie ist durch BGH I ZR 164/09 (DOI als Nachweis-Mechanik) und BGH VI ZR 225/17 (Bestätigungs-Mail ohne Werbung) geprägt.

Welche Konstellation passt zu deinem Verarbeitungs-Profil?

Sofern Newsletter an Verbraucher (B2C) versendet werden, ist regelmäßig eine ausdrückliche, vorherige Einwilligung erforderlich. Eine Stützung auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO ist für werbliche B2C-Newsletter in der Aufsichts- und Rechtsprechungs-Praxis regelmäßig nicht anerkannt.

Detail

Im B2B-Kontext werden differenzierte Konstellationen diskutiert. Die Bestandskunden-Ausnahme nach § 7 Abs. 3 UWG kann unter den vier kumulativen Voraussetzungen (E-Mail-Erhebung im Zusammenhang mit einem Vertrag, eigene ähnliche Waren oder Dienstleistungen, Widerspruchs-Möglichkeit bei Erhebung und in jeder Mail, Verarbeitung auf zulässiger DSGVO-Rechtsgrundlage) eine begrenzte Stützung tragen. Eine pauschale Anwendung auf alle Geschäfts-Kontakte ist nicht möglich.

Rein transaktionale E-Mails — Bestell-Bestätigungen, Versand-Hinweise, Rechnungs-Versand, Service-Mitteilungen — fallen regelmäßig unter Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und sind keine werblichen Newsletter im Sinne des UWG.

Sobald Newsletter mit Werbung an einen Empfänger-Kreis ab etwa 30 Empfängern versendet werden (auch im BCC-Modus), wird die Konstellation in der Aufsichts-Praxis regelmäßig als Bulk-Versand eingeordnet — mit den vollen Anforderungen an Einwilligung, Nachweis und Abmeldung.

Welcher Aufbau-Rahmen ist verbreitet?

In der Beratungs-Praxis hat sich für werbliche Newsletter folgende Konfiguration als DSGVO- und UWG-konform etabliert:

Anmelde-Mechanik mit Double-Opt-In. Eine nicht vorausgewählte Checkbox auf dem Anmelde-Formular, ein konkret formulierter Einwilligungs-Text mit Nennung von Absender, Frequenz und Themen, Verlinkung der Datenschutz-Hinweise. Nach dem Submit folgt eine Bestätigungs-Mail mit eindeutigem Bestätigungs-Link; die Aufnahme in den Verteiler erfolgt erst nach Klick auf diesen Link. System-Protokollierung von Zeitstempel, IP-Adresse und User-Agent sowohl bei Anmeldung als auch bei Bestätigung.

Detail

Beweislast liegt nach Art. 7 Abs. 1 DSGVO beim Versender.

Bestätigungs-Mail strikt funktional. Die DOI-Bestätigungs-Mail enthält nach BGH VI ZR 225/17 regelmäßig ausschließlich den Bestätigungs-Hinweis und den Aktivierungs-Link. Werbung, Cross-Selling-Hinweise oder Marketing-Banner in dieser Mail werden in der Rechtsprechungs-Praxis als unerlaubte Werbung eingeordnet.

Ein-Klick-Abmeldung in jeder werblichen Mail. Ein im Footer prominent platzierter Abmelde-Link, der ohne Login, ohne Captcha und ohne zusätzliche Bestätigungs-Schritte wirksam wird. Die Umsetzung erfolgt regelmäßig sofort, ohne 30-Tage-Frist. Für Bulk-Versender an Gmail und Yahoo ist seit 2024 zusätzlich der List-Unsubscribe-Header (RFC 8058 in der One-Click-Variante) gefordert.

Lückenlose Dokumentation. Das Tool protokolliert E-Mail-Adresse, Anmelde-Zeitstempel, Anmelde-IP, DOI-Klick-Zeitstempel, Quelle (Formular-URL), Abmelde-Zeitstempel sofern erfolgt. Aufbewahrung der Einwilligungs-Nachweise typischerweise solange die Person im Verteiler ist, zuzüglich der Verjährungs-Frist nach § 195 BGB für mögliche Auseinandersetzungen.

Tool-Auswahl und Datenfluss. EU-gehostete Anbieter (Brevo mit französischem Hosting, CleverReach mit deutschem Hosting, Rapidmail mit deutschem Hosting) erfordern in der Standard-Konstellation keine zusätzlichen Drittlands-Garantien. US-gehostete Anbieter (Mailchimp, ActiveCampaign, HubSpot in US-Region) verlangen ergänzend Standardvertragsklauseln nach Art. 46 DSGVO und ein Transfer Impact Assessment im Sinne der EDSA-Empfehlungen 01/2020. Eine AVV-Vereinbarung nach Art. 28 Abs. 3 DSGVO mit dem Tool-Anbieter ist in allen Konstellationen regelmäßig erforderlich.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mehrere Konstellationen verschieben die Anforderungen über die Standard-Konfiguration hinaus:

• Tracking innerhalb der Newsletter-Mails (Open-Tracking, Click-Tracking, personalisierte Empfehlungen) — hier ist die Einwilligung üblicherweise auf das Tracking zu erstrecken, und die Aufsichts-Praxis verlangt regelmäßig differenzierte Einwilligungen statt einer Sammel-Zustimmung.
• Profiling-basierte Segmentierung im Sinne von Art. 4 Nr. 4 DSGVO — hier kommen erweiterte Informations-Pflichten und gegebenenfalls eine DPIA nach Art. 35 DSGVO in Betracht.

Detail

• Versand an Empfänger außerhalb der EU/EWR — hier sind die Drittlands-Regeln nach Kapitel V DSGVO zu beachten.
• Branchenspezifische Werbe-Verbote — etwa für Heilmittel (HWG), Glücksspiel (GlüStV) oder Finanzdienstleistungen (WpHG, VermAnlG); zusätzliche regulatorische Anforderungen können werbliche Aussagen einschränken.
• Newsletter-Kooperationen und Co-Sponsoring — hier sind die Beziehungen zu Kooperations-Partnern datenschutz- und wettbewerbs-rechtlich zu strukturieren; eine Sammel-Einwilligung für mehrere Werbe-Partner ist in der Rechtsprechung restriktiv beurteilt worden.
• Bestehende Verteiler-Listen ohne Einwilligungs-Nachweis — eine Re-Confirmation-Kampagne oder die Bereinigung der Liste sind in der Praxis die regelmäßig empfohlenen Optionen; ein Weiter-Versand ohne Nachweis trägt das Risiko von Unterlassungs- und Schadensersatz-Forderungen.

In allen genannten Konstellationen ist eine rechtliche Einzel-Begutachtung empfehlenswert. Die hier dargestellte Standard-Konfiguration erfasst diese Komplexitäten nicht abschließend.

Nächster Schritt

Eine AVV-Vereinbarung mit dem Newsletter-Anbieter ist in allen Konstellationen regelmäßig erforderlich. Unser AVV-Generator erzeugt für die gängigen Anbieter (Brevo, CleverReach, Mailchimp, ActiveCampaign, HubSpot und weitere) Standard-AVVs mit den nach Art. 28 Abs. 3 DSGVO geforderten Mindestinhalten — einschließlich Anlagen für Standardvertragsklauseln bei US-gehosteten Lösungen.

Für die vertiefte Auseinandersetzung mit der Frage, auf welcher Rechtsgrundlage einzelne Verarbeitungen zu stützen sind (Einwilligung, berechtigtes Interesse, Vertragsdurchführung), bietet DSGVO-Rechtsgrundlagen Art. 6 im Überblick eine strukturierte Einordnung der sechs Tatbestände aus Art. 6 Abs. 1 DSGVO.