Newsletter DSGVO-konform vorbereiten: Verbreitete Konfigurationen

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche regulatorische Grundlage gilt?

Werbliche Newsletter werden in Deutschland regelmäßig parallel durch Datenschutz- und Wettbewerbsrecht reglementiert:

• Art. 6 Abs. 1 lit. a DSGVO, Rechtsgrundlage der Verarbeitung der E-Mail-Adresse zu werblichen Zwecken ist regelmäßig die Einwilligung.
• Art. 4 Nr. 11 und Art. 7 DSGVO, Anforderungen an die Einwilligung: freiwillig, für den bestimmten Fall, informiert, unmissverständlich (Erklärung oder eindeutige bestätigende Handlung), nachweisbar, jederzeit widerrufbar. Das Erfordernis einer „ausdrücklichen“ Einwilligung folgt für E-Mail-Werbung aus § 7 Abs. 2 Nr. 2 UWG.

• § 7 Abs. 2 Nr. 2 UWG, Werbung per automatischer Anrufmaschine, Fax oder elektronischer Post ist ohne vorherige ausdrückliche Einwilligung des Adressaten stets eine unzumutbare Belästigung, gegenüber Verbrauchern ebenso wie gegenüber Unternehmen. Telefonwerbung regelt gesondert § 7 Abs. 2 Nr. 1 UWG.
• § 7 Abs. 3 UWG, eine eng begrenzte Bestandskunden-Ausnahme erlaubt unter vier kumulativen Voraussetzungen Werbung ohne ausdrückliche Einwilligung an Bestandskunden zu eigenen ähnlichen Waren oder Dienstleistungen.

Die zivilgerichtliche Rechtsprechungs-Linie ist unter anderem durch BGH, Urteil vom 10.02.2011 – I ZR 164/09 (Double-Opt-In grundsätzlich geeignet als Nachweis einer E-Mail-Einwilligung, nicht aber für Telefonwerbung) und BGH, Urteil vom 10.07.2018 – VI ZR 225/17 (werblicher Zusatz in einer Transaktions-Mail ist Werbung) geprägt.

Welche Konstellation passt zu deinem Verarbeitungs-Profil?

Sofern Newsletter an Verbraucher (B2C) versendet werden, ist regelmäßig eine ausdrückliche, vorherige Einwilligung erforderlich. Eine Stützung auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO ist für werbliche B2C-Newsletter in der Aufsichts- und Rechtsprechungs-Praxis regelmäßig nicht anerkannt.

Die Bestandskunden-Ausnahme nach § 7 Abs. 3 UWG gilt für B2C- und B2B-Empfänger gleichermaßen, aber nur unter vier kumulativen Voraussetzungen: Die E-Mail-Adresse wurde im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten, sie wird zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet, der Kunde hat nicht widersprochen, und bei Erhebung sowie bei jeder Verwendung wird klar und deutlich auf das jederzeitige Widerspruchsrecht hingewiesen. Eine pauschale Anwendung auf alle Geschäfts-Kontakte ist nicht möglich.

Rein transaktionale E-Mails, Bestell-Bestätigungen, Versand-Hinweise, Rechnungs-Versand, Service-Mitteilungen, fallen regelmäßig unter Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und sind keine Werbung im Sinne des UWG, solange sie keine werblichen Zusätze enthalten (BGH, Urteil vom 10.07.2018 – VI ZR 225/17).

Eine Mindest-Empfängerzahl kennt § 7 Abs. 2 Nr. 2 UWG nicht: Schon eine einzelne werbliche E-Mail ohne vorherige ausdrückliche Einwilligung ist unzulässig, unabhängig davon, ob sie einzeln, im BCC oder über ein Newsletter-Tool verschickt wird.

Welcher Aufbau-Rahmen ist verbreitet?

Für werbliche Newsletter ist folgende Konfiguration verbreitet:

Anmelde-Mechanik mit Double-Opt-In. Eine nicht vorausgewählte Checkbox auf dem Anmelde-Formular, ein konkret formulierter Einwilligungs-Text mit Nennung von Absender, Frequenz und Themen, Verlinkung der Datenschutz-Hinweise. Nach dem Submit folgt eine Bestätigungs-Mail mit eindeutigem Bestätigungs-Link; die Aufnahme in den Verteiler erfolgt erst nach Klick auf diesen Link. System-Protokollierung von Zeitstempel, IP-Adresse und User-Agent sowohl bei Anmeldung als auch bei Bestätigung.

Beweislast liegt nach Art. 7 Abs. 1 DSGVO beim Versender.

Bestätigungs-Mail strikt funktional. Die DOI-Bestätigungs-Mail enthält nur den Bestätigungs-Hinweis und den Aktivierungs-Link. Zum Zeitpunkt ihres Versands liegt noch keine bestätigte Einwilligung vor; Werbung, Cross-Selling-Hinweise oder Marketing-Banner machen sie deshalb angreifbar. Dass schon ein werblicher Zusatz eine sonst zulässige Mail zur Werbung macht, hat der BGH für Transaktions-Mails entschieden (Urteil vom 10.07.2018 – VI ZR 225/17).

Abmelde-Link in jeder werblichen Mail. Gesetzlich verlangt sind eine gültige Adresse zur Abbestellung (§ 7 Abs. 2 Nr. 3 UWG) und ein Widerruf, der so einfach ist wie die Einwilligung (Art. 7 Abs. 3 DSGVO); verbreitet ist ein im Footer prominent platzierter Abmelde-Link, der ohne Login, ohne Captcha und ohne zusätzliche Bestätigungs-Schritte wirksam wird. Nach Zugang des Widerrufs ist jede weitere werbliche Mail ohne Einwilligung unzulässig; eine Übergangsfrist sieht das Gesetz nicht vor. Für Bulk-Versender an Gmail und Yahoo ist seit 2024 zusätzlich der List-Unsubscribe-Header (RFC 8058 in der One-Click-Variante) gefordert.

Lückenlose Dokumentation. Das Tool protokolliert E-Mail-Adresse, Anmelde-Zeitstempel, Anmelde-IP, DOI-Klick-Zeitstempel, Quelle (Formular-URL), Abmelde-Zeitstempel sofern erfolgt. Aufbewahrung der Einwilligungs-Nachweise typischerweise solange die Person im Verteiler ist, zuzüglich der Verjährungsfristen möglicher Ansprüche (regelmäßige Verjährung drei Jahre nach § 195 BGB; wettbewerbsrechtliche Unterlassungsansprüche sechs Monate nach § 11 Abs. 1 UWG).

Tool-Auswahl und Datenfluss. Verarbeitet ein Anbieter die Daten ausschließlich in der EU/EWR, auch bei seinen Unterauftragnehmern, sind keine Drittlands-Garantien nach Kapitel V DSGVO erforderlich; die Unterauftragnehmer-Liste des Anbieters zeigt, ob das zutrifft. Bei US-gehosteten Anbietern (etwa Mailchimp, ActiveCampaign, HubSpot in US-Region) ist zuerst zu prüfen, ob der Empfänger in der Liste des EU-US Data Privacy Framework aktiv zertifiziert ist. Ist er das, trägt der Angemessenheitsbeschluss (EU) 2023/1795 die Übermittlung nach Art. 45 DSGVO; Standardvertragsklauseln und ein Transfer Impact Assessment sind dann nicht erforderlich. Nur ohne Zertifizierung sind Standardvertragsklauseln nach Art. 46 DSGVO samt Transfer Impact Assessment im Sinne der EDSA-Empfehlungen 01/2020 nötig. Eine AVV-Vereinbarung nach Art. 28 Abs. 3 DSGVO mit dem Tool-Anbieter ist in allen Konstellationen regelmäßig erforderlich.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mehrere Konstellationen verschieben die Anforderungen über die Standard-Konfiguration hinaus:

• Tracking innerhalb der Newsletter-Mails (Open-Tracking, Click-Tracking, personalisierte Empfehlungen), hier ist zu prüfen, ob die Einwilligung das Tracking ausdrücklich mit umfasst; die Informationen nach Art. 13 DSGVO müssen das Tracking benennen.
• Profiling-basierte Segmentierung im Sinne von Art. 4 Nr. 4 DSGVO, hier kommen erweiterte Informations-Pflichten und gegebenenfalls eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO in Betracht.

• Versand an Empfänger außerhalb der EU/EWR, hier sind die Drittlands-Regeln nach Kapitel V DSGVO zu beachten.
• Branchenspezifische Werbe-Verbote, etwa für Heilmittel (HWG), Glücksspiel (GlüStV) oder Finanzdienstleistungen (WpHG, VermAnlG); zusätzliche regulatorische Anforderungen können werbliche Aussagen einschränken.
• Newsletter-Kooperationen und Co-Sponsoring, hier sind die Beziehungen zu Kooperations-Partnern datenschutz- und wettbewerbs-rechtlich zu strukturieren; eine Sammel-Einwilligung für mehrere Werbe-Partner ist in der Rechtsprechung restriktiv beurteilt worden.
• Bestehende Verteiler-Listen ohne Einwilligungs-Nachweis, auch eine E-Mail, die nachträglich um Einwilligung bittet, kann selbst Werbung im Sinne von § 7 Abs. 2 Nr. 2 UWG sein und setzt dann eine Einwilligung voraus; die Bereinigung der Liste ist der risikoärmere Weg. Ein Weiter-Versand ohne Nachweis trägt das Risiko von Unterlassungs- und Schadensersatz-Forderungen.

In allen genannten Konstellationen ist eine rechtliche Einzel-Begutachtung empfehlenswert. Die hier dargestellte Standard-Konfiguration erfasst diese Komplexitäten nicht abschließend.

Nächster Schritt

Eine AVV-Vereinbarung mit dem Newsletter-Anbieter ist in allen Konstellationen regelmäßig erforderlich. Viele Newsletter-Anbieter stellen einen eigenen AVV bereit. Wo ein eigener Vertrag nötig ist, erzeugt der AVV-Generator ein generisches AVV-Formular mit den Mindestinhalten nach Art. 28 Abs. 3 DSGVO, einer Liste der Unterauftragnehmer, Angaben zu technischen und organisatorischen Maßnahmen und einem Abschnitt zu Drittlandübermittlungen. Anbieterspezifische Vorlagen und Standardvertragsklauseln enthält er nicht.

Für die vertiefte Auseinandersetzung mit der Frage, auf welcher Rechtsgrundlage einzelne Verarbeitungen zu stützen sind (Einwilligung, berechtigtes Interesse, Vertragsdurchführung), bietet DSGVO-Rechtsgrundlagen Art. 6 im Überblick eine strukturierte Einordnung der sechs Tatbestände aus Art. 6 Abs. 1 DSGVO.