DSGVO im E-Mail-Marketing: Was wirklich Pflicht ist

Die meisten Ratgeber zum Thema DSGVO und E-Mail-Marketing tun eines von zwei Dingen: Sie machen Angst, ohne konkret zu werden, oder sie verharmlosen, weil Angst schlecht verkauft. Beides hilft niemandem. Hier ist, was tatsächlich Pflicht ist, was eine eng begrenzte Ausnahme erlaubt, und was reine Vorsicht ist, die keiner braucht.

Double-Opt-in ist keine Empfehlung, sondern die Grundlage

Ein einfacher Formulareintrag beweist nichts. Wer eine E-Mail-Adresse in ein Formular tippt, könnte genauso gut die Adresse eines Kollegen, einer Wettbewerberin oder eines Bots eintragen. Das Double-Opt-in schließt genau diese Lücke: Nach der Eintragung erhält die Adresse eine Bestätigungs-Mail mit einem eindeutigen Link, ohne Werbeinhalt. Erst der Klick auf diesen Link macht die Adresse aktiv.

Wer hier single-opt-in einsetzt, weil das „unkomplizierter“ wirkt, verlagert das Risiko nicht, er vergrößert es. Im Streitfall liegt die Beweislast für eine wirksame Einwilligung beim Versender, nicht beim Empfänger. Ohne Bestätigungsklick gibt es diesen Beweis schlicht nicht.

Einwilligung dokumentieren: was im Streitfall zählt

Eine Einwilligung, die nicht protokolliert ist, existiert im Zweifel nicht. Vier Angaben gehören lückenlos gespeichert: der Zeitpunkt der Eintragung, die IP-Adresse, die genaue Fassung des Formulars zu diesem Zeitpunkt und der Bestätigungsklick selbst. Der letzte Punkt wird am häufigsten unterschätzt: Formulartexte ändern sich über die Jahre, und wer nur „eine Einwilligung liegt vor“ speichert, kann später nicht mehr zeigen, wofür genau zugestimmt wurde.

Unser eigener Lead-Magnet läuft deshalb mit versionierten Einwilligungsdatensätzen: Jede Anmeldung speichert, welche Fassung des Formulartexts zum Anmeldezeitpunkt galt, zusammen mit Zeitstempel, IP und Bestätigungsklick. Ändert sich der Formulartext später, bleiben die alten Datensätze unverändert nachvollziehbar. Das ist kein Sonderaufwand, sondern eine einmalige technische Entscheidung, die danach automatisch mitläuft.

Pflichtangaben, die in jeder Werbe-E-Mail stehen müssen

Unabhängig von der Einwilligung gelten für jede Werbe-Mail formale Pflichten, deren Fehlen für sich genommen bereits ein Abmahnrisiko ist:

• Vollständige Anbieterkennzeichnung (Impressum) enthalten oder leicht erreichbar verlinkt
• Ein Abmeldelink, der ohne Login mit einem Klick funktioniert und sofort wirkt
• Ein ehrlicher Absendername ohne Verschleierung
• Ein Betreff, der den werblichen Charakter der Mail nicht verschleiert

Der Abmeldelink verdient besondere Aufmerksamkeit, weil er der am häufigsten unterschätzte Punkt ist: Eine Abmeldung, die technisch nicht sofort greift oder mehrere Klicks braucht, ist praktisch so riskant wie ein fehlender Link.

Die Bestandskunden-Ausnahme nach §7 UWG - eng, nicht großzügig

§7 UWG enthält eine Ausnahme, die häufig zu großzügig ausgelegt wird. Wer eine E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten hat, darf unter engen Voraussetzungen für ähnliche eigene Angebote werben, ohne eine gesonderte Einwilligung einzuholen. Voraussetzung ist, dass der Kunde bei der Erhebung der Adresse und bei jeder weiteren Nutzung klar und verständlich auf sein jederzeitiges, kostenloses Widerspruchsrecht hingewiesen wurde und diesem nicht widersprochen hat.

Drei Wörter tragen die ganze Vorsicht in diesem Absatz: „eng“, „ähnlich“ und „widersprechen“. Die Ausnahme gilt nicht für neu erworbene Adressen ohne Kaufkontext, nicht für völlig andere Produktkategorien, und sie erlischt mit dem ersten Widerspruch. Ob ein konkretes Vorhaben darunterfällt, ist eine Einzelfallprüfung, die dieser Artikel nicht leisten kann und nicht leisten will. Im Zweifel ist ein reguläres Double-Opt-in der sicherere Weg, und meist auch der schnellere, weil keine Diskussion über die Auslegung nötig wird.

Konkrete Maßnahmen für die nächsten 90 Tage

• Tag 1-30: Bestehende Listen prüfen, jede Adresse ohne dokumentiertes Double-Opt-in markieren
• Tag 31-60: Formulare auf Double-Opt-in umstellen, Protokollierung von Zeitstempel, IP, Formularfassung und Klick einrichten
• Tag 61-90: Abmeldelink und Impressum in allen Kampagnen-Vorlagen prüfen, Bestandskunden-Fälle einzeln rechtlich einschätzen lassen

Fazit

Rechtssicheres E-Mail-Marketing ist kein Sonderprojekt, sondern eine einmalige technische Entscheidung: Double-Opt-in einrichten, lückenlos protokollieren, Pflichtangaben in jeder Mail. Die Bestandskunden-Ausnahme ist ein schmaler Sonderfall, kein Ersatz dafür. Was ein sauberes Setup insgesamt kostet, zeigen wir im Artikel E-Mail-Marketing-Kosten, und welches Tool zu Ihrem EU-Datenschutz-Anspruch passt, im Tool-Vergleich. Für eine unverbindliche Einschätzung Ihres aktuellen Setups nehmen Sie Kontakt mit uns auf. Dieser Artikel bleibt trotzdem eine Orientierung, keine Rechtsberatung - für Ihren konkreten Fall gehört eine Fachanwältin oder ein Fachanwalt für IT- und Datenschutzrecht an den Tisch.