DSGVO im E-Mail-Marketing

DSGVO im E-Mail-Marketing bezeichnet die rechtlichen Vorgaben der EU-Datenschutz-Grundverordnung und des UWG für den Versand kommerzieller E-Mails an Empfänger in der EU.

Rubrik: Online-Marketing & Content · Unterrubrik: E-Mail-Marketing · Niveau: Fortgeschritten Synonyme / Auch bekannt als: GDPR Email Marketing, Datenschutzkonformer Newsletter-Versand, rechtssicheres E-Mail-Marketing

Was ist DSGVO im E-Mail-Marketing?

DSGVO im E-Mail-Marketing meint die Gesamtheit der Pflichten, die Versender beim Erheben, Speichern und Verarbeiten von E-Mail-Adressen für Werbezwecke beachten müssen. Zentral sind die nachweisbare Einwilligung, das Recht auf Abmeldung und transparente Information über die Datenverarbeitung.

Erklärung

Seit Mai 2018 regelt die DSGVO den Umgang mit personenbezogenen Daten EU-weit. E-Mail-Adressen sind personenbezogene Daten — auch eine reine Vorname-Nachname-Kombination an einer Firmendomain. Wer Newsletter, Produkt-Updates oder Promo-Mails verschickt, braucht eine Rechtsgrundlage. Die in der Praxis relevanteste ist die ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, kombiniert mit §7 UWG, der für Werbung per E-Mail in Deutschland zusätzlich eine vorherige ausdrückliche Zustimmung verlangt.

Die Einwilligung muss vier Eigenschaften erfüllen: freiwillig, informiert, spezifisch und nachweisbar. Daraus ergibt sich das Double-Opt-In-Verfahren: Nach Eintragung im Formular bekommt die Empfängerin eine Bestätigungsmail mit einem Aktivierungslink. Erst der Klick darauf zählt als gültige Einwilligung. IP-Adresse, Zeitstempel und Inhalt des Formulars sollten dabei dokumentiert werden — sonst gilt die DSGVO im E-Mail-Marketing als nicht erfüllt.

Weitere Pflichten: jeder Versand braucht einen funktionierenden Abmeldelink in jeder Mail, ein vollständiges Impressum, einen Link zur Datenschutzerklärung und einen Auftragsverarbeitungsvertrag (AVV) mit dem genutzten ESP wie Mailchimp, Brevo, ActiveCampaign oder CleverReach. US-Anbieter brauchen seit 2023 zusätzlich eine Rechtsgrundlage über das EU-US Data Privacy Framework.

Beispiele

• Beispiel 1: Newsletter-Formular auf einer Agenturwebsite — Pflichtfeld E-Mail, Checkbox „Ich möchte den Newsletter erhalten" (nicht vorausgewählt), Link zur Datenschutzerklärung, danach Double-Opt-In-Mail.
• Beispiel 2: E-Commerce-Shop fragt im Checkout: „Möchten Sie unseren Newsletter erhalten?" — separate Checkbox, nicht mit AGB-Zustimmung gekoppelt (Kopplungsverbot).
• Beispiel 3: Bestandskunden-Werbung nach §7 Abs. 3 UWG — eingeschränkt erlaubt ohne Einwilligung, wenn ähnliche Produkte beworben werden und in jeder Mail Abmeldemöglichkeit besteht.
• Beispiel 4: Lead-Magnet (kostenloses Whitepaper gegen E-Mail) — Trennung zwischen Whitepaper-Versand und Newsletter-Aufnahme: zwei Checkboxen oder zwei Confirm-Schritte.
• Beispiel 5: B2B-Kaltakquise per E-Mail — auch in Deutschland einwilligungspflichtig, mutmaßliches Interesse reicht nach §7 UWG nicht.

In der Praxis

Wer rechtssicher arbeiten will, dokumentiert jede Einwilligung lückenlos im ESP-Backend mit Zeitstempel, IP, Formular-URL und Wortlaut der Checkbox. AVVs mit allen Verarbeitern (ESP, Tracking-Tools, Analyse-Anbieter) liegen unterschrieben in der Schublade. In jeder Versand-Mail sind Abmeldelink, Impressum und Datenschutz-Link im Footer. Das Versandtool sollte automatisches Suppressing abgemeldeter Adressen leisten — manuelles Abmelden ist fehleranfällig. Strittige Themen wie Tracking-Pixel (Öffnungsrate) und Klick-Tracking erfordern eine zusätzliche Information in der Datenschutzerklärung; restriktive Auslegungen verlangen sogar eine separate Einwilligung. Bei Verstößen drohen Bußgelder bis 20 Mio. € oder 4 % des Jahresumsatzes — und Abmahnungen durch Wettbewerber.

Vergleich & Abgrenzung

Häufige Fragen (FAQ)

Ist Single-Opt-In in der EU erlaubt? Single-Opt-In ist in Deutschland nicht ausdrücklich verboten, gilt aber als nicht ausreichend für den Nachweis der Einwilligung. Bei Abmahnungen oder Beschwerden verlieren Versender ohne Double-Opt-In regelmäßig.

Brauche ich einen AVV mit Mailchimp? Ja. Jeder externe Dienstleister, der personenbezogene Daten verarbeitet, ist Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Mailchimp stellt einen Standard-AVV im Account-Bereich zur Verfügung — der muss aktiv akzeptiert werden.

Weiterführend

• Härting, Niko (2023): Datenschutz-Grundverordnung Kommentar. Otto Schmidt Verlag
• BfDI (2024): Hinweise zur Direktwerbung per E-Mail. www.bfdi.bund.de
• DSK — Datenschutzkonferenz (2023): Orientierungshilfe Direktwerbung. www.datenschutzkonferenz-online.de