Ein Newsletter ist für viele Unternehmen eines der wertvollsten Marketinginstrumente. Er ist direkter als Social Media, unabhängiger als Plattform-Reichweite und oft günstiger als bezahlte Anzeigen. Gleichzeitig ist er rechtlich sensibel: Schon die E-Mail-Adresse ist ein personenbezogenes Datum, und beim Versand können weitere Daten über Öffnungen, Klicks, Endgeräte oder Interessen entstehen. Wer Newsletter über WordPress, ein Shopsystem oder einen externen Versanddienst anbietet, sollte deshalb nicht nur an Betreffzeilen und Conversion denken, sondern auch an Einwilligung, Nachweis, Tracking und Abmeldung.
Die gute Nachricht: Datenschutzfreundliche Newsletter sind kein Hexenwerk. Die wichtigsten Regeln lassen sich in einen klaren Prozess übersetzen. Entscheidend ist, dass die Anmeldung freiwillig, nachweisbar und transparent erfolgt, dass Tracking nicht stillschweigend miterledigt wird und dass die Abmeldung mindestens so einfach ist wie die Anmeldung. Für Website-Betreiber in Deutschland ist das besonders relevant, weil hier DSGVO, TDDDG und das Wettbewerbsrecht zusammenspielen.
Warum Newsletter-Datenschutz schon bei der E-Mail-Adresse beginnt
Der BfDI ordnet E-Mail-Adressen beim Newsletter-Versand ausdrücklich als personenbezogene Daten ein. Das ist praktisch nachvollziehbar: Über eine E-Mail-Adresse kann eine Person direkt angesprochen werden. Bei geschäftlichen Adressen kann der Personenbezug je nach Aufbau ebenfalls naheliegen, etwa bei [email protected].
Damit ist der Newsletter nicht nur ein Marketingkanal, sondern eine Verarbeitung personenbezogener Daten. Website-Betreiber müssen also erklären können, zu welchem Zweck sie die Adresse speichern, auf welcher Rechtsgrundlage sie den Newsletter versenden, wie lange Daten gespeichert werden, wer Zugriff hat und wie Betroffene ihre Einwilligung widerrufen können. Diese Informationen gehören in die Datenschutzerklärung und idealerweise auch in komprimierter Form direkt an das Anmeldeformular.
Wichtig ist die Trennung der Zwecke. Eine Person kann einen Newsletter abonnieren wollen, ohne gleichzeitig Öffnungstracking, Klickprofile oder personalisierte Werbung zu akzeptieren. Je mehr Zwecke kombiniert werden, desto genauer müssen Einwilligung und Information formuliert werden.
Double-Opt-in ist der praktische Standard
Beim Double-Opt-in trägt sich eine Person zunächst mit ihrer E-Mail-Adresse ein. Danach erhält sie eine Bestätigungs-E-Mail und aktiviert den Newsletter erst durch Klick auf einen Bestätigungslink oder eine vergleichbare bestätigende Handlung. Der BfDI beschreibt dieses Verfahren als rechtssichere Methode, um den Nachweis der Einwilligung führen zu können. Für werbliche Newsletter verweist er auf den doppelten Einwilligungsnachweis aus Dateneingabe und Bestätigung.
Der eigentliche Wert des Double-Opt-in liegt im Nachweis. Es verhindert nicht jeden Missbrauch, reduziert aber das Risiko, dass fremde Adressen ungeprüft angemeldet werden. Außerdem dokumentiert es, wann, über welches Formular und mit welchem Einwilligungstext die Anmeldung bestätigt wurde. Diese Dokumentation ist wichtig, weil die DSGVO eine Rechenschaftspflicht kennt: Verantwortliche müssen nicht nur korrekt handeln, sondern das im Zweifel auch belegen können.
In der Praxis sollten mindestens folgende Punkte protokolliert werden: Zeitpunkt der Eintragung, Zeitpunkt der Bestätigung, verwendeter Einwilligungstext, Quelle des Formulars, Empfängeradresse und technische Nachweise, die für die Verteidigung der Einwilligung erforderlich sind. Gleichzeitig gilt Datenminimierung. Es sollte nicht mehr gespeichert werden als für den Nachweis und den Betrieb des Newsletters notwendig ist.
UWG: E-Mail-Werbung braucht klare Erlaubnis
Neben der DSGVO spielt das Wettbewerbsrecht eine zentrale Rolle. § 7 UWG regelt unzumutbare Belästigungen durch Werbung. Für Werbung per elektronischer Post ist grundsätzlich eine vorherige ausdrückliche Einwilligung erforderlich. Eine enge Ausnahme gibt es für Bestandskundenwerbung, wenn bestimmte Voraussetzungen erfüllt sind, etwa ein Zusammenhang mit ähnlichen Waren oder Dienstleistungen und ein klarer Hinweis auf die Widerspruchsmöglichkeit.
Für viele Website-Betreiber ist die sichere Entscheidung trotzdem: Newsletter-Anmeldung über aktives Opt-in, kein vorangekreuztes Kästchen, keine Kopplung an unnötige Zwecke und eine sauber dokumentierte Bestätigung. Besonders riskant sind Konstruktionen wie „Mit der Registrierung stimmen Sie auch dem Newsletter zu“ oder Pflicht-Newsletter beim Kauf, wenn der Newsletter für die Vertragserfüllung nicht erforderlich ist.
Auch im B2B-Bereich sollte man nicht leichtfertig werden. Eine berufliche E-Mail-Adresse ist kein Freibrief für Kaltakquise per Newsletter. Die DSK-Orientierungshilfe zur Direktwerbung betont Transparenz, Rechtsgrundlage, Informationspflichten und Widerspruchsrechte. Wer Direktwerbung plant, sollte also nicht nur die Empfängerliste, sondern auch die Herkunft der Daten und den ursprünglichen Erhebungskontext prüfen.
Tracking-Pixel sind nicht automatisch von der Newsletter-Einwilligung gedeckt
Viele Versandtools messen Öffnungen über Zählpixel und Klicks über Tracking-Links. Das ist für Marketingauswertung bequem, aber datenschutzrechtlich ein eigener Punkt. Der BfDI stellt klar, dass Zählpixel oder ähnliche Tracking-Technologien nicht automatisch von der Einwilligung zur Newsletter-Bestellung umfasst sind. Beim Einsatz solcher Technologien können Informationen aus Endgeräten ausgelesen werden, etwa Browser, Betriebssystem, IP-Adresse oder ähnliche Merkmale.
Damit kommt neben der DSGVO auch das TDDDG ins Spiel. § 25 TDDDG betrifft das Speichern von Informationen in Endeinrichtungen oder den Zugriff auf Informationen, die dort bereits gespeichert sind. Für nicht notwendige Tracking-Technologien ist regelmäßig eine gesonderte Einwilligung erforderlich. Wer Öffnungs- oder Klicktracking nutzt, sollte also prüfen, ob der Newsletter auch ohne Tracking angeboten wird und ob die Einwilligung dafür klar getrennt ist.
Pragmatisch heißt das: Standardmäßig datensparsam versenden, Trackingfunktionen bewusst konfigurieren und nicht einfach die Voreinstellungen des Newsletter-Dienstes übernehmen. Viele Tools aktivieren Öffnungs- und Klickmessung sehr schnell. Verantwortlich bleibt aber der Website-Betreiber, nicht das Tool.
Abmeldung: Der Widerruf muss einfach bleiben
Eine gute Newsletter-Anmeldung ist nur die halbe Arbeit. Die Abmeldung ist genauso wichtig. Nach Art. 7 Abs. 3 DSGVO muss der Widerruf einer Einwilligung so einfach möglich sein wie die Erteilung. Der BfDI formuliert für Newsletter klar: Der Abmeldeprozess darf nicht aufwendiger sein als das Abonnieren.
Website-Betreiber sollten daher keinen Login erzwingen, keine versteckten Einstellungen verwenden und keine unnötigen Hürden aufbauen. Ein eindeutiger Abmeldelink in jeder E-Mail ist der praktische Mindeststandard. Nach der Abmeldung sollte die Adresse für den Newsletterversand unverzüglich deaktiviert werden. Wenn Daten noch kurzzeitig als Sperr- oder Nachweisinformation benötigt werden, sollte auch das sauber begründet und begrenzt werden.
Besonders wichtig: Eine Abmeldung vom Newsletter ist nicht automatisch eine Löschung aller Kundendaten. Umgekehrt darf eine Person aber nicht weiter Newsletter bekommen, nur weil sie weiterhin Kundin oder Kunde ist. Marketingstatus und Vertragsdaten sollten technisch getrennt verwaltet werden.
Was ins Formular und in die Datenschutzerklärung gehört
Das Newsletter-Formular sollte direkt verständlich machen, wofür die E-Mail-Adresse genutzt wird. Empfehlenswert sind ein kurzer Hinweis auf Inhalt und Häufigkeit des Newsletters, ein Link zur Datenschutzerklärung, ein aktives Opt-in und ein Hinweis auf die jederzeitige Abmeldemöglichkeit. Werden Tracking-Pixel, Klicktracking, Profilbildung oder personalisierte Inhalte eingesetzt, darf das nicht im Kleingedruckten verschwinden.
Die Datenschutzerklärung sollte konkreter sein als ein Standardsatz. Sie sollte nennen: Verantwortlicher, Zweck des Newsletters, Rechtsgrundlage, Double-Opt-in-Verfahren, Protokollierung der Einwilligung, Versanddienstleister, mögliche Drittlandübermittlung, Trackingfunktionen, Speicherdauer, Widerrufsmöglichkeit und Betroffenenrechte. Wenn ein externer Versanddienstleister eingesetzt wird, ist außerdem zu prüfen, ob ein Vertrag zur Auftragsverarbeitung nötig ist.
Wer den Newsletter in WordPress einbindet, sollte auch Plugin- und Formularlogs beachten. Manche Newsletter-Plugins speichern Anmeldeversuche, IP-Adressen oder Statusänderungen zusätzlich zur Versandplattform. Diese Daten gehören ebenfalls in die technische und rechtliche Prüfung. Passend dazu lohnt sich ein Blick auf den Beitrag zu Server-Logfiles und Datenschutz.
Prüfliste für Website-Betreiber
Ein Newsletter-Check lässt sich gut in sechs Schritten durchführen. Erstens: Prüfen Sie, wo überall Newsletterdaten gespeichert werden, also WordPress, Plugin, Versanddienst, CRM, Shop und Backups. Zweitens: Vergleichen Sie den tatsächlichen Einwilligungstext mit dem, was dokumentiert wird. Drittens: Testen Sie den Double-Opt-in-Prozess mit einer neuen Adresse. Viertens: Schalten Sie Tracking ab oder holen Sie eine gesonderte, informierte Einwilligung ein. Fünftens: Testen Sie die Abmeldung ohne Login. Sechstens: Aktualisieren Sie Datenschutzerklärung und interne Dokumentation.
Für Online-Shops kommt die Bestandskundenwerbung hinzu. Wenn Sie sich darauf stützen möchten, prüfen Sie die Voraussetzungen des § 7 Abs. 3 UWG sorgfältig: Adresse im Zusammenhang mit Verkauf erhalten, Werbung für ähnliche Waren oder Dienstleistungen, kein Widerspruch und klarer Hinweis auf die Widerspruchsmöglichkeit bei Erhebung und jeder Verwendung. Das ist kein allgemeines Ersatzmodell für fehlende Newsletter-Einwilligungen, sondern eine eng begrenzte Ausnahme.
Für Unternehmen, die stark auf Content-Marketing setzen, kann auch eine datensparsame Alternative sinnvoll sein. Der BfDI nennt RSS-Feeds als Möglichkeit, Informationen bereitzustellen, ohne E-Mail-Adressen zu speichern. Für viele Zielgruppen ersetzt ein RSS-Feed keinen Newsletter, aber als zusätzlicher Kanal ist er datenschutzfreundlich und unabhängig.
Fazit: Newsletter funktionieren besser mit sauberem Vertrauen
Ein datenschutzfreundlicher Newsletter ist kein Wachstumshemmnis. Er schafft Vertrauen, reduziert Beschwerden und macht den Kanal belastbarer. Wer Einwilligungen sauber erhebt, Double-Opt-in dokumentiert, Tracking bewusst trennt und die Abmeldung einfach hält, kann E-Mail-Marketing deutlich entspannter betreiben.
Der beste nächste Schritt ist ein kurzer Praxischeck: Formular testen, Double-Opt-in-Nachweis ansehen, Tracking-Einstellungen prüfen und die Abmeldung einmal selbst durchspielen. Wenn diese vier Punkte stimmen, ist schon viel gewonnen. Danach sollten Datenschutzerklärung, Versanddienstleister und interne Löschfristen nachgezogen werden. So wird aus Newsletter-Marketing kein Datenschutz-Risiko, sondern ein sauber geführter Kommunikationskanal.
