E-Mail-Marketing und DSGVO – was ein deutsches Unternehmen tatsächlich tun muss

Die DSGVO verbietet E-Mail-Marketing nicht. Sie verlangt drei Dinge: dass der Abonnent eingewilligt hat, dass Sie das nachträglich nachweisen können und dass Sie wissen, wo die Liste physisch liegt. Die ersten beiden sind Praxis, das dritte ist eine Toolwahl – und dort geht die häufigste Annahme fehl. Die DSGVO gilt in Deutschland unmittelbar, das BDSG ergänzt sie, und wann E-Mail-Werbung eine Einwilligung braucht, regelt das Gesetz gegen den unlauteren Wettbewerb (UWG).

1. Einwilligung: was sie ist und was nicht

Die Verordnung definiert die Einwilligung als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung“ (Artikel 4 Nr. 11). In der Praxis bedeutet das vier Dinge auf dem Formular:

• Sagen, was abonniert wird. „Newsletter abonnieren“ reicht, wenn daneben steht, was der Brief enthält und wie oft er kommt.
• Keine vorangekreuzten Kästchen. Die Einwilligung muss eine bestätigende Handlung sein – wer nichts tut, hat nicht eingewilligt.
• Keine Kopplung. Die Newsletter-Anmeldung darf keine Bedingung für eine Bestellung oder den Download eines Leitfadens sein, die sich nicht überspringen lässt.
• Abmeldung in jeder Nachricht. Einen Klick entfernt, nicht hinter einem Login. Artikel 7 Abs. 3 der Verordnung: „Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.“

Double-Opt-in (der Abonnent klickt einen Bestätigungslink in der E-Mail) ist nicht vorgeschrieben, aber der einfachste Weg, die Nachweispflicht zu erfüllen – und es hält die Liste frei von Tippfehlern und Anmeldungen mit fremden Adressen.

Die Regel kommt von zwei Stellen, und die Verwirrung rührt meist daher. Die Anforderungen an die Qualität der Einwilligung stehen in der DSGVO, aber wann E-Mail-Werbung überhaupt eine Einwilligung braucht, steht im UWG. § 7 Abs. 2 Nr. 2 lautet wörtlich: Eine unzumutbare Belästigung ist stets anzunehmen

„bei Werbung unter Verwendung einer automatischen Anrufmaschine, eines Faxgerätes oder elektronischer Post, ohne dass eine vorherige ausdrückliche Einwilligung des Adressaten vorliegt“.

Gesetzestext am 13.9.2026 in der geltenden Fassung bei gesetze-im-internet.de gelesen.

Beachten Sie das Wort Adressaten. Die deutsche Regel schützt nicht nur Verbraucher, sondern jeden Empfänger – auch die Adresse eines Unternehmens. Werbung per E-Mail an andere Unternehmen braucht in Deutschland also ebenfalls eine ausdrückliche Einwilligung.

Die Ausnahme ist enger, als sie meist wiedergegeben wird

Die Ausnahme für Bestandskunden wird oft als „Kunden darf man bewerben“ wiedergegeben. § 7 Abs. 3 UWG nennt vier Voraussetzungen, und alle müssen erfüllt sein:

1. „ein Unternehmer im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von dem Kunden dessen elektronische Postadresse erhalten hat,“
2. „der Unternehmer die Adresse zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet,“
3. „der Kunde der Verwendung nicht widersprochen hat und“
4. „der Kunde bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich darauf hingewiesen wird, dass er der Verwendung jederzeit widersprechen kann, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.“

Zitate: § 7 Abs. 3 UWG, gelesen am 13.9.2026.

Auf das Widerspruchsrecht muss also zweimal hingewiesen werden: im Moment der Erhebung der Adresse und in jeder einzelnen Nachricht. Das Wort alle entscheidet, und zwei häufige Situationen scheitern daran. Eine bei einem Gewinnspiel oder beim Download eines Leitfadens hinterlassene Adresse erfüllt die erste Voraussetzung nicht, weil sie nicht im Zusammenhang mit einem Verkauf erhalten wurde. Werbung für das Produkt eines Partners oder für Ihren eigenen neuen Produktbereich erfüllt die zweite nicht. In beiden Fällen braucht es eine Einwilligung, und die holt man leichter bei der Erhebung der Adresse ein, als sie nachträglich zu reparieren.

Zwei weitere Regeln gelten für jede Nachricht. § 7 Abs. 2 Nr. 3 UWG verbietet Nachrichten, bei denen „die Identität des Absenders … verschleiert oder verheimlicht wird“ oder „keine gültige Adresse vorhanden ist, an die der Empfänger eine Aufforderung zur Einstellung solcher Nachrichten richten kann“. Und § 5a Abs. 4 UWG nennt es unlauter, „den kommerziellen Zweck einer geschäftlichen Handlung nicht kenntlich“ zu machen. Das betrifft Betreffzeile und Absendernamen: Eine Nachricht, die als persönliche Antwort, Rechnung oder Systemhinweis verkleidet ist, verstößt gegen diese Regeln, egal ob die Einwilligung in Ordnung ist.

2. Nachweispflicht: Datum und Quelle speichern

Eine Einwilligung, die sich nicht beweisen lässt, ist dasselbe wie keine Einwilligung. Artikel 7 Abs. 1 der Verordnung: „Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Für jeden Kontakt müssen mindestens das Anmeldedatum und die Angabe vorhanden sein, über welches Formular die Anmeldung kam.

Daraus folgt eine praktische Regel, die am häufigsten vergessen wird: Wenn Sie das Tool wechseln, nehmen Sie Anmeldedatum und Anmeldequelle in die Exportdatei auf. Ziehen Sie nur die E-Mail-Adressen um, stehen Sie nach dem Umzug mit einer Liste da, die existiert, aber einer Einwilligung, die sich in keiner Weise nachweisen lässt.

3. Wo die Daten liegen – hier geht die Annahme fehl

Die verbreitete Auffassung ist, dass E-Mail-Tools amerikanisch sind und die Liste automatisch auf der anderen Seite des Atlantiks landet. Wir haben am 3.9.2026 die Datenschutzerklärungen von sieben Tools durchgesehen, und das Bild ist ein anderes: Fünf von sieben speichern die Listendaten in der EU.

← wischen →

Quelle: die eigene Datenschutzerklärung jedes Dienstes, gelesen am 3.9.2026. Wird alle 90 Tage erneut geprüft – Unternehmensstrukturen und Rechenzentren ändern sich.

Beachten Sie eine Nuance: Vertragspartner und Datenstandort sind zwei verschiedene Dinge. EmailOctopus ist ein britisches Unternehmen, die Listen liegen aber in Irland; bei MailerLite wird der Vertrag für EWR-Kunden mit einem irischen Unternehmen geschlossen, obwohl der Konzern auch ein amerikanisches hat. Keines von beidem sagt allein, wo die Liste liegt – das steht in der Erklärung.

Was Sie im Tool prüfen sollten, bevor Sie es einsetzen

1. Finden Sie Anmeldedatum und -quelle in den Angaben zu einem einzelnen Kontakt? Suchen Sie das jetzt einmal, nicht in dem Moment, in dem jemand fragt.
2. Wird der Kontakt vollständig gelöscht oder nur aus der Liste? Das Recht auf Löschung bedeutet, dass die Daten gelöscht werden, nicht, dass das Abonnement endet.
3. Bekommen Sie die Liste heraus, und in welchem Format? Gibt es keinen Export, sind Sie eingesperrt.
4. Gibt es einen Auftragsverarbeitungsvertrag? Suchen Sie in den Kontoeinstellungen oder den Nutzungsbedingungen – bei manchen ist er Teil der Bedingungen, bei anderen wird er gesondert angenommen.
5. Wo die Daten liegen – die Tabelle oben, oder die eigene Erklärung des Dienstes, wenn das Tool nicht in unserem Vergleich ist.

Tools, bei denen die Liste in der EU bleibt

← wischen →

Preise ohne MwSt., bei monatlicher Abrechnung, sofern nicht anders angegeben.(Werbung) = Werbelink

• Der Preis ist der Monatspreis der günstigsten kostenpflichtigen Stufe bei dieser Listengröße. Die Spalte Kostenlose Version zeigt, wann nichts zu zahlen ist.
• EmailOctopus: Die Preisliste nennt nur den Monatspreis bei jährlicher Abrechnung. Monatliche Abrechnung kostet mehr.
• GetResponse: Die kleinste verkaufte Liste umfasst 1 000 Kontakte, deshalb steht in der Spalte für 500 Kontakte dieser Preis.

Der Auftragsverarbeitungsvertrag: das Papier, an das niemand denkt

Wenn Sie ein E-Mail-Tool nutzen, verarbeitet es die personenbezogenen Daten der Abonnenten in Ihrem Auftrag. Verantwortlicher sind Sie, Auftragsverarbeiter ist der Dienst – und zwischen Ihnen muss ein schriftlicher Vertrag darüber bestehen, was der Auftragsverarbeiter tun darf. Auf Englisch heißt er DPA (data processing agreement).

Der Vertrag tritt nicht immer von selbst in Kraft: Bei manchen Diensten ist er Teil der Nutzungsbedingungen, bei anderen muss er in den Kontoeinstellungen gesondert angenommen werden. Wir haben den Vertrag jedes Dienstes im Vergleich nicht auf Kontoebene geprüft und behaupten dazu deshalb nichts für alle – prüfen Sie das, während Sie das Tool einrichten, nicht in dem Moment, in dem ein Kunde fragt.

Dasselbe gilt für Ihr eigenes Verzeichnis von Verarbeitungstätigkeiten. Artikel 30 Abs. 5 der Verordnung nimmt Unternehmen mit weniger als 250 Mitarbeitern von der Pflicht aus, aber die Ausnahme entfällt aus drei Gründen: wenn die Verarbeitung ein Risiko für die Rechte der betroffenen Personen birgt, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder wenn besondere Datenkategorien verarbeitet werden. Eine regelmäßig gepflegte Marketingliste trifft den mittleren Grund, die Ausnahme gilt für sie also nicht.

Drei Dinge, die Sie im Vertrag lesen sollten:

• Unterauftragsverarbeiter. Der Auftragsverarbeiter nutzt eigene Subunternehmer (Rechenzentrum, Support-Tools, KI-Dienste). Die Liste steht in der Regel auf einer eigenen Seite, und sie ändert sich – der Dienst muss Änderungen ankündigen, und Sie müssen Ihre eigene Erklärung entsprechend aktualisieren.
• Übermittlungen aus der EU/dem EWR. Der Vertrag sagt, auf welcher Grundlage Daten in Drittländer übermittelt werden. Das ist der Punkt, der bei den Diensten mit Speicherung in der EU am kürzesten ist.
• Was nach der Kündigung geschieht. Wie lange die Daten nach Schließung des Kontos aufbewahrt werden und ob Sie sie vorher herausbekommen.

Eine praktische Merkregel: Wechseln Sie das Tool, wechselt der Auftragsverarbeiter – und der steht namentlich in Ihrer eigenen Datenschutzerklärung. Die Erklärung wird im selben Arbeitsgang aktualisiert, nicht später.

Abmeldung mit einem Klick ist nicht mehr nur eine gesetzliche Pflicht

Das Gesetz verlangt, dass der Werbung in jeder Nachricht ohne Kosten widersprochen werden kann. Seit Februar 2024 ist dasselbe auch eine technische Anforderung der Postfächer, und das ist eine interessante Kombination: Derselbe Handgriff erfüllt sowohl die gesetzliche Pflicht als auch die Bedingung für Zustellbarkeit.

Google und Yahoo verlangen von allen, die mindestens 5 000 Nachrichten am Tag versenden, dass Marketingnachrichten die Abmeldung mit einem Klick nach RFC 8058 unterstützen. In der Praxis heißt das: Die Abmeldung erfolgt direkt über den Knopf im E-Mail-Programm, und dem Empfänger darf keine gesonderte Bestätigung auf einer Landingpage abverlangt werden. Yahoo setzt zusätzlich eine Frist: Die Abmeldung muss innerhalb von zwei Tagen umgesetzt sein. Beide verlangen auch, dass die Spam-Beschwerderate unter 0,30 Prozent bleibt.

Für Leser folgt daraus eine Prüfung: Sehen Sie nach, was Ihr eigener Abmeldelink tut. Führt er auf eine Seite, auf der man sich noch anmelden oder die Wahl bestätigen muss, ist das ein Rechtsproblem und ein Zustellproblem zugleich. Die Anforderungen und was sie für die Toolwahl bedeuten sind im Vergleich durchgegangen: was Gmail und Yahoo vom Absender verlangen.

Die vier häufigsten Fehler

• Alte Liste direkt ins neue Tool. Abgemeldete und tote Adressen, die mitkommen, schaden der Zustellbarkeit genau dann, wenn der neue Absender seinen Ruf aufbaut.
• Einwilligung für einen Zweck eingeholt, für einen anderen verwendet. Die Teilnahme an einem Gewinnspiel ist keine Newsletter-Anmeldung, wenn es nicht ausdrücklich gesagt wird.
• Abmeldelink, der ein Login verlangt. Die Abmeldung muss mit einem Klick gelingen.
• Tool gewechselt, Erklärung nicht. Der Auftragsverarbeiter steht namentlich in der Erklärung; beim Toolwechsel wird die Erklärung im selben Arbeitsgang aktualisiert.

Was diese Seite nicht ist

Dies ist eine praktische Checkliste, keine Rechtsberatung. Die Regeln für elektronische Werbung kommen aus dem UWG und der DSGVO, und ihre Anwendung hängt davon ab, wen Sie bewerben und wie die Adressen erhoben wurden. Im Zweifel sind die Quellen der Gesetzestext und die Datenschutzaufsichtsbehörde Ihres Bundeslandes – und die Auslegungen werden fortgeschrieben.