Newsletter DSGVO-konform aufbauen: Checkliste 2026

Kurz gesagt: Werbe-E-Mails darfst du in der EU nur an Menschen senden, die vorher ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG) — und Art. 7 Abs. 1 DSGVO legt die Beweislast dafür auf dich als Absender. Double-Opt-in steht in keinem Gesetz, ist aber für die meisten Versender der einzige praktikable Weg, diesen Nachweis zu führen. Behandle es deshalb als Pflicht.

Die meisten Texte zu diesem Thema machen entweder Angst oder winken ab. Beides hilft nicht. Die ehrliche Lage ist eng und unspektakulär: Das Gesetz will drei Dinge — eine wirksame Einwilligung, einen Beleg dafür und einen Anbieter, mit dem du einen Vertrag hast. Wenn das einmal sitzt, kannst du aufhören, dir über deine Liste Sorgen zu machen. Hier ist die Checkliste, mit den Fundstellen zum Nachschlagen.

Die Regeln in einer Tabelle

Diese Vorschriften entscheiden, ob eine Verteilerliste in der EU haltbar ist. Alles Weitere in diesem Artikel ist nur Detail dazu, wie du sie erfüllst.

Was verlangt wird	Wo es steht	In der Praxis
Vorherige Einwilligung für Werbe-E-Mails	§ 7 Abs. 2 Nr. 2 UWG, Art. 6 Abs. 1 lit. a DSGVO	Keine Einwilligung, kein Versand — auch nicht an gekaufte oder gesammelte Adressen
Du musst die Einwilligung nachweisen können	Art. 7 Abs. 1 DSGVO	Bestätigungs-Spur je Abonnent speichern, nicht nur ein Häkchen-Status
Widerruf so einfach wie die Zustimmung	Art. 7 Abs. 3 DSGVO	Abmeldelink in jeder Mail, ohne Login, ohne Begründung
Information im Moment der Erhebung	Art. 13 DSGVO	Wer du bist, was du sendest, Speicherdauer, Widerrufsrecht — verlinkt am Formular
Vertrag mit dem E-Mail-Anbieter	Art. 28 DSGVO	Auftragsverarbeitungsvertrag (AVV) vor dem ersten Import
Verzeichnis von Verarbeitungstätigkeiten	Art. 30 DSGVO	Ein Eintrag, der die Newsletter-Verarbeitung beschreibt
Bußgeldrahmen bei Einwilligungsverstößen	Art. 83 Abs. 5 DSGVO	Bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes — je nachdem, was höher ist

Für kleine Versender ist das realistische Risiko aber nicht dieser Rahmen, sondern die Abmahnung: von einem Wettbewerber oder einem Verbraucherschutzverband nach dem UWG, mit Kosten und Unterlassungserklärung. Günstiger als ein Bußgeld — teuer genug, um einen Monat zu ruinieren.

Brauche ich wirklich Double-Opt-in?

Kein Gesetz nennt es beim Namen. Was das Gesetz nennt, ist die Nachweispflicht aus Art. 7 Abs. 1 DSGVO: Wird die Rechtmäßigkeit deines Versands bestritten, musst du zeigen, dass genau diese Person eingewilligt hat. Ein einfaches Opt-in liefert dir nur einen Formular-Eintrag — den jeder mit fremder Adresse hätte auslösen können. Das Double-Opt-in liefert dir einen Bestätigungsklick aus dem Postfach selbst. Genau deshalb bauen alle etablierten EU-Anbieter darauf auf.

Zwei Details gehen häufig schief. Erstens muss die Bestätigungsmail nüchtern bleiben: Deutsche Gerichte haben eine Bestätigungsmail, die zusätzlich Werbung transportiert, selbst als unerwünschte Werbung gewertet. Zweitens ist eine unbestätigte Adresse kein Abonnent — keine Erinnerungs-Serie hinterherschicken, und nach kurzer Karenzzeit löschen.

Wie eine wirksame Einwilligung aussieht

Die Einwilligung nach Art. 4 Nr. 11 und Art. 7 DSGVO muss freiwillig, für den bestimmten Fall, informiert und unmissverständlich sein. Übersetzt auf ein Anmeldeformular heißt das:

Standardmäßig nicht angehakt. Ein vorausgefülltes Kästchen ist keine Einwilligung und war es nie.
Konkret in dem, was kommt. „Newsletter mit Tipps und Angeboten zu X“ — nicht ein pauschales „Informationen“.
Getrennt von anderen Erklärungen. Den Newsletter nicht in die AGB oder in die Kaufbestätigung einbauen.
Nicht der Preis für etwas anderes. Wenn es den Lead-Magneten nur gegen eine Werbe-Einwilligung gibt, steht diese Einwilligung wackelig da (Art. 7 Abs. 4 DSGVO). Sicherer: Den Download bekommt jeder, der seine Adresse bestätigt — die Werbe-Einwilligung fragst du als eigenes, ehrliches Ja ab.
Jederzeit widerrufbar, und darauf musst du am Formular hinweisen (Art. 7 Abs. 3, Art. 13 DSGVO).

Was du Jahre später noch zeigen musst

Diesen Teil bauen fast alle zu dünn. Speichere je Abonnent, solange du ihn anschreibst und eine angemessene Zeit darüber hinaus:

Zeitstempel der Anmeldung und des Bestätigungsklicks
Die zu diesen beiden Zeitpunkten erfasste IP-Adresse
Den genauen Wortlaut des Einwilligungstextes, wie er an diesem Tag dastand
Die URL des Formulars und den versendeten Bestätigungslink

Jeder ernsthafte Anbieter protokolliert das automatisch. Bevor du dich festlegst: einen Testabonnenten anlegen und prüfen, ob sich diese Felder auch wirklich exportieren lassen — einige Tools zeigen sie in der Oberfläche, aber in keinem Export. Das weiß man besser vorher als im Ernstfall.

Das Bestandskundenprivileg — und was der EuGH geändert hat

§ 7 Abs. 3 UWG erlaubt dir, eigene Kunden ohne neue Einwilligung anzuschreiben — aber nur, wenn alle vier Voraussetzungen gleichzeitig vorliegen:

Du hast die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten
Du bewirbst ausschließlich eigene, ähnliche Waren oder Dienstleistungen
Du hast bei der Erhebung klar auf diese Verwendung hingewiesen
Jede Nachricht enthält eine kostenlose, einfache Widerspruchsmöglichkeit

Am 13. November 2025 hat der Gerichtshof der Europäischen Union in der Sache C-654/23 (Inteligo Media) die entsprechende Ausnahme in Art. 13 Abs. 2 der ePrivacy-Richtlinie weiter ausgelegt als viele erwartet hatten: Schon die Registrierung für einen kostenlosen Dienst kann jemanden in diesen Bereich holen, ein Kauf ist nicht zwingend nötig. Für Freemium-Modelle ist das eine echte Erleichterung — es betrifft aber nur die erste Voraussetzung. Die anderen drei müssen weiterhin erfüllt sein, Werbung an Nicht-Kunden braucht weiterhin eine Einwilligung, und die Weitergabe von Adressen an Dritte für deren Werbung erst recht.

Dein Anbieter ist Teil deiner Compliance

Verantwortlicher bleibst du, dein E-Mail-Tool ist Auftragsverarbeiter. Das heißt: AVV nach Art. 28 DSGVO, bevor der erste Kontakt importiert wird — jeder etablierte Anbieter stellt einen bereit, meist als Klickvertrag im Konto. Danach entscheiden zwei Fragen den Rest:

Wo liegen die Daten, und wer sind die Unterauftragsverarbeiter? Prüfe die aktuelle Unterauftragsverarbeiter-Liste des Anbieters, nicht einen Vergleichsartikel — auch nicht diesen. Nur die Liste ist auf dem heutigen Stand.
Wenn etwas davon die USA berührt: worauf stützt sich der Transfer? Der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 macht Übermittlungen an zertifizierte US-Unternehmen derzeit rechtmäßig. Er wird allerdings vor dem EuGH angegriffen — wer die freie Wahl hat, fährt mit einem rein EU-gehosteten Setup wartungsärmer.

Unter den Tools, die wir behandeln, ist KlickTipp^* das ausdrücklich auf den deutschen Markt gebaute und die übliche Antwort, wenn der Datenstandort den Ausschlag gibt. MailerLite^* (Litauen) und GetResponse^* (Polen) sind EU-Unternehmen mit AVV im Konto. Mit null Budget deckt Systeme.io^* Liste und Funnel in einem ab. Wer im DACH-Raum alles aus einer Hand will, findet in FunnelCockpit^* eine deutsche Komplettlösung — Details in unserem Erfahrungsbericht. Egal wofür du dich entscheidest: Hosting und Unterauftragsverarbeiter in den Unterlagen des Anbieters selbst nachlesen — das ist die Prüfung, nicht der Markenname. Alles Übrige zu den Tools steht in unserem Vergleich der fünf Anbieter.

Die fünf Fehler, die den meisten Ärger machen

Eine Liste importieren, die du nicht selbst aufgebaut hast. Einwilligungen wandern nicht mit einer Tabelle mit. Visitenkarten von der Messe sind ebenfalls keine Einwilligung.
Werbung in der Bestätigungsmail. Ein Satz, ein Button — mehr nicht.
Unbestätigte Adressen anschreiben. Das sind Interessenten in deinem Formular-Log, keine Abonnenten.
Abmeldung mit Login oder Begründung. Art. 7 Abs. 3 DSGVO will sie so einfach wie das Ja.
Den Inhalt ändern, ohne neu zu fragen. Die Einwilligung in einen wöchentlichen Tipp-Newsletter deckt keinen täglichen Angebots-Versand.

Fazit

Eine saubere Liste ist kein Rechtsprojekt, sondern vier Einstellungen und ein Vertrag. Formulierung am Formular korrigieren, Double-Opt-in einschalten, Export des Einwilligungs-Logs prüfen, AVV abschließen. Danach kannst du deine Aufmerksamkeit dorthin lenken, wo sie Geld bringt — dass die Post ankommt und gelesen wird. Genau das behandelt unser Zustellbarkeits-Ratgeber. Und wenn du noch keinen Anbieter hast: Unser kostenloses Tool-Quiz gibt dir in unter einer Minute eine Empfehlung.

Hinweis: Das ist allgemeine Orientierung, keine Rechtsberatung. Für deinen konkreten Fall — besonders bei B2B-Ansprache oder internationalen Listen — frag eine Anwältin oder einen Anwalt.

Häufige Fragen

Ist Double-Opt-in in der EU gesetzlich vorgeschrieben?

Nicht dem Namen nach. Vorgeschrieben ist der Nachweis der Einwilligung nach Art. 7 Abs. 1 DSGVO — und bei einer Web-Anmeldung ist Double-Opt-in die einzige Methode, die diesen Nachweis zuverlässig liefert, weil der Bestätigungsklick aus dem Postfach selbst kommt. Deshalb bauen alle etablierten EU-Anbieter darauf auf.

Darf ich Leute anschreiben, die mir eine Visitenkarte gegeben haben?

Eine Visitenkarte zu überreichen ist keine Einwilligung in Werbe-E-Mails. Sie eröffnet vielleicht ein Geschäftsgespräch, aber für einen Newsletter brauchst du entweder eine ausdrückliche Einwilligung oder alle vier Voraussetzungen des Bestandskundenprivilegs aus § 7 Abs. 3 UWG.

Wie lange muss ich die Einwilligungs-Nachweise aufbewahren?

Solange du an diese Adresse sendest, plus eine angemessene Zeit danach — denn die Nachweispflicht wird erst relevant, wenn jemand widerspricht. Nach der Abmeldung behältst du nur noch das Minimum, um die Einwilligung belegen und den Widerspruch beachten zu können, und sonst nichts.

Ist ein US-Anbieter unter der DSGVO erlaubt?

Ja, wenn der Transfer auf einer gültigen Grundlage steht — meist auf dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10. Juli 2023 oder auf Standardvertragsklauseln. Dieses Framework wird derzeit vor dem EuGH angegriffen; wer die freie Wahl hat, fährt mit einem EU-gehosteten Anbieter wartungsärmer.

Was passiert, wenn ich es falsch mache?

Art. 83 Abs. 5 DSGVO erlaubt Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Für kleine Versender sieht die Realität anders und näher aus: eine Abmahnung durch einen Wettbewerber oder einen Verbraucherschutzverband, mit Kosten und Unterlassungserklärung.