DSGVO-konformer Newsletter: Der komplette Leitfaden für 2026

Die Liste gehört dir. Kein Algorithmus redet mit, wenn du deinen Lesern schreibst. Dafür gibt es in Deutschland und der EU Regeln, aus der DSGVO, dem UWG und den Vorgaben der großen Postfächer. Wer sie kennt, versendet ruhig. Hier sind die acht Regeln mit dem Stand von September 2026. Das ist eine Einordnung, keine Rechtsberatung.

1. Die Einwilligung

Du darfst nur an Leute senden, die vorher zugestimmt haben (§ 7 Abs. 2 Nr. 2 UWG). Der sichere Weg ist das Double-Opt-in. Nach der Anmeldung schickst du eine Mail mit Link, und erst der Klick darauf schaltet den Newsletter frei. Der Klick ist zugleich dein Beleg. Der Bundesgerichtshof hat das Verfahren 2011 als Nachweis anerkannt.

• Keine vorausgefüllten Häkchen. Die Person handelt selbst.
• Speichere den Text. Nicht nur Zeitpunkt und Adresse, auch den Wortlaut, dem zugestimmt wurde.
• Keine gekauften Listen.

Die Ausnahme für Bestandskunden: § 7 Abs. 3 UWG erlaubt Werbung ohne Einwilligung, wenn vier Bedingungen zusammenkommen. Adresse beim Verkauf erhalten, nur eigene ähnliche Produkte, kein Widerspruch, Abmeldehinweis beim Erheben und in jeder Mail. Am 13. November 2025 hat der EuGH (C-654/23, Inteligo Media) entschieden, dass auch ein kostenloses Nutzerkonto als Verkauf zählen kann. Das erweitert die Ausnahme auf Plattformen mit Gratis-Konto. Die anderen drei Bedingungen bleiben, und die Beweislast liegt bei dir. Mehr im Beitrag zu Double-Opt-in.

2. Der Auftragsverarbeitungsvertrag

bemailed oder ein anderer Anbieter speichert und verschickt Adressen in deinem Auftrag. Dafür verlangt Art. 28 DSGVO einen Vertrag, der festlegt, dass der Anbieter die Daten nur so nutzt, wie du es bestimmst. Ein guter Anbieter legt ihn dazu, statt ihn zu berechnen. Er liegt im Konto, mit Datum und Version. Und es gibt eine Liste der Subunternehmer für Server, Versand und Zahlung.

3. Der Hinweis am Formular

Schreib ans Formular, wer die Daten wofür verarbeitet, wie oft der Newsletter kommt und wie man ihn wieder los wird, mit Link zur Datenschutzerklärung. Frag nur die E-Mail-Adresse ab. Ein Muster steht im Beitrag zum Anmeldeformular.

4. Der Abmeldelink

Jede Mail braucht einen Abmeldelink, ohne Login, mit sofortiger Wirkung. Abmelden muss so leicht gehen wie Anmelden. Dazu kommt der List-Unsubscribe-Header nach RFC 8058, eine unsichtbare Angabe, mit der Gmail und andere oben einen Abbestellen-Knopf zeigen. Gmail und Yahoo verlangen ihn seit 2024, Microsoft seit Mai 2025. Gmail weist Massenmails ohne ihn seit November 2025 ab. Ein sauberer Abmeldeweg hilft auch der Zustellung, weil weniger Leute zum Spam-Knopf greifen. Die Technik erklärt der Beitrag zu SPF, DKIM und DMARC.

5. Der Datenstandort

Liegen die Daten außerhalb der EU, brauchst du eine Rechtsgrundlage für die Übermittlung. Für die USA ist das seit Juli 2023 das EU-US Data Privacy Framework. Das Gericht der EU hat es im September 2025 bestätigt (Latombe, T-553/23), der Kläger hat Berufung beim EuGH eingelegt (C-703/25 P), ein Urteil steht aus. Bis dahin gilt der Rahmen. Der EuGH hat allerdings die beiden Vorgänger, Safe Harbor und Privacy Shield, gekippt. Wer in der EU hostet, muss das nicht verfolgen. Und auch dann solltest du wissen, was trotzdem in die USA geht. Bei bemailed sind das die Texte für Smart Mail, nicht die Adressen, abgesichert über Standardvertragsklauseln und im Vertrag benannt.

6. Das Impressum

Ein Newsletter ist geschäftliche Kommunikation und braucht eine Anbieterkennzeichnung: Name, Anschrift, E-Mail-Adresse, bei Firmen Rechtsform, Vertretung und Registernummer. Fehlt sie, ist das ein beliebter Anlass für Abmahnungen, obwohl es in zwei Minuten erledigt ist.

7. Das Messen

Fast jeder Anbieter zeigt, wer geöffnet und geklickt hat. Das ist eine Verarbeitung personenbezogener Daten, und die Aufsichtsbehörden verlangen dafür eine Einwilligung, nicht nur einen Hinweis. Zwei saubere Wege: Du holst die Einwilligung im Satz am Formular ein, etwa „Wir werten aus, welche Mails geöffnet und welche Links geklickt werden“, oder du zählst anonym, ohne Zuordnung zur Person. Heimlich messen und es in der Datenschutzerklärung verstecken geht nicht.

8. Auskunft und Löschen

Leser dürfen fragen, was du über sie gespeichert hast (Art. 15 DSGVO), und die Löschung verlangen (Art. 17). Wer sich abmeldet, verschwindet aus der Liste. Bleiben darf, was du zum Nachweis brauchst: der Eintrag auf der Sperrliste und das Protokoll der Einwilligung, bis mögliche Ansprüche verjährt sind. Schreib die Regel in die Datenschutzerklärung und halt dich daran.

Die kurze Liste

• Double-Opt-in, gespeichert mit Text der Einwilligung
• Auftragsverarbeitungsvertrag mit Liste der Subunternehmer
• Hinweis am Formular, nur die Adresse als Pflichtfeld
• Abmeldelink und List-Unsubscribe-Header in jeder Mail
• Server in der EU, und Klarheit darüber, was trotzdem in die USA geht
• Impressum im Fuß
• Einwilligung fürs Messen
• Löschregel für Abgemeldete, Sperrliste für den Nachweis

Was bemailed davon erledigt

• Double-Opt-in ist für Anmeldungen über Formular und Anmeldeseite an und wird mit Datum und Uhrzeit gespeichert.
• Der Auftragsverarbeitungsvertrag liegt im Konto, ohne Anfrage und ohne Unterschrift per Post, mit Liste der Subunternehmer.
• Abmeldelink und List-Unsubscribe-Header stecken in jeder Mail. Die Abmeldung wirkt sofort, die Adresse geht auf die Sperrliste.
• Adressen und Versand liegen in Frankfurt. Nur die Texte gehen für Smart Mail an Sprachmodelle in den USA.
• Das Impressum wird aus deinen Firmendaten angehängt.
• Beim Hochladen einer Liste bestätigst du, dass die Adressen rechtmäßig erhoben sind. Ohne diese Bestätigung legt bemailed keine an, und ein Import löst nie eine Mail aus.

Bei dir bleiben der Satz am Formular und die Einwilligung fürs Messen. Was bemailed kann, steht auf der Infoseite, den Vergleich mit anderen Anbietern findest du unter Anbieter im Vergleich.

Hinweis: Allgemeine Orientierung, keine Rechtsberatung. Im Zweifel hilft eine auf IT-Recht spezialisierte Kanzlei.