Newsletter und DSGVO klingt nach Aktenordnern. Es sind zehn Punkte. Zu jedem steht hier, was zu tun ist und welchen Nachweis du dafür brauchst, denn im Streit musst du belegen, nicht die andere Seite. Das Warum hinter jedem Punkt steht im DSGVO-Leitfaden. Das ist eine Einordnung, keine Rechtsberatung.
Die zehn Punkte
- Double-Opt-in. Schreib nur Leute an, die zugestimmt und die Anmeldung per Klick bestätigt haben. Keine vorausgefüllten Häkchen, keine gekauften Listen. Nachweis: der Klick auf den Bestätigungslink. So geht Double-Opt-in
- Einwilligung dokumentieren. Wer hat wann wofür zugestimmt, mit Zeitstempel und dem Text, dem zugestimmt wurde. Nachweis: das Protokoll je Adresse. Es bleibt, solange du sendest, und danach bis zur Verjährung, meist drei Jahre.
- Auftragsverarbeitungsvertrag. Sobald ein Anbieter deine Adressen verarbeitet, brauchst du ihn (Art. 28 DSGVO). Nachweis: der Vertrag mit Datum und die Liste der Subunternehmer des Anbieters.
- Abmeldelink in jeder Mail. Sichtbar, ein Klick, kein Login, sofort wirksam. Nachweis: eine Mail aus deinem Archiv.
- Ein-Klick-Abmeldung im Header. Der List-Unsubscribe-Header nach RFC 8058 setzt den „Abbestellen“-Knopf ins Postfach. Gmail und Yahoo verlangen ihn seit 2024, Microsoft seit Mai 2025. Gmail weist Massenmails ohne ihn seit November 2025 ab. Nachweis: „Original anzeigen“ in Gmail zeigt den Header.
- Impressum im Footer. Name, Anschrift, E-Mail-Adresse, bei Firmen Rechtsform, Vertretung und Registernummer. Nachweis: die Mail selbst.
- Nur das Nötige abfragen. Die E-Mail-Adresse reicht. Alles andere ist freiwillig und steht so dabei. Nachweis: ein Bild deines Formulars mit Datum.
- Messen nur mit Einwilligung. Wer wissen will, welche Person geöffnet und geklickt hat, verarbeitet personenbezogene Daten. Hol die Einwilligung im Satz am Formular ein oder zähl anonym. Nachweis: der Formulartext.
- Löschen, was du nicht mehr brauchst. Wer sich abmeldet, verschwindet aus der Liste. Bleiben darf der Eintrag auf der Sperrliste, damit du die Adresse nicht versehentlich wieder hochlädst. Nachweis: ein Satz in der Datenschutzerklärung.
- Sauber versenden. SPF, DKIM und DMARC einrichten und die Beschwerdequote unter 0,1 Prozent halten. Bei 0,3 Prozent weist Gmail ab. Das steht nicht in der DSGVO, aber ohne das kommt der Newsletter nicht an. Nachweis: die drei DNS-Einträge. SPF, DKIM und DMARC erklärt
Vier Irrtümer, die Abmahnungen kosten
- „Bestandskunden darf ich immer anschreiben.“ Nur unter vier Bedingungen (§ 7 Abs. 3 UWG): Adresse beim Verkauf erhalten, nur eigene ähnliche Produkte, kein Widerspruch, Abmeldehinweis beim Erheben und in jeder Mail. Der EuGH hat am 13. November 2025 (C-654/23, Inteligo Media) bestätigt, dass ein kostenloses Nutzerkonto als Verkauf zählen kann. Die anderen drei Bedingungen bleiben.
- „Im B2B gilt das nicht.“ Doch. § 7 UWG unterscheidet nicht zwischen Privatleuten und Firmen. Auch info@firma.de braucht eine Einwilligung.
- „Die Visitenkarte ist die Einwilligung.“ Nein. Wer dir auf der Messe seine Karte gibt, will kontaktiert werden, nicht in eine Liste. Frag per Einzelmail und lass bestätigen.
- „Unsere Mitglieder haben ja zugestimmt.“ Vereinsnachrichten an Mitglieder gehen über die Mitgliedschaft, Werbung von Sponsoren nicht. Mehr im Beitrag Newsletter für Vereine.
Was bemailed davon erledigt
- Double-Opt-in und Nachweis sind für Anmeldungen über Formular und Anmeldeseite immer an. Der Klick wird mit Zeitstempel gespeichert (Punkte 1 und 2).
- Der Auftragsverarbeitungsvertrag liegt im Konto, ohne Anfrage und ohne Unterschrift per Post, mit Liste der Subunternehmer (Punkt 3).
- Abmeldelink und List-Unsubscribe-Header stecken in jeder Mail. Die Abmeldung wirkt sofort (Punkte 4 und 5).
- Das Impressum wird aus deinen Firmendaten angehängt (Punkt 6).
- Abgemeldete Adressen landen auf der Sperrliste und werden beim nächsten Hochladen abgefangen (Punkt 9).
- SPF, DKIM und DMARC richtest du einmal geführt ein. bemailed prüft die Einträge (Punkt 10).
- Beim Hochladen einer Liste bestätigst du, dass die Adressen rechtmäßig erhoben sind. Ohne diese Bestätigung legt bemailed keine an, und ein Import löst nie eine Mail aus.
Bei dir bleiben der Satz am Formular (Punkte 7 und 8) und eine gepflegte Liste. Beides dauert einmal zehn Minuten.
Häufige Fragen
Was muss ein Newsletter erfüllen, damit er der DSGVO entspricht?
Eine belegbare Einwilligung per Double-Opt-in, einen Auftragsverarbeitungsvertrag mit dem Anbieter, einen Abmeldelink in jeder Mail und ein Impressum. Dazu ein Formular, das nur das Nötige abfragt, eine Einwilligung, wenn du personenbezogen misst, eine Löschregel und am besten Server in der EU. Die zehn Punkte unten nennen zu jedem den Nachweis.
Reicht ein einfaches Opt-in?
Nimm Double-Opt-in. Nur so lässt sich die Einwilligung belegen, und die Beweislast liegt bei dir. Ein Opt-in ohne Bestätigung kannst du im Streit kaum nachweisen.
Darf ich Bestandskunden ohne Einwilligung anschreiben?
Unter vier Bedingungen (§ 7 Absatz 3 UWG): Du hast die Adresse beim Verkauf bekommen, du bewirbst nur eigene ähnliche Produkte, die Person hat nicht widersprochen, und du hast beim Erheben und in jeder Mail auf die Abmeldung hingewiesen. Der EuGH hat am 13. November 2025 entschieden, dass auch ein kostenloses Nutzerkonto als Verkauf zählen kann. Fehlt eine Bedingung, brauchst du die Einwilligung.
Muss in jeder Mail ein Abmeldelink stehen?
Ja, in jeder Werbe-Mail, sichtbar und ohne Login. Dazu der List-Unsubscribe-Header nach RFC 8058, mit dem sich Leser direkt im Postfach abmelden. Gmail, Yahoo und Microsoft verlangen ihn von größeren Absendern.
Brauche ich für Öffnungs- und Klickmessung eine Einwilligung?
Wenn du misst, wer geöffnet und geklickt hat, ja. Die Aufsichtsbehörden sehen darin eine Verarbeitung, die eine Einwilligung braucht. Hol sie im Satz am Anmeldeformular ein. Ohne sie bleibt die anonyme Zählung.
Was kostet ein Verstoß?
Die Obergrenze liegt bei 20 Millionen Euro oder 4 Prozent des Jahresumsatzes. Kleine Absender trifft es über Abmahnungen, wegen fehlender Einwilligung oder fehlendem Abmeldelink, oft vierstellig, dazu die Unterlassungserklärung mit Vertragsstrafe.