Praxistipps
06. März 2026  

Rechtssicheres E-Mail-Marketing: DSGVO, UWG, TDDDG & DDG einfach erklärt

Gerade in der heutigen, digital geprägten Welt ist es wichtig, die Rechte der betroffenen Personen zu schützen und Transparenz zu schaffen. Für Newsletter und Kampagnen heißt das: Du brauchst klare Rechtsgrundlagen, saubere Prozesse und belastbare Nachweise.

In diesem Beitrag stellen wir Dir die wichtigsten gesetzlichen Grundlagen aus dem DSGVO, UWG, TDDDG und DDG für Dein E-Mail-Marketing vor und zeigen, was sie konkret für Deine Anmelde- und Versandprozesse bedeuten. Am Ende findest Du eine Praxis-Checkliste, mit der Du Dein E-Mail-Marketing Schritt für Schritt auf Rechtssicherheit prüfen kannst. 

Rechtssicheres E-Mail-Marketing beginnt nicht erst bei der juristischen Prüfung einzelner Mailings. Es beginnt dort, wo Unternehmen Prozesse, Datenflüsse und Technologien so aufsetzen, dass Risiken gar nicht erst entstehen.

Inhaltsverzeichnis

Rechtlicher Hinweis

Die Inxmail GmbH übernimmt keine Haftung für die Richtigkeit, Vollständigkeit und Aktualität der in diesem Beitrag bereitgestellten Informationen. Die Informationen sind insbesondere allgemeiner Art und stellen keine Rechtsberatung im Einzelfall dar. Zur Lösung konkreter Rechtsfälle und Fragen konsultiere bitte unbedingt eine·n Rechtsanwält·in.  

DSGVO im E-Mail-Marketing: Grundlagen, Pflichten & Beispiele

Die Datenschutz-Grundverordnung (DSGVO) regelt seit dem 25. Mai 2018 europaweit, wie personenbezogene Daten verarbeitet werden dürfen. 
Im Kern verfolgt sie das Ziel, Transparenz und Sicherheit zu erhöhen und gleichzeitig die Rechte betroffener Personen zu stärken. 
Für Marketing- und CRM-Teams hat das ganz konkrete Auswirkungen im Alltag: Jede Verarbeitung braucht eine klare Rechtsgrundlage, Einwilligungen müssen nachvollziehbar und nachweisbar dokumentiert sein, und es gilt der Grundsatz der Datenminimierung, also nur so viele Daten zu erheben und zu nutzen, wie wirklich erforderlich sind. Zusätzlich müssen geeignete technische und organisatorische Maßnahmen (TOMs) umgesetzt werden, damit Daten geschützt bleiben, und es braucht verlässliche Prozesse, um Betroffenenrechte wie Auskunft, Löschung, Widerspruch und Widerruf sauber und fristgerecht zu erfüllen.

Folgende Themen werden im DSGVO-Kapitel nacheinander behandelt: Betroffenenrechte, personenbezogene Daten, Datenschutzbeauftragte, Pseudonymisierung und Datenminimierung, Einwilligungserklärungen, Double-Opt-in (DOI) sowie die Auftragsverarbeitung und der Drittlandtransfer.

Betroffenenrechte: Auskunft, Berichtigung, Löschung, Widerspruch & Widerruf

Die DSGVO stärkt die Personen, deren Daten Du verarbeitest. Das E-Mail-Marketing wird zu sauberen Prozessen zur Auskunft, Berichtigung/Löschung, zum Widerspruch gegen Direktwerbung sowie zum Widerruf von Einwilligungen verpflichtet. 

 

Auskunft (Art. 15 DSGVO)

Nach Art. 15 DSGVO haben Betroffene das Recht zu erfahren,

  • ob und gegebenenfalls welche personenbezogenen Daten über sie bei einem Unternehmen gespeichert sind.
  • wer diese Daten einsehen kann.
  • wie lang sie gespeichert sind (bzw. die Kriterien für die Speicherdauer).  
  • ob die Daten an eine Stelle außerhalb der EU übermittelt werden.  

Auf Verlangen musst Du, wenn eine solche Anfrage bei Dir eingeht, der betroffenen Person auch eine Kopie ihrer personenbezogenen Daten zur Verfügung stellen, was in der Praxis oft nicht so einfach ist. 

Berichtigung & Löschung („Recht auf Vergessenwerden“)

Nach Art. 16 und 17 dürfen Berechtigte fordern,  

  • dass ihre bei einem Unternehmen gespeicherten Daten berichtigt werden – natürlich nur, wenn sie zu der Zeit nicht richtig sind.  
  • Ebenso kann eingefordert werden, dass die Daten gelöscht werden – sofern dies keiner Aufbewahrungspflicht entgegensteht oder das Unternehmen die Daten noch zur Vertragserfüllung benötigt.

Das ist an sich nichts Neues, aber eine inhaltliche Veränderung bringt die DSGVO auf jeden Fall: Anders als im BDSG (§ 3 Abs. 4 Nr. 5), findet sich in der DSGVO keine ausdrückliche Definition der Anforderung an „Löschen“ (von Daten) mehr.  

In Art. 4 Nr. 2 DSGVO allerdings finden sich die Begriffe „Löschen“ und „Vernichtung“ nebeneinander, sodass der Gesetzgeber davon ausgehen muss, dass Löschen keine Vernichtung erfordert. Solange und soweit das datenspeichernde Unternehmen zur Aufbewahrung gesetzlich verpflichtet ist, ist diese Aufbewahrung logischerweise auch zulässig. Dem Gedanken des Löschungsersuchens gemäß müssen Daten aber durchaus für den gewöhnlichen Gebrauch unbenutzbar gemacht werden. Das bedeutet, dass Du Deiner Löschpflicht genügen kannst, wenn Du Betroffenendaten Deinem üblichen Backup-Turnus gemäß „löschst“ und die Daten dann dementsprechend erst im normalen Verlauf vernichtet werden.

Hinter dem Recht auf Vergessenwerden verbirgt sich die Löschpflicht, die der europäische Datenschutz nach der DSGVO für Unternehmen vorsieht. Diese beschreibt, dass personenbezogene Daten unverzüglich zu löschen sind, wenn die betroffene Person dies fordert. Damit Unternehmen schnell auf eine Löschanfrage reagieren können, ist es ratsam zu dokumentieren, welche personenbezogene Daten gespeichert und verarbeitet werden, woher diese stammen und an wen die Daten weitergegeben wurden. 

Widerspruch gegen Direktwerbung (Art. 21 DSGVO)

Betroffene können der Verarbeitung ihrer personenbezogenen Daten aus Gründen, die sich aus ihrer besonderen Situation ergeben, widersprechen, wenn sie auf öffentlichem Interesse oder Interessenabwägung beruht. Das geht aus Artikel 21 DSGVO hervor. Für Direktwerbung (z. B. Newsletter, Profiling zur Personalisierung) gilt sogar:

  • Der Widerspruch ist jederzeit ohne Begründung möglich.  
  • Ab diesem Zeitpunkt dürfen die Daten für diese Zwecke nicht mehr genutzt werden – inklusive werblichem Profiling.  

In der Praxis ist das oft nicht trivial, weil der Widerspruch in allen Systemen (ESP/CRM/Tracking) konsistent ankommen und künftige Zusendungen zuverlässig verhindern muss.

Widerruf der Einwilligung (Art. 7 DSGVO)

Hat jemand zuvor eingewilligt (etwa in den Erhalt von Werbe-E-Mails oder in Tracking), kann diese Einwilligung jederzeit widerrufen werden (Art. 7 der DSGVO). Wichtig:

  • Der Widerruf wirkt für die Zukunft und muss mindestens so einfach sein wie die Erteilung (etwa über einen klar erkennbaren Abmeldelink).  
  • Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.  

In der Praxis ist das besonders bei mehreren Einwilligungen (z. B. Newsletter-Opt-in und separates Tracking-Opt-in) herausfordernd, weil der Widerruf gezielt die jeweils betroffene Verarbeitung beenden und systemweit sofort umgesetzt werden muss. 

Personenbezogene Daten: Definition & typische Beispiele

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).  

Typische Beispiele:  

  • Name, Postadresse sowie Erreichbarkeitsdaten wie die Telefonnummer und E-Mail-Adresse
  • Personalausweisnummer und Kundennummer
  • ein Foto, IP-Adresse, Standortdaten
  • demografische Angaben (z. B. Geschlecht, Geburtsdatum)

Außerdem gibt es besonders sensible personenbezogene Daten, wie z. B.:

  • ethnische Herkunft,  
  • politische Meinung,  
  • sexuelle Orientierung  
  • oder religiöse Überzeugungen  
  • sowie den Gesundheitszustand.

Die DSGVO sieht vor, dass personenbezogene Daten nur dann verarbeitet werden dürfen, wenn es für eine Vertragserfüllung zwingend notwendig ist. Sprich: Wird online eine Bestellung getätigt, ist es für die Vertragserfüllung notwendig, dass die Adresse des Paketempfängers verarbeitet wird, damit die Sendung zugestellt werden kann. Die Voraussetzungen sind aber nur erfüllt, wenn es sich um die Abwicklung eines Vertrags handelt. Wenn die Kontaktdaten zusätzlich für werbliche Zwecke verarbeitet werden sollen, ist dafür eine gesonderte Einwilligung notwendig.

Wichtig für Dein E-Mail-Marketing: Für Newsletter ist in der Regel die E-Mail-Adresse als Pflichtfeld ausreichend. Alle weiteren Angaben (z. B. Name, Branche, Interessen) müssen freiwillig bleiben. Öffnungs- und Klickdaten gelten ebenfalls als personenbezogene Daten und benötigen daher eine entsprechende Rechtsgrundlage. 

Datenschutzbeauftragte: Bestellung & Aufgaben

In den Artikeln 37–39 DSGVO ist geregelt, wann Unternehmen eine·n Datenschutzbeauftragte·n benötigen und welche Aufgaben diese Person hat. Ein·e Datenschutzbeauftragte·r:

  • berät Unternehmen in allen Datenschutzfragen
  • überwacht die Einhaltung der Datenschutzrichtlinien im Unternehmen.  
  • fungiert als erste Anlaufstelle für die Aufsichtsbehörde.  

In vielen deutschen Unternehmen gibt es bereits Datenschutzbeauftragte. Mit der Anwendung der DSGVO ist die Bestellung eines Datenschutzbeauftragten erstmals europaweit verbindlich und verpflichtend. Da dies ähnlich im Bundesdatenschutzgesetz geregelt war, haben Unternehmen mit Sitz in Deutschland keine großen Änderungen zu befürchten. Wenn im Unternehmen noch niemand bestellt ist, ist es angesichts der neuen Richtlinie ratsam, sich über die Notwendigkeit eines Datenschutzbeauftragten zu informieren.

Für das E-Mail-Marketing bedeutet das: Einwilligungstexte, Anmeldeprozesse, Tracking, Auftragsverarbeitung und Löschkonzepte sollten mit dem DSB abgestimmt sein, damit alle Anforderungen der DSGVO erfüllt werden. 

Pseudonymisierung & Datenminimierung im Reporting

Der Datenschutz erlaubt nach Art. 4 DSGVO nur dann Rückschlüsse auf das Öffnungs- und Klickverhalten von Newsletter-Empfänger·innen, wenn:

  • Du eine informierte Einwilligung in das Tracking hast (DSGVO + TDDDG)
  • und die Betroffenen klar erkennen, was gemessen wird und wofür (z. B. Personalisierung, Erfolgsmessung)

Die Pseudonymisierung von Daten kann deshalb ein guter Mittelweg sein, um weiterhin Rückschlüsse zu ziehen und Kennzahlen auszuwerten.

Pseudonymisierung funktioniert, indem allen Empfänger·innen eine eigene ID (Pseudonym) zugeordnet wird, die getrennt von den personenbezogenen Daten gespeichert wird. Das Ergebnis: Im Reporting ist trotzdem abzulesen, wie viele Personen auf einen bestimmten Link geklickt haben, es ist jedoch nicht mehr nachvollziehbar, um welche Einzelperson es sich handelt. Gleichzeitig können keine Rückschlüsse mehr auf das Nutzungsverhalten der einzelnen Person gezogen werden. 

Einwilligung richtig einholen: Voraussetzungen, Nachweis & Widerruf

Damit E-Mail-Marketing, personalisierte Inhalte und Erfolgsmessung rechtmäßig sind, brauchst Du eine wirksame Einwilligung. Was das nach der DSGVO bedeutet, erfährst Du im folgenden Abschnitt.

Die wichtigsten Gesetzesgrundlagen

Art. 6 Abs. 1 lit. a DSGVO - Rechtmäßigkeit der Verarbeitung 

Kern des Gesetzes ist, dass die Verarbeitung personenbezogener Daten nur dann rechtmäßig ist, wenn die betroffene Person freiwillig eingewilligt hat. Ohne ein gültiges Opt-in ist der Newsletter-Versand nicht zulässig. Dabei muss der Zweck klar benannt sein (z. B. „Newsletter-Werbung“) und für zusätzliche Zwecke (z. B. personenbezogene Erfolgsmessung) sind separate Opt-ins notwendig.  
 

Art. 4 Nr. 11 DSGVO - Definition „Einwilligung“ 

Eine Einwilligung ist:

  • freiwillig,  
  • für den konkreten Fall,  
  • in informierter Weise  
  • und durch eine eindeutige bestätigende Handlung abzugeben. Übersetzt definiert sie: „Wer darf was, wofür und wie tun?“.  

Art. 7 DSGVO - Bedingungen für die Einwilligung 

Hier steht u. a.:

  • Du musst nachweisen können, dass und worin eingewilligt wurde (Best Practice dafür ist das Double-Opt-in).
  • Steht die Einwilligung in einem umfangreicheren Dokument (AGB, Teilnahmebedingungen), muss sie klar erkennbar und getrennt von anderen Inhalten formuliert sein, sonst ist sie unwirksam.
  • Der Widerruf muss jederzeit, kostenfrei und mindestens so einfach wie die Erteilung möglich sein.  

Betroffene haben ein Recht darauf, die Einwilligung jederzeit zu widerrufen. Nach Widerruf stoppt der Versand und ggf. das Tracking auf dieser Grundlage.

Art. 13 DSGVO - Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person 

Art. 13 DSGVO verlangt, dass Du beim Erheben von Daten in klarer und leicht zugänglicher Form informierst:

  • wer verantwortlich ist,  
  • zu welchen Zwecken und auf welcher Rechtsgrundlage verarbeitet wird,  
  • wer die Daten erhält,  
  • ob ein Drittlandtransfer erfolgt,  
  • wie lange gespeichert wird  
  • und welche Rechte bestehen, einschließlich der Widerrufsmöglichkeit.


In der Praxis stehen diese Infos direkt am Formular und verlinken auf die Datenschutzerklärung. 
Für Newsletter trennst Du den Zweck E-Mail-Newsletter vom optionalen Zweck personenbezogener Erfolgsmessung und holst jeweils ein eigenes Opt-in ein.

Erwägungsgrund 32 DSGVO - Einwilligung

Eine Einwilligung braucht eine klare, bestätigende Handlung. Beispielhaft dafür sind:

  • ein aktiv gesetztes Häkchen,  
  • das bewusste Absenden des Anmeldeformulars mit eindeutigem Zweck  
  • oder der bestätigende Klick im Double-Opt-in.


Stillschweigen, Untätigkeit oder vorangekreuzte Kästchen sind keine Einwilligung. 
Dient ein Formular ausschließlich der Newsletter-Anmeldung, kann der Anmelde- und Bestätigungsprozess die erforderliche Handlung sein. Für zusätzliche Zwecke wie personenbezogene Erfolgsmessung sind getrennte, nicht vorangekreuzte Opt-ins nötig.

Beispiel für eine klare Einwilligung (Newsletter + Erfolgsmessung):

Zusammengefasst

Newsletter-Versand erfordert eine wirksame Einwilligung, die freiwillig, informiert, spezifisch und durch eine aktive Handlung erteilt wird. Vorangekreuzte Kästchen oder Stillschweigen genügen nicht. 
Bereits im Anmeldeformular sind die wesentlichen Informationen klar bereitzustellen. Die Einwilligung muss nachweisbar und jederzeit leicht widerrufbar sein. Danach enden Versand und personenbezogenes Tracking.

Double-Opt-in (DOI) rechtssicher umsetzen

Spätestens seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) ist das Double-Opt-in (DOI) vielen Online-Marketern ein Begriff. Das Verfahren stellt sicher, dass die Anmeldung zu einem E-Mail-Newsletter von den E-Mail-Empfänger·innen tatsächlich gewünscht ist und gilt als besonders belastbare Möglichkeit nachzuweisen, dass die Erlaubnis für das Versenden von Newslettern eingeholt wurde.

Alles rund um das Double-Opt-in erfährst Du in unserem Blogbeitrag.

Zum Blogbeitrag

Auftragsverarbeitung (AV) & Drittlandtransfer

Sobald ein externer Dienstleister in Deinem Auftrag personenbezogene Daten verarbeitet oder darauf zugreift, brauchst Du vorab einen AV-Vertrag.

1. Was ist Auftragsverarbeitung?

Von Auftragsverarbeitung spricht man immer dann, wenn ein externer Dienstleister personenbezogene Daten nicht für eigene Zwecke, sondern ausschließlich im Auftrag eines Verantwortlichen verarbeitet. Für das E-Mail-Marketing bedeutet das: Sobald ein E-Mail-Service-Provider, eine Agentur, ein Hosting-Anbieter oder ein technischer Dienst Zugang zu Empfängerdaten erhält, gilt Art. 28 DSGVO. Der Dienstleister darf die Daten nur nach Deinen Weisungen verarbeiten, muss strenge Sicherheitsstandards einhalten und ist an die Vorgaben der DSGVO gebunden. Der AV-Vertrag schafft dafür die rechtliche Grundlage und dokumentiert nachvollziehbar, wie der Dienstleister eingebunden ist.

2. Was muss im AV-Vertrag stehen?

Art. 28 Abs. 3 DSGVO definiert detailliert, welche Inhalte ein Auftragsverarbeitungsvertrag zwingend enthalten muss.  

  • Dazu gehört insbesondere die Vorgabe, dass der Dienstleister Daten ausschließlich auf dokumentierte Weisung verarbeitet,
  • dass er sein Personal zur Vertraulichkeit verpflichtet
  • und geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO einsetzt.  
  • Der Vertrag muss außerdem festlegen, wie Betroffenenrechte – etwa Auskunft, Berichtigung oder Löschung – unterstützt werden  
  • und wie Verantwortlicher und Auftragsverarbeiter im Fall eines Sicherheitsvorfalls zusammenarbeiten.  
  • Ebenso geregelt sein muss, wie Daten nach Auftragsende gelöscht oder zurückgegeben werden  
  • und wie Verantwortliche die Einhaltung der Vereinbarungen auditieren oder nachweisen können.  

Gemäß Art. 28 Abs. 9 DSGVO kann der Vertrag elektronisch abgeschlossen werden, muss aber revisionssicher dokumentiert sein.

3. Was ist bei Subprozessoren wichtig?

Bezieht ein Auftragsverarbeiter weitere Dienstleister ein, gelten die Anforderungen aus Art. 28 Abs. 4 DSGVO. Jeder Subprozessor muss vertraglich an dieselben Schutzstandards gebunden werden wie im Hauptvertrag – einschließlich der technischen und organisatorischen Maßnahmen, der Zweckbindung und der Pflichten zur Löschung und Unterstützung bei Betroffenenrechten. Die Verantwortung bleibt dennoch beim ursprünglichen Auftragsverarbeiter: Er haftet dafür, dass auch der Subdienstleister DSGVO-konform arbeitet. Für Unternehmen bedeutet das, dass sie eine aktuelle, transparente Liste von Subprozessoren erwarten dürfen und jede Änderung nachvollziehbar dokumentiert sein muss.

4. Wie gehen Drittlandtransfers rechtssicher?

Werden personenbezogene Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt, greifen zusätzlich die Anforderungen aus Art. 46 DSGVO. Ohne Angemessenheitsbeschluss der EU-Kommission braucht es sogenannte „geeignete Garantien“, um ein vergleichbares Datenschutzniveau herzustellen. In der Praxis kommen dafür überwiegend die Standardvertragsklauseln (SCC) nach dem Beschluss (EU) 2021/914 zum Einsatz. Diese müssen im Einzelfall durch ein Transfer Impact Assessment ergänzt werden, das bewertet, ob der Empfänger im Drittland die zugesicherten Schutzmaßnahmen tatsächlich gewährleisten kann. Je nach Risiko kann es außerdem notwendig sein, zusätzliche Schutzmechanismen wie Verschlüsselung oder Pseudonymisierung zu implementieren. Drittlandtransfers ohne diese Prüfung wären unzulässig und können erhebliche Bußgelder nach sich ziehen.

5. Praxis: Was heißt das für E-Mail-Marketing?

Für Marketing-Teams bedeutet ein sauberer AV-Prozess nicht nur Rechtssicherheit, sondern auch mehr Vertrauen und Transparenz gegenüber den eigenen Empfängerinnen und Empfängern. Gleichzeitig minimierst Du Risiken, die zu Abmahnungen, Bußgeldern oder Datenschutzvorfällen führen können. Besonders bei US-Diensten ist eine gründliche Prüfung unverzichtbar, da dort häufig ein Drittlandtransfer vorliegt und SCC inklusive TIA eingesetzt werden müssen. Nutzt Du hingegen einen Anbieter wie Inxmail, entsteht dieser Aufwand gar nicht erst: Die Plattform wird ausschließlich in Deutschland und auf EU-Servern betrieben, erfüllt die Vorgaben aus Art. 28 und Art. 32 DSGVO, ist ISO 27001 zertifiziert und arbeitet ohne Übermittlung in unsichere Drittländer. Damit erhältst Du nicht nur einen rechtssicheren AVV, sondern auch eine technische Infrastruktur, die Deine E-Mail-Kommunikation von Grund auf absichert und datenschutzkonform macht – ohne zusätzliche Prüfprozesse oder komplexe Rechtskonstruktionen. 

Kurz gesagt: Sobald ein Dienstleister personenbezogene Daten in Deinem Auftrag verarbeitet, brauchst Du vorab einen AV-Vertrag (Art. 28 DSGVO) inkl. Weisungen, TOMs, Betroffenenrechten, Löschung/Audits und Subprozessor-Regeln. Bei Drittlandtransfers sind zusätzlich Art. 46 DSGVO (meist SCC + TIA ggf. mit Zusatzmaßnahmen) nötig. 

Gerade beim Einsatz externer Plattformen zeigt sich, dass Datenschutz längst auch eine Infrastrukturfrage ist. Europäische Souveränität wird damit zum praktischen Wettbewerbsvorteil: Unternehmen behalten Kontrolle über Daten, Prozesse sowie Technologien und reduzieren gleichzeitig Prüfaufwand, Abhängigkeiten und Governance-Risiken.

Rechtssicherheit mit Inxmail

Die Inxmail E-Mail-Marketing-Plattform erfüllt die Anforderungen der DSGVO vollständig. Mit einem klar definierten Auftragsverarbeitungsvertrag (AVV) und umfassenden technischen und organisatorischen Maßnahmen (TOMs) garantieren wir, dass Deine Daten sicher und konform verarbeitet werden. Vertraue auf höchste Standards für Deine E-Mail-Kampagnen.

Unser Versprechen für Deine E-Mail-Kommunikation:

  • DSGVO-konforme Datenverarbeitung (AVV & TOMs)
  • ISO 27001 Zertifizierung
  • Datenverarbeitung hostet in Germany
  • Sichere EU-Serverstandorte
  • Mitbegründer und Mitglied der Certified Senders Alliance (CSA)
  • Unterzeichner des Qualitätsstandards E-Mail-Marketing (DDV)

 Demo vereinbaren

UWG: Wann ist E-Mail-Werbung zulässig?

Das UWG (Gesetz gegen den unlauteren Wettbewerb) regelt, ob elektronische Direktwerbung zulässig ist.  

Exkurs: Einer Tatsache sollten sich E-Mail-Marketer·innen bewusst sein: E-Mail-Marketing ist nichts anderes als Werbung. Ob es sich dabei um Produktempfehlungen, Anfragen oder Info-Material handelt, spielt in erster Linie keine Rolle.

Was ist Werbung?

Das einzige Problem bei dem Begriff „Werbung“ ist dessen schwammige Definition. Selbst die DSGVO (Datenschutz-Grundverordnung) nimmt dazu nicht explizit Stellung. So heißt es in Art. 21 DSGVO:

„(2) Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so hat die betroffene Person das Recht, jederzeit Widerspruch gegen die Verarbeitung sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.

(3) Widerspricht die betroffene Person der Verarbeitung für Zwecke der Direktwerbung, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.“

  • Was der Begriff genau aussagt bzw. was Werbung ist oder nicht, wird hier nicht ersichtlich.  

Grundsatz: Ohne vorherige, ausdrückliche Einwilligung ist Werbung in E-Mails unzulässig (§ 7 Abs. 2 Nr. 3 UWG). Das gilt gegenüber Verbraucher·innen und Unternehmen. Im DOI-Mailing ist dies auch der Fall. Die Bestätigungs-E-Mail im Double-Opt-in (DOI) gilt heute grundsätzlich als zulässig, wenn sie rein der Verifikation dient und keinen Werbeinhalt hat.  

Einzige Ausnahme: Bestandskundenregel (§ 7 Abs. 3 UWG):  
E-Mail-Werbung an die eigene Bestandskundschaft ist nur dann ohne Einwilligung zulässig, wenn alle vier Bedingungen erfüllt sind:

  1. Adresse beim Verkauf einer Ware/Dienstleistung erhoben
  2. Werbung nur für eigene, ähnliche Produkte
  3. kein Widerspruch erfolgt
  4. klarer Hinweis auf Widerspruchsrecht bei Erhebung und jeder Nutzung. 
       Die Auslegung „ähnlich“ ist restriktiv. Dokumentiere den Nachweis dieser Voraussetzungen

Beweislast / Nachweis der Einwilligung 
Nach ständiger Rechtsprechung trägt der Werbende die Beweislast dafür, dass zum Zeitpunkt der Werbung eine wirksame Einwilligung vorlag.

Hinweis: Zusätzlich gelten die formalen Pflichten aus § 7 Abs. 2 Nr. 3 UWG (u. a. keine Absender-Verschleierung; gültige Abmelde-Adresse). Diese sind parallel einzuhalten.  

EuGH-Urteil zur E-Mail-Werbung ohne Einwilligung

Darfst Du Newsletter auch ohne Double-Opt-in versenden? Nicht pauschal und keineswegs ohne rechtliche Grundlage. Aber: Der Europäische Gerichtshof hat in einem Urteil entschieden, dass unter bestimmten Voraussetzungen auch eine Registrierung ausreichend sein kann, um Werbe-E-Mails zu versenden. 

In diesem Beitrag ordnen wir das Urteil ein und stellen klar, wo strategische Fehlinterpretationen drohen.

Zum Blogbeitrag

TDDDG (vormals TTDSG): Tracking, Cookies & Pixel

Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) regelt, wann Informationen auf Endgeräten gespeichert oder ausgelesen werden dürfen (u. a. Einwilligungspflicht für Cookies und Tracking; Ausnahme nur technisch unbedingt Erforderliches).

§ 25 TDDDG verlangt für nicht notwendige Technologien (Cookies, SDKs, Pixel, Tracking-Links) eine vorherige, informierte, aktive Einwilligung. Ausnahmen sind eng und vom Anbieter zu beweisen. Sie gelten nur für technisch unbedingt notwendige Vorgänge, nicht für Marketing-Tracking. Die DSK-Orientierungshilfe und der European Data Protection Board (EDPB) stellen klar, dass E-Mail-Tracking unter diese Einwilligungspflicht fällt.  
Für E-Mail-Marketing bedeutet das:

  • Öffnungs- und Klicktracking, das auf dem Endgerät Informationen speichert/ausliest (z. B. Tracking-Pixel), fällt in der Regel unter § 25 TDDDG.
  • Du brauchst dafür meist ein separates Opt-in („Tracking Permission“) – zusätzlich zur Einwilligung in den Newsletter-Versand.
  • Ohne Einwilligung solltest Du nur pseudonymisiert/aggregiert auswerten, ohne Personenbezug.

§ 26 TDDDG – Anerkannte Einwilligungsverwaltung (PIMS/Browser-Signale) 
Das Gesetz sieht anerkannte Dienste zur Einwilligungsverwaltung vor. Anbieter und Browser sollen solche Nutzer-Einstellungen respektieren, wenn sie anerkannt sind. Praktisch heißt das: Wenn Nutzer zentral „Nein zu Tracking“ sagen, muss das berücksichtigt werden.  

§ 27–30 TDDDG - Bußgelder und Aufsicht 
Verstöße gegen die Endgeräte-Regeln können bußgeldbewehrt sein. Dafür zuständig sind u. a. der BfDI und die Bundesnetzagentur.  

Einordnung und Abgrenzung 
Das TDDDG regelt Geräte-Zugriffe (z. B. Pixel im Newsletter, Cookies auf der verlinkten Landingpage). Ob Du E-Mails überhaupt schicken darfst, regelt primär § 7 UWG, und wie Du die Einwilligung nachweist, regelt Art. 7 DSGVO.  

Wie muss die Einwilligung aussehen? Die Anforderungen folgen  Art. 6 Abs. 1 lit. a der DSGVO. Die DSK-Orientierungshilfe betont die aktive Bestätigung und die Ungeeignetheit von Opt-out-Verfahren.  

Gebündelte Einwilligung möglich, aber transparent: Eine Einwilligung für  § 25 TDDDG (Speichern/Auslesen) kann mit der DSGVO-Einwilligung zur weiteren Verarbeitung gebündelt werden – nur wenn eindeutig erkennbar ist, dass beidem zugestimmt wird (z. B. Newsletter-Erhalt und personenbezogenes Öffnungs-/Klick-Tracking).  

Kurz gesagt: Für Öffnungs- und Klicktracking in Newslettern brauchst Du nach § 25 TDDDG regelmäßig ein separat erkennbares Opt-in („Tracking Permission“) – zusätzlich musst Du eine Rechtsgrundlage nach DSGVO für die Verarbeitung der dabei anfallenden personenbezogenen Trackingdaten haben.

E-Mail-Marketing der nächsten Generation

Erstelle datenschutzkonforme und ansprechende Mailings mit der Inxmail E-Mail-Marketing-Plattform. Ein optimierter Workflow und die leichte Bedienung samt etlichen Komfortfunktionen machen das Erstellen von Mailings zum Erlebnis – direkt in Deinem Web-Browser. Entdecke den schnellsten Weg für effizientes E-Mail-Marketing.  

Zu Newslettern & Kampagnen 

DDG: Kennzeichnung, Impressum & Pflichtangaben in kommerzieller Kommunikation

Das DDG (Digitale-Dienste-Gesetz) regelt Transparenz- und Informationspflichten für digitale Dienste (u. a. klare Kennzeichnung kommerzieller E-Mails, erkennbare Absenderangabe, Anbieterkennzeichnung/Impressum sowie geschäftsübliche Pflichtangaben in E-Mails).

§ 5 DDG – Allgemeine Informationspflichten (Impressumspflichten) 

Dein digitaler Dienst (Website, Newsletter-Anmeldeseite, Preference Center) muss:

  • leicht erkennbar  
  • und unmittelbar erreichbar sein.

Zusätzlich bereithalten muss er u. a.:

  • Name/Anschrift,  
  • Rechtsform/Vertretung,  
  • schnelle elektronische Kontaktmöglichkeit (inkl. E-Mail)  
  • sowie ggf. Register- und Aufsichtsangaben.

Für das E-Mail-Marketing heißt das: Landingpages und Anmeldeformulare müssen ein vollständiges, gut auffindbares Impressum haben (viele führen Basisangaben zusätzlich im Mail-Footer).  

 

§ 6 DDG – Besondere Pflichten bei kommerzieller Kommunikation 

Werbemails müssen:

  • klar als Werbung erkennbar sein
  • einen klar identifizierbaren Absender haben
  • keine irreführenden „From“- oder Betreffzeilen verwenden

Promo-Angebote und Gewinnspiele sind als solche zu kennzeichnen und Bedingungen leicht zugänglich zu machen.  

Hinweis: Ob Du Werbemails ohne Einwilligung verschicken darfst, regelt primär § 7 UWG. Das DDG ergänzt v. a. Transparenz-/Kennzeichnungspflichten.

Praxis:

  • DOI-Mails: rein funktional halten, aber klarer Absender und leicht erreichbares Impressum (z. B. Link in der Signatur) sind vorgesehen.
  • Newsletter: eindeutiger Absender, klares Branding, kein Dark Pattern beim Abmelden, Footer mit Impressum und Kontakt.
  • Transaktionsmails mit Zusatzwerbung gelten als kommerziell – dann gelten dieselben Transparenzpflichten.

Möchtest Du nun erfahren, wie der Datentransfer zwischen der EU und der USA geregelt ist, dann schaue Dir unseren Beitrag zum EU-U.S. Data Privacy Framework (DPF) an.  

Fazit: Praxis-Checkliste für rechtssicheres E-Mail-Marketing

Als kurze, prägnante Übersicht zeigt Dir die Checkliste, welche rechtlichen Anforderungen Deine E-Mail-Kommunikation erfüllen sollte. Ideal, um vorhandene Prozesse zu prüfen oder neue Maßnahmen sauber aufzusetzen. 

Checkliste herunterladen

Inxmail Newsletter

Du möchtest spannende Insights und wertvolle Tipps rund um E-Mail-Marketing? Dann melde Dich für unseren Newsletter an!

Jetzt anmelden

Blog abonnieren

Abonniere unseren Feed und lass Dich in Deinem RSS-Reader über neue Blogbeiträge informieren..

Jetzt abonnieren

Produkte & Services

Du interessierst Dich für unsere leistungsstarken Produkte oder unsere Services? Hier erfährst Du mehr:

Wissen

Hier haben wir noch mehr E-Mail-Marketing-Wissen für Dich: