Beginne mit dem konkreten Versandzweck
Ein Newsletter-Formular wirkt zunächst einfach: E-Mail-Adresse eintragen, Schaltfläche anklicken, fertig. Für einen verlässlichen Ablauf reicht das nicht. Vor der technischen Einrichtung muss feststehen, wer versendet, welche Inhalte angekündigt werden und wofür die Adresse genutzt wird. Diese Angaben gehören verständlich an die Stelle der Anmeldung.
Für Werbe-E-Mails verlangt § 7 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung. Die Ausnahme für Bestandskunden greift nur, wenn alle dort genannten Bedingungen erfüllt sind. Dazu zählen unter anderem eigene ähnliche Waren oder Dienstleistungen und ein klarer Hinweis auf die Widerspruchsmöglichkeit bei Erhebung sowie bei jeder Verwendung. Dieser Beitrag ersetzt keine Prüfung des konkreten Einzelfalls.
Eine Einwilligung braucht eine bewusste Handlung
Die Europäische Kommission fasst die Anforderungen an eine wirksame Einwilligung so zusammen: Sie muss freiwillig, informiert, zweckbezogen, klar und durch eine bestätigende Handlung erteilt werden. Ein bereits aktiviertes Kästchen passt dazu nicht. Trenne die Newsletter-Einwilligung von notwendigen Angaben für eine Anfrage oder Bestellung, wenn der Versand dafür nicht erforderlich ist.
Formuliere knapp, aber eindeutig. Nenne das versendende Unternehmen, den Zweck, die vorgesehenen Inhalte und die Möglichkeit des Widerrufs. Ein Link zur Datenschutzerklärung kann ergänzende Informationen zugänglich machen. Er sollte die entscheidende Aussage am Formular nicht durch eine unbestimmte Formulierung ersetzen.
Double-Opt-in bestätigt den Zugriff auf die Adresse
Beim Double-Opt-in folgt auf die Eingabe der Adresse eine Bestätigungsnachricht. Erst der Klick auf den darin enthaltenen Link schaltet den Versand frei. So bleibt eine unbestätigte Adresse zunächst außerhalb des regulären Verteilers. Das schützt auch Personen, deren Adresse ohne ihr Zutun eingetragen wurde.
Aus meiner Sicht ist dieser Ablauf für viele Newsletter ein sinnvoller Praxisstandard, weil er die aktive Bestätigung dokumentierbar macht. Er ist jedoch kein Freibrief. Ein Klick heilt weder eine unklare Einwilligung noch einen später veränderten Zweck. Der gespeicherte Nachweis muss deshalb zur damals sichtbaren Erklärung passen.
Dokumentiere den Vorgang mit möglichst wenigen Daten
Die DSGVO verlangt, dass ein Verantwortlicher die Einwilligung nachweisen kann. Lege deshalb fest, welche Angaben dein System dafür benötigt. Typisch sind die E-Mail-Adresse, der Zeitpunkt der Anmeldung und Bestätigung, die verwendete Erklärung mit ihrer Version sowie ein technischer Vorgangsbezug. Ob weitere Angaben erforderlich und zulässig sind, hängt von der konkreten Umsetzung ab.
Speichere nicht vorsorglich jedes verfügbare Signal. Datenminimierung bedeutet, nur die für den festgelegten Zweck notwendigen personenbezogenen Daten zu verarbeiten. Definiere außerdem, wer den Nachweis sehen darf, wie Fehler behandelt werden und wann nicht mehr benötigte Daten gelöscht werden. Eine gepflegte Dokumentation hilft mehr als eine große, ungeklärte Datensammlung.
Die Abmeldung gehört zum selben Workflow
Der Widerruf muss ebenso einfach möglich sein wie die Einwilligung. Für einen Newsletter ist ein gut sichtbarer Abmeldelink in jeder Nachricht ein praktikabler Weg. Nach der Abmeldung darf der Kontakt nicht einfach im nächsten Import wieder aktiviert werden. Übergib den Status deshalb an alle Systeme, die den Versand auslösen können.
Prüfe die Abmeldung wie eine Anmeldung: Link öffnen, Auswahl bestätigen, Ergebnis im Versandsystem kontrollieren und einen erneuten Versand ausschließen. Wenn aus anderen Gründen Daten weiter gespeichert werden sollen, braucht diese Verarbeitung eine eigene Rechtsgrundlage und einen klaren Zweck. Lege keine pauschale Aufbewahrungsdauer ohne diese Prüfung fest.
Ein angenommenes Beispiel macht Lücken sichtbar
Angenommen, ein Handwerksbetrieb bietet monatliche Pflegetipps per E-Mail an. Das Formular nennt den Betrieb und genau diesen Inhalt. Nach dem Absenden wird der Datensatz als unbestätigt angelegt. Erst der Bestätigungslink aktiviert den Versand. Das System hält die verwendete Textversion und die Zeitpunkte fest.
Später klickt die Empfängerin auf den Abmeldelink. Ihr Versandstatus wird sofort gesperrt und an die zentrale Kontaktverwaltung übertragen. Eine neue CSV-Datei darf diesen Status nicht überschreiben. Dieses Beispiel ist eine Prozessannahme, kein Kundenfall und keine rechtliche Bewertung einer konkreten Umsetzung.
Prüfe den gesamten Weg vor dem Start
Teste den Ablauf mit dafür vorgesehenen Adressen und dokumentiere das erwartete Ergebnis. Beziehe auch abgebrochene und wiederholte Schritte ein.
- Stehen Absender, Zweck und Inhalte verständlich am Formular?
- Ist die Einwilligung freiwillig und nicht vorangekreuzt?
- Bleibt eine unbestätigte Adresse vom regulären Versand ausgeschlossen?
- Passt der gespeicherte Nachweis zur sichtbaren Textversion?
- Werden nur notwendige Daten erhoben und Zugriffe begrenzt?
- Funktioniert die Abmeldung ohne Anmeldung in einem Kundenkonto?
- Erreichen Abmeldungen alle beteiligten Versand- und Kontaktsysteme?
- Verhindert ein späterer Import die unbeabsichtigte Reaktivierung?
- Gibt es Verantwortliche für Fehler, Änderungen und regelmäßige Tests?