Newsletter & DSGVO: Was Unternehmen 2026 wissen müssen
- Newsletter-Versand erfordert im Regelfall eine aktive, dokumentierte Einwilligung der Empfänger.
- Double-Opt-In ist gesetzlich nicht vorgeschrieben, in der Praxis aber faktisch alternativlos.
- Tracking-Pixel im Newsletter sind einwilligungspflichtig. Das gilt auch, wenn die Daten anonym erhoben werden.
- Die Bestandskundenausnahme gilt nur unter engen Voraussetzungen und ist nicht mit einer Einwilligung gleichzusetzen.
- Verstöße können Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach sich ziehen.
Wie hängen Newsletter und die DSGVO zusammen?
Wer eine E-Mail-Adresse von Kunden oder Interessenten erhalten hat, darf sie nicht automatisch für Werbung nutzen. Der Grund dafür ist die Datenschutz-Grundverordnung (DSGVO). Sie schützt personenbezogene Daten, zu denen unter anderem die E-Mail-Adresse gehört. In der Regel muss die Person vorher ausdrücklich zugestimmt haben. Nur bei Bestandskunden können Ausnahmen gelten.
Welche gesetzlichen Vorgaben sind beim Newsletter-Versand relevant?
Für den Newsletter-Versand gibt es neben der DSGVO weitere Vorgaben, die Unternehmen beachten müssen:
- UWG (Gesetz gegen den unlauteren Wettbewerb): § 7 UWG verbietet unzumutbare Belästigung durch Werbung, auch per E-Mail.
- TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz): Regelt den Einsatz von Tracking-Technologien, wie das Messen von Öffnungsraten per Tracking-Pixel.
- DDG (Digitale-Dienste-Gesetz): Enthält in § 5 die Impressumspflicht, die auch für Newsletter gilt.
- BFSG (Barrierefreiheitsstärkungsgesetz): Verpflichtet seit Juni 2025 Unternehmen, die sich an Verbraucher richten, ihre digitale Kommunikation barrierefrei zu gestalten. Reine B2B-Newsletter und Kleinstunternehmen sind ausgenommen.
Wann ist eine Einwilligung in den Newsletter-Versand DSGVO-konform?
Damit eine Einwilligung rechtlich wirksam ist, muss sie fünf Bedingungen erfüllen:
- Freiwillig: Die Person darf nicht unter Druck gesetzt werden. Wer sich für ein Kundenkonto registriert, darf nicht automatisch in den Newsletter-Verteiler aufgenommen werden. Registrierung und Newsletter-Anmeldung müssen klar getrennt sein.
- Informiert: Die Person muss wissen, wer ihr schreibt, worum es im Newsletter geht, welche Daten gespeichert werden und wie sie sich wieder abmelden kann. Auch eine Angabe zur Versandfrequenz ist empfehlenswert.
- Aktiv: Ein vorausgefülltes Häkchen reicht nicht. Die Person muss selbst aktiv zustimmen, zum Beispiel durch das Anklicken einer leeren Checkbox.
- Nachweisbar: Das Unternehmen muss im Zweifelsfall belegen können, dass die Einwilligung erteilt wurde. Wann, über welches Formular und mit welchem Text – das alles muss dokumentiert sein.
- Widerrufbar: Jede Einwilligung kann jederzeit zurückgezogen werden. Der Abmeldelink im Newsletter ist dafür der einfachste Weg und deshalb Pflicht.
Nutzen Sie unsere Vorlage für eine DSGVO-konforme Einwilligungserklärung zur Erhebung personenbezogener Daten – ob für Newsletter oder andere Datenerhebungen.
Opt-in, Opt-out, Double-Opt-in: Was ist der Unterschied?
Im Zusammenhang mit Newsletter-Anmeldungen tauchen häufig Begriffe wie Opt-Out oder Double-Opt-In auf. Diese Verfahren regeln grundsätzlich, wie eine Zustimmung eingeholt wird. Sie legen fest, ob jemand aktiv zustimmen oder aktiv widersprechen muss, um beispielsweise einen Newsletter zu erhalten oder nicht. Je nachdem, welches Verfahren eingesetzt wird, liegt die Verantwortung zum Handeln bei unterschiedlichen Parteien.
So unterscheiden sich die Zustimmungsverfahren bei einem Newsletter:
- Opt-out bedeutet: Die Person wird automatisch in den Verteiler aufgenommen und muss aktiv widersprechen, wenn sie keine E-Mails möchte. Das ist nach der DSGVO nicht zulässig.
- Opt-in bedeutet: Die Person trägt sich aktiv ein und stimmt zu. Das ist die Mindestanforderung.
- Double-Opt-in bedeutet: Nach der Anmeldung erhält die Person eine Bestätigungs-E-Mail und muss dort nochmals auf einen Link klicken. Erst dann ist die Anmeldung abgeschlossen. Wer sich anmeldet, aber nie bestätigt, gehört nicht in Ihre Liste. Löschen Sie unbestätigte Anmeldungen nach kurzer Zeit automatisch.
Das Double-Opt-in-Verfahren ist gesetzlich nicht ausdrücklich vorgeschrieben. In der Praxis ist es jedoch der sicherste Weg für DSGVO-konformen Newsletter-Versand. Es erleichtert den Nachweis der Einwilligung erheblich und stellt sicher, dass die angegebene E-Mail-Adresse tatsächlich der anmeldenden Person gehört.
Wichtig dabei: Die Bestätigungsmail darf selbst keine Werbung enthalten – sonst wird aus dem Nachweis ein eigener Verstoß.
Inhaltlich auf der sicheren Seite: Wie ist ein DSGVO-konformer Newsletter aufgebaut?
Unabhängig davon, wie Sie Ihren Newsletter inhaltlich gestalten, gibt es einige Pflichtangaben, die enthalten sein müssen:
- Impressum: Name, Anschrift und Kontaktdaten müssen leicht auffindbar sein. In der Praxis reicht meist ein Link auf das Impressum der Website.
- Abmeldelink: Muss dem Empfänger mit einem Klick ermöglichen, sich ohne Passwort oder zusätzliche Schritte vom Newsletter abzumelden.
- Datenschutzhinweis: Ein Link zur Datenschutzerklärung gehört in den Footer jeder E-Mail.
- Klarer Absender: Der Absender muss eindeutig erkennbar sein. Irreführende Absendernamen sind nicht erlaubt.
Die wichtigsten Infos sollten Sie als Hinweis bereits mit dem Anmeldeformular kommunizieren, nicht erst in die Datenschutzerklärung.
Tipp: Mit einem Newsletter-Tool gestalten Sie im Handumdrehen ansprechende und DSGVO-konforme E-Mail-Newsletter. In unserem Magazin haben wir die besten DSGVO-konformen Newsletter-Anbieter für Sie verglichen.
Darf ich Bestandskunden meinen Newsletter schicken?
Ja, aber nur unter bestimmten Bedingungen. Die sogenannte Bestandskundenausnahme nach § 7 Abs. 3 UWG erlaubt es Unternehmen, ihre Bestandskunden auch ohne neue Einwilligung per E-Mail zu kontaktieren. Diese Ausnahme greift jedoch nur, wenn die folgenden Voraussetzungen gleichzeitig erfüllt sind:
- Die E-Mail-Adresse wurde im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhoben oder bei der Registrierung für ein kostenloses Angebot.
- Es wird für ähnliche Produkte oder Dienstleistungen des eigenen Unternehmens geworben.
- Der Kunde wurde bei der Erhebung und in jeder einzelnen E-Mail klar darauf hingewiesen, dass er der Werbung jederzeit widersprechen kann – und hat das nicht getan
- Der Kunde kann sich jederzeit einfach und kostenlos abmelden.
Im Zweifel ist eine ausdrückliche Einwilligung immer die sicherere Wahl.
Darf ich messen, wer meinen Newsletter öffnet?
Viele Unternehmen gehen davon aus, dass das Analysieren ihrer Newsletter erlaubt ist. Allerdings ist das Tracking nur dann erlaubt, wenn die Empfänger diesem Vorgang vorher ausdrücklich zugestimmt haben.
Technisch funktioniert das Messen von Öffnungsraten über sogenannte Tracking-Pixel. Ein winziges, unsichtbares Bild in der E-Mail sendet beim Öffnen ein Signal an den Server des Absenders. So lässt sich messen, ob und wann die E-Mail geöffnet wurde. Auch der ungefähre Standort ist erfassbar, allerdings oft ungenau.
Das Problem: Das Gesetz stuft diesen Zugriff auf das Gerät des Empfängers als einwilligungspflichtig ein, und zwar unabhängig davon, ob dabei überhaupt persönliche Daten anfallen. Wer Öffnungsraten also trackt, ohne die Empfänger vorher um Erlaubnis zu fragen, verstößt gegen geltendes Recht.
Um das Tracking sicher zu gestalten, sollten Sie bereits beim Newsletter-Opt-in transparent darauf hinweisen und die Einwilligung dafür einholen.
Was hat sich 2026 für den Versand von Unternehmens-Newslettern geändert?
Die Gesetzeslage für Newsletter-Compliance kann sich jederzeit ändern. Wer seinen Newsletter zuletzt vor einigen Jahren auf Compliance geprüft hat, sollte die folgenden Änderungen kennen:
- Neues Gesetz für digitale Dienste: Das frühere TTDSG wurde durch das TDDDG ersetzt, das frühere TMG durch das DDG. Die Impressumspflicht richtet sich jetzt nach § 5 DDG, und für Tracking-Technologien gilt § 25 TDDDG.
- Höheres Abmahnrisiko: Verbraucherschutzverbände können Datenschutzverstöße wie eine fehlerhafte oder rechtswidrige Newsletter-Anmeldung abmahnen, ohne dass eine betroffene Person sie damit beauftragt hat. Das erhöht das Risiko für Unternehmen spürbar.
- Bestandskundenausnahme weiter gefasst: Der EuGH hat im November 2025 entschieden, dass § 7 Abs. 3 UWG auch bei kostenlosen Nutzerkonten greifen kann. Wer die Voraussetzungen erfüllt, braucht daneben keine zusätzliche Einwilligung nach der DSGVO.
Was passiert, wenn Newsletter nicht DSGVO-konform sind?
Bei Verstößen gegen die DSGVO drohen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Wer Tracking ohne Einwilligung praktiziert verstößt gegen das TDDDG, was ebenfalls geahndet werden kann.
Hinzu kommt die Gefahr, dass Wettbewerber oder Verbraucherschutzverbände Abmahnungen aussprechen oder betroffene Personen Schadensersatzansprüche geltend machen. Der BGH hat im November 2024 entschieden, dass schon der Kontrollverlust über personenbezogene Daten einen Schadensersatz begründen kann. Als Größenordnung nannte das Gericht rund 100 Euro pro betroffener Person.
Fazit: Newsletter auf DSGVO-Konformität prüfen und sicher kommunizieren
Newsletter-Compliance ist ein laufendes Projekt, das die Kenntnis wichtiger Vorgaben und die saubere Dokumentation von Einwilligungen und Prozessen voraussetzt. Die Experten von Proliance unterstützen Sie gern dabei, damit Sie sich auf Inhalte statt auf Paragrafen konzentrieren können.
Sie haben noch Fragen? Wir haben die Antworten
Ein einfaches Opt-in ist die Mindestanforderung. Empfohlen wird das Double-Opt-in, weil es die Einwilligung besser dokumentiert und im Streitfall leichter nachzuweisen ist.
Die Person darf keine Werbe-E-Mails mehr erhalten. Die Abmeldung muss unverzüglich umgesetzt werden – am besten automatisiert, damit die Adresse nicht versehentlich in einem späteren Versand wieder auftaucht. Unabhängig von der Einwilligung kann jede Person der Werbung jederzeit widersprechen. Behandeln Sie einen solchen Widerspruch wie eine Abmeldung.
So lange, wie Sie den Nachweis brauchen: für die Dauer des Abonnements und danach noch drei Jahre. Das entspricht der üblichen Verjährungsfrist.
Ja, wenn Sie Newsletter versenden, muss Ihre Datenschutzerklärung beschreiben, welche Daten zu welchem Zweck verarbeitet werden, welche Tools eingesetzt werden und wie Empfänger ihre Rechte wahrnehmen können.
Sie haben noch Fragen? Lassen Sie sich jetzt kostenlos von unseren Compliance Expert:innen beraten.
Zu unseren mehr als 3.000 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
