Double-Opt-in verstehen: Einwilligung für E-Mail-Marketing sauber einholen

Was bedeutet Double-Opt-in?

Beim Double-Opt-in bestätigt eine Person ihre Anmeldung zu einem Newsletter oder einer anderen E-Mail-Kommunikation in zwei Schritten. Zunächst trägt sie ihre E-Mail-Adresse in ein Formular ein. Anschließend erhält sie eine Nachricht mit einem Bestätigungslink. Erst wenn dieser Link angeklickt wird, gilt die Anmeldung als abgeschlossen.

Das Verfahren soll sicherstellen, dass die angegebene Adresse tatsächlich von der betreffenden Person kontrolliert wird. Eine fremde Person kann zwar eine Adresse in ein Formular eintragen, hat aber normalerweise keinen Zugriff auf das Postfach und kann die Bestätigung daher nicht ausführen. Das reduziert missbräuchliche Anmeldungen und verbessert die Qualität der Empfängerliste.

Wichtig ist die rechtliche Einordnung: Das Double-Opt-in ist nicht in jeder Situation ausdrücklich als einzige zulässige Methode vorgeschrieben. Es gilt jedoch als besonders geeignete Vorgehensweise, um eine Einwilligung und den Anmeldevorgang nachvollziehbar zu dokumentieren. Für Werbe-E-Mails sind neben der Datenschutz-Grundverordnung insbesondere die Vorgaben des § 7 Gesetz gegen den unlauteren Wettbewerb (UWG) relevant. Eine Einwilligung muss nach der Datenschutz-Grundverordnung freiwillig, informiert, eindeutig und widerrufbar sein.

Warum eine einfache Anmeldung nicht genügt

Bei einem Single-Opt-in wird die E-Mail-Adresse nur in das Anmeldeformular eingetragen. Eine weitere Bestätigung findet nicht statt. Für die betroffene Person ist der Vorgang zwar bequem, aus Sicht der verantwortlichen Stelle entstehen jedoch mehrere Unsicherheiten:

• Die Adresse könnte von einer anderen Person eingetragen worden sein.
• Die Einwilligung lässt sich unter Umständen nur schwer einer konkreten Handlung zuordnen.
• Ein Tippfehler kann dazu führen, dass Nachrichten an eine unbeteiligte Person versendet werden.
• Bei einer Beschwerde fehlen möglicherweise belastbare Angaben zu Zeitpunkt, Formular und Einwilligungstext.

Das Double-Opt-in löst nicht jedes Beweisproblem. Es dokumentiert insbesondere, dass eine Bestätigungsaktion von einem Gerät mit Zugriff auf das Postfach ausgeführt wurde. Es beweist nicht automatisch, welche Person hinter der Adresse steht oder dass jeder Inhalt einer späteren Werbemaßnahme von der ursprünglichen Einwilligung gedeckt ist. Deshalb müssen Anmeldeprozess, Einwilligungstext, Versand und Abmeldung zusammenpassen.

Die rechtlichen Grundlagen für E-Mail-Werbung

Die Datenschutz-Grundverordnung regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen. Eine E-Mail-Adresse ist in der Regel ein personenbezogenes Datum. Für den Versand eines Newsletters kommt häufig eine Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO als Rechtsgrundlage in Betracht. Nach Artikel 7 DSGVO muss die verantwortliche Stelle die Einwilligung nachweisen können. Außerdem darf die Einwilligung jederzeit widerrufen werden, wobei der Widerruf so einfach sein muss wie die Erteilung.

Für elektronische Werbung ist zusätzlich § 7 UWG zu beachten. Werbung per E-Mail ist grundsätzlich nur unter bestimmten Voraussetzungen zulässig, insbesondere bei vorheriger ausdrücklicher Einwilligung. Eine Ausnahme kann unter engen Bedingungen für Werbung an Bestandskunden bestehen. Dafür müssen unter anderem die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten worden sein, die Werbung ähnliche eigene Angebote betreffen und bei Erhebung sowie jeder Verwendung klar auf die Widerspruchsmöglichkeit hingewiesen werden. Diese Ausnahme ersetzt nicht pauschal die Prüfung des Einzelfalls.

Die Datenschutzkonferenz, kurz DSK, und die deutschen Datenschutzaufsichtsbehörden weisen regelmäßig darauf hin, dass Einwilligungen nachvollziehbar, freiwillig und zweckbezogen gestaltet sein müssen. Für die konkrete rechtliche Bewertung eines Geschäftsmodells kann eine Beratung durch eine fachkundige Rechtsanwältin oder einen fachkundigen Rechtsanwalt erforderlich sein.

So wird der Anmeldeprozess sinnvoll aufgebaut

Ein sauberer Double-Opt-in-Prozess besteht nicht nur aus einem Bestätigungslink. Entscheidend ist die Gestaltung jedes einzelnen Schritts.

1. Formular bereitstellen: Das Formular sollte nur die Daten abfragen, die für den angegebenen Zweck erforderlich sind. Für einen E-Mail-Newsletter ist die E-Mail-Adresse meist ausreichend. Weitere Angaben dürfen nicht ohne sachlichen Grund zur Pflicht gemacht werden.
2. Zweck verständlich erklären: Vor dem Absenden muss klar sein, welche Inhalte versendet werden, wie häufig ungefähr mit Nachrichten zu rechnen ist und wer für den Versand verantwortlich ist. Eine pauschale Formulierung wie „Ich akzeptiere alles“ ist wenig aussagekräftig.
3. Einwilligung aktiv einholen: Ein vorangekreuztes Kontrollkästchen ist ungeeignet. Die Person muss selbst eine nicht vorausgewählte Auswahl treffen oder eine vergleichbar eindeutige Handlung vornehmen.
4. Bestätigungsnachricht versenden: Die Nachricht sollte den Zweck der Bestätigung nennen und einen klar erkennbaren Link enthalten. Bis zur Bestätigung sollte die Adresse nicht für den Newsletter-Versand genutzt werden.
5. Bestätigung protokollieren: Nach dem Klick sollten Zeitpunkt, Einwilligungsfassung und die relevanten technischen Informationen nachvollziehbar gespeichert werden.
6. Versand erst danach starten: Die Adresse wird erst in den aktiven Verteiler übernommen, wenn die Bestätigung erfolgreich abgeschlossen ist.

Welche Angaben im Einwilligungstext stehen sollten

Ein Einwilligungstext muss nicht lang sein, darf aber die entscheidenden Informationen nicht auslassen. Empfehlenswert sind insbesondere folgende Angaben:

• der konkrete Inhalt oder Zweck der E-Mails, etwa Newsletter, Produktinformationen oder Einladungen zu Veranstaltungen;
• die verantwortliche Stelle oder zumindest eine eindeutige Bezeichnung der zuständigen Organisation;
• ein Hinweis auf die jederzeitige Widerrufsmöglichkeit;
• eine verständliche Information darüber, wie der Widerruf funktioniert, etwa über den Abmeldelink in jeder Nachricht;
• ein Verweis auf die Datenschutzerklärung und die dort erläuterte Verarbeitung;
• bei einer Weitergabe an einen Versanddienstleister eine transparente Information über diese Verarbeitung.

Die Formulierung sollte den tatsächlichen Versand abbilden. Wer im Formular nur einen monatlichen Newsletter ankündigt, sollte die Adresse nicht ohne zusätzliche Einwilligung für tägliche Verkaufsangebote, SMS oder Telefonwerbung verwenden. Mehrere unterschiedliche Zwecke können in getrennten, jeweils freiwilligen Auswahlfeldern abgefragt werden. Die Person muss einzelne Zwecke ablehnen können, ohne den gesamten Vorgang abbrechen zu müssen.

Die Bestätigungs-E-Mail richtig formulieren

Die Bestätigungsnachricht hat eine besondere Funktion: Sie soll die Anmeldung verifizieren und nicht bereits als Werbebotschaft dienen. Eine sachliche Formulierung ist deshalb sinnvoll. Sie kann beispielsweise erklären, dass eine Anmeldung für einen bestimmten Newsletter ausgelöst wurde und dass die Empfängerin oder der Empfänger den Vorgang mit einem Klick abschließen kann. Außerdem sollte deutlich werden, was passiert, wenn die Person die Anmeldung nicht selbst vorgenommen hat.

Werbliche Inhalte, Rabattversprechen, Produktangebote oder umfangreiche Kampagnenbotschaften gehören nicht in diese Nachricht. Der Bundesgerichtshof hat sich in der Entscheidung „Werbung im Double-Opt-In-Verfahren“, Urteil vom 1. Februar 2018, Aktenzeichen I ZR 244/16, mit der Einordnung einer Bestätigungs-E-Mail befasst. Die Entscheidung zeigt, dass der Inhalt dieser Nachricht rechtlich relevant ist und nicht automatisch als unproblematische reine Technik-Kommunikation behandelt werden darf. Die konkrete Gestaltung sollte deshalb fachlich geprüft werden.

Der Bestätigungslink sollte eindeutig beschriftet sein. Nach dem Klick sollte eine neutrale Bestätigungsseite erscheinen, die den Abschluss des Vorgangs erklärt. Falls die Adresse bereits bestätigt ist, sollte eine erneute Anmeldung nicht zu unklaren oder mehrfachen Einträgen führen.

Welche Daten dokumentiert werden sollten

Die Nachweispflicht aus Artikel 7 DSGVO verlangt kein beliebiges Sammeln möglichst vieler Daten. Erforderlich ist eine angemessene Dokumentation, mit der sich der Einwilligungsvorgang später nachvollziehen lässt. Ein internes Protokoll oder die Dokumentation im verwendeten Versand- und Anmeldesystem kann beispielsweise folgende Informationen enthalten:

• E-Mail-Adresse oder ein geeignetes internes Zuordnungsmerkmal;
• Datum und Uhrzeit der Eintragung in das Formular;
• Datum und Uhrzeit der Bestätigung;
• Wortlaut oder Versionsstand des Einwilligungstextes;
• Bezeichnung des Formulars und des konkreten Anmeldezwecks;
• technische Informationen, soweit sie für den Nachweis und die Sicherheit erforderlich sind;
• Informationen über spätere Änderungen, Abmeldungen und Widerrufe.

Die Speicherung technischer Daten muss mit dem Grundsatz der Datenminimierung vereinbar sein. Eine IP-Adresse sollte nicht dauerhaft und ohne Zweckbezug aufbewahrt werden. Es sollte festgelegt werden, welche Daten für welchen Nachweis benötigt werden, wer darauf zugreifen darf und wann sie gelöscht oder anonymisiert werden. Auch die Versionierung des Einwilligungstextes ist wichtig. Wird der Zweck des Newsletters wesentlich verändert, kann eine alte Einwilligung die neue Nutzung nicht ohne Weiteres abdecken.

Abmeldung, Widerruf und Sperrlisten

Jede Newsletter-Nachricht sollte eine gut auffindbare Abmeldemöglichkeit enthalten. Der Link sollte ohne Anmeldung, unnötige Zwischenschritte oder zusätzliche Werbeeinblendungen funktionieren. Nach der Abmeldung muss der Versand zeitnah beendet werden. Eine Person sollte nicht erst ein Benutzerkonto anlegen oder telefonisch Kontakt aufnehmen müssen, um eine Einwilligung zu widerrufen.

Für den technischen Betrieb kann es erforderlich sein, eine E-Mail-Adresse nach der Abmeldung in einer Sperrliste zu speichern. Dadurch lässt sich verhindern, dass sie versehentlich durch einen späteren Import erneut in den Verteiler gelangt. Diese Speicherung ist von der aktiven Newsletter-Einwilligung zu unterscheiden und sollte in den Datenschutzinformationen nachvollziehbar erklärt werden. Wird eine Adresse vollständig gelöscht, ohne eine geeignete Sperrung zu hinterlegen, kann bei einem späteren Datenimport ein erneuter Versand ausgelöst werden.

Auch Beschwerden sollten als Prozess behandelt werden. Wird eine Person trotz Abmeldung angeschrieben, sollten Ursache, Zeitpunkt, betroffene Systeme und ergriffene Korrekturmaßnahmen geprüft und dokumentiert werden. Ein funktionierender Abmeldeprozess ist nicht nur eine rechtliche Anforderung, sondern auch ein wichtiger Qualitätsindikator für die Adressverwaltung.

Typische Fehler im Double-Opt-in

In der Praxis entstehen Probleme häufig nicht beim Bestätigungslink selbst, sondern an den Schnittstellen zwischen Formular, Versandsoftware und Kundendatenbank. Besonders kritisch sind folgende Fehler:

• Vorausgewählte Einwilligung: Die Person muss selbst aktiv zustimmen.
• Versteckte Zwecke: Newsletter, personalisierte Werbung und Datenweitergabe dürfen nicht in einer unklaren Sammelformel verschwinden.
• Werbung in der Bestätigungsnachricht: Der Inhalt sollte auf die Verifizierung beschränkt bleiben.
• Versand vor der Bestätigung: Eine Adresse mit dem Status „unbestätigt“ darf nicht wie eine aktive Einwilligung behandelt werden.
• Kein Nachweis der Textversion: Nur Datum und E-Mail-Adresse reichen bei späteren Änderungen oft nicht aus.
• Abmeldung ohne Systemabgleich: Wenn mehrere Listen oder Programme genutzt werden, muss der Widerruf überall berücksichtigt werden.
• Adresskauf oder ungeklärte Herkunft: Die Übernahme fremder Listen ersetzt keine wirksame Einwilligung für den eigenen Versand.
• Irreführende Betreffzeilen: Die Bestätigungsnachricht sollte klar erkennen lassen, warum sie versendet wurde.

Praktische Prüfung vor dem Start

Vor der Veröffentlichung eines Formulars hilft eine dokumentierte Testprüfung. Dabei sollten nicht nur die sichtbaren Texte, sondern auch die technischen Abläufe betrachtet werden.

1. Wird der Zweck der E-Mails vor der Eintragung verständlich beschrieben?
2. Ist das Kontrollkästchen nicht vorausgewählt und eindeutig dem richtigen Zweck zugeordnet?
3. Wird die Anmeldung erst nach dem Bestätigungsklick aktiviert?
4. Enthält die Bestätigungsnachricht nur die notwendigen Informationen?
5. Werden Einwilligungstext und Versionsstand gespeichert?
6. Funktioniert der Abmeldelink auf mobilen Geräten und ohne Login?
7. Wird ein Widerruf an alle verbundenen Systeme weitergegeben?
8. Ist geregelt, wie unbestätigte Anmeldungen und fehlerhafte Adressen gelöscht werden?
9. Sind Auftragsverarbeitungsverträge und Datenschutzinformationen für eingesetzte Versanddienstleister geprüft?

Der Test sollte mit unterschiedlichen E-Mail-Adressen und Endgeräten wiederholt werden. Zusätzlich ist zu prüfen, ob ein Klick auf einen alten oder mehrfach verwendeten Bestätigungslink zu einem nachvollziehbaren Ergebnis führt. Technische Bequemlichkeit darf nicht dazu führen, dass abgemeldete Personen erneut angeschrieben werden.

Double-Opt-in bei besonderen Zielgruppen und Kanälen

Bei Minderjährigen, Gewinnspielen, Veranstaltungen oder beruflichen Verteilerlisten können zusätzliche Fragen entstehen. Das Verfahren muss zum jeweiligen Zweck passen. Bei Minderjährigen ist insbesondere zu prüfen, ob eine wirksame Einwilligung der betroffenen Person oder gegebenenfalls der erziehungsberechtigten Person erforderlich ist. Für Gewinnspiele müssen Teilnahmebedingungen, Werbung und Datenverarbeitung klar voneinander getrennt werden.

Auch eine Einwilligung für E-Mail-Werbung deckt nicht automatisch SMS, Telefonwerbung oder personalisierte Werbung auf anderen Kanälen ab. Jeder Kommunikationskanal sollte im Einwilligungstext ausdrücklich erfasst oder rechtlich gesondert bewertet werden. Ebenso ist zwischen einem redaktionellen Newsletter, transaktionalen Nachrichten und werblichen Produktinformationen zu unterscheiden. Eine Bestellbestätigung ist nicht ohne Weiteres ein Newsletter, und ein Newsletter darf nicht als notwendige Serviceinformation getarnt werden.

Bei geschäftlichen Kontakten kann die Bewertung anders ausfallen als bei privaten Empfängerinnen und Empfängern. Die Bezeichnung „B2B“ bedeutet jedoch nicht automatisch, dass jede Werbe-E-Mail ohne Einwilligung zulässig ist. Auch hier sind § 7 UWG, Datenschutzrecht und die konkrete Beziehung zwischen den Beteiligten zu prüfen.

FAQ zum Double-Opt-in

Ist Double-Opt-in gesetzlich immer vorgeschrieben?

Nein. Das Recht schreibt nicht für jede einzelne Verarbeitung wörtlich das Double-Opt-in vor. Das Verfahren ist jedoch eine etablierte Möglichkeit, eine ausdrückliche Einwilligung und die Kontrolle über eine E-Mail-Adresse nachvollziehbar zu dokumentieren. Ob es im konkreten Fall genügt, hängt von Inhalt, Einwilligungstext, Dokumentation und Versandpraxis ab.

Darf die Bestätigungs-E-Mail Werbung enthalten?

Sie sollte auf die Bestätigung des Anmeldevorgangs beschränkt bleiben. Werbliche Inhalte können die rechtliche Einordnung verändern. Die Entscheidung des Bundesgerichtshofs vom 1. Februar 2018, Aktenzeichen I ZR 244/16, zeigt, dass der konkrete Inhalt maßgeblich ist.

Wie lange muss der Nachweis der Einwilligung gespeichert werden?

Eine pauschale Frist gilt nicht für jeden Fall. Der Nachweis sollte so lange verfügbar sein, wie berechtigte Nachweis- oder Verteidigungsinteressen bestehen, zugleich aber nicht länger als erforderlich. Lösch- und Aufbewahrungskonzept sollten Zweck, Risiko und geltende Pflichten berücksichtigen.

Reicht ein Abmeldelink in jeder Nachricht aus?

Der Abmeldelink ist ein zentraler Bestandteil, aber nicht der einzige Aspekt. Er muss funktionieren, leicht auffindbar sein und den Widerruf ohne unnötige Hürden ermöglichen. Außerdem müssen alle relevanten Systeme die Abmeldung berücksichtigen.

Was passiert mit nicht bestätigten Adressen?

Sie sollten nicht in den aktiven Werbeverteiler übernommen werden. Für nicht bestätigte Datensätze sollte ein Lösch- oder Bereinigungskonzept bestehen. Die konkrete Speicherdauer ist anhand des Zwecks, der technischen Abläufe und der Datenschutzanforderungen festzulegen.