Ein Abonnent, der behauptet, sich nie angemeldet zu haben. Eine Abmahnung, die plötzlich im Postfach liegt. In solchen Momenten zählt nur eine Frage: Kannst du die Einwilligung nachweisen? Mit einem sauber umgesetzten Double-Opt-In ist die Antwort ein klares Ja. Hier erfährst du, wie das Verfahren funktioniert, was du speichern musst und welche Fehler wir in fast jedem Audit wiederfinden.
Was ist Double-Opt-In?
Beim Double-Opt-In meldet sich eine Person in zwei Schritten an. Zuerst trägt sie ihre E-Mail-Adresse in ein Formular ein. Danach bekommt sie eine Bestätigungs-E-Mail mit einem Link. Erst wenn sie diesen Link anklickt, landet die Adresse wirklich in deinem Verteiler.
Der zweite Schritt beweist, dass die Person hinter der Adresse die Anmeldung selbst gewollt hat. Beim einfachen Opt-In fehlt dieser Beweis. Jeder könnte dort jede beliebige Adresse eintragen, auch die eines Kollegen, eines Mitbewerbers oder eine erfundene.
Warum du es in Deutschland brauchst
Für werbliche E-Mails brauchst du grundsätzlich eine vorherige ausdrückliche Einwilligung des Empfängers. Das ergibt sich aus § 7 Abs. 2 UWG. Ohne Einwilligung gilt die Mail als unzumutbare Belästigung, und die kann abgemahnt werden, sowohl von Mitbewerbern als auch von Verbraucherverbänden.
Die DSGVO legt noch etwas drauf: Nach Art. 7 Abs. 1 DSGVO musst du nachweisen können, dass die Einwilligung tatsächlich erteilt wurde. Die Beweislast liegt also bei dir, nicht beim Empfänger. Das Gesetz schreibt das Double-Opt-In nicht wörtlich vor. In der Praxis ist es aber der einzige Weg, mit dem du diesen Nachweis zuverlässig führen kannst. Deshalb hat es sich in Deutschland als Standard durchgesetzt.
Gut zu wissen: Auch im B2B-Bereich brauchst du eine Einwilligung. Die weit verbreitete Annahme, an Geschäftsadressen dürfe man einfach Newsletter schicken, stimmt so nicht. Eine eng begrenzte Ausnahme gibt es nur für eigene Bestandskunden nach § 7 Abs. 3 UWG.
So läuft ein rechtssicheres Double-Opt-In ab
1. Das Anmeldeformular
Frag nur die Daten ab, die du wirklich brauchst. Für einen Newsletter reicht die E-Mail-Adresse. Ein Vorname ist erlaubt, wenn du ihn für die Ansprache nutzt, sollte aber freiwillig sein.
Direkt am Formular muss klar stehen, wofür sich jemand anmeldet: welche Inhalte, wie oft und von wem. Formulierungen wie „Bleib auf dem Laufenden“ reichen nicht. Besser ist zum Beispiel: „Einmal im Monat ein Praxistipp zu E-Mail-Marketing von Mailuxe. Abmeldung jederzeit möglich.“ Ergänze einen Link zur Datenschutzerklärung.
Nutzt du eine Checkbox, darf sie nicht vorausgefüllt sein. Das hat der Europäische Gerichtshof 2019 in der Entscheidung „Planet49“ klargestellt.
2. Die Bestätigungs-E-Mail
Die Bestätigungs-E-Mail hat genau eine Aufgabe: die Anmeldung bestätigen zu lassen. Sie sollte deshalb keine Werbung enthalten. Kein Rabattcode, keine Produktempfehlung, kein Hinweis auf das aktuelle Angebot. Sonst riskierst du, dass schon diese erste Mail als unerlaubte Werbung gewertet wird.
In die Bestätigungs-E-Mail gehören: dein Absendername, eine kurze Erklärung, warum die Person diese Mail bekommt, der Bestätigungslink und ein Satz für den Fall, dass sie sich nicht angemeldet hat. Etwa so: „Falls du dich nicht angemeldet hast, ignorier diese Mail einfach. Ohne Klick auf den Link bekommst du nichts weiter von uns.“
3. Die Bestätigung und was danach passiert
Nach dem Klick landet die Person auf einer Bestätigungsseite. Erst ab diesem Moment darfst du ihr Newsletter schicken. Ein Freebie, das du für die Anmeldung versprochen hast, verschickst du ebenfalls erst nach der Bestätigung.
Unbestätigte Anmeldungen löschst du nach kurzer Zeit wieder. In der Praxis haben sich sieben bis dreißig Tage bewährt. Wer bis dahin nicht bestätigt hat, wollte entweder nicht oder hat sich vertippt.
Was du dokumentieren musst
Das Verfahren allein schützt dich nicht. Entscheidend ist, dass du jeden Schritt später belegen kannst. Für jede Adresse solltest du speichern:
- Zeitpunkt der Anmeldung mit Datum und Uhrzeit
- IP-Adresse bei der Anmeldung
- Zeitpunkt der Bestätigung mit Datum und Uhrzeit
- IP-Adresse bei der Bestätigung
- Quelle der Anmeldung, also welches Formular auf welcher Seite
- Den genauen Wortlaut des Einwilligungstextes zum Zeitpunkt der Anmeldung
- Den Inhalt der verschickten Bestätigungs-E-Mail
Die meisten Newsletter-Tools wie Brevo, CleverReach oder Klaviyo protokollieren die ersten fünf Punkte automatisch. Die letzten beiden vergessen fast alle. Wenn du deinen Einwilligungstext änderst, musst du später zeigen können, welche Version die Person damals gesehen hat. Am einfachsten geht das mit einem kleinen Änderungsprotokoll: Datum, alter Text, neuer Text. Ein Screenshot des Formulars mit Datum reicht oft schon.
Wie lange aufbewahren? Solange du die Adresse nutzt, und darüber hinaus so lange, wie noch Ansprüche gegen dich geltend gemacht werden können. Nach einer Abmeldung löschst du die Adresse aus dem Verteiler, behältst aber den Nachweis der früheren Einwilligung. Die genaue Dauer stimmst du am besten mit deiner Rechtsberatung ab.
Die sieben häufigsten Fehler
Diese Punkte finden wir in Audits immer wieder. Jeder einzelne kann im Ernstfall teuer werden.
- Werbung in der Bestätigungs-E-Mail. Der Rabattcode gehört in die erste Mail nach der Bestätigung, nicht davor.
- Unklarer Einwilligungstext. „Ich möchte Neuigkeiten erhalten“ lässt offen, was kommt. Nenne Inhalt, Häufigkeit und Absender.
- Kein Protokoll des Einwilligungstextes. Das Tool speichert Zeitstempel, aber nicht, was im Formular stand.
- Importierte Listen ohne Nachweis. Adressen aus Messen, Visitenkarten oder einem alten System werden einfach hochgeladen.
- Mehrere Formulare, unterschiedliche Regeln. Das Footer-Formular nutzt Double-Opt-In, das Popup aus einem anderen Plugin nicht.
- Unbestätigte Kontakte bleiben ewig in der Liste. Sie bekommen irgendwann doch eine Kampagne, etwa nach einem Toolwechsel.
- Tracking ohne Hinweis. Wenn du Öffnungen und Klicks auswertest, gehört das in den Einwilligungstext und in die Datenschutzerklärung.
Was tun mit einer Liste ohne Nachweis?
Viele Unternehmen haben Adressen, für die es keinen sauberen Nachweis gibt. Die naheliegende Idee ist eine Mail an alle mit der Bitte, die Anmeldung nachträglich zu bestätigen. Genau das ist aber heikel: Auch eine solche Bitte um Einwilligung kann bereits als Werbung gelten, für die du ja gerade keine Einwilligung hast.
Sicherer ist es, die Liste in drei Gruppen zu teilen. Kontakte mit vollständigem Nachweis nutzt du weiter. Eigene Kunden, die bei dir gekauft haben, kannst du unter den engen Voraussetzungen von § 7 Abs. 3 UWG zu ähnlichen Produkten anschreiben. Alle übrigen Adressen nimmst du aus dem Werbeverteiler und baust die Liste über neue, saubere Anmeldewege wieder auf. Das tut im ersten Moment weh, schützt dich aber dauerhaft und verbessert ganz nebenbei deine Zustellbarkeit.
Checkliste zum Abhaken
- Formular fragt nur die nötigen Daten ab
- Einwilligungstext nennt Inhalt, Häufigkeit und Absender
- Link zur Datenschutzerklärung direkt am Formular
- Keine vorausgefüllte Checkbox
- Bestätigungs-E-Mail ohne jede Werbung
- Freebie erst nach der Bestätigung
- Zeitpunkte und IP-Adressen beider Schritte werden gespeichert
- Wortlaut des Einwilligungstextes ist versioniert
- Unbestätigte Anmeldungen werden automatisch gelöscht
- Alle Formulare der Website nutzen dasselbe Verfahren
- Abmeldelink in jeder Mail
- Tracking ist im Einwilligungstext und in der Datenschutzerklärung erwähnt
Dieser Beitrag gibt unsere Erfahrung aus der Praxis wieder und ersetzt keine Rechtsberatung. Für deinen konkreten Fall sprich bitte mit einer Anwältin oder einem Anwalt.