Die kurze Antwort
Für rechtssicheres E-Mail-Marketing brauchst du drei Dinge: eine ausdrückliche Einwilligung vor der ersten Werbemail, ein Double-Opt-in als Nachweis dieser Einwilligung, und eine Abmeldemöglichkeit in jeder Mail. Dazu kommen Transparenz darüber, was du mit den Daten machst, und ein Vertrag mit deinem E-Mail-Anbieter über die Auftragsverarbeitung.
Warum ist E-Mail-Marketing überhaupt ein Datenschutzthema?
Weil eine E-Mail-Adresse ein personenbezogenes Datum ist. Sobald du sie speicherst, auswertest oder an ein Tool weitergibst, greift die Datenschutz-Grundverordnung. Und sobald du Werbung verschickst, kommt das Wettbewerbsrecht dazu.
Als ehemalige Ermittlerin bin ich bei Rechtssicherheit gnadenlos gründlich. Das ist Berufskrankheit. Der Vorteil für dich: Sauber aufgesetzt ist das kein Hindernis, sondern eine Grundlage, auf der du dich frei bewegen kannst.
Was bedeutet Einwilligung genau?
Einwilligung heißt: Die Person sagt aktiv ja, bevor die erste Werbemail rausgeht. Aktiv bedeutet, dass sie selbst ein Häkchen setzt oder ein Formular abschickt. Ein vorausgefülltes Häkchen ist keine Einwilligung. Eine Adresse aus einer Visitenkartenbox auch nicht.
Die Einwilligung muss außerdem informiert sein. Die Person muss wissen, wofür sie sich einträgt und was sie ungefähr erwartet. Und sie muss freiwillig sein: Du darfst den Zugang zu etwas nicht davon abhängig machen, dass jemand Werbung bekommt, wenn das sachlich nichts miteinander zu tun hat.
Wozu dient das Double-Opt-in?
Beim Double-Opt-in bekommt die Person nach dem Eintragen zuerst eine Bestätigungsmail. Erst wenn sie dort klickt, ist sie in deiner Liste.
Der Sinn dahinter ist der Nachweis. Die DSGVO verlangt von dir, dass du belegen kannst, dass eine Einwilligung vorliegt. Das Double-Opt-in liefert genau diesen Beleg: Zeitpunkt, Adresse und der Klick auf den Bestätigungslink. Ohne diesen Nachweis stehst du im Streitfall mit leeren Händen da.
Es hat noch einen zweiten Nutzen, der oft übersehen wird: Es hält Tippfehler und fremde Adressen draußen. Das schützt deine Zustellbarkeit, weil weniger Mails ins Leere gehen.
Was gehört in jede einzelne Mail?
Ein Abmeldelink, der ohne Umwege funktioniert. Kein Login, keine Rückfrage, kein Formular mit fünf Feldern. Ein Klick muss reichen.
Dazu ein Impressum oder zumindest die Angaben, aus denen hervorgeht, wer der Absender ist. Und eine Absenderadresse, die auch tatsächlich erreichbar ist.
Was ist ein Auftragsverarbeitungsvertrag?
Wenn du ein E-Mail-Tool nutzt, verarbeitet dieser Anbieter Daten in deinem Auftrag. Dafür braucht es einen Vertrag, meist Auftragsverarbeitungsvertrag genannt. Seriöse Anbieter stellen ihn bereit, oft direkt zum Abschluss im Konto.
Hier zeigt sich ein praktischer Unterschied zwischen den Tools: Bei einem Anbieter innerhalb der EU wie Wild Mail sind Vertrag und Serverstandort schnell geklärt. Bei internationalen Anbietern lohnt der genaue Blick, wo Daten liegen und auf welcher Grundlage sie übertragen werden. Mehr dazu steht im Artikel Klaviyo oder Wild Mail.
Darf ich Öffnungen und Klicks messen?
Nur mit einer Einwilligung, die genau das abdeckt. Wer öffnet, wer klickt, wer kauft: Das ist Verhalten, und Verhalten auszuwerten geht nicht nebenbei mit.
Praktisch heißt das, dass du bei der Anmeldung transparent machst, dass du die Nutzung auswertest, um die Inhalte passender zu machen. Genau dieselbe Grundlage brauchst du übrigens auch für Segmentierung und für Automationen, weil beide auf Verhalten aufbauen.
Welche Fehler werden am häufigsten gemacht?
Der teuerste ist die gekaufte oder anderweitig eingesammelte Liste. Dafür gibt es keine Einwilligung, und keine nachträgliche Bestätigungsmail heilt das.
Der zweithäufigste ist der fehlende Nachweis. Die Einwilligung gab es vielleicht, aber niemand kann sie belegen. Der dritte ist ein Abmeldelink, der nicht richtig funktioniert oder erst nach Tagen greift.
Und der vierte, unauffälligste: alte Adressen, die seit Jahren im Verteiler liegen, ohne dass noch jemand weiß, woher sie stammen.
Fazit
Rechtssicheres E-Mail-Marketing ist kein Hexenwerk, aber es duldet keine Schlamperei. Einwilligung einholen, Nachweis sichern, Abmeldung leicht machen, Verträge klären. Wer das von Anfang an sauber aufsetzt, muss später nichts reparieren.
Ich richte diese Grundlagen bei jedem Projekt mit ein, nicht als Nachtrag, sondern als Teil des Aufbaus. Wenn du wissen willst, wie dein Shop dasteht, ist ein kostenloses 30-minütiges Erstgespräch ein guter erster Schritt. Für 2026 sind noch zwei Plätze frei.
Dieser Artikel gibt meine Erfahrung aus der Praxis wieder und ersetzt keine Rechtsberatung. Bei Zweifeln im Einzelfall hilft eine auf IT-Recht spezialisierte Kanzlei weiter.
Häufige Fragen
Reicht ein einfaches Anmeldeformular ohne Bestätigungsmail?
Rechtlich fehlt dir dann der Nachweis der Einwilligung. Deshalb gehört das Double-Opt-in zu jeder sauber aufgesetzten Anmeldung dazu.
Darf ich Bestandskunden ohne Einwilligung anschreiben?
Dafür gibt es eine enge Ausnahme für eigene, ähnliche Produkte, an die aber mehrere Bedingungen geknüpft sind. Das lohnt sich, im Einzelfall zu prüfen, statt es pauschal anzunehmen.
Wie lange muss ich den Nachweis aufbewahren?
So lange die Einwilligung genutzt wird, und darüber hinaus so lange, wie Ansprüche geltend gemacht werden könnten. Die Anmeldedaten gehören deshalb dauerhaft ins Tool.
Muss ich alte Adressen löschen, deren Herkunft unklar ist?
Wenn du die Einwilligung nicht belegen kannst, solltest du sie nicht mehr bewerben. Sauberer ist es, die Liste zu bereinigen, statt ein Risiko mitzuschleppen.