Cookie-Consent und Newsletter-Anmeldung rechtssicher umsetzen

Warum Double-Opt-In in Deutschland nötig ist

Wer eine E-Mail-Liste oder einen Newsletter anbietet, braucht eine Einwilligung der Empfängerinnen und Empfänger. Eine bloße Anmeldung – etwa ein Feld, in das jemand seine Adresse einträgt und das dann abgeschickt wird – reicht als Nachweis dieser Einwilligung nicht aus. In Deutschland ist Double-Opt-In deshalb zwingend nötig.

Beim Double-Opt-In erfolgt die Anmeldung in zwei Schritten. Zuerst trägt jemand seine E-Mail-Adresse ein. Anschließend erhält die Person eine Bestätigungsmail mit einem Link, den sie aktiv anklicken muss. Erst mit diesem Klick gilt die Einwilligung als erteilt und nachweisbar. Der Grund: Wer nur eine Adresse einträgt, kann eine fremde Adresse angeben. Erst die Bestätigungsmail zeigt, dass die Person wirklich Inhaberin der Adresse ist und die Nachrichten erhalten will.

Ohne diesen Schritt fehlt der Nachweis, dass die Einwilligung tatsächlich von der Person stammt, die die Nachrichten erhält. Im Zweifel – etwa bei einer Beschwerde – lässt sich das nicht nachträglich herstellen. Double-Opt-In ist also nicht nur eine Formalie, sondern der Beleg, auf den es ankommt.

Die Datenschutzerklärung als Grundlage

Neben der doppelten Bestätigung braucht die Verarbeitung eine Grundlage in der Datenschutzerklärung. Die Erklärung muss beschreiben, was mit den gesammelten Adressen geschieht: zu welchem Zweck sie gespeichert werden, an wen sie weitergegeben werden, wie lange sie aufbewahrt bleiben und wie eine Abmeldung funktioniert.

Werden die Adressen an einen Dienstleister weitergegeben – einen E-Mail-Newsletter-Dienst, der die Versendung technisch übernimmt – gehört dieser in die Erklärung. Das gilt auch für die Anbieter von Datenbank oder Hosting, soweit sie im Rahmen der Verarbeitung Zugriff auf die Daten haben. Wer die Erklärung schlank und verständlich hält, hilft sich und den Empfängern gleichermaßen.

Der Auftragsverarbeitungsvertrag mit dem E-Mail-Tool

Sobald ein externer Dienstleister die Verarbeitung personenbezogener Daten übernimmt, ist ein Auftragsverarbeitungsvertrag, kurz AVV, nötig. Für einen E-Mail-Newsletter-Dienst bedeutet das: Wer die Adressen seiner Liste dorthin gibt, schließt mit dem Anbieter einen AVV ab. Der Vertrag regelt, dass der Dienstleister die Daten nur im Auftrag und nach den Weisungen des Betreibers verarbeitet und die technisch-organisatorischen Maßnahmen zur Sicherheit einhält.

Viele Anbieter halten für diesen Fall eine Vorlage bereit, die sich unternehmenIndividualisiert übernehmen lässt. Wer den Vertrag nicht abschließt, trägt das Risiko einer unzulässigen Auftragsverarbeitung. Das ist kein Detail, sondern ein fester Bestandteil der Pflichten, sobald ein Dritter die Daten verarbeitet.

Der AVV mit dem Datenbank- und Hosting-Anbieter

Dasselbe Prinzip greift bei der Datenbank und beim Hosting. Sitzt der Anbieter außerhalb der EU oder hat er einen Mutterkonzern in den USA, ist ein AVV mit ihm nötig. Die Frage ist nicht, ob der Anbieter grundsätzlich zuverlässig ist, sondern ob die Datenverarbeitung außerhalb der EU rechtlich sauber eingebettet ist. Ein US-Mutterkonzern oder ein Serverstandort außerhalb der EU bedeutet, dass zusätzliche Anforderungen an die Übermittlung gestellt werden – und der AVV ist einer der Bausteine, die dazu gehören.

Wer von Anfang an prüft, wo der Dienstleister sitzt und ob ein Konzern im Spiel ist, vermeidet spätere Überraschungen. Die Information steht meist in den Nutzungsbedingungen des Anbieters oder lässt sich kurz nachfragen.

Was zusammen gehört

Rechtssicher umgesetzt besteht die Newsletter-Anmeldung aus mehreren Bausteinen, die zusammenwirken: das Double-Opt-In als Nachweis der Einwilligung, die Datenschutzerklärung als Beschreibung der Verarbeitung und der AVV mit jedem Dienstleister, der die Daten berührt. Fehlt ein Baustein, bleibt die Einrichtung lückenhaft – und eine Lücke zeigt sich meist erst dann, wenn es bereits zu einer Beschwerde oder einer Nachfrage gekommen ist.

Wer die Bausteine von Anfang an zusammen denkt, baut eine Liste auf, die sich nicht nur im Alltag trägt, sondern auch bei einer Prüfung standhält. Der Aufwand ist geringer als der Schaden, der entsteht, wenn einer der Bausteine fehlt.

Allgemeine Information, keine Rechtsberatung. Stand: 10. September 2026.