Datenschutz im Newsletter-Marketing: Alle wichtigen Richtlinien im Überblick

E-Mail-Marketing zu betreiben, ohne dabei in Kontakt mit personenbezogenen Daten zu kommen, ist unmöglich. Damit Newsletter und Marketing-E-Mails überhaupt verschickt werden können, müssen zuerst E-Mail-Adressen von Interessent:innen erhoben und gespeichert werden. Deshalb ist es wichtig, sich so früh wie möglich mit den Datenschutzrichtlinien für Newsletter auseinanderzusetzen. Zusammen mit den Datenschutz-Expert:innen von Keyed zeigen wir Ihnen Schritt für Schritt und ohne kompliziertes Fachlatein, wie datenschutzkonformes E-Mail-Marketing 2023 geht.

1. Datenschutz und Newsletter: Was hat das eine mit dem anderen zu tun?

Egal, ob Sie Ihren Newsletter an Bestandskundschaft, an Vereinsmitglieder oder an Abonnent:innen schicken, die sich über Ihr Website-Formular zum Newsletter angemeldet haben: Der Versand erfolgt an E-Mail-Adressen – also an personenbezogene Daten der Empfängerinnen und Empfänger.

Umso wichtiger ist es, dass Sie sich so früh wie möglich mit dem Thema Datenschutz und den rechtlichen Grundlagen im E-Mail-Marketing auseinandersetzen. Vor allem die Datenschutz-Grundverordnung (DSGVO), die 2018 auf EU-Ebene eingeführt wurde, umfasst wichtige datenschutzrechtliche Vorgaben, die auch für den Newsletterversand relevant sind. Diese sollten Sie befolgen, um gerichtliche Abmahnungen und Bußgelder zu vermeiden, die Ihnen sonst im schlimmsten Fall drohen könnten.

Auch andere gerichtliche Urteile, z. B. die Nichtigerklärung des Privacy Shields im Jahr 2020, haben das Thema Datenschutz bei Newslettern in den Fokus gerückt: Bereits bei der Auswahl Ihres Newsletter-Tools sollten Sie jetzt darauf achten, dass die Server, auf denen die Kontaktdaten Ihrer Empfänger:innen gespeichert werden, ausschließlich in EU-Ländern stehen. Dass es für Sie als Newsletter-Versender:in sonst ungemütlich werden kann, zeigt eine Feststellung des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA) vom 15.02.2021: Die Aufsichtsbehörde informierte das betroffene Unternehmen darüber, dass dessen Datenübermittlung an das Newsletter-Tool Mailchimp, das seinen Sitz in den USA hat, unzulässig ist.

Das Ziel solcher Urteile und Datenschutzvorgaben ist natürlich nicht, Ihnen als seriöse Newsletter-Versender:innen das Leben unnötig schwer zu machen. Vielmehr soll die Sicherheit der E-Mail-Empfängerinnen und -Empfänger erhöht und ihre Privatsphäre geschützt werden. Gleichzeitig sollen dadurch Spam-Versender:innen, die personenbezogene Kontaktdaten zu eigenen Zwecken missbrauchen, so viele Steine wie nur möglich in den Weg gelegt werden. Datenschutzvorgaben für den Newsletterversand tragen durch die Steigerung der Sicherheit so auch zu einer Verbesserung des Images von E-Mail-Marketing bei. Sie helfen Ihnen, seriöse Newsletter-Werbung zu betreiben, die von Interessent:innen gewünscht und genutzt wird.

2. Welche Datenschutzrichtlinien sind im Newsletter-Marketing zu beachten?

Es gibt einige grundsätzliche Datenschutzvorgaben, die für alle Newsletter-Versender:innen gelten, unabhängig von der Branche oder der Unternehmensaktivität. Zusätzlich können für Sie und Ihren konkreten Fall natürlich weitere datenschutzrechtliche Richtlinien relevant sein. Wenden Sie sich hierfür an Ihre interne oder externe Datenschutz-Beratung, um auf der sicheren Seite zu sein.

Folgendes gilt es für DSGVO-konformes Newsletter-Marketing grundsätzlich zu berücksichtigen:

Einwilligung der Empfänger:innen muss vorliegen – datenschutzrechtliche Basis für den Newsletterversand

Das grundlegende Prinzip lautet: Nur, wer Newsletter und Marketing-E-Mails bekommen möchte, darf diese erhalten. Jeder Kontakt, den Sie per Newsletter anschreiben, muss zuvor ausdrücklich dem Erhalt zugestimmt haben. Diese sogenannte Pflicht zur Rechenschaft, also zur Nachweisbarkeit der Empfänger-Einwilligungen, ergibt sich aus dem Art. 5 Abs. 2 der Datenschutz-Grundverordnung.

Interessent:innen sollte bewusst sein, dass sie gerade den Newsletter abonnieren, wenn sie sich ins Anmeldeformular auf Ihrer Website eintragen. Dazu ist zum einen eine Checkbox zur Einwilligung in die Datenverarbeitung ratsam. Indem die Checkbox verpflichtend aktiviert werden muss, um die Anmeldung abzuschließen, holen Sie bereits auf diesem Weg eine aktive Zustimmung der User zum Newsletter-Erhalt ein. 

Die sicherste Methode, um die Einwilligungen im gerichtlichen Streitfall belegen zu können, ist aber das Double Opt-in Verfahren bei der Newsletter-Anmeldung neuer Kontakte. Dabei bestätigen alle, die sich per Anmeldeformular o. Ä. für Ihren Newsletter eintragen, sowohl ihre E-Mail-Adresse als auch den Wunsch, Ihren Newsletter zu erhalten, in einem zweistufigen Modell („doppeltes Opt-in”): Nach erfolgter Eingabe der E-Mail-Adresse muss die Anmeldung in einer Bestätigungsmail verifiziert werden.

Sobald die Person auf den Bestätigungslink in der E-Mail klickt, liegen Ihnen z. B. bei der Nutzung von rapidmail als Newsletter-Tool Datum und Uhrzeit der Empfängereinwilligung in Ihrem Konto vor.

Lediglich der Newsletterversand an Bestandskunden und -kundinnen kann unter bestimmten Voraussetzungen einen Ausnahmefall darstellen, in dem keine explizite Einwilligung der Kund:innen vorliegen muss. Hier sollten Sie aber genau prüfen bzw. besser von einem Datenschutz-Profi prüfen lassen, ob diese speziellen Bedingungen tatsächlich erfüllt sind.

Dass der Kauf von E-Mail-Adressen für den Newsletterversand gegen die Datenschutz-Vorgaben verstößt, erklärt sich von selbst: Kaufen Sie im Internet wahllos Adresslisten, um Ihren Newsletter-Verteiler aufzubauen, fehlt Ihnen jegliche Einwilligung der Empfänger:innen. Das kann nicht nur rechtliche Konsequenzen für Sie oder Ihr Unternehmen bedeuten – gekaufte E-Mail-Adressen schaden auch dem Ruf Ihrer Marke und der allgemeinen Zustellbarkeit Ihrer Werbe-E-Mails.

Bei der Newsletter-Anmeldung auf Datenschutzerklärung hinweisen

Gehen wir aber noch einen Schritt zurück: Bevor Sie die Einwilligung neuer Abonnent:innen per Double Opt-in einholen, gibt es bei der Gestaltung der Newsletter-Anmeldestrecke Datenschutzvorgaben zu beachten. Laut DSGVO (Art. 12 ff.) müssen Sie Interessent:innen im Anmeldeformular oder spätestens in der Double Opt-in E-Mail über die Datenschutzhinweise auf Ihrer Website informieren.

Aus dieser Datenschutzerklärung muss hervorgehen, welche personenbezogenen Daten Sie für Ihr Newsletter-Marketing verarbeiten, zu welchem Zweck und was genau mit den Kontaktdaten geschieht. Sie sollten an dieser Stelle auch vermerken, welche externe Newsletter-Software Sie nutzen und auf deren AGB und Datenschutzerklärung aufmerksam machen. So sind Sie rechtlich auf der sicheren Seite.

Informationen zum Link-Tracking in die Datenschutzerklärung aufnehmen

Um Ihren Abonnent:innen immer möglichst interessante Newsletter-Inhalte zu liefern, die für sie von Interesse sind, lohnt es sich, einen Blick auf die wichtigsten Newsletter-Kennzahlen zu werfen. Darüber lässt sich z. B. herausfinden, welche Kund:innen einen Link im Newsletter angeklickt haben oder welche Links die meisten Klicks erhalten haben.

Nutzen Sie ein Newsletter-Tool wie rapidmail, erhalten Sie durch den Einsatz von Link-Tracking nach jedem Versand eine automatische Auswertung. Diese enthält unter anderem Angaben zum Klickverhalten der Empfänger:innen. Zusätzlich können Sie Ihre Newsletter-Links auch um weitere Tracking-Parameter wie die UTM-Parameter von Google Analytics erweitern, wenn Sie externe Analyse-Tools nutzen möchten.

Damit Sie die Tracking-Daten auswerten und zur Optimierung Ihres Newsletter-Marketings nutzen können, brauchen Sie laut DSGVO (Art. 6 Abs. 1 lit. a)) zuvor allerdings die Einwilligung Ihrer Kontakte zum Tracking. Deshalb ist es wichtig, dass Sie sämtliche Informationen zum Tracking des Empfängerverhaltens in Ihrer Datenschutzerklärung auf der Website bereitstellen. Auch aus diesem Grund ist es nötig, dass Sie in der Newsletter-Anmeldestrecke auf Ihre Datenschutzerklärung hinweisen.

Falls Sie jedoch auf die automatische Auswertung der Daten verzichten möchten, können Sie das Tracking in Ihrem rapidmail Konto vollständig deaktivieren. Bereits erstellte Statistiken für versendete Mailings werden dadurch anonymisiert. Beachten Sie aber, dass durch die Deaktivierung des Link-Trackings einige Funktionen wie A/B-Tests oder Follow-Up-Mailings eingeschränkt werden.

E-Mail-Adresse als einziges Pflichtfeld im Newsletter-Anmeldeformular

Eine individuelle Begrüßung im Newsletter, ein Rabattcode als Geburtstagsgeschenk oder Einladungen zu Veranstaltungen in der Nähe: Personalisierung wird im Newsletter-Marketing immer wichtiger. Um bereits bei der Newsletter-Anmeldung möglichst viel über den neuen Kontakt zu erfahren, fragen viele Versender:innen immer mehr Daten in ihrem Anmeldeformular ab. Neben der E-Mail-Adresse umfasst es z. B. Felder für den Vor- und Nachnamen, das Geburtsdatum oder individuelle Interessengebiete.

Aber auch hier ist Vorsicht geboten: Dem Grundsatz der Datenvermeidung und Datensparsamkeit laut Bundesdatenschutzgesetz (§ 3a BDSG) zufolge dürfen Sie nur personenbezogene Daten von Interessent:innen erheben und verarbeiten, wenn diese für den jeweiligen Zweck relevant sind.

Für Ihr E-Mail-Marketing bedeutet das, dass Sie Usern die Newsletter-Anmeldung auch ermöglichen müssen, wenn diese nur ihre E-Mail-Adresse angeben möchten. Schließlich reicht diese aus, um Ihren Newsletter an die interessierte Person zu schicken. Das heißt: In Ihrem Newsletter-Anmeldeformular darf die E-Mail-Adresse das einzige Pflichtfeld sein. Andere personenbezogene Daten wie Name, Geburtsdatum oder Wohnort dürfen nur in Form eines optionalen Feldes abgefragt werden.

Kopplungsverbot bei der Newsletter-Anmeldung beachten

Leadmagneten wie Gewinnspiele oder kostenlose E-Books werden häufig dazu genutzt, um neue E-Mail-Adressen für den Newsletter-Verteiler zu sammeln. 

Allerdings ist es zum Schutz der personenbezogenen Daten von Usern laut Kopplungsverbot nach DSGVO (Art. 7 Abs. 4 DSGVO) grundsätzlich untersagt, die Gewinnspiel-Teilnahme bzw. den E-Book-Download automatisch an eine Newsletter-Anmeldung zu knüpfen.

Damit Sie Leadmagneten wie Gewinnspiele oder E-Books DSGVO-konform einsetzen können, um Ihren Newsletter-Verteiler auszubauen, muss einer der beiden folgenden Fälle zutreffen:

1. E-Book-Download- bzw. Gewinnspielvertrag: Sie haben von einem erfahrenen Datenschutz-Experten oder einer erfahrenen Datenschutz-Expertin einen E-Book- bzw. Gewinnspielvertrag aufsetzen lassen. Aus diesem geht hervor, dass die Teilnahme am Gewinnspiel bzw. der E-Book-Download automatisch an die Datenverarbeitung in Form des Newsletterversandes gekoppelt ist.
2. Newsletter-Abo als freiwillige und zusätzliche Option: Bevor Interessent:innen in Ihrem Website-Formular auf den Button „Am Gewinnspiel teilnehmen” bzw. „E-Book downloaden” klicken, bieten Sie eine Checkbox für die Newsletter-Anmeldung an. Website-User können diese per Klick aktivieren, wenn sie zusätzlich zur Teilnahme bzw. dem Download auch Ihren Newsletter erhalten möchten. Mit dieser Option sind Sie nicht nur rechtlich auf der sicheren Seite, sondern geben Ihrer Zielgruppe auch eine faire Chance, sich nicht zum Newsletter anzumelden, wenn daran kein Interesse besteht.

Auftragsverarbeitungs-Vertrag abschließen bei der Nutzung von externen Newsletter-Systemen

Wenn Sie für Ihr E-Mail-Marketing eine externe Newsletter-Software nutzen, hat der Anbieter theoretisch Zugriff auf die Daten Ihrer Kund:innen bzw. Interessent:innen. Alle Daten, die Sie dort in Ihr Konto importieren (z. B. die Namen und E-Mail-Adressen Ihrer Kontakte), sind auf den Servern des Newsletter-Anbieters gespeichert: Es handelt sich hier um eine sogenannte Auftragsverarbeitung. Der Art. 28 DSGVO legt fest, dass Sie als Unternehmen oder Organisation in diesem Fall einen Auftragsverarbeitungs-Vertrag (Datenschutzvertrag) mit dem externen Newsletter-Anbieter abschließen müssen.

🧐 Schon gewusst?

Mit rapidmail als Newsletter-Tool können Sie einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) für Ihren Newsletterversand ganz einfach in elektronischer Form abschließen.

Kontaktdaten dürfen nur innerhalb der EU gespeichert werden

Entsprechend der DSGVO-Vorgaben (Art. 44 ff.) ist eine Verarbeitung von personenbezogenen Daten nur innerhalb der EU ohne Weiteres möglich. Bei der Auswahl Ihres Newsletter-Tools sollten Sie daher darauf achten, dass alle Kontaktdaten ausschließlich auf Servern innerhalb der EU gespeichert und verarbeitet werden.

Ist dies nicht der Fall, z. B. weil eine Newsletter-Software mit Serverstandort USA wie Mailchimp genutzt wird, wird es problematisch: Der jeweilige Anbieter müsste zum einen gewährleisten können, dass das eigene Datenschutzniveau den EU-Vorgaben laut DSGVO entspricht. Zum anderen müsste die Europäische Kommission zuerst generell und offiziell feststellen, dass das Drittland – in diesem Fall die USA – ein angemessenes Datenschutzniveau gewährleistet. Dies ist laut der verabschiedeten Angemessenheitsbeschlüsse der Europäischen Kommission derzeit z. B. für die USA nicht der Fall.

Liegt für das Drittland, in dem ein Newsletter-Tool personenbezogene Daten seiner Kund:innen speichert, kein Angemessenheitsbeschluss vor, kann das Drittland laut DSGVO kein angemessenes Datenschutzniveau bieten. In diesem Fall müssten erst weitere mögliche Schutzmaßnahmen, z. B. sogenannte Standarddatenschutzklauseln, einzeln ausgehandelte Vertragsklauseln oder ein genehmigter Zertifizierungsmechanismus geprüft werden.

Sie merken schon: Wenn Sie sich das Leben nicht selbst schwer machen möchten, ist eine Newsletter-Software mit Serverstandort ausschließlich innerhalb der EU die unkomplizierte und sichere Lösung.

Keine Noreply-Adresse für den Newsletter-Absender nutzen

„noreply@meine-firma.de”, „do-not-reply@meinefirma.de” oder „nicht-antworten@meinefirma.de”: Viele Newsletter-Versender:innen verschicken Ihren Newsletter immer noch über eine Noreply-Adresse. Damit wollen sie eine Flut an Antwortmails als Reaktion auf einen versendeten Newsletter verhindern. Nicht nur im Hinblick auf die Kundenbeziehung bzw. Leserbindung ist eine Noreply-Adresse eine fragwürdige Wahl für den Newsletter-Absender.

Denn mit Noreply-Adressen befinden sich Newsletter-Versender:innen in einer rechtlichen Grauzone, auch wenn prinzipiell nicht gegen geltende Datenschutzgesetze verstoßen wird: Laut Datenschutzgrundverordnung (Art. 15 ff.) muss es Nutzerinnen und Nutzern jederzeit möglich sein, Informationen zu sämtlichen personenbezogenen Daten einzuholen, die über sie gesammelt wurden.

Bezieht man das auf den Versand von Newslettern, bedeutet das, dass Abonnent:innen stets die Möglichkeit haben müssen, Informationen zu den eigenen Daten beim Versender einzuholen. Durch die Nutzung einer Noreply-Absenderadresse unterbindet der bzw. die Versender:in allerdings eine direkte Kontaktmöglichkeit. Das Einholen der Informationen zu den gesammelten personenbezogenen Daten wird den Empfänger:innen somit erschwert.

Um datenschutzrechtlich kein Risiko einzugehen, raten wir Ihnen daher von Noreply-Adressen als Newsletter-Absender ab. Verwenden Sie stattdessen lieber Absenderadressen, an die sich Ihre Newsletter-Kontakte jederzeit wenden können, wenn sie Fragen zu den vorgestellten Themen haben oder Ihnen Feedback zum Newsletter geben möchten. Mehr Interaktion im Newsletter-Marketing steigert nicht nur die Leserbindung zu Ihrer Marke, sondern wirkt sich gleichzeitig positiv auf die Zustellbarkeit Ihrer Werbe-E-Mails aus.

Abmeldelink muss in jedem Newsletter enthalten sein

Natürlich ist es immer traurig, wenn sich Abonnentinnen und Abonnenten vom Newsletter abmelden. Trotzdem sollten Sie auf keinen Fall versuchen, sie zwanghaft an Ihren Newsletter zu binden. Stattdessen sollten Sie ihnen die Abmeldung nicht unnötig erschweren:

Zum einen, weil es Ihrem Unternehmen oder Ihrer Organisation keine Vorteile bringt, einer Person ohne Interesse regelmäßig Newsletter zu schicken. Außerdem gibt die DSGVO (Art. 7) vor, dass Abonnent:innen jederzeit das Recht haben, ihre Zustimmung zum Newsletter-Empfang zu widerrufen. Das bedeutet: Ihre Leserinnen und Leser müssen die Möglichkeit haben, sich zu jedem Zeitpunkt von Ihrem Newsletter abzumelden. Für eine DSGVO-konforme Newsletter-Abmeldung müssen sie ihre Einwilligung zudem genauso einfach widerrufen können, wie sie sie zuvor erteilt hatten.

Die DSGVO schreibt hier also nicht explizit vor, dass jeder Newsletter einen Abmeldelink enthalten muss. Allerdings ist der Abmeldelink für Abonnent:innen und für Versender:innen die einfachste und sicherste Lösung – auch, um Abmahnungen und gerichtliche Streitfälle zu vermeiden.

Das „Recht auf Vergessenwerden” der Empfänger:innen

Melden sich Abonennt:innen von Ihrem Newsletter ab, heißt das, dass sie in Zukunft keine weiteren E-Mail Newsletter mehr von Ihnen erhalten werden. Was dann mit den persönlichen Daten genau passiert, hängt von der technischen Lösung der verschiedenen Newsletter-Tools ab. Daher ist es wichtig, schon von Beginn an darauf zu achten, dass man eine DSGVO-konforme Newsletter-Software auswählt, die eine rechtskonforme Löschung der Kontaktdaten ermöglicht.

Mit rapidmail wechselt ein Kontakt nach einer „klassischen” Newsletter-Abmeldung automatisch vom Status „aktiv“ zu „abgemeldet”. Personenbezogene Daten wie der Name oder das Geburtsdatum werden gelöscht. Die E-Mail-Adresse bleibt dagegen als „abgemeldet” in der Empfängerliste gespeichert. Dadurch wird sichergestellt, dass die E-Mail-Adresse von Ihnen als Versender:in nicht aus Versehen ohne Genehmigung erneut angeschrieben wird.

Seit Inkrafttreten der DSGVO haben Ihre Abonnent:innen zusätzlich zur klassischen Abmeldung das sogenannte „Recht auf Vergessenwerden”. Dadurch können sie zum Beispiel per E-Mail von Ihnen als Versender:in verlangen, dass alle ihre personenbezogenen Daten inklusive E-Mail-Adresse auf allen Servern und Systemen gelöscht werden – sofern dies nicht mit anderen Aufbewahrungspflichten in Konflikt steht. Mit rapidmail können Sie daher die Daten von Abonnent:innen zusätzlich zur Abmeldung aus der Empfängerliste  „löschen und DSGVO-konform vergessen”.

3. Kostenlose Datenschutz-Checkliste für Newsletter – zum Downloaden & Abhaken

Sie haben jetzt einen guten Überblick, wie Sie Newsletter und Datenschutz unter einen Hut bringen. Damit Sie direkt durchstarten können, begleiten wir Sie mit unserer kostenlosen Datenschutz-Checkliste 2023 Schritt für Schritt zu einem datenschutzkonformen Newsletterversand. Laden Sie die interaktive Checkliste herunter und haken Sie alle Vorgaben ab, die Sie bereits erfolgreich umgesetzt haben. Auf los geht’s los!

Ihr Datenschutz ist uns wichtig. Mit Eingabe und Übermittlung Ihrer Daten erklären Sie sich einverstanden, dass wir Sie persönlich per Newsletter kontaktieren, in dem wir regelmäßig wichtige Infos und Neues aus dem Bereich Newsletter-Marketing mit Ihnen teilen. Sie können sich jederzeit wieder vom Newsletter abmelden. Eine Weitergabe Ihrer Daten an Dritte erfolgt nicht. Weitere Informationen finden Sie in unserer Datenschutzerklärung.

Fazit: Wie wichtig ist im E-Mail-Marketing das Thema Datenschutz?

Im E-Mail-Marketing findet das Thema Datenschutz immer mehr Beachtung. Neben den zahlreichen Vorgaben, die seit Inkrafttreten der Datenschutz-Grundverordnung 2018 einzuhalten sind, zeigen das auch verschiedene gerichtliche Urteile –  u. a. im Fall von Datenübertragungen an Newsletter-Tools in Drittstaaten wie den USA.

Umso wichtiger ist es für Sie als Versender:in, dass Sie sich frühzeitig mit dem Thema Newsletter und Datenschutz auseinandersetzen und alle Abläufe im E-Mail-Marketing DSGVO-konform gestalten – von der Auswahl einer Newsletter-Software mit Serverstandort innerhalb der EU bis hin zur Möglichkeit, dass Sie Kontakte auf deren Wunsch hin DSGVO-konform löschen können.

So sind Sie rechtlich auf der sicheren Seite und können Ihre Newsletter völlig entspannt versenden – ohne Sorge vor gerichtlichen Abmahnungen oder Bußgeldbescheiden.

Noch Fragen zum Thema Datenschutz beim Newsletterversand?

Kein Problem, bei datenschutzrechtlichen Fragen, die unser Newsletter-Tool betreffen, hilft Ihnen unser rapidmail Support-Team gerne weiter. Für eine generelle Beratung zum Thema Datenschutz in Ihrem Unternehmen und für Tipps, wie Sie Ihr Datenschutz-Niveau steigern können, können Sie sich an unsere Datenschutz-Partner von Keyed wenden.