Newsletter rechtssicher versenden: Einwilligung, Bestandskunden, Nachweis

Werbliche E-Mails sind in Deutschland erlaubnispflichtig. Dieser Text erklärt, worauf es ankommt: wann du eine Einwilligung brauchst, wann die Ausnahme für Bestandskunden greift, was protokolliert gehört und was in jede Mail muss.

Allgemeine Information, keine Rechtsberatung. Die LOGIN SystemHaus GmbH ist kein Rechtsdienstleister. Im Zweifel und vor größeren Aussendungen lohnt der Blick einer Anwältin oder eines Anwalts.

Der Grundsatz: ohne Einwilligung keine Werbung

Nach § 7 des Gesetzes gegen den unlauteren Wettbewerb ist Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung des Empfängers eine unzumutbare Belästigung. Das gilt gegenüber Verbrauchern wie gegenüber Unternehmen. Eine Visitenkarte auf einer Messe ist keine Einwilligung, ein Impressum auf einer Website auch nicht.

Ausdrücklich heißt: aktiv, informiert und für diesen Zweck. Ein vorangekreuztes Kästchen ist keine Einwilligung, ein Kästchen, das gleichzeitig die AGB akzeptiert, auch nicht. Der Empfänger muss wissen, wer ihm was schicken will.

Daneben steht die Datenschutz-Grundverordnung, die für die Verarbeitung der Adresse eine Rechtsgrundlage verlangt und dir Informationspflichten auferlegt. Beide Regelwerke gelten nebeneinander; die Einwilligung nach dem einen ersetzt die Anforderungen des anderen nicht.

Die Ausnahme für Bestandskunden

§ 7 Abs. 3 UWG erlaubt Werbung an bestehende Kunden ohne gesonderte Einwilligung, wenn alle vier Bedingungen erfüllt sind:

1. Du hast die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden selbst erhalten.
2. Du bewirbst damit nur eigene, ähnliche Waren oder Dienstleistungen.
3. Der Kunde hat der Verwendung nicht widersprochen.
4. Er wird bei Erhebung der Adresse und in jeder einzelnen Mail klar darauf hingewiesen, dass er jederzeit widersprechen kann, ohne dass dafür andere als die Übermittlungskosten anfallen.

Der Knackpunkt ist meistens „ähnlich". Wer Software verkauft hat, darf über Software schreiben, nicht über ein neues Beratungsangebot in einem anderen Feld. Und die Ausnahme gilt nur für Kunden, nicht für Interessenten, die nie etwas gekauft haben.

Double Opt-in: Ablauf und was protokolliert gehört

Im Streitfall musst du beweisen, dass eine Einwilligung vorlag. Das übliche und praktisch einzige belastbare Verfahren ist das Double Opt-in:

1. Der Interessent trägt seine Adresse ein.
2. Er bekommt eine Mail mit einem Bestätigungslink und sonst keinem Werbeinhalt.
3. Erst mit dem Klick auf diesen Link ist er eingetragen.

Zu protokollieren sind Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, der Wortlaut des Einwilligungstextes und der technische Vorgang. Der letzte Punkt wird oft vergessen und ist der wichtigste: Der Text von damals muss rekonstruierbar sein, nicht der von heute.

Einwilligungen veralten. Eine, die Jahre zurückliegt und seither nie genutzt wurde, trägt vor Gericht nicht mehr zuverlässig.

Was in jede Mail gehört

• Ein Abmeldelink, der ohne Anmeldung funktioniert und sofort wirkt. Ein Link auf ein Kontaktformular reicht nicht.
• Ein Impressum mit den Angaben nach § 5 DDG.
• Ein Hinweis auf die Herkunft der Adresse, wenn du dich auf die Bestandskundenausnahme stützt.
• Ein ehrlicher Betreff. Verschleierung des werblichen Charakters ist ein eigener Verstoß.

Abmeldungen müssen unverzüglich wirken. Der Klassiker vor Gericht ist die Mail, die nach der Abmeldung noch zweimal kommt, weil ein zweites System die Liste nicht kannte.

Was der Versanddienst beisteuert und was deine Aufgabe bleibt

Ein Versanddienst sorgt für die technische Seite: Verschlüsselung, Signatur, Zustellung, Protokollierung, Auftragsverarbeitungsvertrag und Serverstandort. Er kann nicht beurteilen, ob deine Adressen sauber eingesammelt wurden, und übernimmt dafür auch keine Verantwortung.

Bei MailBridge sind deshalb gekaufte oder gemietete Adresslisten und Kaltakquise per Mail ausgeschlossen; die Einzelheiten stehen in den Nutzungsbedingungen. Der Grund ist nicht Prinzipienreiterei: Ein einziger Versand an eine gekaufte Liste beschädigt die Reputation der Versandwege, über die auch alle anderen Kunden ihre Rechnungen verschicken.

Technisch gilt für Newsletter dasselbe wie für jede andere Mail: Ohne SPF, DKIM und DMARC landet auch ein rechtlich einwandfreier Newsletter im Spam-Ordner.

Häufige Irrtümer

• „B2B ist erlaubt." Nein. § 7 UWG unterscheidet nicht zwischen Verbrauchern und Unternehmen. Die Adresse info@firma.de ist genauso geschützt.
• „Berechtigtes Interesse reicht als Rechtsgrundlage." Für die Datenverarbeitung mag das in Einzelfällen tragen, für die Zulässigkeit der Werbemail selbst nicht. Das UWG verlangt die Einwilligung unabhängig davon.
• „Wir haben die Adresse von der Website abgeschrieben." Eine veröffentlichte Adresse ist eine Kontaktmöglichkeit, keine Einwilligung in Werbung.
• „Der Newsletter ist doch kostenlos." Werbung ist nicht an eine Rechnung gebunden. Auch eine kostenlose Zusendung, die den Absatz fördern soll, ist Werbung.
• „Einmal nachfragen wird schon gehen." Die Mail, mit der du um eine Einwilligung bittest, ist selbst schon Werbung und damit derselben Regel unterworfen.

Was passiert, wenn es schiefgeht

Der übliche Ablauf ist keine Behörde, sondern eine Abmahnung: ein Anwaltsschreiben mit der Aufforderung, eine strafbewehrte Unterlassungserklärung abzugeben, dazu die Kosten. Wer unterschreibt, haftet beim nächsten Verstoß mit einer Vertragsstrafe, und der nächste Verstoß ist schnell passiert, wenn eine Abmeldung in einem zweiten System nicht ankommt.

Daneben können Datenschutzaufsichtsbehörden tätig werden, wenn die Verarbeitung der Adressen selbst beanstandet wird. In der Praxis ist die Abmahnung der häufigere und schnellere Weg.

Der eigentliche Schaden ist meist ein anderer: Beschwerden verschlechtern die Reputation deiner Absenderdomain, und darunter leiden dann auch Rechnungen und Bestellbestätigungen, die mit dem Newsletter nichts zu tun haben.

Eine kurze Prüfliste vor dem Versand

1. Stammt jede Adresse aus einer dokumentierten Anmeldung oder aus einer echten Geschäftsbeziehung?
2. Ist der Einwilligungstext von damals noch nachweisbar?
3. Passt der Inhalt zu dem, wofür eingewilligt wurde?
4. Funktioniert der Abmeldelink, und wirkt er in allen Systemen?
5. Stehen Impressum und ein ehrlicher Betreff?
6. Sind SPF, DKIM und DMARC in Ordnung?
7. Sind dauerhafte Bounces der letzten Aussendung gesperrt?