Marketing-Einwilligungs-Management (Double-Opt-In)

Ein Fall aus der Compliance-Schulung

2.800 Euro. So viel fordert ein Anwalt per Schreiben von einem Onlineshop. Dienstagvormittag, 12:30 Uhr, Compliance-Schulung. Die Trainerin legt den Fall auf den Tisch: Ein Empfänger bestreitet, sich je für den Newsletter angemeldet zu haben. Im Shopsystem existieren nur eine E-Mail-Adresse und ein Anmeldedatum. Keinen Klick-Nachweis, keine IP-Adresse, keinen Zeitstempel einer Bestätigung.

Der Shop hat seinen Cookie-Banner sauber aufgebaut: granulare Auswahl, gleichrangige Buttons, Widerrufsmöglichkeit. Beim Newsletter-Versand fehlt genau diese Sorgfalt. Nach § 7 Abs. 2 Nr. 2 UWG ist E-Mail-Werbung ohne nachweisbare Einwilligung eine unzumutbare Belästigung. Gleichzeitig verlangt Art. 7 Abs. 1 DSGVO, dass der Verantwortliche die Einwilligung jederzeit belegen kann. Die Beweislast liegt beim Shop, nicht beim Empfänger.

14.000 weitere Adressen stehen im Verteiler. Für jede einzelne könnte dieselbe Frage kommen.

Welcher Prozess hätte das verhindert?

Die Lücke ist kein technisches Detail. Es fehlt ein ganzes Verfahren: das Double-Opt-In. Vier Schritte, die sicherstellen, dass jede Newsletter-Anmeldung dokumentiert, bestätigt und beweisbar ist.

🎬 Vorstellung: Stell dir den Anmeldeprozess in deinem eigenen Ausbildungsbetrieb vor - jemand tippt eine E-Mail-Adresse in das Newsletter-Feld auf der Website. Was passiert danach?

Vier Schritte vom Formular bis zum Verteiler

Um den Schulungsfall zu lösen, brauchst du den vollständigen Ablauf. Das Double-Opt-In besteht aus vier aufeinanderfolgenden Schritten:

1. Anmeldung: Die Person trägt ihre E-Mail-Adresse in das Formular ein und setzt aktiv eine Checkbox. Das System speichert IP-Adresse und Zeitstempel.
2. Bestätigungsmail: Das System versendet automatisch eine E-Mail an die eingetragene Adresse. Diese Mail enthält nur einen Bestätigungslink und einen Hinweis, wofür die Einwilligung gilt. Werbung hat hier nichts zu suchen.
3. Bestätigungsklick: Die Person klickt den Link. Erst dieser Klick beweist, dass die Person hinter der Adresse tatsächlich zustimmt. Auch hier: IP-Adresse und Zeitstempel protokollieren.
4. Erst nach dem bestätigten Klick wird die Adresse in den aktiven Verteiler aufgenommen. Vorher darf kein Newsletter versendet werden.

Bleibt der Klick aus, passiert nichts. Die Adresse wird nicht eingetragen.

Was darf in die Bestätigungsmail - und was nicht?

Die Bestätigungsmail ist der kritischste Schritt. Sie dient einem einzigen Zweck: die Einwilligung zu verifizieren. Enthält sie werbliche Elemente, wird sie selbst zur unerlaubten Werbemail.

Eine rechtskonforme Bestätigungsmail enthält genau drei Bestandteile:

• Einen eindeutigen Bestätigungslink, der die Anmeldung aktiviert
• Eine klare Absenderangabe mit vollständigem Impressum
• Einen Hinweistext, der erklärt, wofür die Einwilligung gilt und was passiert, wenn die Person den Link nicht anklickt

Verboten sind: Produktbilder, Rabattcodes, Cross-Selling-Angebote, Social-Media-Buttons oder andere Inhalte, die über den reinen Bestätigungszweck hinausgehen.

⚖️ Vergleich im Kopf: Eine Bestätigungsmail mit reinem Bestätigungslink und eine mit eingebettetem 10%-Rabattcode. Wo genau liegt die rechtliche Grenze?

Das Koppelungsverbot am Beispiel

Ein anderer Shop geht noch weiter: Wer bestellen will, muss gleichzeitig den Newsletter abonnieren. Die Checkbox ist vorausgefüllt, der Kaufabschluss ohne Newsletter-Einwilligung nicht möglich.

Das verstößt gegen das Koppelungsverbot nach Art. 7 Abs. 4 DSGVO. Eine Einwilligung ist nur freiwillig, wenn sie nicht an einen Vertrag geknüpft wird, für dessen Erfüllung sie nicht nötig ist. Einen Kaufvertrag abzuschließen erfordert keine Newsletter-Anmeldung.

Die Folgen sind dreifach:

1. Die Einwilligung ist unwirksam. Jede darauf basierende Newsletter-Mail gilt als unerlaubte Werbung.
2. Wettbewerber oder Verbraucherschutzverbände können Abmahnungen aussprechen. Pro Verstoß werden regelmäßig 1.500 bis 5.000 Euro gefordert.
3. Die Datenschutzaufsicht kann Bußgelder nach Art. 83 Abs. 5 DSGVO verhängen. Bei systematischen Verstößen bis zu 20 Millionen Euro oder 4 % des weltweiten Vorjahresumsatzes — der höhere Betrag gilt.

Zurück zur Abmahnung: Was hätte der Shop gebraucht?

Im Schulungsfall fehlt dem Shop der gesamte Bestätigungsprozess. Kein Bestätigungslink, kein Klick-Protokoll, keine dokumentierte Einwilligung. Das System hat lediglich eine E-Mail-Adresse und ein Datum gespeichert. Damit lässt sich nicht belegen, dass die Person tatsächlich zugestimmt hat.

Mit einem korrekt implementierten Double-Opt-In hätte der Shop für jede der 14.000 Adressen vier Datenpunkte: Zeitstempel der Anmeldung, versendete Bestätigungsmail, Zeitstempel des Bestätigungsklicks und die zugehörige IP-Adresse. Jeder Punkt ist ein eigenständiger Baustein in der Beweiskette.

Die 2.800 Euro wären vermeidbar gewesen. Die Gefahr für die restlichen 14.000 Adressen auch.

🤔 Frage dich: Was passiert, wenn dein Ausbildungsbetrieb morgen eine Abmahnung für den eigenen Newsletter erhält - könntest du im System nachweisen, dass jede Adresse per Double-Opt-In bestätigt wurde?