ePrivacy + Cookie 2026
Newsletter-Einwilligung in der Praxis: Double-Opt-In, Beweispflicht, Bestätigungs-Logs
Was drin steht
- Double-Opt-In ist 2026 nicht „nice to have“, sondern faktischer Pflicht-Standard. Wer ihn nicht hat, kann die Einwilligung im Streitfall nicht beweisen — und verliert.
- Die Bestätigungs-Mail muss neutral formuliert sein: kein Marketing, kein Werbe-Inhalt, kein „Jetzt zugreifen“. Wer hier wirbt, riskiert die Bewertung der ersten Bestätigung als unverlangter Werbe-Mail.
- Die Beweispflicht für die Einwilligung liegt beim Versender. Logs müssen mindestens enthalten: Datum, Uhrzeit, IP-Adresse, Texte der Einwilligungs-Checkbox, eingesendete Mail-Adresse, Bestätigungs-Zeitstempel.
- Aufbewahrung der Logs: solange du an die Adresse mailst, plus 3 Jahre nach letzter Sendung (gerichtliche Verjährungs-Frist). In der Praxis: einfach behalten, solange der Datensatz aktiv ist.
- Die häufigsten Verstöße 2025/2026: keine Bestätigungs-Mail, „Newsletter mit Anmeldung über Kontaktformular“ ohne separate Einwilligung, Anmelde-Adresse aus Visitenkarten-Scan ohne explizite Einwilligung.
Newsletter sind ein vergleichsweise einfacher Kanal — bis er rechtlich angefasst wird. Hier kommt der ehrliche Stand 2026: was die Aufsicht und die Gerichte erwarten, welche Logs reichen, und welche typischen Fehler dich Reputations- und Verfahrens-Risiko kosten.
Warum Double-Opt-In Pflicht-Standard ist
Rechtlich vorgeschrieben ist Double-Opt-In nur indirekt — über die Beweislast. Wer behauptet, eine Einwilligung zu haben, muss sie im Streitfall beweisen. Single-Opt-In (Adresse eintragen reicht) lässt sich praktisch nicht beweisen: Wer behauptet, „die Adresse hat sich nie selbst eingetragen“, gewinnt vor Gericht meistens.
Double-Opt-In schafft die Beweiskette:
- Nutzer trägt Adresse ins Formular ein,
- Bestätigungs-Mail geht an die Adresse,
- Nutzer klickt Bestätigungs-Link in der Mail,
- Klick wird vom System protokolliert (Datum, Uhrzeit, IP),
- Adresse wird in den Verteiler aufgenommen.
Damit ist bewiesen: Die Adresse hat sich nicht nur theoretisch eingetragen, sondern hat aktiv den Bestätigungs-Link aus der eigenen Mailbox angeklickt. Das hält vor Gericht.
Die Bestätigungs-Mail — der häufig unterschätzte Streitpunkt
Die Bestätigungs-Mail darf keine Werbung enthalten. Wer sie als verkappten Newsletter-Erstversand nutzt („Tolle Angebote warten — jetzt bestätigen!“), riskiert die Bewertung als unverlangte Werbung. Erlaubt:
- Begrüßung („Hallo, danke für dein Interesse am Newsletter von ...“),
- Erklärung, was passieren wird, wenn der Link geklickt wird,
- Bestätigungs-Link,
- Hinweis: „Wenn du dich nicht angemeldet hast, ignoriere diese Mail — wir nehmen dich nicht in den Verteiler auf.“,
- Impressum und Datenschutz-Hinweis (Pflicht in jeder Mail).
Nicht erlaubt: Marketing-Banner, Produkt-Vorstellung, Rabatt-Code, Inhalts-Vorschau auf den ersten Newsletter.
Was in den Logs stehen muss
Pro Anmeldung mindestens:
| Feld | Inhalt |
|---|---|
| Mail-Adresse | Die eingetragene Adresse |
| Zeitstempel Anmeldung | Datum und Uhrzeit, an der das Formular abgeschickt wurde |
| IP-Adresse Anmeldung | Die IP-Adresse, von der das Formular kam |
| Einwilligungs-Text | Die exakte Formulierung der Checkbox-Beschriftung, der zugestimmt wurde |
| Zeitstempel Bestätigung | Wann der Bestätigungs-Link geklickt wurde |
| IP-Adresse Bestätigung | Die IP, von der der Klick auf den Bestätigungs-Link kam |
| Token-Hash | Der eindeutige Bestätigungs-Token (gehasht), um Manipulation auszuschließen |
Optional, aber sehr nützlich: User-Agent (Browser/Mail-Programm), Sprache, Referrer (von welcher Seite kam die Anmeldung).
Aufbewahrung der Logs — wie lange?
Drei Faktoren:
- Solange du an die Adresse mailst — die Einwilligung muss jederzeit nachweisbar bleiben.
- Plus drei Jahre nach letzter Sendung — die gerichtliche Verjährungs-Frist für mögliche Streitigkeiten beträgt drei Jahre.
- Nach Widerruf: noch maximal 3 Jahre — um den Widerruf selbst beweisen zu können, falls der Empfänger später behauptet, „ich habe nie widerrufen“.
Praktisch heißt das: Wer einen Datensatz im aktiven Verteiler hat, behält die Logs. Wer eine Adresse abmeldet, behält die Logs noch 3 Jahre und löscht sie dann (mit dokumentiertem Löschvorgang).
Die fünf häufigsten Verstöße 2025/2026
1. Kein Double-Opt-In
„Bei uns ist das so umständlich, dass die Hälfte der Leute nicht bestätigt“ ist die häufigste Begründung. Stimmt — und ist trotzdem keine Rechtfertigung. Lieber halb so viele bestätigte als doppelt so viele rechtswidrig im Verteiler.
2. Werbung in der Bestätigungs-Mail
„Jetzt warten Premium-Inhalte auf dich“ in der ersten Bestätigungs-Mail. Damit wird die Bestätigung selbst zur unverlangten Werbe-Mail — wenn der Empfänger sich tatsächlich nicht angemeldet hat, ist das ein Verstoß gegen § 7 UWG.
3. Newsletter-Anmeldung über das Kontaktformular
„Wir tragen alle, die uns über Kontaktformular schreiben, gleich in den Newsletter ein.“ Klassischer Verstoß. Newsletter-Einwilligung muss separat und ausdrücklich sein, nicht als Beigabe zu einem anderen Vorgang.
4. Pre-Checked Checkbox
„Ich möchte den Newsletter erhalten“ ist im Anmeldeformular per Default angekreuzt. Seit Planet49-EuGH-Urteil 2019 klar unwirksam — Einwilligung ist nur aktiv erteilt wirksam.
5. Adressen aus Visitenkarten-Scans oder Messen
„Wir haben auf der Messe Visitenkarten gesammelt — die kommen alle in den Newsletter.“ Falsch. Visitenkarten-Übergabe ist keine Einwilligung zum Newsletter — sie ist Einwilligung zur Geschäftsanbahnungs-Kommunikation. Newsletter braucht separate, ausdrückliche Einwilligung.
Was eine saubere Anmelde-Strecke aussieht
- Anmelde-Formular auf der Site: ein einziges Pflichtfeld (Mail-Adresse), eine aktive Checkbox „Ja, ich möchte den Newsletter erhalten“ (NICHT vorausgewählt), klare Beschreibung („Du bekommst etwa monatlich Hinweise zu ..., kannst jederzeit abmelden“), Link zur Datenschutz-Erklärung.
- Bestätigungs-Mail (sofort): neutraler Inhalt, ein Bestätigungs-Link mit eindeutigem Token, Hinweis „Wenn nicht von dir: einfach ignorieren“, Impressum.
- Bestätigungs-Klick: System loggt Zeit + IP, leitet auf eine schlichte Bestätigungs-Seite („Danke, du bist im Verteiler“).
- Erst dann: die Adresse landet im Newsletter-Verteiler. Der nächste Versand ist der erste Newsletter mit Inhalt.
- Jeder Newsletter: klar erkennbarer Absender, Impressum, Abmelde-Link in einem Klick erreichbar (kein Login, kein Passwort).
Was Hannes daraus macht
Wir bauen Newsletter-Anmelde-Strecken nach dem oben beschriebenen Muster — Anmelde-Formular, Bestätigungs-Mail, Logs nach Beweispflicht-Standard, Abmelde-Strecke in einem Klick. Bei eigenen Mail-Versand-Anbindungen achten wir darauf, dass die Server in der EU stehen und keine Drittland-Übertragung passiert. Bei Bestand-Sites prüfen wir die Anmelde-Strecke gegen die fünf häufigsten Verstöße — meist eine halbtägige Reparatur.
Wenn du wissen willst, ob deine Anmelde-Strecke sauber ist: frag Hannes — er prüft die Anmelde-Formular-Konfiguration und Datenschutz-Beschriftung. Wer den ganzen Newsletter-Workflow neu aufsetzen oder bereinigen will, buch einen Termin.
Häufige Fragen
Wir haben unsere Adressen aus alten Anmeldungen ohne Double-Opt-In. Was tun?
Müssen wir die IP-Adresse bei der Anmeldung wirklich speichern?
Reicht ein einfaches Abmelde-Verfahren über den Link in der Mail?
Was, wenn ein Empfänger sich beschwert, er habe sich nie angemeldet?
Können wir Adressen aus einem Kundenkontakt-Vertrag (z. B. Mandanten-Verzeichnis) für Newsletter nutzen?
Müssen wir den Einwilligungs-Text wirklich exakt protokollieren?
Das regeln wir — so sieht das bei uns aus.
Unsicher, wo deine Seite steht? Frag Hannes — er schaut sie sich an und sagt dir ehrlich, was zu holen ist.