DSGVO-konformes E-Mail-Marketing: Was du beachten musst
E-Mail-Marketing gehört zu den effektivsten Kanälen im E-Commerce – aber auch zu den rechtlich sensibelsten. Wer personenbezogene Daten sammelt und Werbe-E-Mails verschickt, bewegt sich direkt im Anwendungsbereich der DSGVO. Hier die wichtigsten Punkte, praktisch erklärt, so wie ich sie bei sevclick für Kunden-Setups umsetze.
Wichtiger Hinweis: Dieser Artikel ist eine praktische Einordnung, keine Rechtsberatung. Bei rechtlichen Detailfragen zu deinem konkreten Fall lohnt sich der Gang zu einem Fachanwalt für Datenschutzrecht.
Die Rechtsgrundlage: Warum "wir haben ja eine Liste" nicht reicht
Der häufigste Denkfehler: eine E-Mail-Adresse allein berechtigt nicht automatisch zum Versand von Werbung. Für Newsletter und Marketing-E-Mails brauchst du in aller Regel eine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Diese Einwilligung muss aktiv gegeben werden – ein vorausgefülltes Kästchen oder eine versteckte Klausel in den AGB reicht nicht.
Eine Ausnahme gibt es für reine Transaktions-E-Mails (Bestellbestätigung, Versandbenachrichtigung) – die basieren auf der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und brauchen keine separate Marketing-Einwilligung. Wichtig: Sobald in einer solchen E-Mail Marketing-Inhalte eingebaut werden (z. B. Produktempfehlungen), wird die Abgrenzung schnell unscharf – im Zweifel lieber sauber trennen.
Double Opt-in: der Sicherheitsgurt für Anmeldungen
Double Opt-in bedeutet: Nach der Anmeldung über ein Formular bekommt die Person eine Bestätigungs-E-Mail und muss die Anmeldung aktiv bestätigen, bevor sie regelmäßig E-Mails erhält. Erst dieser zweite Schritt macht wasserdicht nachweisbar, dass die Einwilligung wirklich von der angegebenen Person stammt – nicht von jemandem, der versehentlich oder böswillig eine fremde Adresse eingetragen hat.
Klaviyo unterstützt Double Opt-in nativ auf Listenebene. Wichtig ist, es bei neuen Listen bewusst zu aktivieren – es ist nicht immer automatisch die Standardeinstellung, je nachdem wie ein Account eingerichtet wurde.
Was ein sauberes Double-Opt-in-Setup braucht
• Klare Formulierung im Anmeldeformular, wofür genau die Einwilligung gilt
• Bestätigungs-E-Mail mit eindeutigem Bestätigungslink
• Zeitstempel und Nachweis der Bestätigung werden gespeichert
• Kein Vorausfüllen oder versteckte Zustimmung per Default
Der Abmeldelink: Pflicht, nicht Kür
Jede Marketing-E-Mail braucht eine klar erkennbare, einfach nutzbare Abmeldemöglichkeit. Das ergibt sich sowohl aus der DSGVO (Widerrufsrecht der Einwilligung) als auch aus dem UWG. Ein Abmeldelink, der erst nach drei Klicks durch ein Untermenü versteckt auftaucht, erfüllt diese Anforderung nicht wirklich, selbst wenn er technisch vorhanden ist. Klaviyo baut den Abmeldelink standardmäßig in jede Kampagne ein – lass ihn einfach nie manuell weg, auch wenn er im Design "stört".
Auftragsverarbeitung: die Vereinbarung, die oft vergessen wird
Sobald ein externes Tool wie Klaviyo personenbezogene Daten deiner Kontakte verarbeitet, brauchst du als datenschutzrechtlich Verantwortlicher einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit diesem Anbieter. Die meisten großen E-Mail-Marketing-Tools stellen einen solchen AVV zum Abschluss bereit – er muss aber aktiv abgeschlossen werden, das passiert nicht automatisch im Hintergrund.
Das Gleiche gilt für weitere eingebundene Dienste: Terminbuchungstools, Tracking-Skripte, Formular-Anbieter. Jeder Dienst, der personenbezogene Daten verarbeitet, gehört einmal durchgecheckt.
Datenschutzerklärung: vollständig statt Textbaustein
Eine Datenschutzerklärung, die nur "wir nutzen Cookies" sagt, reicht nicht. Sie sollte konkret benennen:
- Welche Daten bei Anmeldung erhoben werden (z. B. Name, E-Mail)
- Die konkrete Rechtsgrundlage für jede Verarbeitung
- Alle eingesetzten Dienstleister (Klaviyo, Kalender-Tools, Tracking-Skripte) mit Namen
- Speicherdauer und Löschkonzept
- Die Rechte der betroffenen Person (Auskunft, Löschung, Widerruf)
Ein generischer Textbaustein, der vor Jahren einmal kopiert wurde, deckt selten die tatsächlich eingesetzten Tools ab – das lohnt sich, regelmäßig zu überprüfen, besonders wenn neue Dienste dazukommen.
Listenpflege: DSGVO trifft Performance
Ein oft übersehener Vorteil sauberer DSGVO-Praxis: Eine Liste aus wirklich interessierten, aktiv bestätigten Kontakten performt in der Regel besser als eine aufgeblähte Liste mit unsicherer Herkunft. Hohe Abmelderaten oder Spam-Beschwerden schaden nicht nur rechtlich, sondern auch der Zustellbarkeit insgesamt. DSGVO-Konformität und gutes E-Mail-Marketing ziehen hier tatsächlich in dieselbe Richtung.
Praxis-Hinweis: Inaktive Kontakte, die seit Monaten nicht mehr geöffnet oder geklickt haben, regelmäßig aus aktiven Versandlisten herausfiltern oder gezielt reaktivieren. Das verbessert sowohl die Zustellbarkeitsrate als auch das Risiko-Profil der Liste insgesamt.
Häufige Fehler in der Praxis
1. Gekaufte oder gescrapte Adresslisten
Ohne nachweisbare Einwilligung der jeweiligen Person ist der Versand an solche Adressen nicht zulässig – unabhängig davon, wie die Liste beschafft wurde.
2. Newsletter-Anmeldung und Gewinnspiel-Teilnahme in einem Kästchen
Koppelt man beides ohne getrennte Zustimmung, ist die Einwilligung rechtlich angreifbar. Beides sollte getrennt abgefragt werden können.
3. Kein Nachweis über den Zeitpunkt der Einwilligung
Im Streitfall trägt der Versender die Beweislast für eine wirksame Einwilligung. Ohne Zeitstempel und Protokoll wird das schwierig.
Du willst dein E-Mail-Marketing rechtssicher aufsetzen, ohne dich selbst durch DSGVO-Paragraphen zu kämpfen?
Kostenloses Gespräch buchen →Stand: Juli 2026. Ersetzt keine individuelle Rechtsberatung.