Newsletter DSGVO-konform verschicken

1. Eine Einwilligung, die du nachweisen kannst

Grundlage für Werbe-Newsletter ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und für Werbung per Mail zusätzlich § 7 Abs. 2 Nr. 2 UWG. Die Einwilligung muss freiwillig, für den konkreten Fall, informiert und eindeutig sein. Nach Art. 7 Abs. 1 DSGVO musst du sie nachweisen können.

In der Praxis heißt das: Double-Opt-in mit Protokoll. Mehr dazu im Ratgeber Double-Opt-in.

2. Informieren, bevor jemand zustimmt

Direkt am Formular sollte stehen, wer den Newsletter schickt, was drin steht, wie oft er kommt, dass man jederzeit abbestellen kann und wo die Datenschutzerklärung zu finden ist. Fragst du mehr ab als die E-Mail-Adresse, sollten diese Felder freiwillig sein. Für die Anrede reicht ein Vorname.

3. Datenschutzerklärung ergänzen

Deine Datenschutzerklärung braucht einen Abschnitt zum Newsletter: Zweck, Rechtsgrundlage, welche Daten gespeichert werden, wie lange, wer der Versanddienst ist und ob Öffnungen und Klicks gemessen werden. Einen Baustein dafür erzeugt der Double-Opt-in Generator.

4. Vertrag zur Auftragsverarbeitung

Der Versanddienst verarbeitet die Adressen deiner Leser in deinem Auftrag. Dafür brauchst du einen Vertrag nach Art. 28 DSGVO (AVV). Achte darauf, dass er die Unterauftragsverarbeiter nennt und sagt, wo die Daten liegen. Bei Diensten mit Sitz außerhalb der EU kommt die Frage nach der Übermittlung in ein Drittland dazu (Art. 44 ff. DSGVO).

5. Impressum und Abmeldung in jeder Mail

Jede Mail braucht die Angaben nach § 5 DDG, also Name, Anschrift und Kontakt des Absenders. Außerdem einen Link zur Abmeldung, der ohne Anmeldung und ohne Umwege funktioniert. Gmail und Yahoo verlangen von Massenversendern zusätzlich die Abmeldung mit einem Klick über den Header nach RFC 8058. Details im Ratgeber Impressum im Newsletter.

6. Tracking nur mit Einwilligung

Öffnungsraten werden über ein unsichtbares Bild gemessen, Klicks über umgeleitete Links. Nach Auffassung der Datenschutzbehörden ist dafür eine Einwilligung nach § 25 TDDDG nötig. Biete das als eigene, freiwillige Zustimmung an und miss bei allen anderen nichts. Warum das deine Statistik nicht wertlos macht, steht im Ratgeber Öffnungsrate und Einwilligung.

7. Rechte der Leser erfüllen

Leser können Auskunft verlangen (Art. 15 DSGVO) und die Löschung ihrer Daten (Art. 17 DSGVO). Du solltest einen Kontakt schnell finden, seine Daten exportieren und ihn löschen können. Abgemeldete Adressen gehören auf eine Sperrliste, damit sie nicht über einen späteren Import wieder auf der Liste landen.

8. Keine gekauften Listen

Gekaufte oder gemietete Adressen haben keine Einwilligung, die dir gegenüber erteilt wurde. Sie verstoßen gegen das UWG und schaden zusätzlich deiner Zustellbarkeit, weil viele dieser Adressen nicht mehr existieren oder als Spamfallen dienen.

9. Löschfristen festlegen

Nicht bestätigte Anmeldungen solltest du nach kurzer Zeit löschen. Nach einer Abmeldung brauchst du die Adresse nur noch auf der Sperrliste und den Nachweis der früheren Einwilligung, solange du ihn zur Abwehr von Ansprüchen brauchen kannst.

Kurz zusammengefasst

• Double-Opt-in mit gespeichertem Zeitpunkt, IP und Einwilligungstext
• klare Angaben am Formular und in der Datenschutzerklärung
• AVV mit dem Versanddienst
• Impressum und Abmeldelink in jeder Mail, Abmeldung mit einem Klick
• Tracking nur mit eigener Einwilligung
• Auskunft, Export, Löschung und Sperrliste

Bei Sendmora sind diese Punkte eingebaut: DOI mit Protokoll, Pflicht-Fuß, Tracking standardmäßig aus, AVV zum Klicken und Daten in der EU.

Keine Rechtsberatung. Die Checkliste ersetzt keine Prüfung deines Einzelfalls durch eine Anwältin oder einen Anwalt.