GDPR und E-Mail-Marketing: ein praktischer Compliance-Leitfaden

Was die GDPR von E-Mail-Marketing wirklich verlangt

Klar gesagt: Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) enthält keine Regel, die lautet „du brauchst eine Einwilligung, um eine E-Mail zu senden”. Sie regelt die personenbezogenen Daten hinter deinem E-Mail-Programm. Du brauchst eine Rechtsgrundlage für die Verarbeitung, Transparenz darüber, Richtigkeit, Speicherbegrenzung, Sicherheit und den Nachweis für all das. Artikel 5(2) bringt es auf eine Zeile: Der Verantwortliche „ist für die Einhaltung verantwortlich und muss dessen Einhaltung nachweisen können”.

Die Regel, die entscheidet, ob du auf Senden drücken darfst, steht in einem anderen Rechtsakt, der ePrivacy-Richtlinie. Die meisten Artikel zu diesem Thema werfen beides zusammen und liefern deshalb die falsche Antwort. Beides auseinanderzuhalten ist der Sinn dieses Leitfadens.

Dieser Artikel ist praktische Orientierung für Marketer, keine Rechtsberatung. Er zitiert Primärquellen, damit du sie prüfen kannst, aber Datenschutzrecht wird von nationalen Behörden und Gerichten angewendet, nationale Umsetzungen unterscheiden sich, und deine Umstände zählen. Bevor du einen Einwilligungsablauf, eine Aufbewahrungsregel oder eine internationale Übermittlung änderst, hol dir Rat bei einer qualifizierten Fachperson in deinem Land.

GDPR und ePrivacy: zwei Rechtsakte, ein Versand

Was die ePrivacy-Richtlinie sagt

Die Richtlinie 2002/58/EG, die ePrivacy-Richtlinie, geändert durch die Richtlinie 2009/136/EG, legt die Regel für den Versand fest. Artikel 13(1) erlaubt elektronische Post zur Direktwerbung nur gegenüber Teilnehmenden, die vorher eingewilligt haben. „Elektronische Post” ist breit und technologieneutral definiert: Die Stellungnahme 5/2004 der Artikel-29-Datenschutzgruppe bestätigte, dass sie E-Mail-Newsletter ebenso umfasst wie SMS und ähnliche gespeicherte Nachrichten. Artikel 13(2) schafft die Bestandskunden-Ausnahme, und Artikel 13(4) verbietet Marketing-E-Mails, die die Identität des Absenders verschleiern oder denen „eine gültige Adresse, an die der Empfänger eine Aufforderung zur Einstellung solcher Nachrichten richten kann” fehlt.

Warum das in der Praxis zählt

Einwilligung ist in der ePrivacy-Richtlinie nicht definiert. Ihre Bedeutung stammt aus dem allgemeinen Datenschutzrecht: Artikel 94(2) der GDPR bestimmt, dass Verweise auf die aufgehobene Richtlinie 95/46/EG als Verweise auf die GDPR zu lesen sind. ePrivacy entscheidet also, wann für den Versand eine Einwilligung nötig ist, und die GDPR entscheidet, was als Einwilligung zählt und wie du sie nachweist.

Du kannst also eine gültige GDPR-Grundlage haben, um einen Kontaktdatensatz zu speichern und auszuwerten, und trotzdem kein Recht, dieser Person zu mailen. Und weil ePrivacy eine Richtlinie und keine Verordnung ist, wird sie in nationales Recht umgesetzt, Details unterscheiden sich also zwischen den Mitgliedstaaten.

Eine Rechtsgrundlage für E-Mail-Marketing wählen

Einwilligung

Auf die Einwilligung nach Artikel 6(1)(a) stützen sich die meisten E-Mail-Programme im Endkundenbereich, und das aus gutem Grund: Wenn ePrivacy für den Versand ohnehin eine vorherige Einwilligung verlangt, hältst du mit der Einwilligung als GDPR-Grundlage eine Geschichte statt zwei. Der Preis ist, dass sie nach Artikel 7(3) jederzeit widerrufen werden kann.

Berechtigtes Interesse

Artikel 6(1)(f) erlaubt eine Verarbeitung, die zur Wahrung berechtigter Interessen des Verantwortlichen erforderlich ist, außer wenn Interessen oder Grundrechte der betroffenen Person überwiegen. Erwägungsgrund 47 sagt ausdrücklich: „Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.”

Dieser Satz wird ständig zitiert, um zu behaupten, Einwilligung sei optional. Lies ihn genau. Er betrifft die GDPR-Grundlage für die Verarbeitung, er sagt „kann betrachtet werden”, du musst die Abwägung also weiterhin durchführen und dokumentieren, und er sagt nichts über die ePrivacy-Regel für den Versand. Berechtigtes Interesse ist am besten vertretbar für die Verarbeitung rund um dein Programm, etwa Segmentierung, Unterdrückung und Analyse, und für den B2B-Kontakt, wo nationale Regeln geschäftliche Teilnehmende anders behandeln. Für kalte E-Mails an Privatpersonen in der EU ist es ein schwaches Fundament.

Das Soft Opt-in für Bestandskundschaft

Artikel 13(2) der ePrivacy-Richtlinie ist die eigentliche Ausnahme. Wer die E-Mail-Kontaktdaten von Kundschaft „im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung” erhält, darf sie nutzen, um „eigene ähnliche Produkte oder Dienstleistungen” zu bewerben, sofern der Kundschaft sowohl bei der Erhebung als auch in jeder weiteren Nachricht „klar und deutlich die Möglichkeit gegeben wird, kostenfrei und problemlos Widerspruch zu erheben”.

Die Artikel-29-Datenschutzgruppe hielt fest, diese Ausnahme sei „in mehrfacher Hinsicht begrenzt und eng auszulegen”. Drei Grenzen solltest du dir merken:

• Sie gilt nur für tatsächliche Kundschaft. Wer einen Checkout abgebrochen hat, fällt nicht darunter.
• Nur dieselbe juristische Person, die die Adresse erhoben hat, darf senden. Tochter- und Muttergesellschaften sind nicht dasselbe Unternehmen.
• Nur ähnliche Produkte oder Dienstleistungen zählen, beurteilt nach der vernünftigen Erwartung der Empfangenden, nicht nach den Ambitionen des Absenders.

Wie das Soft Opt-in zwischen Mitgliedstaaten variiert

Weil die Richtlinie national umgesetzt wurde, gehen dieselben Empfehlungen hier wirklich je nach Markt auseinander.

In Irland wiederholt Regulation 13(11) der S.I. No. 336/2011 die Ausnahme und ergänzt eine harte Frist: Der Verkauf darf „nicht mehr als 12 Monate vor dem Versand der Direktwerbung” zurückliegen, oder die Daten müssen in diesem Zeitraum für Marketing-E-Mails genutzt worden sein.

Im Vereinigten Königreich ist die Entsprechung Regulation 22 der PECR, und die ICO nennt keine solche Frist. Sie beschreibt das Soft Opt-in als anwendbar auf Bestandskundschaft, „die in der Vergangenheit ein ähnliches Produkt oder eine ähnliche Dienstleistung bei dir gekauft oder darüber verhandelt hat”, und weist darauf hin, dass es weder für potenzielle Kundschaft noch für zugekaufte Listen noch für nicht kommerzielle Werbung wie Spendensammlungen und politische Kampagnen gilt.

Zwei benachbarte Märkte, zwei deutlich unterschiedliche Regeln. Geh nie davon aus, dass deine heimische Fassung mitreist.

Was eine gültige Einwilligung wirklich bedeutet

Artikel 4(11) definiert Einwilligung als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist”. Der EDSA hat jedes Element in den Leitlinien 05/2020 zur Einwilligung, angenommen am 04.05.2020, ausgeführt.

Die vier Elemente

• Freiwillig. Artikel 7(4) verlangt, dass „in größtmöglichem Umfang” berücksichtigt wird, ob ein Vertrag von der Einwilligung in eine dafür nicht erforderliche Verarbeitung abhängig gemacht wird. Mach die Marketing-Einwilligung nicht zur Bedingung des Checkouts.
• Spezifisch. Verfolgt eine Verarbeitung mehrere Zwecke, sollte für alle eingewilligt werden (Erwägungsgrund 32). Getrennte Zwecke brauchen getrennte Auswahlmöglichkeiten: Ein Newsletter-Opt-in ist keine Einwilligung in SMS und auch keine in die Weitergabe an Partner.
• Informiert. Artikel 7(2) verlangt, dass eine in eine größere Erklärung eingebettete Einwilligungsanfrage „in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache” erfolgt und „von den anderen Sachverhalten klar zu unterscheiden” ist.
• Unmissverständlich. Es muss eine Erklärung oder eine eindeutige bestätigende Handlung geben.

Was nicht zählt

Erwägungsgrund 32 wird deutlich: „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen.” Genauso wenig ein in den AGB vergrabenes Kästchen oder ein Häkchen, das E-Mail, SMS, Profiling und Partnerweitergabe zugleich abdeckt.

Widerruf

Artikel 7(3) gibt das Recht, die Einwilligung jederzeit zu widerrufen, verlangt, dass die Person vorher darüber informiert wird, und stellt fest: „Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.” Wenn sich jemand mit einem Klick anmelden kann, genügt ein Widerrufsweg mit Login und vergrabener Einstellungsseite dem Maßstab nicht. Der Widerruf wirkt nicht rückwirkend: Die vorher erfolgte Verarbeitung bleibt rechtmäßig.

Nachweis: was du belegen können musst

Artikel 7(1) ist kurz und tragend: „Erfolgt die Verarbeitung auf der Grundlage einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.” Eine Spalte „Opt-in: ja” belegt gar nichts. Ein Datensatz, der den Moment der Einwilligung rekonstruiert, schon.

Was du bei der Anmeldung protokollieren solltest

Erfasse und speichere, pro Kontakt und pro Zweck:

• Zeitstempel der Einwilligungshandlung, in einer stabilen Zeitzone.
• Quelle und Methode: welches Formular, welche Seiten-URL, welcher Kanal oder welche Offline-Veranstaltung.
• Den genauen Einwilligungstext und die Version der Datenschutzhinweise, die gezeigt wurden. Eine Versionskennung, die auf archivierten Text verweist, ist praktikabler, als den Volltext in jeder Zeile zu speichern.
• Die konkret zugestimmten Zwecke, als getrennte Flags statt als ein einziger Boolean-Wert.
• Bestätigungsnachweis und Zeitstempel, wenn du Double Opt-in nutzt.
• Die IP-Adresse, wenn das im Verhältnis zum Risiko steht. Das ist gängige Praxis und nützlicher Beleg, aber keine gesetzliche Pflicht, und selbst ein personenbezogenes Datum.

Artikel 30 verlangt zusätzlich von den meisten Organisationen ein Verzeichnis von Verarbeitungstätigkeiten: Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen, Speicherfristen und Sicherheitsmaßnahmen. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten ist eng und entfällt, wenn die Verarbeitung ein Risiko für Rechte und Freiheiten bergen kann, nicht nur gelegentlich erfolgt oder besondere Kategorien von Daten betrifft. Regelmäßiges Marketing an eine Kundendatenbank ist nicht gelegentlich.

Wie lange du Einwilligungsnachweise aufbewahren solltest

Die GDPR nennt keine feste Frist. Das brauchbare Prinzip lautet: Der Einwilligungsnachweis sollte das Marketing überdauern, das er rechtfertigt, plus den Zeitraum, in dem realistisch eine Beschwerde erhoben werden könnte. Den Kontaktdatensatz zu löschen und einen minimierten Protokolleintrag zu behalten, der die Erlaubnis belegt, ist üblich.

Betroffenenrechte, die E-Mail-Programme treffen

Fünf Rechte tauchen im E-Mail-Betrieb immer wieder auf.

• Auskunft (Artikel 15). Bestätigung, ob du Daten verarbeitest, eine Kopie davon und Informationen inklusive Zwecken, Datenkategorien, Empfängern, Speicherfristen, Quelle und etwaiger automatisierter Entscheidungsfindung oder Profiling. Bei E-Mail-Programmen heißt das oft Engagement-Historie und Segmentzugehörigkeit, nicht nur die Adresse.
• Berichtigung (Artikel 16). Korrektur unrichtiger Daten ohne unangemessene Verzögerung und Vervollständigung unvollständiger Daten.
• Löschung (Artikel 17). Auch nach 17(1)(b), wenn die Einwilligung widerrufen wird und keine andere Grundlage greift, und nach 17(1)(c), wenn die Person nach Artikel 21(2) widerspricht.
• Widerspruch gegen Direktwerbung (Artikel 21). Der absolute. Nach 21(2) hat die betroffene Person „das Recht, jederzeit Widerspruch einzulegen” gegen die Verarbeitung zum Zweck der Direktwerbung, einschließlich des zugehörigen Profilings. Nach 21(3) gilt: „werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet”. Es gibt keine Abwägung.
• Datenübertragbarkeit (Artikel 20). Gilt, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt, und umfasst die von der Person bereitgestellten Daten. Abgeleitete Scores und Segmente fallen in der Regel nicht darunter.

Reaktionsfristen

Artikel 12(3) verlangt, dass du ohne unangemessene Verzögerung handelst, in jedem Fall innerhalb eines Monats nach Eingang. Bei Komplexität oder vielen Anfragen sind zwei weitere Monate möglich, und du musst die Person innerhalb des ersten Monats mit Begründung informieren. Ein Werbewiderspruch verdient mehr als die Maximalfrist: Behandle ihn als sofortige Unterdrückung und erledige den Papierkram danach innerhalb der gesetzlichen Frist.

Praktische Umsetzung

Anmeldeformulare

Ein nicht vorangekreuztes, klar beschriftetes Kästchen pro Zweck. Nenne den Absender, sag, was du senden wirst und ungefähr wie oft, und verlinke die Datenschutzhinweise, statt sie abzudrucken. Bündle die Marketing-Einwilligung nicht mit der Zustimmung zu den AGB und mach den Kauf nicht davon abhängig. Speichere die Formularversion, damit du später belegen kannst, was auf dem Bildschirm stand.

Double Opt-in und sein ehrlicher rechtlicher Status

Double Opt-in ist nicht von der GDPR oder der ePrivacy-Richtlinie vorgeschrieben. Kein Artikel verlangt es. Was es erzeugt, ist Beweis: ein Bestätigungsklick, aus genau diesem Postfach, zu einer protokollierten Zeit, kommt dem bestmöglichen Nachweis sehr nahe, dass ein echter Mensch mit Kontrolle über diese Adresse zugestimmt hat. Die Artikel-29-Datenschutzgruppe hielt fest, dass Verfahren, bei denen sich jemand registriert und später zur Bestätigung aufgefordert wird, „mit der Richtlinie vereinbar zu sein scheinen”.

Es ist also empfohlen, teils nachdrücklich, und in manchen Märkten die Norm. Gesetz ist es nicht. Die Mechanik steht in unserem Leitfaden zum Double Opt-in.

Präferenzzentren und Abmeldeverwaltung

Jede Marketingnachricht braucht eine gültige Adresse für Abmeldewünsche, und unter der Bestandskunden-Ausnahme ist ein einfacher, kostenloser Widerspruchsweg in jeder Nachricht Bedingung, keine Höflichkeit. Ein Präferenzzentrum mit Auswahl zu Frequenz und Themen ist gute Praxis, aber eine schlichte, einstufige globale Abmeldung muss verfügbar bleiben. Verarbeite Abmeldungen automatisch, denn manuelle Warteschlangen sind der Weg, auf dem Organisationen nach einem Widerspruch weitersenden.

Sperrlisten, die Migrationen überleben müssen

Eine Abmeldung ist eine dauerhafte Anweisung, keine Einstellung pro Liste. Der Sperrstatus muss global gelten, über Marken hinweg, über die vom Widerspruch erfassten Kanäle hinweg und über Plattformen hinweg. Der gefährliche Moment ist eine Migration oder ein Re-Import: Die Kontakte ziehen ins neue System um, die Widerspruchskennzeichen nicht. Das ist der häufigste Weg, auf dem ein konformes Programm leise unkonform wird.

Dasselbe Risiko steckt in jeder Integration zwischen Shop, CRM und E-Mail-Plattform, wo Einwilligungs- und Sperrstatus unterwegs verloren gehen. Wenn du Shopify-Daten nach Brevo bewegst, ist Tajo die Sync-Schicht, die diese Felder zwischen den Systemen trägt. Egal welches Werkzeug du nutzt, der Test bleibt gleich: Prüfe nach jeder Migration, ob eine bekannte gesperrte Adresse immer noch gesperrt ist.

Aufbewahrung und erneute Einwilligung bei alten Listen

Die Speicherbegrenzung gilt auch für Marketinglisten. Lege also eine dokumentierte Aufbewahrungsregel für inaktive Kontakte fest und setze sie durch. Wenn eine Liste jahrelang ungenutzt war, wird oft eine Re-Permission-Kampagne vorgeschlagen. Sei vorsichtig: Eine E-Mail mit „bestätige, dass du weiter von uns hören willst” ist nach den meisten Lesarten selbst eine Marketingnachricht und darf deshalb nur an Menschen gehen, denen du heute rechtmäßig mailen darfst. Wenn du jetzt keine Grundlage nachweisen kannst, ist die ehrliche Antwort Löschung. Unser Leitfaden zur E-Mail-Listenpflege behandelt die Hygiene-Seite.

Dein E-Mail-Anbieter ist Auftragsverarbeiter

Dein E-Mail-Dienstleister verarbeitet personenbezogene Daten nach deinen Weisungen, also gilt Artikel 28. Es muss einen Vertrag oder ein anderes bindendes Rechtsinstrument geben, das Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen festlegt. Artikel 28(3) verlangt dann Regelungen zu dokumentierten Weisungen, Vertraulichkeit, Sicherheit nach Artikel 32, Unterauftragsverarbeitern, Unterstützung bei Betroffenenanfragen und Meldepflichten, Löschung oder Rückgabe der Daten am Ende der Leistung sowie Prüfrechte. Die meisten Anbieter veröffentlichen einen Standard-AVV. Lies dessen Liste der Unterauftragsverarbeiter.

Internationale Übermittlungen

Verlassen personenbezogene Daten den EWR, brauchst du einen Übermittlungsmechanismus. Artikel 45 erlaubt Übermittlungen in Länder oder Rahmenwerke, die die Europäische Kommission als angemessen eingestuft hat. Sonst verlangt Artikel 46 geeignete Garantien, meist die Standardvertragsklauseln der Kommission oder verbindliche interne Datenschutzvorschriften innerhalb einer Unternehmensgruppe. Angemessenheitsbeschlüsse decken eine Reihe von Ländern ab, darunter das am 10.07.2023 angenommene EU-US Data Privacy Framework. Prüfe, wo dein E-Mail-Anbieter Daten speichert, nicht nur, wo er seinen Sitz hat.

Wie die Verordnung in deinem Markt heißt

Der Rechtsakt ist in der ganzen EU derselbe. Der Name nicht.

Außerhalb der EU ändert sich das Vokabular erneut. Das Vereinigte Königreich hat die UK GDPR neben der PECR. Die Türkei hat das Kisisel Verilerin Korunmasi Kanunu, Gesetz Nr. 6698, bekannt als KVKK. Brasilien hat die Lei Geral de Protecao de Dados Pessoais, Gesetz Nr. 13.709 vom 14.08.2018, das LGPD. Indonesien hat das Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Das sind eigenständige Regime mit eigenen Regeln, keine Übersetzungen, und wer die GDPR erfüllt, erfüllt sie nicht automatisch mit.

Bußgelder, und was Behörden tatsächlich tun

Artikel 83 kennt zwei Stufen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes nach 83(4) und bis zu 20 Millionen Euro oder 4 Prozent nach 83(5), jeweils der höhere Wert. Die höhere Stufe umfasst die Grundsätze und Einwilligungsbedingungen der Artikel 5, 6, 7 und 9, die Betroffenenrechte der Artikel 12 bis 22 und die Übermittlungsregeln der Artikel 44 bis 49. Fehler bei der Einwilligung und ignorierte Widersprüche liegen also dort. Nationale ePrivacy-Regeln ergänzen eigene Sanktionen: In Irland ist ein Verstoß gegen Regulation 13 eine Straftat, und jede Nachricht zählt einzeln.

Für mittelgroße Absender ist das Alltagsrisiko keine Schlagzeilen-Strafe. Es ist die eine Beschwerde, die eine Behörde zu einer Frage veranlasst: Wo ist die Einwilligung für diese Adresse?

Wo Compliance und Leistung zusammenkommen

Richtig gemacht, verbessert das auch die Leistung. Listen, die auf echter, spezifischer Erlaubnis beruhen, engagieren sich besser und beschweren sich seltener, und genau das belohnen Zustellsysteme. Unser Leitfaden zur E-Mail-Zustellbarkeit erklärt diesen Mechanismus, und unser Leitfaden zum E-Mail-Listenaufbau behandelt eine Gewinnung, die einer Prüfung standhält.

Verwandte Artikel

• Double Opt-in bei E-Mail: kompletter Leitfaden zu bestätigten Anmeldungen
• E-Mail-Zustellbarkeit: der komplette Leitfaden
• E-Mail-Listenaufbau: kompletter Leitfaden
• E-Mail-Listenpflege: kompletter Leitfaden
• Abmeldeseiten und One-Click-Unsubscribe: Best Practices