DSGVO-Einwilligung Marketing und Newsletter Deutschland

Die DSGVO-Einwilligung für Marketing und Newsletter in Deutschland ist in DSGVO Art. 6 Abs. 1 lit. a und Art. 7 (Bedingungen für die Einwilligung) geregelt.

Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO eine freiwillige, spezifische, informierte und eindeutige Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung. Im Bereich des E-Mail-Marketings und Newsletter-Versands hat der Europäische Gerichtshof (EuGH) in dem wegweisenden Urteil C-673/17 (Planet49 GmbH gegen Bundesverband der Verbraucherzentralen und Verbraucherverbände — Verbraucherzentrale Bundesverband e. V., 1. Oktober 2019) klargestellt, dass vorangekreuzte Checkboxen keine wirksame Einwilligung darstellen, da sie kein aktives Zustimmungsverhalten der betroffenen Person begründen. Die Einwilligung muss durch eine aktive Handlung — z.B. Anklicken einer leeren Checkbox oder Ausfüllen eines Anmeldeformulars — erteilt werden.

In Deutschland müssen Unternehmen beim E-Mail-Marketing zusätzlich die Anforderungen des § 7 UWG beachten: § 7 Abs. 2 Nr. 3 UWG verpflichtet Versender kommerzieller E-Mails, in jeder E-Mail eine klare und eindeutige Abmeldemöglichkeit (Opt-out-Link) anzubieten. § 7 Abs. 2 Nr. 2 UWG schreibt für Telefonwerbung eine ausdrückliche vorherige Einwilligung des Empfängers vor. Für das Setzen nicht technisch notwendiger Cookies (z.B. Marketing-Cookies, Analytics-Cookies) schreibt § 25 Abs. 1 TTDSG seit dem 1. Dezember 2021 eine aktive Einwilligung vor, die vor dem Setzen der Cookies eingeholt werden muss. Das Muster auf forms-legal.com deckt alle gängigen Marketingkanäle ab und berücksichtigt die Anforderungen des EuGH-Urteils Planet49 sowie der aktuellen deutschen Rechtsprechung.

Die Datenschutzkonferenz (DSK) — das Gremium der deutschen Datenschutzbehörden — hat in mehreren Beschlüssen und Orientierungshilfen konkretisiert, wie Einwilligungserklärungen gestaltet sein müssen, um der DSGVO zu genügen. Der Europäische Datenschutzausschuss (EDSA/EDPB) hat in den Leitlinien 05/2020 (überarbeitet 2023) zu Einwilligungen nach der DSGVO detaillierte Anforderungen an Freiwilligkeit, Spezifität, Informiertheit und Unmissverständlichkeit festgelegt.

Eine DSGVO-konforme Einwilligungserklärung für Marketing und Newsletter ist in Deutschland in allen Situationen erforderlich, in denen personenbezogene Daten zu Werbezwecken ohne eine andere ausreichende Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO verarbeitet werden.

Newsletter und E-Mail-Marketing: Jedes Unternehmen in Deutschland, das einen kommerziellen Newsletter versenden möchte, benötigt die ausdrückliche Einwilligung der Empfänger nach Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 7 Abs. 2 Nr. 3 UWG. Die Bestandskundenwerbung — also das Bewerben eigener ähnlicher Produkte oder Dienstleistungen gegenüber Bestandskunden — ist nach § 7 Abs. 3 UWG unter bestimmten Voraussetzungen auch ohne gesonderte Einwilligung möglich (sog. „Bestandskundenausnahme“): Der Kunde muss seine E-Mail-Adresse im Zusammenhang mit dem Kauf einer Ware oder Dienstleistung angegeben haben; die Werbung muss Direktwerbung für eigene ähnliche Waren oder Dienstleistungen sein; und der Kunde muss bei Erhebung der E-Mail-Adresse klar und deutlich auf die Möglichkeit des Widerspruchs hingewiesen worden sein und darf nicht widersprochen haben.

Cookie-Banner und Tracking: Für alle nicht technisch notwendigen Cookies — insbesondere Marketing-Cookies (z.B. Facebook Pixel, Google Ads Remarketing), Analytics-Cookies (z.B. Google Analytics) und Social-Media-Plugins — ist nach § 25 Abs. 1 TTDSG eine aktive Einwilligung erforderlich. Der Bundesgerichtshof (BGH, Urteil I ZR 7/16, 28. Mai 2020, „Cookie-Einwilligung II“) hat vor dem EuGH-Urteil Planet49 entschieden, dass vorausgefüllte Checkboxen für Werbe-Cookies unzulässig sind — dies wurde durch das EuGH-Urteil C-673/17 bestätigt.

Telefonwerbung und SMS-Marketing: Telefonwerbung (Anrufe zu Werbezwecken) erfordert nach § 7 Abs. 2 Nr. 2 UWG die ausdrückliche vorherige Einwilligung des Empfängers — bei Privatpersonen sogar verschärft als „ausdrückliche“ Einwilligung. SMS-Marketing und WhatsApp-Werbung unterliegen denselben Anforderungen. Callcenter und Direktmarketing-Unternehmen müssen die Einwilligungen revisionssicher dokumentieren, da die Bundesnetzagentur die Einhaltung der UWG-Anforderungen aktiv überwacht.

Profiling und personalisierte Werbung: Die Erstellung von Nutzerprofilen zum Zweck der personalisierten Werbung (Profiling nach Art. 22 DSGVO) erfordert in der Regel eine Einwilligung, insbesondere wenn das Profiling automatisierte Entscheidungen beinhaltet oder besondere Datenkategorien nach Art. 9 DSGVO (z.B. Interessen, die auf Gesundheit oder Religion schließen lassen) verarbeitet. Der Europäische Datenschutzausschuss (EDSA) hat in den Leitlinien 02/2022 zum Thema Targeting durch soziale Medien klargestellt, dass weitreichendes Profiling stets eine Einwilligung erfordert.

Eine wirksame DSGVO-Einwilligungserklärung für Marketing und Newsletter in Deutschland muss nach Art. 4 Nr. 11, Art. 7 DSGVO und den Anforderungen des EuGH (C-673/17, Planet49) und der deutschen Rechtsprechung (BGH I ZR 7/16) mehrere Kernanforderungen erfüllen.

Freiwilligkeit (Art. 7 Abs. 4 DSGVO — Kopplungsverbot): Die Einwilligung muss vollständig freiwillig sein. Das Kopplungsverbot nach Art. 7 Abs. 4 DSGVO verbietet, die Erbringung eines Vertrags oder einer Dienstleistung von der Erteilung einer Einwilligung zur Datenverarbeitung abhängig zu machen, die für die Vertragserfüllung nicht erforderlich ist. Ein Online-Shop darf die Registrierung eines Kundenkontos also nicht von der Einwilligung in den Newsletter-Empfang abhängig machen.

Spezifität und Granularität: Die Einwilligung muss für jeden Verarbeitungszweck und jeden Marketingkanal separat eingeholt werden. Eine pauschale Einwilligung für „alle Marketingzwecke“ ist unzulässig. Separate Checkboxen für E-Mail-Newsletter, Telefonwerbung, SMS-Marketing und personalisierte Online-Werbung sind erforderlich.

Informiertheit: Der Einwilligende muss vor der Einwilligung klar und verständlich informiert werden über: den Verantwortlichen (Art. 7 Abs. 3 i.V.m. Art. 13 DSGVO); den konkreten Verarbeitungszweck (§ 5 Abs. 1 lit. b DSGVO); die verarbeiteten Datenkategorien; eventuelle Empfänger der Daten; das Widerrufsrecht nach Art. 7 Abs. 3 DSGVO. Verlinkungen auf die Datenschutzerklärung genügen nach Ansicht der Datenschutzkonferenz (DSK) nur dann, wenn die Kernpunkte direkt in der Einwilligungserklärung genannt werden.

Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO): Der Verantwortliche muss nachweisen können, dass und wie die Einwilligung erteilt wurde. Das Double-Opt-In-Verfahren ist die empfohlene Methode: Nach der Anmeldung erhält der Nutzer eine Bestätigungs-E-Mail, die er aktiv bestätigen muss. Erst nach dieser Bestätigung gilt die Einwilligung als nachgewiesen. Das Datum und der Zeitstempel der Einwilligung sowie der IP-Adresse sollten protokolliert werden.

Widerrufsmöglichkeit (Art. 7 Abs. 3 DSGVO): Die Einwilligungserklärung muss klar und deutlich über das Widerrufsrecht informieren. § 7 Abs. 2 Nr. 3 UWG schreibt zwingend vor, dass in jeder kommerziellen E-Mail ein funktionsfähiger Abmeldelink (Opt-out-Link) enthalten ist. Nach dem Widerruf sind die für Marketingzwecke gespeicherten Daten unverzüglich zu löschen oder die Verarbeitung einzuschränken. Das Muster auf forms-legal.com und der verwandte Cookie-Consent-Banner entsprechen diesen Anforderungen.

Das Ausfüllen der DSGVO-Einwilligungserklärung für Marketing und Newsletter in Deutschland erfordert präzise Angaben, damit die Einwilligung vor deutschen Datenschutzbehörden und Gerichten standhält.

Erster Schritt: Unternehmensangaben. Tragen Sie den vollständigen Unternehmensnamen, die Unternehmensanschrift und die Datenschutz-Kontakt-E-Mail-Adresse ein. Falls ein Datenschutzbeauftragter (DSB) nach Art. 37 DSGVO bestellt ist, geben Sie dessen Namen und Kontaktdaten an.

Zweiter Schritt: Marketingkanäle auswählen. Haken Sie ausschließlich die Kanäle an, für die Sie tatsächlich Einwilligung einholen. Jeder ausgewählte Kanal erzeugt eine separate Einwilligungsaussage im Dokument. Für Telefonwerbung nach § 7 Abs. 2 Nr. 2 UWG ist eine besonders deutliche Hervorhebung erforderlich.

Dritter Schritt: Verarbeitete Daten und Zweck präzisieren. Beschreiben Sie genau, welche personenbezogenen Daten zu welchem konkreten Zweck verarbeitet werden. Allgemeine Formulierungen wie „Marketingzwecke“ genügen nicht — benennen Sie konkrete Aktivitäten (z.B. „Versand wöchentlicher Produktnewsletter“, „Personalisierung von Online-Werbeanzeigen auf Facebook und Google basierend auf der Kaufhistorie“).

Vierter Schritt: Newsletter-Dienstleister angeben. Wenn ein externer Newsletter-Anbieter (Mailchimp, Brevo, CleverReach) eingesetzt wird, ist dieser als Auftragsverarbeiter nach Art. 28 DSGVO zu benennen. Bei US-amerikanischen Anbietern (Mailchimp) muss der Drittlandtransfer durch das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023) oder durch EU-Standarddatenschutzklauseln (SCC, Durchführungsbeschluss EU 2021/914) abgesichert sein.

Fünfter Schritt: Double-Opt-In und Widerruf festlegen. Entscheiden Sie, ob Sie das Double-Opt-In-Verfahren einsetzen (dringend empfohlen) und definieren Sie die Widerrufsmethode und die Umsetzungsfrist nach dem Widerruf. § 7 Abs. 2 Nr. 3 UWG schreibt vor, dass jede kommerzielle E-Mail eine klare Abmeldemöglichkeit enthält.

Die rechtlichen Anforderungen an eine wirksame Marketing-Einwilligung in Deutschland ergeben sich aus einem komplexen Zusammenspiel europäischer und nationaler Regelungen.

Art. 7 DSGVO — Bedingungen für die Einwilligung: Art. 7 Abs. 1 DSGVO legt die Nachweispflicht des Verantwortlichen fest. Art. 7 Abs. 2 DSGVO verlangt, dass Ersuchen um Einwilligung in verständlicher und leicht zugänglicher Form, in einer klaren und einfachen Sprache und klar von anderen Sachverhalten getrennt erfolgen müssen. Art. 7 Abs. 3 DSGVO regelt das Widerrufsrecht der betroffenen Person und verankert das Prinzip der Nichtrückwirkung des Widerrufs. Art. 7 Abs. 4 DSGVO normiert das Kopplungsverbot.

§ 7 UWG — Unzumutbare Belästigungen: § 7 Abs. 2 Nr. 2 UWG: Telefonwerbung gegenüber Verbrauchern ohne deren ausdrückliche Einwilligung ist stets unzumutbar belästigend. § 7 Abs. 2 Nr. 3 UWG: Werbung per elektronischer Post (E-Mail, SMS, Messenger) ohne vorherige ausdrückliche Einwilligung ist unzulässig — mit der Ausnahme der Bestandskundenregel nach § 7 Abs. 3 UWG. § 7 Abs. 2 Nr. 3 UWG verlangt in jeder kommerziellen E-Mail einen Abmeldelink. Verstöße gegen § 7 UWG sind durch Mitbewerber, Verbraucherzentralen und Verbände abmahnbar und können zu Unterlassungsklagen, Schadensersatzansprüchen und Geldbußen führen.

TTDSG § 25 — Cookies und Tracking: § 25 Abs. 1 TTDSG schreibt für das Speichern von Informationen in der Endeinrichtung des Nutzers oder den Zugriff auf dort gespeicherte Informationen (Cookies, Tracking-Pixel, Fingerprinting) eine vorherige Einwilligung vor — mit Ausnahme technisch notwendiger Cookies (§ 25 Abs. 2 TTDSG). Das EuGH-Urteil C-673/17 (Planet49) und das BGH-Urteil I ZR 7/16 haben die Anforderungen an Cookie-Einwilligungen verschärft: Kein Opt-out, keine vorausgefüllten Checkboxen, aktive Bestätigung erforderlich.

Bußgelder: Verstöße gegen Art. 7 DSGVO (unwirksame Einwilligung) können nach Art. 83 Abs. 5 DSGVO mit bis zu 20.000.000 Euro oder 4 % des Jahresumsatzes geahndet werden. Verstöße gegen § 7 UWG begründen Unterlassungsansprüche und können Abmahnkosten in Höhe von mehreren Hundert bis Tausend Euro verursachen.

Bei der DSGVO-Einwilligung für Marketing und Newsletter in Deutschland treten in der Praxis regelmäßig Fehler auf, die zur Unwirksamkeit der Einwilligung und zu Bußgeldern oder Abmahnungen führen können.

Vorausgefüllte Checkboxen: Der häufigste Fehler ist die Verwendung vorausgefüllter Checkboxen für den Newsletter-Empfang oder die Einwilligung in Werbung. Das EuGH-Urteil C-673/17 (Planet49) und der BGH (I ZR 7/16) haben klargestellt, dass vorangekreuzte Checkboxen keine wirksame Einwilligung darstellen. Jede Einwilligung muss durch eine aktive, affirmative Handlung (Anklicken einer leeren Checkbox) erteilt werden.

Kopplungsverbot verletzt: Viele Unternehmen machen die Registrierung oder die Nutzung eines Dienstes von der Einwilligung in den Newsletter abhängig. Dies verstößt gegen Art. 7 Abs. 4 DSGVO (Kopplungsverbot) und macht die Einwilligung unwirksam. Newsletter-Einwilligung und Registrierung müssen strikt getrennt werden.

Kein Double-Opt-In: Ohne Double-Opt-In-Verfahren kann der Verantwortliche im Streitfall nicht nachweisen, dass die Einwilligung tatsächlich von der Person stammt, der die E-Mail-Adresse gehört. Ohne Nachweis kann die Datenschutzbehörde die Verarbeitung untersagen und ein Bußgeld verhängen.

Fehlender oder defekter Abmeldelink: § 7 Abs. 2 Nr. 3 UWG schreibt in jeder kommerziellen E-Mail einen funktionsfähigen Abmeldelink vor. Defekte Abmeldelinks, Abmeldelinks, die zu langen Umwegen führen, oder das Ausbleiben der Löschung nach der Abmeldung sind häufige Abmahnungsanlässe für Mitbewerber und Verbraucherzentralen.

Unspezifische Einwilligungserklärung: Pauschale Einwilligungen für „alle Marketingzwecke“ oder „Werbung jeglicher Art“ sind unzulässig. Die Einwilligung muss für jeden Kanal und jeden Zweck separat eingeholt werden. Die Datenschutzkonferenz (DSK) hat in ihrer Orientierungshilfe zu Cookies und Tracking klargestellt, dass die Granularität der Einwilligung entscheidend für ihre Wirksamkeit ist.