CAN-SPAM-Compliance: von ehrlichen Headern bis zu respektierten Abmeldungen

Wenn Sie Marketing- oder Werbe-E-Mails an Personen in den Vereinigten Staaten senden, ist CAN-SPAM-Compliance die Mindestanforderung, deren Einhaltung die US-Bundesbehörden von Ihnen erwarten. Der CAN-SPAM Act legt Regeln für kommerzielle E-Mails fest — wie Sie sich zu erkennen geben, was Ihre Betreffzeilen aussagen dürfen und wie Sie es Menschen ermöglichen, keine weiteren Nachrichten von Ihnen mehr zu erhalten. Was viele Absender überrascht, ist das, was das Gesetz nicht verlangt: Es verlangt keine vorherige Erlaubnis vor dem Versand. Es regelt, wie Sie sich verhalten, sobald Sie versenden. Dieser Leitfaden erläutert, was das Gesetz tatsächlich abdeckt, welche konkreten Pflichten es Absendern auferlegt und warum seine Opt-out-Ausrichtung es unter den großen E-Mail-Gesetzen der Welt zur Ausnahme macht.

Was der CAN-SPAM Act tatsächlich abdeckt#

CAN-SPAM — die Kurzform von Controlling the Assault of Non-Solicited Pornography And Marketing — ist ein US-Bundesgesetz, das kommerzielle elektronische Nachrichten regelt: E-Mails, deren Hauptzweck darin besteht, ein Produkt oder eine Dienstleistung zu bewerben oder zu vermarkten. Es gilt für Nachrichten, die an Empfänger in den Vereinigten Staaten gesendet werden, und deckt bemerkenswert Business-to-Business-E-Mails genauso ab wie Verbraucher-E-Mails. Es gibt keine Ausnahme für eine kleine Liste, eine erste Nachricht oder eine Vertriebsnotiz nach dem Motto „ich melde mich nur kurz"; wenn der Hauptzweck kommerziell ist, greifen die Regeln.

Das Gesetz zieht eine Grenze zwischen kommerziellen Inhalten und anderen Arten von E-Mails. Transaktions- oder Beziehungsnachrichten — eine Quittung, eine Versandbenachrichtigung, eine Kontoaktualisierung, Informationen zu etwas, das eine Person bereits gekauft hat — werden anders behandelt und unterliegen nicht denselben Anforderungen, dürfen aber dennoch keine falschen oder irreführenden Routing-Informationen verwenden. Nachrichten, die kommerzielle und transaktionale Inhalte vermischen, werden nach ihrem Hauptzweck beurteilt. Die meisten Newsletter, Aktionen und Kaltakquise-Nachrichten fallen eindeutig auf die kommerzielle Seite.

Die Durchsetzung liegt bei der Federal Trade Commission (FTC), wobei auch andere Regulierungs- und Landesbehörden eine Rolle spielen. Verstöße können erhebliche zivilrechtliche Bußgelder nach sich ziehen, die pro E-Mail bemessen werden; ein einzelner nicht regelkonformer Massenversand an eine große Liste ist daher nicht ein einziger Verstoß — jede Nachricht kann zählen. Die Beträge werden im Laufe der Zeit angepasst, weshalb die praktische Erkenntnis nicht in einer Zahl liegt, sondern darin, dass die Bußgelder mit dem Volumen skalieren und dass die nachfolgenden Pflichten im Vergleich zum Risiko, sie zu ignorieren, kostengünstig zu erfüllen sind.

Die zentralen Pflichten, die CAN-SPAM festlegt#

Die Anforderungen des Gesetzes sind konkret und für einen gut geführten Absender größtenteils eine Frage der guten Hygiene. Es gibt eine Handvoll davon, und sie greifen ineinander.

• Keine falschen oder irreführenden Header-Informationen. Die Angaben in „From", „To", „Reply-To" sowie die Routing-Details, die kennzeichnen, wer die Nachricht gesendet hat, müssen zutreffend sein. Die Ursprungsdomain und die E-Mail-Adresse müssen den Absender wahrheitsgemäß repräsentieren. Sie dürfen nicht verschleiern, wer Sie sind.
• Keine irreführenden Betreffzeilen. Der Betreff muss den tatsächlichen Inhalt der Nachricht widerspiegeln. Ein Betreff, der eine Sache verspricht, um die Öffnung zu erzielen, während der Textkörper etwas anderes liefert, ist genau das, worauf diese Bestimmung abzielt.
• Kennzeichnen Sie die Nachricht als Werbung. Wo es zutrifft, verlangt das Gesetz, dass eine kommerzielle Nachricht als Werbung offengelegt wird. Die Offenlegung kann auf klare und deutlich erkennbare Weise erfolgen; entscheidend ist, dass Empfänger erkennen können, dass sie Werbung vor sich haben.
• Fügen Sie eine gültige physische Postanschrift hinzu. Jede kommerzielle E-Mail muss Ihre echte, aktuelle physische Postanschrift enthalten. Ein registriertes Postfach oder ein privates Postfach, das bei einem kommerziellen Postannahmedienst registriert ist, kann diese Anforderung erfüllen, aber die Anschrift muss echt sein.
• Bieten Sie eine klare und deutlich erkennbare Abmeldemöglichkeit. Jede kommerzielle Nachricht muss den Empfängern eine offensichtliche Methode geben, Ihnen mitzuteilen, dass sie keine weiteren E-Mails wünschen — in der Regel ein Abmeldelink. Er muss leicht zu finden und leicht zu bedienen sein, und Sie dürfen keine Gebühr verlangen, nichts über eine E-Mail-Adresse und Abmeldepräferenzen hinaus fordern und Menschen nicht dazu zwingen, sich anzumelden oder weitere Informationen preiszugeben, um sich von der Liste zu streichen.
• Beachten Sie Abmeldeanfragen zeitnah. Sobald sich jemand abmeldet, müssen Sie den Versand kommerzieller E-Mails an diese Person einstellen. Das Gesetz räumt Ihnen 10 Werktage ein, um die Anfrage zu bearbeiten — eine fest etablierte Frist im Gesetz —, und nach diesem Zeitfenster sollte die Adresse nichts weiter mehr erhalten. Außerdem dürfen Sie die E-Mail-Adresse einer Person, die sich abgemeldet hat, nicht verkaufen oder weitergeben.
• Überwachen Sie, was andere in Ihrem Auftrag tun. Sie bleiben für Nachrichten verantwortlich, die zur Bewerbung Ihres Unternehmens versendet werden, selbst wenn Sie ein anderes Unternehmen mit dem Versand beauftragen. Sowohl das Unternehmen, dessen Produkt beworben wird, als auch die Partei, die die Nachricht tatsächlich übermittelt, können rechtlich zur Verantwortung gezogen werden — die Auslagerung des Versands lagert die Pflicht also nicht mit aus.

Dieser letzte Punkt verdient besondere Betonung, weil er am häufigsten weggedacht wird. Wenn eine Agentur, ein Affiliate oder ein Lead-Anbieter E-Mails zur Bewerbung Ihres Produkts versendet, behandelt CAN-SPAM das nicht als das Problem von jemand anderem. Das beworbene Unternehmen kann neben dem Absender in der Haftung stehen. Die Abmeldebearbeitung und ehrliche Header in jeden Versandweg einzubauen, der in Ihrem Auftrag mailt — nicht nur in Ihre eigene Plattform —, ist die einzige zuverlässige Möglichkeit, dieses Risiko abzudecken.

Ein Opt-out-Regime: warum sich CAN-SPAM-Compliance von DSGVO und CASL unterscheidet#

Hier ist das prägende Merkmal — und dasjenige, das einen Absender, der grenzüberschreitend tätig ist, am ehesten stolpern lässt. CAN-SPAM ist ein Opt-out-Gesetz. Es verlangt nicht, dass Sie die vorherige Einwilligung eines Empfängers einholen, bevor Sie eine kommerzielle E-Mail senden. Nach dem Gesetz dürfen Sie eine erste kommerzielle Nachricht an jemanden senden, der nie darum gebeten hat, sofern die Nachricht selbst den obigen Regeln folgt und eine funktionierende Abmeldemöglichkeit bietet. Die Verpflichtung besteht darin, sich ehrlich zu verhalten und aufzuhören, sobald man dazu aufgefordert wird — nicht darin, im Vorfeld eine Erlaubnis zu haben.

Das ist eine grundlegend andere Philosophie als bei den beiden anderen Regimen, mit denen Absender am häufigsten zu tun haben. Kanadas Anti-Spam-Gesetzgebung baut auf der gegenteiligen Grundeinstellung auf: Sie verlangt in der Regel eine Einwilligung vor dem Versand, zusammen mit einer klaren Absenderkennung und einer funktionierenden Abmeldung. Die Anforderungen und die Funktionsweise der Einwilligung werden im Leitfaden zur CASL-Compliance behandelt. Der europäische Rechtsrahmen behandelt E-Mail-Adressen als personenbezogene Daten und stützt sich für Marketing auf eine Rechtsgrundlage — häufig die Einwilligung —, wie der Leitfaden zur DSGVO und E-Mail-Marketing erläutert. In der Praxis wird ein Absender, der für die strengere Opt-in-Welt von CASL und DSGVO baut, die CAN-SPAM-Hürde in der Regel bequem nehmen, denn ein auf Einwilligung ausgelegter Versand impliziert bereits eine ehrliche Absenderkennung und eine einfache Abmeldung. Andersherum tappen Absender in die Falle: Ein Programm, das nur für den Opt-out-Standard von CAN-SPAM konzipiert ist, kann in dem Moment nicht mehr regelkonform sein, in dem es ein kanadisches oder europäisches Postfach erreicht.

Da verschiedene Länder diese Grenzen unterschiedlich ziehen, profitieren Absender mit internationaler Reichweite davon, abzubilden, welche Regeln wo gelten. Der Überblick über E-Mail-Marketing-Gesetze nach Ländern zeigt auf, wie sich die Opt-in- und Opt-out-Regime vergleichen lassen, sodass Sie ein einziges Programm entwerfen können, das das strengste Postfach erfüllt, das Sie tatsächlich erreichen.

Die Abmeldung in der Praxis funktionsfähig machen#

Die beiden operativen Pflichten, die in der Praxis die meisten Probleme verursachen, sind der Abmeldemechanismus und das 10-Werktage-Fenster, um ihn zu beachten. Beide sind im Prinzip einfach und leicht in Nuancen falsch umzusetzen.

Eine Abmeldemöglichkeit, die technisch existiert, aber schwer zu bedienen ist, ist ein häufiges Versagen. Der Link muss klar, deutlich erkennbar und für einen angemessenen Zeitraum nach dem Versand funktionsfähig sein. Moderne Postfachanbieter haben die Absender noch weiter in dieselbe Richtung gedrängt: Die großen Mailbox-Betreiber erwarten von Massenabsendern inzwischen die Unterstützung der Ein-Klick-Abmeldung im Nachrichten-Header, was sowohl dem Geist der Regel zur einfachen Abmeldung von CAN-SPAM entspricht als auch Sie im Einklang mit den Zustellbarkeitsanforderungen hält. Die Abmeldung als erstklassige Funktion zu behandeln statt als Kleingedrucktes nebenbei, dient beiden Zielen zugleich.

Anfragen innerhalb von 10 Werktagen zu beachten bedeutet, dass die Technik hinter dem Link die Adresse tatsächlich in jedem System sperren muss, das sie anschreiben könnte. Wenn Ihre Abmeldung in eine Plattform schreibt, ein separates Kaltakquise-Tool den Kontakt aber weiterhin aktiv hält, haben Sie die Anfrage nicht beachtet — Sie haben sie lediglich an einer Stelle vermerkt. Hier treffen die Regel „verantwortlich für Dritte" und die Abmeldefrist aufeinander: Die Sperrung muss global über alles hinweg erfolgen, was in Ihrem Namen versendet.

Es gibt auch eine Reputationsdimension. Empfänger, die keinen einfachen Ausweg finden, greifen tendenziell stattdessen zur Schaltfläche „Spam melden", und eine steigende Spam-Beschwerderate schadet Ihrer Zustellbarkeit, unabhängig davon, ob je eine Behörde einen Blick auf Sie wirft. Eine saubere, ehrliche Abmeldung ist zugleich eine gesetzliche Pflicht und ein Zustellbarkeitsvorteil — die Interessen decken sich.

Wo Listenhygiene und Dokumentation ins Bild passen#

CAN-SPAM verlangt nicht die Art von Einwilligungsnachweisen, die CASL und die DSGVO fordern, aber eine gute Dokumentation hilft Ihnen dennoch, ehrliches Verhalten zu belegen und die Sperrung zuverlässig zu verwalten. Was auch immer Ihr Versandmodell ist, die operative Seite der Compliance beruht auf derselben Listenhygiene, die Sie aus den Spam-Ordnern heraushält.

Zwei Gewohnheiten sind am wichtigsten. Erstens: Pflegen und respektieren Sie Ihre Sperrliste konsequent, damit Abmeldungen überall abgemeldet bleiben. Zweitens: Halten Sie die Liste, an die Sie versenden, aktuell — eine regelmäßige E-Mail-Listenbereinigung entfernt tote und ungültige Adressen, die Bounces in die Höhe treiben und die Reputation herunterziehen. Hier passt ein Tool wie Qualisend zur Verifizierung ins Bild: Es bestätigt vor dem Versand, welche Adressen zustellbar sind, sodass Ihre ehrlichen, gut formulierten Nachrichten tatsächlich in echten Postfächern landen, statt an verlassenen Mailboxen oder Spamfallen abzuprallen. Es entscheidet nicht, wen Sie anschreiben dürfen — das ist eine Frage von Recht und Einwilligung —, aber es hält die Liste, die Sie anschreiben dürfen, in gutem Zustand.

Wie Sie Adressen überhaupt erst erfassen, prägt alles, was danach kommt. Auch wenn CAN-SPAM den Opt-out-Versand erlaubt, verschafft Ihnen die Wahl eines bestätigten Opt-ins bei der Anmeldung eine sauberere, engagiertere Liste und bringt Sie zugleich unauffällig näher an die Compliance mit strengeren Regimen; die Abwägungen werden im Leitfaden zu Single- versus Double-Opt-in behandelt. Eine gute Erfassung, aktuelle Listen und eine zuverlässige Sperrung sind die Routine, die die gesetzlichen Pflichten leicht erfüllbar macht, statt sie zu einem hektischen Nachhaken im Nachhinein werden zu lassen.

Häufig gestellte Fragen#

Verlangt CAN-SPAM eine Opt-in-Einwilligung vor dem Versand?#

Nein. CAN-SPAM ist ein Opt-out-Gesetz. Es verlangt keine vorherige Erlaubnis, um eine kommerzielle E-Mail an einen Empfänger in den USA zu senden — genau darin liegt der wesentliche Unterschied zum kanadischen CASL und zur europäischen DSGVO, die beide in der Regel eine Einwilligung vor dem Versand erwarten. Was CAN-SPAM hingegen verlangt, ist eine ehrliche Absenderkennung, eine wahrheitsgemäße Betreffzeile, eine physische Postanschrift und eine klare Abmeldemöglichkeit, die Sie zeitnah beachten. Ein auf Einwilligung ausgelegtes Programm, das für CASL oder die DSGVO gebaut wurde, erfüllt in der Regel auch die CAN-SPAM-Anforderungen.

Wie schnell muss ich eine Abmeldung nach CAN-SPAM beachten?#

Das Gesetz räumt Ihnen bis zu 10 Werktage ein, um eine Abmeldeanfrage zu bearbeiten; danach müssen Sie den Versand kommerzieller E-Mails an diese Person einstellen. Diese Frist ist im Gesetz festgeschrieben. In der Praxis sperren die meisten Absender die Adresse sofort über ihre Versandplattform, was sowohl einfacher als auch sicherer ist, als einen Countdown zu verfolgen — und es vermeidet die Situation, dass ein separates Tool weiterhin einen Kontakt anschreibt, der sich bereits abgemeldet hat.

Gilt CAN-SPAM auch für Business-to-Business-E-Mails?#

Ja. Anders als manche Gesetze, die sich auf Verbraucher konzentrieren, gilt CAN-SPAM für kommerzielle Nachrichten unabhängig davon, ob der Empfänger ein Verbraucher oder ein geschäftlicher Kontakt ist. Eine Kaltakquise-E-Mail, die Ihr Produkt einem anderen Unternehmen anbietet, ist eine kommerzielle Nachricht und muss denselben Regeln folgen — ehrliche Header, ein wahrheitsgemäßer Betreff, eine physische Anschrift und eine funktionierende Abmeldemöglichkeit — wie jeder Verbraucher-Newsletter.

Bin ich verantwortlich, wenn ein Dritter E-Mails für mich versendet?#

Ja. CAN-SPAM macht Sie für kommerzielle Nachrichten verantwortlich, die Ihr Unternehmen bewerben, selbst wenn ein anderes Unternehmen sie in Ihrem Auftrag versendet. Sowohl das beworbene Unternehmen als auch die Partei, die die Nachricht übermittelt, können rechtlich zur Verantwortung gezogen werden. Das bedeutet, dass die Abmeldebearbeitung und die ehrliche Absenderkennung in jeden Versandweg eingebaut sein müssen, der in Ihrem Namen mailt — einschließlich Agenturen, Affiliates und ausgelagerter Plattformen — und nicht nur in Ihr eigenes Versandtool.

Ehrliches E-Mailing beginnt mit einer Liste, die Sie auch tatsächlich erreichen können. Qualisend verifiziert Ihre Adressen, damit echte, gut formulierte Nachrichten in realen Postfächern landen und tote Adressen aufhören, Ihre Reputation herunterzuziehen. Testen Sie den kostenlosen E-Mail-Checker oder starten Sie mit 100 kostenlosen Credits im kostenlosen Tarif — halten Sie dann Ihre Sperrliste eng und Ihre Abmeldungen beachtet, und der Rest eines guten Versands folgt von selbst.