Wenn Sie Marketing-E-Mails an Empfänger in der EU oder im Vereinigten Königreich senden, gelten die DSGVO-Regeln für E-Mail-Marketing bei nahezu jedem Schritt des Prozesses – denn eine E-Mail-Adresse ist ein personenbezogenes Datum, und in dem Moment, in dem Sie eine erheben, speichern oder auf „Senden“ drücken, verarbeiten Sie diese Daten. Die DSGVO ist jedoch nur die halbe Wahrheit. Ein zweites, spezifischeres Regelwerk – die ePrivacy-Richtlinie in der EU und die Privacy and Electronic Communications Regulations (PECR) im Vereinigten Königreich – regelt das elektronische Marketing unmittelbar. Dieser Leitfaden zeigt, wie beide ineinandergreifen: die Rechtsgrundlage, die ein Versand braucht, was als gültige Einwilligung gilt, das enge „Soft-Opt-in“ für Bestandskunden und die Rechte, die Ihren Abonnenten so lange zustehen, wie Sie ihre Adresse vorhalten.
Die zwei Regelwerke hinter dem DSGVO-E-Mail-Marketing#
Es hilft, zwei getrennte Rahmenwerke im Blick zu behalten, denn sie beantworten unterschiedliche Fragen und beide müssen erfüllt sein.
Die DSGVO ist das allgemeine Datenschutzregime. Sie besagt, dass jede Verarbeitung personenbezogener Daten – das Erheben einer Adresse, das Speichern, das Segmentieren, der Versand an sie – eine Rechtsgrundlage braucht, und sie gibt den Menschen hinter diesen Adressen eine Reihe von Rechten. Eine E-Mail-Adresse gilt in der Regel als personenbezogenes Datum, weil sie eine Person identifizieren kann; der begleitende Leitfaden zu DSGVO und E-Mail-Verifizierung behandelt diese Schwellenfrage und den Aspekt der Datenresidenz ausführlicher, daher setzt dieser Artikel sie voraus und konzentriert sich auf das Marketing selbst.
ePrivacy ist das spezifische Regime für elektronische Kommunikation. In der EU ist es die ePrivacy-Richtlinie, die in das nationale Recht jedes Mitgliedstaats umgesetzt wird; im Vereinigten Königreich ist es PECR. Diese Regeln befassen sich direkt mit unerbetenem Direktmarketing per E-Mail, SMS und ähnlichen Kanälen. Hier ist die bekannte Erwartung „für Marketing-E-Mails brauchen Sie in der Regel eine Einwilligung“ tatsächlich verankert – die DSGVO setzt den Rahmen, ePrivacy die kanalspezifische Regel.
In der Praxis erfüllen Sie beide zugleich. ePrivacy sagt Ihnen, ob Sie eine Marketingnachricht über diesen Kanal an diese Person senden dürfen; die DSGVO sagt Ihnen, ob Ihr zugrunde liegender Umgang mit ihren Daten rechtmäßig ist und wie Sie ihre Rechte wahren müssen. Eine Kampagne, die eines von beiden ignoriert, hat eine Lücke.
Jeder Versand braucht eine Rechtsgrundlage#
Nach der DSGVO erfordert die Verarbeitung personenbezogener Daten eine von sechs Rechtsgrundlagen. Für E-Mail-Marketing kommen realistisch zwei infrage: Einwilligung und berechtigte Interessen. Die übrigen (Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe) passen selten zu einem werblichen Versand.
Die Einwilligung ist die unkomplizierteste und diejenige, zu der ePrivacy beim Marketing an Einzelpersonen tendenziell hinlenkt. Berechtigte Interessen können manches Marketing tragen – besonders in engen Business-to-Business-Situationen –, aber sie sind kein Freibrief: Sie müssen zeigen können, dass Ihr Interesse am Marketing nicht durch die Interessen und vernünftigen Erwartungen des Empfängers überwogen wird, und Sie müssen diese Abwägung dokumentieren. Selbst wo berechtigte Interessen die DSGVO-Seite tragen, gelten die ePrivacy-Kanalregeln obendrauf, weshalb die Einwilligung (oder das Soft-Opt-in weiter unten) beim E-Mail-Marketing die meiste Arbeit leistet.
Wie eine gültige Einwilligung unter der DSGVO aussieht#
Wenn die Einwilligung Ihre Grundlage ist, ist die DSGVO konkret, was sie gültig macht. Die Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgen, und sie muss durch eine eindeutige bestätigende Handlung signalisiert werden. Aufgeschlüsselt:
- Freiwillig bedeutet, dass die Person eine echte Wahl hat und für eine Ablehnung nicht benachteiligt wird. Die Marketing-Einwilligung in Bedingungen zu bündeln, die jemand für einen Kauf akzeptieren muss, oder sie zur Bedingung für eine unverwandte Dienstleistung zu machen, untergräbt sie.
- Für den bestimmten Fall und in informierter Weise bedeutet, dass die Person weiß, wer die Daten erhebt und wozu sie ihre Zustimmung gibt. Die Einwilligung, von Ihnen zu hören, ist keine Einwilligung, an eine Liste ungenannter „Partner“ weitergegeben zu werden.
- Unmissverständlich, durch bestätigende Handlung bedeutet ein Opt-in, das die Person aktiv vornimmt. Aufsichtsbehörden und Gerichte haben klargestellt, dass vorangekreuzte Kästchen, Schweigen oder Untätigkeit nicht zählen – die Person muss etwas Bewusstes tun, etwa ein leeres Kästchen ankreuzen oder einen Bestätigungsschritt abschließen.
Zwei weitere Anforderungen sind für den Tagesbetrieb wichtig. Die Einwilligung muss so leicht widerrufbar sein, wie sie erteilt wurde, was mit ein Grund ist, warum eine funktionierende Abmeldung in jeder Nachricht zählt. Und Sie müssen nachweisen können, dass Sie sie haben – die DSGVO erwartet, dass Sie Aufzeichnungen darüber führen, wer wann und wozu eingewilligt hat. Ein Double-Opt-in-Ablauf, bei dem der Abonnent per Folge-E-Mail bestätigt, ist eine verbreitete Methode, sowohl die Listenqualität zu verbessern als auch diesen Nachweispfad zu schaffen; die Abwägungen behandelt der Leitfaden zu Single- vs. Double-Opt-in. Auch ist eine Einwilligung nicht für immer gültig – abgestandene, jahrealte Erlaubnis ohne Interaktion ist schwächer als frische, und viele Versender erneuern oder holen die Erlaubnis planmäßig neu ein.
Das Soft-Opt-in: ein enger Weg für Bestandskunden#
ePrivacy und PECR nehmen eine begrenzte Ausnahme heraus, die oft Soft-Opt-in genannt wird. Sie erlaubt einem Unternehmen, per E-Mail an einen Bestandskunden zu werben, ohne eine gesonderte, frische Einwilligung – aber nur, wenn eine bestimmte Reihe von Voraussetzungen erfüllt ist, und sie ist enger, als viele Versender annehmen. Grob gilt das Soft-Opt-in, wenn:
- Sie die Kontaktdaten im Rahmen eines Verkaufs (oder von Verhandlungen über einen Verkauf) eines Produkts oder einer Dienstleistung an diese Person erhoben haben;
- Sie Ihre eigenen ähnlichen Produkte oder Dienstleistungen bewerben – keine unverwandten Sortimente und keine Angebote eines anderen Unternehmens;
- Sie der Person bei der Erhebung der Daten eine einfache, kostenlose Möglichkeit zur Abmeldung gegeben haben und Sie in jeder von Ihnen versendeten Nachricht eine einfache Abmeldung enthalten.
An den Grenzen stolpern die Leute. „Ähnliche Produkte“ wird mit Bedacht ausgelegt, „im Rahmen eines Verkaufs“ meint in der Regel eine echte Transaktion oder aktive Verhandlung statt einer kalten Anfrage, und der genaue Umfang kann sich zwischen Jurisdiktionen unterscheiden, weil ePrivacy national umgesetzt wird. Behandeln Sie das Soft-Opt-in als einen realen, aber eng begrenzten Weg, und prüfen Sie, wie es in dem konkreten Land ausgestaltet ist, dessen Einwohner Sie anschreiben – der Überblick zu E-Mail-Marketing-Gesetzen nach Land ist eine erste Orientierung, kein Ersatz für lokale Beratung.
| Weg | Was er im Allgemeinen erfordert | Typische Verwendung |
|---|---|---|
| Einwilligung (Opt-in) | Freiwilliges, für den bestimmten Fall erfolgtes, informiertes, unmissverständliches Opt-in durch eindeutige bestätigende Handlung; dokumentiert | Newsletter- und Interessentenlisten; der Standard für Marketing an Einzelpersonen |
| Soft-Opt-in | Daten im Rahmen eines Verkaufs erhoben, Ihre eigenen ähnlichen Produkte, einfache Abmeldung bei der Erhebung und in jeder Nachricht | Marketing an Ihre Bestandskunden |
| Berechtigtes Interesse | Dokumentierter Abwägungstest; Rechte des Empfängers nicht überwogen; ePrivacy-Kanalregeln gelten weiterhin | Einige enge B2B-/Geschäftsszenarien |
Berechtigtes Interesse und B2B-E-Mail#
Bei Business-to-Business-E-Mails wird das Bild nuancierter, und hier verhebt man
sich am leichtesten. ePrivacy-Regeln unterscheiden in manchen Jurisdiktionen
zwischen Marketing an Einzelpersonen und Marketing an geschäftliche Empfänger,
und die Regeln für geschäftliche Empfänger können lockerer sein. Das hat zu der
verbreiteten Überzeugung geführt, „B2B-E-Mail sei von der DSGVO ausgenommen“. Ist
sie nicht. Selbst wenn Sie eine namentlich benannte Person in einem Unternehmen
anschreiben, ist firstname@company.com weiterhin das personenbezogene Datum
dieser Person, sodass die DSGVO – Rechtsgrundlage, Transparenz und die unten
genannten Rechte – weiterhin für Ihren Umgang damit gilt.
Berechtigtes Interesse kann für manche B2B-Ansprache eine tragfähige DSGVO-Grundlage sein, vorausgesetzt, Sie haben den Abwägungstest durchgeführt und dokumentiert und der Empfänger würde den Kontakt vernünftigerweise erwarten. Doch es schaltet ePrivacy nicht ab, und die Unterscheidung zwischen geschäftlich und privat ist von Land zu Land verschieden und leicht falsch einzuschätzen – genau die Art von Frage, die man für seine Zielmärkte einem Rechtsberater vorlegt.
Die Rechte, die Ihren Abonnenten zustehen#
Weil die Adressen auf Ihrer Liste personenbezogene Daten sind, halten die Menschen dahinter DSGVO-Rechte, solange Sie diese Daten verarbeiten – und zwei davon betreffen das E-Mail-Marketing unmittelbar.
Das Widerspruchsrecht gegen Direktwerbung ist praktisch absolut. Widerspricht eine Person der Bewerbung, müssen Sie die Verarbeitung ihrer Daten zu diesem Zweck einstellen – Punkt, kein Abwägungstest. In der Praxis ist eine Abmeldung die Ausübung dieses Rechts, weshalb die Mechanik einer konformen, reibungsarmen Abmeldung so sehr zählt; der Leitfaden zur Ein-Klick-Abmeldung behandelt, wie Mailbox-Anbieter dies inzwischen erwarten.
Das Recht auf Löschung („Recht auf Vergessenwerden“) erlaubt es Menschen, unter bestimmten Umständen die Löschung ihrer personenbezogenen Daten zu verlangen, und eine Marketingliste ist ein häufiger Ort, an dem eine solche Anfrage landet. Daneben stehen die Rechte auf Auskunft (eine Kopie dessen, was Sie vorhalten), Berichtigung (Korrektur) und Einschränkung. Die operative Erkenntnis lautet: Eine Abonnentenliste ist kein statischer Vermögenswert, der Ihnen gehört – sie sind personenbezogene Daten, für die Sie verantwortlich sind, mit lebendigen Pflichten daran. Beachten Sie zudem, dass das Sperren einer Adresse, damit Sie sie nie wieder anschreiben, etwas anderes ist als ihre vollständige Löschung; viele Versender führen einen minimalen Sperreintrag eigens dazu, eine Abmeldung zu wahren – eine Feinheit, die Sie mit Ihren eigenen Beratern abklären sollten.
Wo Aufzeichnungen und Listenhygiene hineinpassen#
Nichts davon zu gewährleisten ist Aufgabe eines Hygiene-Tools, und es lohnt sich, bei dieser Grenze präzise zu sein. Verifizierung und Listenbereinigung schaffen keine Rechtsgrundlage, holen keine Einwilligung ein und machen einen Versand nicht konform. Was gewöhnliche Hygiene leistet, ist, die Liste, die Sie rechtmäßig anschreiben, genau und gesund zu halten: tote Postfächer und Tippfehler zu entfernen und Abmeldungen sowie Löschanfragen zügig zu wahren, damit Sie niemandem mehr schreiben, der sich abgemeldet hat. Diese Disziplin greift mit der umfassenderen Routine des Bereinigens einer E-Mail-Liste ineinander – mit Erlaubnis erheben, die von der DSGVO erwarteten Einwilligungs- und Abmeldeaufzeichnungen führen und Adressen nicht länger vorhalten, als Sie sie brauchen.
Diese beiden Stränge getrennt zu halten hält Ihr Denken klar. Die Fragen zu Rechtsgrundlage und Rechten sind hier rechtliche Fragen für Sie und Ihren Rechtsberater. Die Frage „Ist diese Adresse noch gültig und sollten wir sie noch anschreiben“ ist die Hygienefrage – und hier verdient sich ein Verifizierungsschritt seinen Platz, indem er die berechtigungsbasierte Liste, an die Sie tatsächlich senden, sauber hält.
Häufig gestellte Fragen#
Brauche ich unter der DSGVO immer eine Einwilligung, um Marketing-E-Mails zu versenden?#
Nicht immer, aber sie ist die häufigste Grundlage. Die DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage, und für Marketing an Einzelpersonen ist das meist die Einwilligung – dorthin gelenkt durch ePrivacy/PECR. Das berechtigte Interesse kann manche Versände tragen – oft in engen B2B-Fällen –, und das Soft-Opt-in nach ePrivacy erlaubt unter bestimmten Voraussetzungen Marketing an Bestandskunden für Ihre eigenen ähnlichen Produkte. Was greift, hängt von Ihrem konkreten Sachverhalt ab, klären Sie Ihre Grundlage daher mit einem qualifizierten Berater, bevor Sie sich auf etwas anderes als die Einwilligung stützen.
Was macht eine Einwilligung ins E-Mail-Marketing unter der DSGVO gültig?#
Eine Einwilligung nach der DSGVO muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgen, signalisiert durch eine eindeutige bestätigende Handlung wie das Ankreuzen eines leeren Kästchens. Vorangekreuzte Kästchen, Schweigen und Untätigkeit zählen nicht. Die Einwilligung muss zudem so leicht widerrufbar sein, wie sie erteilt wurde, und Sie müssen nachweisen können, dass Sie sie eingeholt haben – Aufzeichnungen darüber, wer wann und wozu eingewilligt hat, sind also Teil der Pflicht und kein optionales Extra.
Ist B2B-E-Mail von der DSGVO ausgenommen?#
Nein. Manche ePrivacy-Regeln behandeln Marketing an geschäftliche Empfänger lockerer als Marketing an Einzelpersonen, und daher rührt die Vorstellung, „B2B sei ausgenommen“. Doch eine dienstliche E-Mail-Adresse, die einer namentlich benannten Person zugeordnet ist, bleibt ein personenbezogenes Datum dieser Person, sodass die DSGVO-Pflichten zu Rechtsgrundlage, Transparenz und Betroffenenrechten weiterhin gelten. Die Unterscheidung zwischen geschäftlichen und privaten Empfängern ist von Land zu Land verschieden, daher ist sie eine gute Frage für den Rechtsberater – für jeden Markt, an den Sie E-Mails senden.
Was ist das Soft-Opt-in?#
Das Soft-Opt-in ist eine begrenzte Ausnahme in ePrivacy/PECR, die es einem Unternehmen erlaubt, per E-Mail an einen Bestandskunden zu werben, ohne eine gesonderte, frische Einwilligung einzuholen. Es gilt in der Regel nur, wenn Sie die Kontaktdaten während eines Verkaufs (oder dessen Anbahnung) erhoben haben, Sie Ihre eigenen ähnlichen Produkte oder Dienstleistungen bewerben und Sie bei der Erhebung eine einfache Abmeldung angeboten und in jeder Nachricht eine enthalten. Es erstreckt sich nicht auf gekaufte Listen, kalte Interessenten oder unverwandte Produkte, und sein genauer Umfang unterscheidet sich von Land zu Land.
Saubere Listen und gewahrte Abmeldungen sind die operative Seite jedes berechtigungsbasierten Programms. Qualisend verifiziert die Adressen auf der Liste, die Sie rechtmäßig anschreiben, und hilft Ihnen, Abmeldungen gesperrt zu halten – beginnen Sie mit dem kostenlosen E-Mail-Checker, um eine Stichprobe zu testen, oder sehen Sie sich die Preispläne für die regelmäßige Listenhygiene an.
