Double-Opt-in-Pflicht

Definition: Das Double-Opt-in-Verfahren (DOI) ist ein zweistufiger Einwilligungsprozess für die Erhebung von E-Mail-Adressen und die Aufnahme in Verteiler für E-Mail-Marketing, Newsletter und andere werbliche Kommunikation per elektronischer Post. Im ersten Schritt trägt sich ein Nutzer über ein Online-Formular mit seiner E-Mail-Adresse ein und gibt damit eine vorläufige Anmeldung ab (einfaches Opt-in). Im zweiten Schritt erhält der Nutzer eine Bestätigungs-E-Mail an die angegebene Adresse, die einen personalisierten Bestätigungslink enthält. Erst wenn der Nutzer auf diesen Link klickt, gilt die Einwilligung als vollständig erteilt und der Verteiler darf bespielt werden. Das Double-Opt-in-Verfahren ist in Deutschland zwar nicht ausdrücklich gesetzlich vorgeschrieben, wird aber von einer gefestigten Rechtsprechung sowie den Datenschutzaufsichtsbehörden als notwendiger Standard anerkannt, um eine nachweisbar wirksame Einwilligung im Sinne von Art. 6 Abs. 1 lit. a DSGVO und § 7 UWG zu erlangen. Ohne dieses Verfahren können Unternehmen im Streitfall kaum beweisen, dass die eingetragene E-Mail-Adresse tatsächlich dem Inhaber zugehört und dass dieser die Einwilligung gegeben hat – was zu erheblichen rechtlichen Risiken führt. Das Double-Opt-in-Verfahren schützt Unternehmen zudem vor Missbrauch, wenn Dritte fremde E-Mail-Adressen ohne Wissen des Eigentümers eintragen.

Erläuterung

Die Rechtsgrundlage für das Double-Opt-in-Verfahren ergibt sich aus dem Zusammenspiel mehrerer Rechtsquellen. Nach § 7 Abs. 2 Nr. 2 UWG (Gesetz gegen den unlauteren Wettbewerb) ist Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung des Empfängers grundsätzlich eine unzumutbare Belästigung und damit wettbewerbswidrig. Die DSGVO ergänzt diese wettbewerbsrechtliche Pflicht um datenschutzrechtliche Anforderungen: Nach Art. 7 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat. Diese Nachweispflicht ist der entscheidende Grund, warum das Double-Opt-in-Verfahren in der Praxis zum faktischen Standard geworden ist: Nur durch den Bestätigungsklick über den versendeten Link kann ein Unternehmen technisch sicherstellen und protokollieren, dass die E-Mail-Adresse tatsächlich dem angemeldeten Nutzer gehört und dass dieser die Einwilligung aktiv bestätigt hat.

Der Bundesgerichtshof (BGH) hat in mehreren Entscheidungen die Anforderungen an E-Mail-Einwilligungen präzisiert. Bereits das Versenden der Bestätigungs-E-Mail selbst kann grundsätzlich als Werbung eingestuft werden und muss daher entsprechend neutral und informativ gestaltet sein – also keine Werbung enthalten und ausschließlich den Zweck der Einwilligungsbestätigung verfolgen. Diese Bestätigungs-E-Mail ist jedoch trotz ihres werblichen Charakters im Rahmen des DOI-Verfahrens ausnahmsweise zulässig, weil ohne sie das Verfahren nicht funktionieren würde.

Technisch erfordert das DOI-Verfahren eine sorgfältige Protokollierung. Für jeden Anmeldeprozess muss dokumentiert werden: Zeitpunkt und IP-Adresse der ursprünglichen Anmeldung (Opt-in), der Zeitpunkt der versendeten Bestätigungs-E-Mail, der Zeitpunkt und die IP-Adresse des Bestätigungsklicks sowie der genaue Inhalt des Einwilligungstextes, dem der Nutzer zugestimmt hat. Diese Protokolldaten müssen im Falle eines Rechtsstreits oder einer behördlichen Anfrage vorgelegt werden können und sollten daher sicher und dauerhaft gespeichert sein, mindestens für die Dauer des aktiven Nutzerverhältnisses zuzüglich einer angemessenen Aufbewahrungsfrist.

Alle gängigen E-Mail-Marketing-Plattformen wie Mailchimp, CleverReach, HubSpot, Brevo (ehemals Sendinblue) oder ActiveCampaign unterstützen das DOI-Verfahren standardmäßig und bieten entsprechende Protokollierungsfunktionen. Dennoch sollten Unternehmen prüfen, ob die verwendete Lösung tatsächlich alle erforderlichen Datenpunkte protokolliert und ob diese Daten bei einem Anbieterwechsel exportiert werden können.

Technische Anforderungen und Protokollierung

• Protokoll der Erstanmeldung: Datum, Uhrzeit und IP-Adresse des Nutzers beim Absenden des Anmeldeformulars müssen gespeichert werden.
• Inhalt des Einwilligungstextes: Der exakte Text, dem der Nutzer zum Zeitpunkt der Anmeldung zugestimmt hat, muss versioniert gespeichert sein.
• Bestätigungs-E-Mail: Zeitstempel des Versands sowie ein eindeutiger, nicht wiederverwendbarer Bestätigungslink mit begrenzter Gültigkeitsdauer (üblich: 48–72 Stunden).
• Protokoll der Bestätigung: Datum, Uhrzeit und IP-Adresse des Bestätigungsklicks müssen mit dem ursprünglichen Anmeldedatensatz verknüpft gespeichert werden.
• Datensicherung: Die Protokolldaten sollten unveränderlich gespeichert sein und bei Bedarf exportiert werden können.

Häufige Fehler beim Double-Opt-in

• Werbung in der Bestätigungs-E-Mail: Die Bestätigungs-E-Mail darf keine Werbeangebote, Rabattcodes oder sonstige werbliche Inhalte enthalten – nur den neutralen Bestätigungslink.
• Zu langer oder abgelaufener Link: Bestätigungslinks mit unbegrenzter Gültigkeitsdauer sind ein Sicherheitsrisiko; eine begrenzte Gültigkeitsdauer von 48–72 Stunden ist empfehlenswert.
• Fehlende Protokollierung: Ohne vollständige Protokollierung kann der Nachweis der Einwilligung im Streitfall nicht erbracht werden.
• Unklarer Einwilligungstext: Der Anmeldetext muss präzise beschreiben, was der Nutzer erwartet – welche Inhalte er erhält und in welcher Frequenz.
• Formularkopplung: Die Newsletter-Anmeldung darf nicht als Pflichtbedingung für einen Kauf oder eine Dienstleistung ausgestaltet sein – Freiwilligkeit ist Voraussetzung einer wirksamen Einwilligung.