DSGVO-konformes E-Mail-Marketing

Definition: DSGVO-konformes E-Mail-Marketing bezeichnet die Planung, Durchführung und Verwaltung von E-Mail-Marketingaktivitäten in vollständiger Übereinstimmung mit den Anforderungen der EU-Datenschutz-Grundverordnung (DSGVO, in Kraft seit Mai 2018) sowie den ergänzenden nationalen Regelungen, insbesondere dem deutschen Gesetz gegen den unlauteren Wettbewerb (UWG § 7). Die DSGVO legt umfassende Regeln für die Verarbeitung personenbezogener Daten – zu denen E-Mail-Adressen grundsätzlich gehören – fest und definiert klare Anforderungen an Einwilligung, Zweckbindung, Datensparsamkeit, Transparenz, Datensicherheit und die Wahrung von Betroffenenrechten. Im E-Mail-Marketing sind insbesondere die Anforderungen an die Einwilligung (Art. 6 und 7 DSGVO) sowie die Informationspflichten gegenüber den betroffenen Personen (Art. 13 DSGVO) zentral. DSGVO-konformes E-Mail-Marketing ist keine reine Compliance-Übung, sondern auch eine qualitätssichernde Maßnahme: Unternehmen, die hohe Datenschutzstandards einhalten, bauen nachhaltigeres Vertrauen bei ihren Empfängern auf, erzielen typischerweise höhere Engagement-Raten und vermeiden kostspielige Bußgelder, die bei Datenschutzverstößen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen können. Das Zusammenspiel von DSGVO, UWG und der geplanten EU-E-Privacy-Verordnung macht das rechtliche Umfeld für E-Mail-Marketer komplex, aber mit den richtigen Prozessen gut handhabbar.

Erläuterung

Die wichtigste Grundregel des DSGVO-konformen E-Mail-Marketings lautet: Keine Werbe-E-Mail ohne vorherige, explizite und dokumentierte Einwilligung des Empfängers. Diese Einwilligung muss nach Art. 7 DSGVO freiwillig, für einen spezifischen Zweck erteilt, in informierter Weise abgegeben und durch eine eindeutige bestätigende Handlung dokumentiert worden sein. Vorausgefüllte Checkboxen, Opt-out-Verfahren oder versteckte Einwilligungstexte sind nicht DSGVO-konform. Einzig gültige Ausnahme ist das sogenannte „berechtigte Interesse" nach Art. 6 Abs. 1 lit. f DSGVO in Kombination mit § 7 Abs. 3 UWG: Bestandskunden können unter bestimmten engen Voraussetzungen Werbe-E-Mails zu ähnlichen Produkten oder Dienstleistungen erhalten, auch ohne neue ausdrückliche Einwilligung – aber nur, wenn der Versender die Interessen und Grundrechte des Empfängers abgewogen hat, die Adresse im Zusammenhang mit einem früheren Kauf erhoben wurde, die Möglichkeit zur Abmeldung bei der Erhebung und in jeder E-Mail klar kommuniziert wird und die beworbenen Angebote ähnlich zu dem sind, für das die Adresse ursprünglich erhoben wurde.

Neben der Einwilligung umfasst DSGVO-konformes E-Mail-Marketing weitere Pflichtelemente: Die Datenschutzerklärung auf der Website und in E-Mails muss vollständig und verständlich über die Datenverarbeitung informieren (Art. 13 DSGVO). Jede Marketing-E-Mail muss ein funktionierendes und leicht zugängliches Abmelde-Link enthalten, über den Empfänger ihre Einwilligung jederzeit ohne Angabe von Gründen widerrufen können. Abmeldewünsche müssen unverzüglich – in der Praxis innerhalb von maximal 10 Werktagen – umgesetzt werden. Unternehmen müssen Auskunftsersuchen von Betroffenen (Art. 15 DSGVO) beantworten können, also auf Anfrage mitteilen, welche Daten zu einer Person gespeichert sind. Gleiches gilt für Löschanträge (Art. 17 DSGVO) und Datenportabilitätsanfragen (Art. 20 DSGVO).

Ein weiterer wichtiger Aspekt ist die Auftragsverarbeitungsvereinbarung (AVV). Wenn ein externer E-Mail-Service-Provider (ESP) genutzt wird, der im Auftrag des Unternehmens E-Mail-Adressen und -inhalte verarbeitet, muss gemäß Art. 28 DSGVO ein schriftlicher AVV abgeschlossen werden. Nahezu alle professionellen ESPs stellen entsprechende Vereinbarungen bereit. Bei der Nutzung von US-amerikanischen ESPs ist zusätzlich die Frage des internationalen Datentransfers relevant: Nach dem Wegfall des Privacy Shield-Abkommens 2020 sind Standardvertragsklauseln (Standard Contractual Clauses, SCC) der EU-Kommission das gängige Instrument, um einen DSGVO-konformen Transfer personenbezogener Daten in Drittländer zu legitimieren.

Checkliste: Pflichtbestandteile DSGVO-konformer E-Mail-Prozesse

• Einwilligung dokumentiert: Timestamp, IP-Adresse, verwendetes Formular und Einwilligungstext werden gespeichert – idealerweise via Double Opt-in.
• Einwilligungstext präzise: Klar formuliert, für welche Art von E-Mails, von welchem Unternehmen und zu welchem Zweck die Einwilligung erteilt wird.
• Datenschutzhinweis am Formular: Link zur Datenschutzerklärung direkt am Anmeldeformular mit Hinweis auf die Datenverarbeitung.
• Abmeldeoption in jeder E-Mail: Funktionierender Abmeldelink, der ohne Login oder weitere Hürden bedienbar ist.
• Abmeldewünsche sofort umsetzen: Technische Prozesse sicherstellen, dass Abgemeldete unverzüglich keine weiteren Kampagnen-E-Mails erhalten.
• Auftragsverarbeitungsvertrag: Mit dem ESP abgeschlossen und aktuell gehalten.
• Datensparsamkeit: Nur die tatsächlich benötigten Daten erheben und speichern – keine unnötigen Pflichtfelder im Anmeldeformular.

Häufige DSGVO-Verstöße im E-Mail-Marketing

• Gekaufte E-Mail-Listen: Adressen ohne eigene Einwilligung zu nutzen ist in der EU grundsätzlich rechtswidrig und führt zu massiven Spam-Beschwerden und Zustellbarkeitsproblemen.
• Fehlende Abmeldemöglichkeit: Jede Marketing-E-Mail muss einen einfach nutzbaren Abmeldelink enthalten – nicht nur gut versteckt im Kleingedruckten.
• Einwilligung für andere Zwecke nutzen: Eine für Produktnews erteilte Einwilligung kann nicht für Partnerwerbung oder andere Zwecke verwendet werden.
• Zu langer Datenhaltungszeitraum: Inaktive Abonnenten ohne aktuelle Einwilligung jahrelang in der Datenbank zu belassen verstößt gegen das Prinzip der Speicherbegrenzung.