14.10.2026 · von Manuela Bletzer · 10 Minuten Lesezeit Newsletter

Newsletter und DSGVO: die sieben Punkte, die wirklich zählen

„Darf ich das überhaupt?“ ist die Frage, die beim Newsletter am meisten bremst. Nicht die Technik, nicht das Schreiben. Die Sorge, mit einem Formular etwas falsch zu machen und dafür Post von einem Anwalt zu bekommen.

Die beruhigende Nachricht: Die DSGVO verbietet dir den Newsletter nicht. Sie verlangt, dass du ein paar Dinge ordentlich machst, und die meisten davon übernimmt dein Newsletter-Tool, wenn du es einmal richtig einstellst. Danach musst du nicht mehr darüber nachdenken.

Ich gehe mit dir die sieben Punkte durch, die wirklich zählen. Vier davon habe ich an anderer Stelle ausführlich beschrieben, drei stehen bisher nirgends auf dieser Website, weil sie fast immer übersehen werden: der Vertrag mit deinem Tool, die Frage nach dem Serverstandort und was du tust, wenn jemand seine Daten sehen oder löschen will.

Gilt die DSGVO für meinen Newsletter?

Ja, sobald du eine einzige E-Mail-Adresse speicherst. Eine Adresse ist ein personenbezogenes Datum, auch dann, wenn kein Name dabeisteht. Ob elf Menschen auf deiner Liste stehen oder elftausend, ändert daran nichts, und eine Kleinunternehmerregelung gibt es hier nicht.

Zwei Gesetze greifen übereinander, und genau das macht das Thema so verwirrend:

• Die DSGVO regelt, wie du mit den Daten umgehst: auf welcher Grundlage, zu welchem Zweck, wie lange und mit welchen Rechten für die Betroffenen.
• Das Gesetz gegen den unlauteren Wettbewerb regelt, ob du überhaupt werben darfst. § 7 verlangt für Werbemails eine vorherige, ausdrückliche Einwilligung.

In der Praxis heißt das: Du brauchst eine Einwilligung, und du brauchst sie beweisbar. Alles andere baut darauf auf.

Noch ein Satz zur Einordnung: Ich bin keine Rechtsanwältin. Was hier steht, kommt aus der täglichen Arbeit mit Newslettern von Solopreneurinnen. Wenn du es ganz sicher wissen willst, lass dein Formular und deine Datenschutzerklärung einmal von einer Fachperson ansehen. Das kostet weniger als eine Abmahnung.

Die sieben Punkte im Überblick

Wenn diese sieben Dinge geregelt sind, ist dein Newsletter in Ordnung. Die ersten vier habe ich in eigenen Artikeln auseinandergenommen, hier stehen sie als Merkliste. Die letzten drei nehme ich danach einzeln vor, weil sie am häufigsten fehlen.

1. Einwilligung mit Double Opt-in. Wer sich einträgt, bekommt eine Mail mit einem Bestätigungslink und ist erst danach auf der Liste. Ohne diesen zweiten Schritt kannst du nicht belegen, dass die Adresse wirklich der Person gehört, die sie eingetragen hat. Wie das aussieht und welche Fehler passieren, steht in Double Opt-in einfach erklärt.
2. Der Nachweis, dass sie vorliegt. Dein Tool speichert zu jeder Adresse, wann sie sich eingetragen und wann sie bestätigt hat, meist mit IP-Adresse. Sieh einmal nach, ob du diese Angaben in deinem Tool findest. Wenn jemand behauptet, er habe sich nie angemeldet, ist das dein einziger Beweis.
3. Eine Abmeldung in jeder Mail. Ein Klick, ohne Anmeldung, ohne Begründung, ohne Rückfrage. Der Link gehört sichtbar in die Fußzeile, nicht in hellgrauer Schrift und nicht hinter drei weiteren Seiten.
4. Impressum und Datenschutz. In jede Mail gehört ein vollständiges Impressum, ans Formular gehört ein Abschnitt zum Newsletter in deiner Datenschutzerklärung. Die Einzelheiten stehen in Impressum im Newsletter und in Pflichtangaben im Newsletter.
5. Nur die Daten, die du wirklich brauchst. Jedes Feld in deinem Formular musst du begründen können.
6. Ein Vertrag mit deinem Newsletter-Tool. Es verarbeitet die Daten in deinem Auftrag, und dafür verlangt die DSGVO einen schriftlichen Vertrag.
7. Klarheit darüber, wo verarbeitet wird. Liegen die Daten in der EU oder in den USA? Je nach Antwort brauchst du eine zusätzliche Grundlage und einen Satz mehr in der Datenschutzerklärung.

Der Vertrag mit deinem Newsletter-Tool

Das ist die Lücke, die ich am häufigsten finde. Er heißt Auftragsverarbeitungsvertrag, kurz AVV, auf Englisch Data Processing Agreement oder DPA, und die DSGVO verlangt ihn in Artikel 28.

Der Gedanke dahinter ist einfach: Verantwortlich für die Daten deiner Abonnentinnen bist du. Dein Newsletter-Tool ist nur die Werkstatt, in der du sie abstellst. Damit klar ist, dass die Werkstatt nichts Eigenes damit anfängt, braucht es einen Vertrag, der das festhält: wozu die Daten verwendet werden dürfen, wie sie gesichert sind, wer sie noch zu sehen bekommt und was bei einer Kündigung passiert.

So kommst du daran:

• Sieh in den Einstellungen deines Kontos nach. Die Begriffe lauten „Auftragsverarbeitung“, „AVV“, „DPA“ oder „Data Processing Agreement“, oft im Bereich Rechtliches, Konto oder Datenschutz.
• Bei manchen Anbietern ist der Vertrag Teil der Nutzungsbedingungen und gilt mit der Registrierung. Bei anderen musst du ihn einmal ausdrücklich bestätigen oder herunterladen, unterschreiben und zurücksenden.
• Lade die Datei herunter und lege sie ab, am besten in demselben Ordner wie deine Datenschutzerklärung. Wenn eine Aufsichtsbehörde fragt, suchst du keine halbe Stunde.

Und noch etwas, das selten mitgedacht wird: Der AVV gilt nicht nur fürs Newsletter-Tool. Auch der Dienst, auf dem deine Anmeldeseite liegt, dein Terminbuchungstool und der Anbieter deines Postfachs verarbeiten Daten in deinem Auftrag. Überall dieselbe Frage, überall dieselbe Antwort: Vertrag suchen, Vertrag ablegen.

Wo stehen die Server?

Wenn dein Anbieter die Adressen in den USA verarbeitet, verlassen die Daten die EU, und dafür braucht es eine eigene Grundlage. Das betrifft mehr Solopreneurinnen als gedacht, denn viele der bekannten Newsletter-Tools kommen aus den USA.

Zurzeit gibt es für diesen Fall das EU-US Data Privacy Framework, ein Abkommen von 2023. Anbieter, die sich dort haben eintragen lassen, dürfen Daten aus Europa empfangen. Wer sich darauf stützt, sollte aber wissen, dass es wackelt: Die beiden Vorgänger-Abkommen hat der Europäische Gerichtshof gekippt, Safe Harbor 2015 und das Privacy Shield 2020. Gegen das heutige laufen ebenfalls Verfahren. Im Oktober 2026 gilt es, und mehr kann man ehrlicherweise nicht sagen.

Was du praktisch tun kannst:

• Nachsehen, wo verarbeitet wird. Die Antwort steht in der Datenschutzerklärung deines Anbieters, oft zusammen mit einer Liste der Unterauftragsverarbeiter. Das sind die Dienste, die dein Anbieter selbst einsetzt.
• Den Satz in deine Datenschutzerklärung schreiben. Findet eine Übermittlung in die USA statt, muss sie dort benannt sein, mit der Grundlage, auf die sie sich stützt. Ein Satz, aber er muss da stehen.
• Oder dem Thema ausweichen. Es gibt Anbieter, die ausdrücklich in Deutschland oder in der EU verarbeiten. Wer die Frage lieber gar nicht haben will, wählt einen davon. Welche Tools wie arbeiten, steht in 5 beliebte E-Mail-Marketing-Tools im Vergleich.

Wechseln musst du deswegen nicht. Du solltest nur wissen, womit du arbeitest, statt es zu hoffen.

Welche Felder darfst du abfragen?

So wenige wie möglich. Das Prinzip heißt Datenminimierung und steht in Artikel 5: Du darfst nur erheben, was du für deinen Zweck wirklich brauchst. Beim Newsletter ist dieser Zweck, einen Newsletter zu verschicken.

Daraus ergibt sich eine kurze Liste:

• Die E-Mail-Adresse ist Pflicht, ohne sie geht es nicht.
• Der Vorname ist in Ordnung, wenn du ihn für die Anrede verwendest. Dann fragst du ihn freiwillig ab und kennzeichnest das auch so.
• Nachname, Firma, Telefonnummer, Anschrift, Geburtsdatum: nur, wenn du in einem Satz sagen kannst, wofür du sie im Newsletter brauchst. Meistens kannst du das nicht.

Hier zieht das Gesetz übrigens in dieselbe Richtung wie dein eigenes Interesse, und das kommt selten vor: Jedes zusätzliche Feld ist eine Hürde, an der Menschen abbrechen. Je kürzer dein Formular, desto mehr Anmeldungen bekommst du. Ein Feld für die Adresse, höchstens eines für den Vornamen, fertig.

Eine Besonderheit gibt es in den MailerLite-Formularen auf dieser Website: Dort steht ein unsichtbares Feld, das vermerkt, über welche Seite jemand gekommen ist. Das ist keine zusätzliche Angabe über die Person, sondern eine Notiz für mich, damit ich weiß, welche Anmeldeseite funktioniert.

Wenn jemand Auskunft oder Löschung verlangt

Dann hast du einen Monat Zeit, und du musst antworten. Das ist der Punkt, an dem aus einer harmlosen Anfrage eine Beschwerde bei der Aufsichtsbehörde wird: nicht weil jemand einen Fehler gemacht hat, sondern weil niemand geantwortet hat.

Zwei Fälle kommen vor:

• Auskunft. Jemand will wissen, was du über ihn gespeichert hast. Dein Tool zeigt dir den Datensatz zu einer Adresse an, meist mit Anmeldezeitpunkt, Bestätigung, Herkunft und den Feldern, die ausgefüllt wurden. Exportiere das, schreib zwei Sätze dazu, wozu du die Daten nutzt und wie lange du sie behältst, und schick es zurück.
• Löschung. Hier wird es oft verwechselt: Eine Abmeldung ist keine Löschung. Wer sich abmeldet, bleibt im Tool stehen, nur als abgemeldet, und genau das ist richtig, damit die Adresse nicht versehentlich wieder angeschrieben wird. Verlangt jemand ausdrücklich die Löschung, muss der Datensatz weg. Die meisten Tools haben dafür einen eigenen Knopf, der die Adresse löscht und gleichzeitig dafür sorgt, dass sie gesperrt bleibt.

Mein Rat für den Alltag: Leg dir zwei Textbausteine in dein Postfach, einen für jeden Fall. In vier Jahren brauchst du sie vielleicht zweimal, aber dann willst du nicht erst recherchieren.

Ein Beispiel aus der Praxis

Eine Physiotherapeutin kam mit einer Liste zu mir, auf die sie stolz war: Jahre an Patientenadressen, sauber in ihrer Terminverwaltung gepflegt. Der Plan war, damit den ersten Newsletter zu starten, mit Übungen für den Rücken und Hinweisen auf freie Termine.

Meine Antwort war die unbeliebteste, die ich habe: Diese Adressen darf sie nicht verwenden. Wer seine Mailadresse für eine Terminbestätigung hinterlässt, hat keiner Werbung zugestimmt. Der Zweck war der Termin, nicht der Newsletter, und Zwecke lassen sich nicht nachträglich erweitern.

Wir haben es anders gelöst. In der Praxis hängt jetzt ein Aushang mit einem QR-Code, der auf die Anmeldeseite führt. Unter jeder Terminbestätigung steht ein Satz mit demselben Link. Und bei der Verabschiedung fragt sie, wenn es passt, einfach einmal nach. Nach drei Monaten hatte sie eine Liste, die kleiner war als die alte, aber jede Adresse darauf wollte dort sein. Die Öffnungsrate liegt seitdem deutlich über dem, was sie erwartet hatte.

Es hätte auch anders laufen können. Ihr früherer Kollege hatte seine Patientenadressen genommen und losgeschickt. Zwei Beschwerden, ein Anwaltsschreiben, und am Ende hat er die Liste doch gelöscht. Nur eben nach dem Ärger statt davor.

Mein Rat zum Schluss

Die DSGVO ist beim Newsletter kein Dauerthema, sondern eine Einrichtungsaufgabe. Du stellst das Double Opt-in ein, kürzt dein Formular auf das Nötige, schreibst den Abschnitt in die Datenschutzerklärung, legst den AVV deines Tools ab und sieh einmal nach, wo die Daten liegen. Danach schreibst du Newsletter und denkst nicht mehr daran.

Wenn du nur eine Sache mitnimmst, nimm diese: Sammle keine Adressen, die dir niemand ausdrücklich gegeben hat. Fast alles, was beim Newsletter rechtlich schiefgeht, fängt an dieser Stelle an.

Häufige Fragen zu Newsletter und DSGVO

Darf ich Adressen aus meinem Kundenstamm in den Newsletter übernehmen?
In der Regel nicht. Eine Adresse, die jemand für einen Termin, eine Rechnung oder eine Anfrage hinterlassen hat, ist keine Einwilligung in Werbung. Der sauberste Weg ist, diese Menschen einmal persönlich zu fragen und sie selbst über dein Anmeldeformular eintragen zu lassen. Für Bestandskundinnen gibt es im UWG eine enge Ausnahme, die aber an mehrere Bedingungen gebunden ist. Lass das von einer Fachperson prüfen, bevor du dich darauf verlässt.

Brauche ich für den Newsletter eine eigene Datenschutzerklärung?
Keine eigene, aber einen eigenen Abschnitt in der bestehenden. Darin steht, welche Daten du erhebst, zu welchem Zweck, auf welcher Rechtsgrundlage, welches Tool du einsetzt, wo verarbeitet wird und wie lange du speicherst. Dieser Abschnitt muss am Anmeldeformular verlinkt sein.

Wie lange darf ich die Daten meiner Abonnentinnen speichern?
So lange die Einwilligung gilt, also bis zur Abmeldung. Danach darfst du den Nachweis der Einwilligung noch aufbewahren, um bei einer Beschwerde belegen zu können, dass sie vorlag. Wer sich nicht abmeldet, aber über Jahre nichts öffnet, bleibt rechtlich zulässig in der Liste. Rauswerfen lohnt sich dort aus einem anderen Grund: Deine Zustellbarkeit leidet an solchen Adressen. Mehr dazu in Newsletter-Öffnungsrate verbessern.

Was passiert, wenn ich beim Newsletter etwas falsch mache?
Der häufigste Fall ist nicht die Behörde, sondern ein Abmahnschreiben von einem Wettbewerber oder einem Verband, meist wegen fehlender Einwilligung oder fehlendem Impressum. Es kostet ein paar Hundert Euro plus die Unterlassungserklärung. Bußgelder der Aufsichtsbehörden trifft es bei Solopreneurinnen selten, und meistens erst, wenn auf eine Anfrage gar nicht reagiert wurde.

Deine Manuela

← Alle Blogartikel