Double-Opt-in: was das Gesetz verlangt und was Werkzeuge daraus machen
Fast jeder Text im Netz behauptet, die DSGVO schreibe Double-Opt-in vor. Das stimmt so nicht, und der Unterschied ist für die Praxis wichtiger, als er klingt.
Der Begriff Double-Opt-in kommt im Verordnungstext der DSGVO nicht vor. Nicht in Artikel 6, nicht in Artikel 7, an keiner Stelle. Trotzdem liest du in fast jedem Ratgeber, die Verordnung schreibe das doppelte Bestätigungsverfahren vor.
Das macht Double-Opt-in nicht überflüssig, es verschiebt nur die Begründung. Die DSGVO verlangt, dass du eine Einwilligung nachweisen kannst. Das deutsche Wettbewerbsrecht verlangt, dass vor der ersten Werbemail eine ausdrückliche Einwilligung vorliegt. Double-Opt-in ist das Verfahren, mit dem beides im Streitfall belegbar wird.
Wer den Unterschied kennt, prüft Werkzeuge anders. Er fragt nicht mehr, ob ein Plugin Double-Opt-in kann, sondern was danach im Protokoll steht und ob er es wieder herausbekommt. Dieser Beitrag trennt drei Ebenen: den Gesetzestext, die Praxis, die daraus geworden ist, und die Stellen, an denen Werkzeuge eine Sicherheit versprechen, die sie technisch gar nicht liefern können.
Was die DSGVO tatsächlich verlangt
Für die Anmeldung zu einem Newsletter sind drei Stellen der Verordnung einschlägig.
- Art. 6 Abs. 1 lit. a: Die Einwilligung ist eine der Rechtsgrundlagen, auf die du eine Verarbeitung stützen kannst.
- Art. 7: Bedingungen für die Einwilligung. Der Satz mit den meisten Folgen für den Alltag steht gleich in Absatz 1: der Verantwortliche muss nachweisen können, dass die betroffene Person eingewilligt hat.
- Art. 5 Abs. 2: Rechenschaftspflicht. Die Grundsätze einzuhalten genügt nicht, du musst die Einhaltung auch belegen können.
Mehr steht dort nicht. Keine Vorschrift über ein Bestätigungsverfahren, kein Link in einer zweiten Mail, keine Frist. Die Verordnung beschreibt ein Ergebnis: eine freiwillige, informierte, unmissverständliche Willensbekundung, die du im Zweifel vorlegen kannst. Wie du dorthin kommst, bleibt dir überlassen.
Warum einfaches Opt-in trotzdem selten trägt
Bei einer einfachen Anmeldung hast du eine Adresse in der Datenbank und einen Zeitstempel. Was du nicht hast, ist ein Beleg, dass die Person hinter der Adresse das Formular ausgefüllt hat. Jeder kann fremde Adressen eintragen, aus Versehen oder mit Absicht. Kommt es zum Streit, steht deine Behauptung gegen die des Empfängers, und die Nachweislast liegt bei dir. Der Bestätigungsklick aus dem zweiten Schritt schließt genau diese Lücke. Er zeigt, dass jemand mit Zugriff auf das Postfach zugestimmt hat.
Der Paragraf, der in Deutschland wirklich weh tut
Das größere praktische Risiko bei E-Mail-Werbung kommt hierzulande aus dem Wettbewerbsrecht. § 7 Abs. 2 UWG stuft Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung des Empfängers als unzumutbare Belästigung ein und damit als unzulässig.
Der Unterschied zum Datenschutzrecht ist im Alltag deutlich spürbar. Durchsetzen können das UWG Mitbewerber und Verbände, mit einer Abmahnung. Eine Aufsichtsbehörde muss dafür nicht tätig werden, es genügt eine einzige Mail an den falschen Empfänger und jemanden, der Zeit und ein Interesse hat.
Deshalb steht die verbreitete Angst vor DSGVO-Bußgeldern beim Newsletter etwas schief. Mir sind keine dokumentierten Bußgelder bekannt, die allein an einem fehlenden Bestätigungsschritt hingen. Der Ärger kommt in aller Regel über eine Abmahnung wegen unerlaubter Werbung, und dort zählt nur eine Frage: Kannst du die Einwilligung vorlegen?
Ein Hinweis an der Stelle, an der er zählt: das hier ist eine Einordnung aus der Praxis und keine Rechtsberatung. Wenn eine Abmahnung im Briefkasten liegt oder du eine große Bestandsliste anschreiben willst, gehört der Fall vor eine fachkundige Person, die deine Unterlagen kennt.
Planet49 und das vorangekreuzte Kästchen
Ein Urteil hat die Diskussion über Einwilligungen dauerhaft verändert. Der Europäische Gerichtshof entschied am 1. Oktober 2019 in der Rechtssache C-673/17 (Planet49), dass ein bereits angekreuztes Kästchen keine wirksame Einwilligung darstellt. Zustimmung braucht eine aktive Handlung der betroffenen Person.
Für dein Anmeldeformular heißt das schlicht: kein Häkchen ist vorher gesetzt. Das gilt für die Newsletter-Checkbox genauso wie für jede andere Einwilligung, die du an derselben Stelle einsammelst.
Was ein Protokoll enthalten muss, damit es trägt
Double-Opt-in ohne Protokoll ist ein Verfahren ohne Beweis. Der Bestätigungsklick nützt dir zwei Jahre später nur, wenn du ihn vorlegen kannst. Diese Angaben gehören dazu.
| Angabe im Protokoll | Wozu sie im Streitfall dient |
|---|---|
| Zeitpunkt der Anmeldung | Zeigt, wann das Formular abgeschickt wurde |
| Zeitpunkt der Bestätigung | Belegt den zweiten Schritt und den Abstand zum ersten |
| Verwendete IP-Adresse | Ordnet die Anmeldung einem Internetzugang zu |
| Wortlaut der Einwilligungserklärung zum Zeitpunkt der Anmeldung | Zeigt, wozu die Person damals zugestimmt hat, nicht wozu sie heute zustimmen würde |
| Die Formularfassung | Zeigt, was neben der Checkbox stand und welche Felder Pflicht waren |
| Die Bestätigungsmail selbst | Zeigt, was der Empfänger bekommen hat und was darin nicht stand |
Die vierte Zeile ist die, an der die meisten Systeme scheitern. Den Text neben der Checkbox änderst du im Lauf der Jahre mehrfach. Ein Protokoll, das nur auf die jeweils aktuelle Fassung verweist, belegt für eine Anmeldung aus 2023 den falschen Wortlaut. Brauchbar ist eine Versionierung, die den damaligen Text festhält und mit dem Eintrag verknüpft.
Drei Fehler, die den Nachweis wertlos machen
Werbung in der Bestätigungsmail
Die Bestätigungsmail hat genau eine Aufgabe: um die Bestätigung bitten. Sobald ein Angebot, ein Rabattcode oder ein Produktbild darin steht, hast du eine Werbemail an jemanden geschickt, der noch nicht eingewilligt hat.
Ob die Bestätigungsmail selbst schon unzulässige Werbung ist, wird unterschiedlich beurteilt. Die herrschende Praxis hält sie für zulässig, solange sie ausschließlich die Bestätigung anfordert. Es gibt Stimmen, die auch das enger sehen. Der Streit ist nicht ausgeräumt, und ich räume ihn hier auch nicht aus. Für den Alltag folgt daraus eine einfache Regel: je karger die Mail, desto kleiner die Angriffsfläche.
Koppelung an etwas anderes
Der zweite Fehler ist die Koppelung. Das Whitepaper gibt es nur gegen die Newsletter-Anmeldung, oder die Bestellung geht nur durch, wenn das Häkchen gesetzt ist. Eine Einwilligung muss freiwillig sein, und Freiwilligkeit ist schwer zu behaupten, wenn ohne sie der Download nicht startet.
Trenne die beiden Vorgänge. Das Whitepaper kommt nach dem Formular, die Newsletter-Checkbox steht daneben und bleibt optional. Wer den Newsletter danach freiwillig bestätigt, ist ohnehin der bessere Empfänger, weil er die Mail später auch öffnet.
Das Protokoll liegt beim Dienstleister
Der dritte Fehler fällt erst beim Wechsel auf. Dein Nachweis liegt in der Datenbank eines Anbieters. Solange du dort Kunde bist, ist alles in Ordnung. Beim Umzug exportierst du die Adressen, und das Protokoll bleibt zurück, weil der Export Adresse, Name und ein paar Felder mitnimmt und den Rest nicht. Du stehst dann mit einer Liste da, für die du nichts belegen kannst.
Frag deshalb vor der Entscheidung nach, ob sich das vollständige Einwilligungsprotokoll exportieren lässt, mit beiden Zeitpunkten, IP und Wortlaut. Die Antwort sortiert Werkzeuge schneller als jede Funktionsliste.
Wo Werkzeuge Sicherheit versprechen, die sie nicht haben
Das Siegel „DSGVO-konform" auf einer Produktseite ist eine Aussage über ein Werkzeug, nicht über deine Website. Kein Plugin und kein Dienst kann dir Rechtskonformität liefern, weil sie davon abhängt, was du in dein Formular schreibst, was du versendest und wie du mit Anfragen umgehst. Was ein Werkzeug beitragen kann, ist eng umrissen:
- ein Bestätigungsverfahren, das ohne Klick auf den Bestätigungslink keine Adresse aktiv setzt
- ein Protokoll, das die oben genannten Angaben festhält und sich vollständig exportieren lässt
- eine Abmeldung, die mit einem Klick funktioniert, samt List-Unsubscribe nach RFC 8058, damit Mailprogramme den Abmelde-Button selbst anzeigen
- Werkzeuge für Auskunft und Löschung, damit du auf eine Anfrage antworten kannst, ohne in der Datenbank zu suchen
Alles darüber hinaus ist Marketing.
Bei Kurato stecken diese vier Dinge in der kostenlosen Fassung: Double-Opt-in, Einwilligungsprotokoll, One-Click-Abmeldung nach RFC 8058 und die DSGVO-Werkzeuge für Auskunft und Löschung. Das Protokoll liegt in der Datenbank deiner eigenen WordPress-Installation und ist exportierbar. Willst du morgen etwas anderes einsetzen, nimmst du den Nachweis mit. Was noch fehlt, gehört hier genauso hin: Sequenzen, ODER-Segmente und Kalender-Sync stehen aus.
Läuft die Anmeldung über ein Formular auf deiner Seite, hat auch Leadlotse Double-Opt-in an Bord, dazu Honeypot, Zeitfalle und Rate-Limit gegen automatische Eintragungen. Das ist der zweite Grund, den Anmeldeweg ernst zu nehmen: Bots tragen fremde Adressen ein, und jede davon wird zu einer Bestätigungsmail an jemanden, der nie etwas wollte. Wie du solche Formulare absicherst, ohne Besucher mit einem Rätsel auszusperren, steht im Beitrag Captcha und Barrierefreiheit. Beide Plugins sind in der Free-Fassung dauerhaft nutzbar, was die Pro-Stufen kosten, steht in der Preisübersicht.
Newsletter mit Nachweis in der eigenen Datenbank
Kurato bringt Double-Opt-in, Einwilligungsprotokoll und One-Click-Abmeldung nach RFC 8058 in der kostenlosen Fassung mit. Versendet wird über den Anbieter, den du selbst wählst.
Häufige Fragen
Schreibt die DSGVO Double-Opt-in vor?
Nein. Der Begriff kommt im Verordnungstext nicht vor. Die DSGVO verlangt in Art. 7, dass der Verantwortliche die Einwilligung nachweisen kann, und in Art. 5 Abs. 2 die Rechenschaftspflicht. Double-Opt-in ist das Verfahren, mit dem dieser Nachweis in der Praxis gelingt.
Reicht ein einfaches Opt-in für den Newsletter?
Verboten ist es nicht ausdrücklich, es fehlt dir aber der Beleg, dass die Person hinter der Adresse selbst zugestimmt hat. In Deutschland verlangt § 7 Abs. 2 UWG vor Werbemails eine vorherige ausdrückliche Einwilligung, und die Nachweislast liegt bei dir. Genau deshalb hat sich der zweite Schritt durchgesetzt. Das ist eine Einordnung und keine Rechtsberatung.
Darf die Bestätigungsmail Werbung enthalten?
Sie sollte ausschließlich die Bestätigung anfordern. Ob die Bestätigungsmail selbst bereits unzulässige Werbung ist, wird unterschiedlich beurteilt: die herrschende Praxis hält sie für zulässig, solange sie nichts weiter enthält. Rabattcodes, Angebote und Produktbilder gehören also nicht hinein.
Wie lange muss ich das Einwilligungsprotokoll aufbewahren?
Solange du dich auf die Einwilligung stützt, brauchst du den Nachweis. Nach einer Abmeldung geht es um den Zeitraum, in dem noch Ansprüche geltend gemacht werden können. Eine feste Frist nennt die DSGVO dafür nicht, das ist ein Punkt für die Beratung im Einzelfall.
Was passiert mit dem Nachweis, wenn ich den Anbieter wechsle?
Das hängt am Export. Viele Dienste geben Adressen und Felder heraus, das vollständige Protokoll mit Zeitpunkten, IP und Wortlaut aber nicht. Frag vor dem Wechsel danach. Bei Kurato liegt das Protokoll in deiner eigenen Datenbank und lässt sich exportieren.
