Die Grundregel: erst fragen, dann schicken
Ein typischer Fall: Ein Betrieb hat über die Jahre ein paar hundert E-Mail-Adressen von Kunden gesammelt, aus Rechnungen, Anfragen und Visitenkarten. Jetzt soll ein Newsletter raus, mit Neuigkeiten und einem Herbstangebot. Klingt harmlos, oder?
Ist es nicht ganz. Das Telekommunikationsgesetz 2021 sagt in § 174 Abs. 3 klar: Elektronische Post zu Zwecken der Direktwerbung ist ohne vorherige Einwilligung des Empfängers unzulässig. SMS sind ausdrücklich mitgemeint. Ein Newsletter, der Ihre Leistungen bewirbt, ist Direktwerbung.
Dazu kommt die DSGVO. Die regelt, wie die Einwilligung aussehen muss, wie Sie sie nachweisen und wie man sie zurückzieht. Das TKG sagt also, dass Sie fragen müssen, die DSGVO sagt, wie.
Die Ausnahme für Bestandskunden
Es gibt eine Ausnahme, und auf die berufen sich viele zu schnell. Nach § 174 Abs. 4 TKG 2021 brauchen Sie keine vorherige Einwilligung, wenn alle vier Bedingungen erfüllt sind:
Sie haben die Kontaktdaten im Zusammenhang mit einem Verkauf oder einer Dienstleistung an diesen Kunden bekommen.
Die Nachricht wirbt für eigene, ähnliche Produkte oder Dienstleistungen.
Der Kunde konnte die Nutzung seiner Adresse schon bei der Erhebung und kann sie bei jeder Nachricht kostenfrei und problemlos ablehnen.
Der Kunde hat die Zusendung nicht von vornherein abgelehnt, insbesondere nicht durch einen Eintrag in die Liste nach § 7 Abs. 2 E-Commerce-Gesetz.
Für den Betrieb aus dem Beispiel heißt das: Die Adressen aus Rechnungen könnten unter die Ausnahme fallen, wenn beim Auftrag auf die Möglichkeit zum Widerspruch hingewiesen wurde. Die Adressen aus bloßen Anfragen und von Visitenkarten nicht, denn da gab es keinen Verkauf. Und der Hinweis beim Auftrag fehlt in der Praxis fast immer. Dann bleibt nur, um Einwilligung zu fragen.
Ein Detail, das gern übersehen wird: Die Liste nach § 7 Abs. 2 ECG führt die RTR. Dort können sich Menschen und Unternehmen kostenlos eintragen, die keine Werbung per E-Mail wollen. Wer sich auf die Ausnahme stützt, muss diese Liste beachten.
Die Anmeldung: was ins Formular gehört
Wenn Sie neue Leser über die Website gewinnen wollen, gilt die Einwilligung. Die DSGVO stellt dafür ein paar Anforderungen, die sich gut umsetzen lassen:
Eigene Handlung: Laut Erwägungsgrund 32 der DSGVO sind Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung. Das Kästchen muss also leer sein.
Freiwillig: Die Einwilligung darf nicht an etwas gekoppelt sein, das nichts damit zu tun hat (Art. 7 Abs. 4 DSGVO). Wer ein Angebot anfragt, muss nicht nebenbei den Newsletter abonnieren.
Nur das Nötige: Für einen Newsletter reicht die E-Mail-Adresse. Alles Weitere, etwa der Vorname, sollte freiwillig sein (Datenminimierung, Art. 5 DSGVO).
Klar sagen, worum es geht: Was kommt, wie oft ungefähr, und dass man sich jederzeit abmelden kann. Den Rest regelt Ihre Datenschutzerklärung.
Nachweisbar: Nach Art. 7 Abs. 1 DSGVO müssen Sie nachweisen können, dass jemand eingewilligt hat.
Beim Nachweis kommt das Double-Opt-in ins Spiel: Nach der Anmeldung geht eine E-Mail mit einem Bestätigungslink raus, erst nach dem Klick ist die Adresse auf der Liste. Ein bestimmtes Verfahren schreibt das Gesetz nicht vor. Aber so sehen Sie, dass die Anmeldung wirklich vom Inhaber der Adresse kam, und nicht von jemandem, der eine fremde Adresse eingetippt hat. Die Bestätigungs-E-Mail selbst sollte keine Werbung enthalten, denn in dem Moment ist die Einwilligung ja noch gar nicht bestätigt.
Wie Formulare allgemein datenschutzfreundlich werden, steht im Artikel Kontaktformular und DSGVO. Dort geht es auch darum, warum eine Anfrage noch keine Newsletter-Anmeldung ist.
Was erlaubt ist und was nicht
| Situation | Newsletter erlaubt? | Grundlage |
|---|---|---|
| Anmeldung über die Website mit leerem Kästchen | Ja | Einwilligung, § 174 Abs. 3 TKG, Art. 7 DSGVO |
| Kunde mit Auftrag, Hinweis auf Widerspruch beim Auftrag | Ja, für ähnliche eigene Leistungen | § 174 Abs. 4 TKG, alle vier Bedingungen |
| Adresse aus einer Anfrage ohne Auftrag | Nein | kein Verkauf, also keine Ausnahme |
| Visitenkarte von einer Messe | Nein | keine Einwilligung |
| Gekaufte Adressliste | Nein | keine Einwilligung der Empfänger |
| Kunde, der in der ECG-Liste steht | Nein, ohne Einwilligung | § 174 Abs. 4 Z 4 TKG, § 7 Abs. 2 ECG |
Was in jeder Aussendung stehen muss
Auch mit sauberer Einwilligung gibt es Regeln für den Newsletter selbst. Nach § 174 Abs. 5 TKG 2021 ist Direktwerbung per E-Mail in jedem Fall unzulässig, wenn die Identität des Absenders verschleiert wird, wenn die Vorgaben von § 6 Abs. 1 ECG verletzt werden oder wenn es keine echte Adresse gibt, an die man die Abmeldung schicken kann.
§ 6 Abs. 1 ECG verlangt unter anderem, dass die Werbung als solche erkennbar ist, dass man sieht, in wessen Auftrag sie kommt, und dass Gewinnspiele und Zugaben samt Bedingungen leicht zu finden sind. Praktisch heißt das:
Ihr Firmenname als Absender, nicht „Info“ oder ein Vorname ohne Firma.
Ein Betreff, der sagt, was drin ist.
Ein funktionierender Abmeldelink in jeder Ausgabe, der ohne Login und ohne Begründung auskommt.
Bei Gewinnspielen oder Rabatten: die Bedingungen verlinkt.
Wer sich abmeldet, kommt sofort von der Liste. Nach Art. 21 Abs. 3 DSGVO dürfen die Daten nach einem Widerspruch gegen Direktwerbung nicht mehr für diesen Zweck verarbeitet werden. Die Adresse ein halbes Jahr später „aus Versehen“ wieder anzuschreiben, ist genau der Fall, der Ärger macht.
Das Werkzeug für den Versand
Kaum ein Betrieb verschickt Newsletter aus dem eigenen Postfach, und das ist auch gut so. Ein Newsletter-Dienst verwaltet An- und Abmeldungen, speichert den Nachweis und kümmert sich um den Versand.
Dieser Dienst verarbeitet die Adressen Ihrer Kunden in Ihrem Auftrag. Er ist damit Auftragsverarbeiter nach Art. 28 DSGVO, und Sie brauchen mit ihm einen entsprechenden Vertrag. Bei den meisten Anbietern lässt er sich im Konto abschließen. Der Dienst gehört außerdem in Ihre Datenschutzerklärung.
Ein Wort noch zu Öffnungs- und Klickstatistiken: Viele Dienste messen, wer den Newsletter öffnet und worauf geklickt wird. Ob und wie Sie das einsetzen, gehört in die Datenschutzerklärung und, je nach Ausgestaltung, in die Einwilligung. Das klären Sie am besten gleich beim Einrichten.
„Ich schick eh nur zweimal im Jahr was“
Das höre ich oft, und ich versteh die Überlegung. Aber das Gesetz fragt nicht, wie oft. Auch eine einzige Werbe-E-Mail an eine Adresse ohne Einwilligung kann eine Verwaltungsübertretung sein.
Die gute Nachricht: Sauber aufgesetzt ist das in einem Nachmittag. Ein Anmeldeformular mit leerem Kästchen, Double-Opt-in im Newsletter-Dienst, ein Abmeldelink in der Vorlage, ein Absatz in der Datenschutzerklärung. Danach läuft es von selbst, und jede Adresse auf Ihrer Liste gehört jemandem, der Ihre Post wirklich lesen will. Das merkt man übrigens auch an den Antworten.
Ob Ihre Website rechtlich und technisch sauber dasteht, Impressum, Cookie-Banner und Formulare inklusive, zeigt der kostenlose Website-Check.
Quellen
- Rechtsinformationssystem des Bundes: Telekommunikationsgesetz 2021, § 174 und § 188, abgerufen am 13. Oktober 2026
- Rechtsinformationssystem des Bundes: E-Commerce-Gesetz, § 6 und § 7, abgerufen am 13. Oktober 2026
- Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, Erwägungsgrund 32, Art. 5, 7, 21 und 28, abgerufen am 13. Oktober 2026