Was passiert eigentlich, wenn ein Abonnent später behauptet, er habe sich nie für deinen Newsletter angemeldet? Diese Frage klingt nach einem Nischenproblem für Konzerne mit eigener Rechtsabteilung, aber als freiberufliche Texterin hat sie mich beim Newsletter-Marketing genauso hart getroffen wie jede andere Solopreneurin, die gerade ihre erste Website DSGVO-konform aufstellt. Ein Formular, ein Button, fertig – so harmlos klang das für mich anfangs, bis mir klar wurde, wie viel Arbeit zwischen 'harmlos' und 'rechtssicher' liegt. Zum ersten Mal richtig beschäftigt hat mich diese Frage, als ich mit dem Laptop in der Stadtbibliothek Leipzig am Wilhelm-Leuschner-Platz saß, eigentlich nur auf der Suche nach einem ruhigen Tisch, und zwischen zwei Kapiteln über Double-Opt-In gestolpert bin.
Was ist Double-Opt-In eigentlich – und wozu ist es gut?
Double-Opt-In bedeutet im Kern: Jemand trägt seine E-Mail-Adresse in dein Formular ein, bekommt sofort eine automatische Mail mit einem Bestätigungslink, und erst nach dem Klick auf diesen Link landet die Adresse wirklich in deiner Newsletter-Liste. Ohne diesen zweiten Schritt hättest du am Ende nur eine unbestätigte Behauptung, dass sich jemand angemeldet hat – und genau da wird es heikel. Wer ohne belastbaren Nachweis Werbemails verschickt, bewegt sich in einem Bereich, den du dir am besten einmal im Art. 83 Abs. 5 DSGVO Bußgeldrahmen anschaust, auch wenn die konkrete Höhe im Einzelfall stark schwankt und für eine einzelne Texterin ein anderes Kaliber hat als für einen Konzern. Bevor ich mich mit dem Newsletter-Formular beschäftigt hatte, hatte ich mir ohnehin schon die Frage gestellt: Hilfe, brauche ich das wirklich? – dieselbe Vorsicht habe ich beim Newsletter direkt weiterverwendet.
Reicht nicht auch ein einfaches Anmeldeformular?
Genau das hat mich Birgit Tönnis gefragt, eine Webdesignerin, die ich vom Leipziger Freelancer-Stammtisch kenne und die bei solchen Dingen meistens schneller unterschreibt, als sie das Kleingedruckte liest. Ihr Argument: Ein einfaches Formular ohne Bestätigungsmail ist schneller gebaut, und die Abbruchrate sinkt, weil niemand eine zweite Mail öffnen muss. Technisch stimmt das sogar, Single-Opt-In lässt sich in wenigen Minuten einrichten. Rechtlich ist es aber das Formular-Äquivalent eines Handschlags ohne Zeugen: Du kannst behaupten, dass jemand zugestimmt hat, aber im Streitfall kannst du es nicht belegen. Genau an diesem Unterschied zwischen 'schnell eingerichtet' und 'im Ernstfall beweisbar' bin ich bei Birgits Vorschlag hängengeblieben.
Der eigentliche Nachweis macht deinen Newsletter DSGVO-konform
Ein Detail hat mich am Anfang komplett überrumpelt: Das Wort 'Double-Opt-In' taucht im DSGVO-Text selbst gar nicht auf. Trotzdem gilt es in Deutschland faktisch als Pflicht, weil es die einzige Methode ist, mit der du die Einwilligung nach Art. 7 DSGVO im Streitfall lückenlos belegen kannst, mit Zeitstempel, IP-Adresse und dem genauen Wortlaut, dem zugestimmt wurde. Kein Paragraf verlangt von dir also wörtlich 'du brauchst Double-Opt-In', aber ohne diesen Nachweis stehst du im Zweifel ziemlich allein da. Wie lange du diese Nachweise vorhalten solltest, hängt mit der zivilrechtlichen Aufbewahrungsfrist für Einwilligungserklärungen zusammen, ein Thema, in das ich mich hier bewusst nicht tiefer reingegraben habe, weil es für sich genommen schon kompliziert genug ist.
Was gehört in die Bestätigungsmail – und was ich fast falsch gemacht hätte
In die Bestätigungsmail selbst gehört mehr als nur der Link. Mindestangaben zu dir als Absenderin, im Grunde dieselben Pflichtangaben wie im Impressum, müssen schon in dieser ersten Mail auftauchen und nicht erst irgendwo versteckt auf der Website. Am Anfang hatte ich versucht, mir das Leben leichter zu machen, und eine Impressum-Vorlage aus einem Reddit-Thread einfach kopiert und in meine Mail-Signatur eingefügt. Das ging schief, weil die Vorlage Platzhalter enthielt, die ich beim schnellen Einfügen übersehen hatte, sodass meine echten Angaben zu Namen und Kontaktadresse teilweise fehlten. Seitdem tippe ich diese Angaben lieber einmal komplett selbst durch, statt irgendeine fremde Vorlage zu übernehmen, so mühsam sich das auch anfühlt.
Ludmila wollte wissen, was passiert, wenn niemand den Bestätigungslink klickt
Ludmila Stanek, die ihren Etsy-Shop nebenberuflich betreibt und mir über das Kontaktformular eine sehr kurze, sehr direkte Nachricht geschrieben hat, wollte genau das wissen, ohne Umschweife: Was mache ich mit einer Adresse, die sich zwar eingetragen, aber nie bestätigt hat? Die Antwort ist unspektakulär: gar nichts. Eine unbestätigte Adresse darf nicht angeschrieben werden und sollte nach einer gewissen Zeit automatisch aus dem System verschwinden, statt als stille Karteileiche im Verteiler liegen zu bleiben. Weil ich meinen Newsletter über ein externes Tool verschicke und nicht über einen eigenen Mailserver, kam für mich außerdem dazu, dass ich mit diesem Anbieter einen Auftragsverarbeitungsvertrag abschließen musste, ein eigenes Thema, das ich hier nur am Rand erwähne.
Was daneben noch wichtig wurde
Neben dem eigentlichen Double-Opt-In-Prozess sind noch ein paar Baustellen aufgetaucht, die zwar zum Gesamtbild gehören, aber jede für sich ein eigenes Kapitel verdienen. Meine Datenschutzerklärung musste ich ergänzen, weil dort jetzt auch stehen muss, dass und wie ich einen Newsletter verschicke. Mit Cookie-Bannern hat der Newsletter-Versand an sich erstmal nichts zu tun, das bleibt ein komplett eigenes Fass. Die ganz grundsätzlichen DSGVO-Basics für eine neue Website hatte ich mir ohnehin schon vorher angeeignet, bevor der Newsletter überhaupt zum Thema wurde. Sobald zusätzlich noch Drittanbieter-Inhalte wie eingebettete Videos dazukommen, tauchen nochmal andere Fragen auf, die mit dem Newsletter selbst wenig zu tun haben.
Ein Prinzip hat sich bei mir seitdem durchgesetzt, das eigentlich mit dem Newsletter gar nichts zu tun hat: regelmäßig selbst in den Quelltext schauen, statt Plugins und Tools blind zu vertrauen, so wie an dem Tag, als ich nach einem Update aus Neugier den Seitenquelltext meiner eigenen Website öffnete und feststellte, dass der Google-Fonts-Link, den ich vorher extra kontrolliert hatte, auf einmal spurlos verschwunden war. Wie ich es am Ende geschafft habe, Google Fonts lokal einzubinden, ist eine andere Geschichte, aber dieselbe Lehre gilt für den Newsletter genauso.
Wenn du gerade selbst vor deinem ersten Newsletter-Formular sitzt, wäre mein wichtigster Rat kein Gesetzestext, sondern eine einfache Prüfgewohnheit: Schau dir nicht nur an, ob die Anmeldung technisch funktioniert, sondern ob du im Zweifel Zeitstempel, IP-Adresse und den genauen Text zeigen kannst, dem zugestimmt wurde – wenn das fehlt, ist der schönste Bestätigungslink wertlos. Diese eine Gewohnheit hat mir mehr Sicherheit gegeben als jede einzelne Checkliste für sich. Meine AGB waren danach der nächste Punkt auf der Liste, aber warum ich als Texterin eigene AGB gebraucht habe, erzähle ich an anderer Stelle.
Keine der Informationen auf dieser Website stellt eine medizinische, rechtliche oder finanzielle Beratung dar. Alle Inhalte basieren auf persönlicher Erfahrung. Wenden Sie sich an einen qualifizierten Fachmann für eine auf Ihre Situation zugeschnittene Beratung.