E Mail Capture und Einwilligung nach DSGVO und TKG

Zwei Gesetze entscheiden, ob du jemandem Werbung mailen darfst, nicht eines

Die meisten glauben, ein Anmeldeformular folgt einer einzigen Regel, und die heißt DSGVO. In Österreich sind es zwei.

Das Telekommunikationsgesetz 2021 (TKG 2021) entscheidet, ob du überhaupt Werbung per E Mail schicken darfst. Nach § 174 Abs. 3 ist die Zusendung elektronischer Post, SMS eingeschlossen, zu Zwecken der Direktwerbung ohne vorherige Einwilligung des Empfängers unzulässig, und das Gesetz spricht dabei schlicht vom Empfänger, egal ob Konsument oder Unternehmen.¹ Die Datenschutz Grundverordnung (DSGVO) entscheidet, was eine Einwilligung ist, wann sie wirksam ist und dass du sie nachweisen musst. Durchgesetzt wird das von mehreren Seiten: Beschwerden über Werbemails prüft die Datenschutzbehörde (DSB), Verstöße gegen das TKG straft das Fernmeldebüro, und nach dem Bundesgesetz gegen den unlauteren Wettbewerb (UWG) können Mitbewerber, Interessenverbände und die Kammern auf Unterlassung klagen.²³⁴

Jedes Formular beantwortet also zwei Fragen. Nach dem TKG: Darf ich dieser Person überhaupt Werbemails schicken? Nach der DSGVO: Wenn ich mich auf ihre Einwilligung stütze, ist sie echt, und kann ich sie beweisen?

Ich bin Ingenieur und baue solche Formulare, kein Anwalt. Was folgt, ist das, was Gesetz, Gerichte, Behörde und Wirtschaftskammer sagen, und wie ich daraus Formulare mache, die funktionieren. Für alles, was über diese Grundlagen hinausgeht, frag einen Anwalt.

Häferl und Blatt ist ein erfundener Onlineteeladen in Graz. Lena führt ihn, der Shop läuft unter haeferlundblatt.example. Niemand davon ist echt, und jede Zahl in diesem Artikel ist ausgedacht, damit ich jeden Schritt zeigen kann.

Auf ihrer Website erscheint ein Popup: "Werde Teil des Clubs und spar 10 % auf deine erste Bestellung", ein Feld für die E Mail Adresse und ein Button. Darunter in kleiner grauer Schrift: "Mit der Anmeldung akzeptierst du unsere AGB und Datenschutzerklärung."

Die Frage nach dem TKG: Eine wöchentliche Mail über neue Tees ist Werbung, und die meisten dieser Besucher haben noch nie etwas gekauft, also braucht Lena ihre Einwilligung. Die Frage nach der DSGVO: Ist ein Klick auf diesen Button eine Einwilligung in Werbemails? Der Text erwähnt weder E Mail noch Werbung und hängt die Anmeldung an die AGB. Das Popup sammelt also Adressen, die Lena nicht anschreiben darf: die ganze Arbeit des Sammelns, nichts vom Nutzen.

Eine wirksame Einwilligung muss fünf Prüfungen bestehen, und alle finden im Formular statt

Die DSGVO definiert die Einwilligung in Art. 4 Nr. 11 als jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, "in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung". Erwägungsgrund 32 sagt dazu ausdrücklich, dass Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung darstellen sollten.⁵

Art. 7 legt die Bedingungen drumherum fest.⁶ Du musst nachweisen können, dass die Person eingewilligt hat. Steht die Bitte in einem längeren Text, muss sie klar davon abgesetzt sein, in klarer und einfacher Sprache. Die Person kann jederzeit widerrufen, muss das vorher erfahren, und der Widerruf muss so einfach sein wie die Erteilung. Und nach Abs. 4, dem Kopplungsverbot, ist eine Einwilligung kaum freiwillig, wenn etwas, das die Person wollte, von einer Einwilligung abhängig gemacht wurde, die dafür nicht nötig ist.

Der Oberste Gerichtshof (OGH) wird konkret. Eine wirksame Einwilligung in Werbung liegt nur vor, wenn die Person weiß, von welchen Unternehmen sie über welche Kommunikationsmittel Werbung zu erwarten hat und welche Produkte dabei beworben werden. Eine "Zustimmung", die in den AGB steckt, hat er dafür schon 2007 nicht gelten lassen.⁷ Die Wirtschaftskammer Österreich (WKO) sagt es Unternehmen genauso: Die Einwilligung muss aktiv erfolgen, etwa durch Ankreuzen, vorangekreuzte Kästchen sind unzulässig, und über die AGB solltest du sie nicht einholen.⁸

Ich mache aus dem Gesetz fünf Prüfungen, jede eine Frage, auf die das Formular mit Ja antworten muss:

Freiwillig: Könnte die Person Nein sagen und trotzdem bekommen, weswegen sie gekommen ist?
Bestimmt: Nennt es dieses Unternehmen, diesen Kanal, diese Art von Nachricht?
Informiert: Weiß sie, wer du bist und dass sie widerrufen kann?
Eindeutig: Hat sie bewusst etwas getan, etwa ein leeres Kästchen angekreuzt?
Nachweisbar: Könntest du zeigen, wer zugestimmt hat, wann, wie und zu welchem Wortlaut?

Ein Kästchen, das schon angekreuzt daherkommt, fällt allein an der vierten Frage durch. Das ist so verbreitet, dass es einen eigenen Artikel über Dark Patterns bekommen hat.

Für die fünfte Frage kommt in Österreich ein Baustein dazu, den die WKO bei Anmeldungen auf Onlineportalen für erforderlich hält: das Double Opt In. Nach der Anmeldung geht eine Mail an die Adresse, und erst nach dem Klick auf den Link darin gilt die Anmeldung als abgeschlossen. Die WKO rät außerdem, jede Einwilligung aus Beweisgründen zu dokumentieren.⁸ Eine Entscheidung des OGH, die das Double Opt In ausdrücklich vorschreibt, habe ich nicht gefunden. Ich baue es trotzdem immer, weil Art. 7 Abs. 1 die Beweislast auf dich legt und erst der Klick zeigt, dass die Einwilligung wirklich vom Inhaber dieser Adresse kommt.⁶ Eine gespeicherte IP Adresse allein zeigt das nicht, und der Wortlaut der Einwilligung muss vollständig nachweisbar sein.

Freiwillig: Das Popup ist für die Mailingliste da, und der Rabatt ist der Grund beizutreten. Es wird also nichts Fremdes als Pfand genommen, solange das Formular klar sagt, dass der Club eine Werbemail ist. Bestimmt: "AGB akzeptieren" sagt nichts über E Mail. Durchgefallen. Informiert: kein Firmenname im Einwilligungstext, nichts über Widerruf. Durchgefallen. Eindeutig: Der Klick ist bewusst, stimmt aber den AGB zu, nicht der Werbung. Durchgefallen. Nachweisbar: Der Shop speichert die Adresse und ein Datum, sonst nichts. Durchgefallen.

Das neue Popup lautet: "10 % Rabatt auf deine erste Bestellung, dazu jede Woche eine Mail von Häferl und Blatt über neue Tees. Abmelden kannst du dich jederzeit mit einem Klick." Ein Feld, ein Button: "Schick mir den Code und die Wochenmail". Der Button sagt jetzt genau, was passiert, also ist der Klick eine eindeutige bestätigende Handlung für eine bestimmte Sache. Danach kommt die Bestätigungsmail mit einem einzigen Link und sonst nichts, und erst nach dem Klick darauf landet die Adresse auf der Liste und der Code im Postfach. Der Shop speichert Wortlaut, Zeitpunkt der Anmeldung und Zeitpunkt der Bestätigung.

Die Ausnahme für Kunden: Wer gekauft hat, darf ohne Häkchen Post bekommen

Das TKG kennt eine einzige Ausnahme von der Einwilligung für Werbemails, die Ausnahme für bestehende Kunden in § 174 Abs. 4. Du darfst ohne Einwilligung mailen, wenn alle vier Bedingungen erfüllt sind: Du hast die Kontaktinformation im Zusammenhang mit dem Verkauf oder einer Dienstleistung an deine Kunden bekommen, du bewirbst eigene ähnliche Produkte oder Dienstleistungen, der Empfänger hatte klar und deutlich die Möglichkeit, diese Nutzung bei der Erhebung und zusätzlich bei jeder Mail kostenfrei und problemlos abzulehnen, und er hat die Zusendung nicht von vornherein abgelehnt, insbesondere nicht durch einen Eintrag in die ECG Liste, die die RTR nach § 7 Abs. 2 E Commerce Gesetz führt.¹

Die Details entscheiden. Die Adresse muss vom Kunden kommen, nicht aus einer Liste und nicht von einer anderen Firma. "Im Zusammenhang mit dem Verkauf" heißt nach meinem Verständnis: Die Person muss tatsächlich Kunde geworden sein. Eine Anfrage, ein angefordertes Angebot oder ein Besuch auf der Website reichen nicht. Anders als in manchen anderen Ländern gibt es keine Ausnahme für Verhandlungen über einen Kauf. Ähnlich heißt, was der Kunde nach seinem Kauf vernünftigerweise erwartet, und Werbung für Produkte anderer Firmen deckt die Ausnahme nie.¹ Strenger als in Deutschland ist zweierlei: Das Ablehnen muss ganz kostenfrei sein, und ein Eintrag in die ECG Liste zählt auch bei deinen Kunden als Nein, also gleichst du die Liste vor dem Versand damit ab.

Ein Punkt ist seit Kurzem in Bewegung: kostenlose Konten und Testzugänge. Der Europäische Gerichtshof hat am 13. November 2025 entschieden (Rechtssache Inteligo Media), dass ein "Verkauf" grundsätzlich ein Entgelt voraussetzt, dass aber ein kostenloses Nutzerkonto darunter fallen kann, wenn es Teil eines kostenpflichtigen Angebots ist, dessen Preis die Kosten des kostenlosen Zugangs mitträgt, und der Nutzer dafür Vertragsbedingungen akzeptiert hat. Ob das im Einzelfall erfüllt ist, sollen die nationalen Gerichte prüfen.⁹ Für österreichische Testzugänge ist das also vertretbar, aber noch nicht gesichert. Ich verlasse mich bei Testkunden deshalb nicht darauf, sondern frage sie, dazu mehr im Abschnitt über das Onboarding.

Die Möglichkeit, bei der Erhebung abzulehnen, ist die Stelle, an der die meisten Shops stolpern. Die DSB hat 2025 genau so einen Fall entschieden: Ein Veranstalter hatte die Mailadresse eines Ticketkäufers für den Ticketversand bekommen und ihm später einen Newsletter für sein nächstes Event geschickt, ohne dass der Käufer die Nutzung bei der Erhebung ablehnen konnte. Die Ausnahme griff deshalb nicht, und der Versand war rechtswidrig. Eine Adresse für die Benachrichtigung mit Werbung zu koppeln, ohne zumindest eine klare und eindeutige Möglichkeit zum Opt Out bei der Erhebung, entspricht nach der DSB nicht dem § 174 Abs. 4.² Die Möglichkeit gehört also genau dorthin, wo du die Adresse aufnimmst, nicht erst in die Bestellbestätigung. Jede spätere Mail braucht dann eine Abmeldung, kostenfrei und problemlos, für die sich niemand einloggen muss.¹

Ich behandle das genau wie im Artikel über Data Warehousing für Marketing Automation: dieselben vier Bedingungen, abgelegt als Spalte mit der Erlaubnis pro Person und geprüft in jeder Abfrage, die eine Versandliste baut.

Die Ausnahme beantwortet die Frage nach dem TKG, und nach dem EuGH klärt sie auch die Rechtsgrundlage. Im selben Urteil zu Inteligo Media hat der Gerichtshof entschieden: Wenn du eine Adresse nach der Ausnahme für Kunden nutzt, sind die Bedingungen für eine rechtmäßige Verarbeitung aus Art. 6 Abs. 1 DSGVO nicht anwendbar, weil die Regel der ePrivacy Richtlinie, die § 174 Abs. 4 TKG umsetzt, diese Nutzung abschließend regelt.⁹ Eine Abwägung nach dem berechtigten Interesse brauchst du dafür also nicht. Die DSB sieht es in ihrem Bescheid von 2025 genauso und prüft die Zulässigkeit von Werbemails ausschließlich nach dem TKG, nicht nach Art. 6 DSGVO.² Die DSGVO gilt aber weiter für die Erhebung der Adresse, für deine Informationspflichten und für das Widerspruchsrecht, und der Kunde muss schon bei der Erhebung und bei jeder Mail ablehnen können.¹⁹ Weil die DSB alle vier Bedingungen zusammen verlangt, solltest du außerdem jede einzelne belegen können, auch dass eine Adresse wirklich die eines Kunden ist.²

Beispiel: die Kassa und der Testzugang

An der Kassa von Häferl und Blatt steht unter dem Feld für die E Mail ein leeres Kästchen in normaler Schriftgröße: "Bitte schickt mir keine Mails über neue Tees und Angebote. Du kannst dich auch in jeder Mail abmelden." Tom, ein erfundener Kunde unter tom@example.com, kauft eine Dose Assam und lässt das Kästchen leer.

Darf Lena Tom nächste Woche über ihren neuen Darjeeling schreiben? Die Adresse kam von Tom, bei einem Kauf. Darjeeling ist ihr eigener Tee, ein ähnliches Produkt. Er hatte beim Erheben der Adresse eine einfache, kostenfreie Möglichkeit abzulehnen, jede Mail enthält eine Abmeldung, und ihr Versand prüft vorher die ECG Liste, auf der Tom nicht steht. Ja. Darf sie ihm gegen Provision die Käsekörberl vom Greißler nebenan anbieten? Nein. Das ist nicht ihr Produkt.¹

Jetzt ein Beispiel aus Software. Schichtwerk ist ein erfundenes Tool für Dienstpläne in Linz. Selin, unter selin@example.com, startet einen 14 Tage langen kostenlosen Test. Nach englischen Regeln dürfte Schichtwerk ihr jetzt schon ohne Einwilligung über eigene Funktionen schreiben, weil das britische Recht auch Verhandlungen über einen Kauf zählen lässt. In Österreich hat Selin bisher nichts gekauft. Ob ihr Testzugang nach dem EuGH Urteil schon als Verkauf zählt, hängt davon ab, wie eng er mit dem bezahlten Tarif verknüpft ist, und das ist ungeklärt.⁹ Schichtwerk fragt sie deshalb. Hätte Selin nur die Preisseite gelesen und wäre gegangen, gäbe es eh nichts, worauf es sich stützen könnte.

Ein Punkt für Software, die an Unternehmen verkauft wird: Anders als in Großbritannien gibt es in Österreich keine Ausnahme für Mails an Firmenadressen. § 174 Abs. 3 spricht vom "Empfänger", egal ob Konsument oder Unternehmen.¹ Und hinter einer Adresse wie name@example.com steht ein Mensch, den die DSGVO schützt.

Was in Österreich gilt, und was es hier nicht gibt

Drei Punkte werden in Österreich oft falsch eingeschätzt.

Erstens gibt es keine Ausnahme für gemeinnützige Organisationen. Großbritannien hat 2026 eine eigene Ausnahme für Wohltätigkeitsorganisationen und ihre Unterstützer eingeführt. Weder das TKG noch die DSGVO kennen so etwas. Der OGH legt "zu Zwecken der Direktwerbung" weit aus: Darunter fällt jede elektronische Post, die für ein bestimmtes Produkt, aber auch für eine bestimmte Idee wirbt oder Argumente dafür liefert, politische Anliegen eingeschlossen.¹⁰ Ein Spendenaufruf wirbt für ein Anliegen. Die Ausnahme in § 174 Abs. 4 setzt einen Verkauf oder eine Dienstleistung an Kunden voraus, und nach dem EuGH ist ein Verkauf ein Vorgang mit Entgelt.¹⁹ Eine Spende, eine Mitgliedschaft oder ein Ehrenamt sind kein Kauf. Ein gemeinnütziger Verein braucht für seinen Spendenaufruf per Mail also dasselbe wie ein Shop: eine Einwilligung.

Zweitens die Folgen. Für Verstöße gegen die Grundsätze der Verarbeitung, die Bedingungen der Einwilligung und die Rechte der betroffenen Personen, also auch gegen Art. 6, 7 und 21, sieht Art. 83 Abs. 5 DSGVO Geldbußen bis zu € 20 Millionen oder bis zu 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.¹¹ Dazu kommt das TKG: Wer entgegen § 174 Abs. 3 elektronische Post zusendet, begeht eine Verwaltungsübertretung, für die eine Geldstrafe bis zu € 50.000 droht.³ Und das UWG: Mitbewerber, Vereinigungen von Unternehmern, die Wirtschaftskammer, die Arbeiterkammer und die Bundeswettbewerbsbehörde können auf Unterlassung klagen.⁴ Für unerbetene Werbeanrufe hat der OGH ausdrücklich gesagt, dass sie gegen § 1 UWG verstoßen und die nach § 14 UWG Berechtigten klagen können.¹² Für Werbemails ohne Grundlage gilt nach allgemeiner Auslegung dasselbe. Eine Klage kommt also nicht nur von der Behörde, sie kann auch vom Konkurrenten kommen.

Drittens ein Punkt, der leicht missverstanden wird. Das Urteil zu Inteligo Media heißt nicht "für Werbemails keine Einwilligung nötig". Es schaltet die Bedingungen aus Art. 6 DSGVO nur dort ab, wo die Ausnahme für Kunden ohnehin greift. Für alle anderen entscheidet weiter das TKG, ob du die Mail schicken darfst, und bei Menschen, die keine Kunden sind, heißt das weiter: Einwilligung.¹⁹

Beispiel: eine Igelhilfe in Wien

Die Igelhilfe Donauauen ist ein erfundener gemeinnütziger Verein in Wien und plant einen Spendenaufruf im Frühjahr. Sam, unter sam@example.com, hat sich im März 2026 über die Website des Vereins als Helfer gemeldet. Ein Kauf ist das nicht. Der Verein braucht Sams Einwilligung, und das Anmeldeformular für Ehrenamtliche ist der richtige Ort, um mit einem eigenen leeren Kästchen danach zu fragen.

Jo, unter jo@example.com, hat beim Kaffee im Vereinscafé eine Adresse für die Rechnung angegeben. Selbst wenn man das als Verkauf zählt, deckt die Ausnahme nur eigene ähnliche Produkte, also Kaffee und Kuchen, nicht den Spendenaufruf. Der Verein braucht Jos Einwilligung.

Alex hat im Dezember 2025 gespendet. Eine Spende ist kein Kauf, also gibt es auch hier keine Ausnahme. Der Verein braucht Alex' Einwilligung, und die holt er nicht per Mail ein, sondern beim nächsten Kontakt, den Alex selbst anstößt.

Und eine Mail mit Werbung für das Gartencenter, das den Verein sponsert? Für niemanden ohne Einwilligung, denn für fremde Werbung gilt keine Ausnahme.¹

Der kostenlose Ratgeber darf keine Werbeeinwilligung kosten

Das häufigste Muster der Leadgenerierung, das ich sehe, ist der Ratgeber hinter der Mailadresse: Gib deine E Mail ein, um ihn herunterzuladen, und damit abonnierst du den Newsletter. Es fühlt sich wie ein fairer Tausch an. Das Gesetz sieht es anders.

Art. 7 Abs. 4 fragt, ob etwas, das die Person wollte, von einer Einwilligung abhängig gemacht wurde, die dafür nicht nötig ist.⁶ Der OGH ist hier streng: Wird eine Einwilligung in eine Verarbeitung, die mit dem Vertrag nichts zu tun hat, an den Vertragsabschluss gekoppelt, geht er grundsätzlich davon aus, dass sie nicht freiwillig erteilt wurde, außer besondere Umstände sprechen im Einzelfall dafür. Eine Einwilligung, die ohne besonderen Hinweis zwischen anderen Inhalten steht, ist zudem nicht transparent.¹³ Die WKO nennt das schlicht Kopplungsverbot.⁸ Um jemandem ein PDF zu schicken, braucht es keine Einwilligung in einen wöchentlichen Newsletter. Die Ausnahme für Kunden rettet das auch nicht, denn ein Download ist kein Kauf.¹

Mit den besonderen Umständen im Einzelfall lässt der OGH eine Tür einen Spalt offen. Ich baue ein Formular trotzdem nicht auf eine Ausnahme, wenn die Regel so klar die strengere ist.

Zwei saubere Wege, das zu bauen. Schick den Ratgeber per Mail, wofür du die Adresse brauchst, mit einem eigenen leeren Kästchen für den Newsletter. Oder, was ich oft lieber mag, lass die Leute ganz ohne Adresse herunterladen und lade sie auf der letzten Seite zum Newsletter ein. Weniger Adressen, jede von einem Menschen, der darum gebeten hat.

Beispiel: Lenas Ratgeber zur Teezubereitung

Häferl und Blatt bietet "Der Grazer Ratgeber für losen Tee" als PDF an. Das alte Formular sagte: "Gib deine E Mail ein und erhalte den Ratgeber. Damit abonnierst du auch unseren Newsletter." In einem Monat haben 1.200 Menschen ihn heruntergeladen.

Keine dieser 1.200 Newsletter Einwilligungen ist freiwillig, weil der Ratgeber von ihr abhing, und ein Download macht niemanden zum Kunden. Lena darf also keiner dieser Personen Werbung schicken. Sie darf jeder den Ratgeber schicken, und das ist alles.

Das neue Formular: ein Feld für die Adresse, ein Button "Schick mir den Ratgeber per Mail" und daneben ein leeres Kästchen: "Schickt mir auch die wöchentliche Mail von Häferl und Blatt über neue Tees. Abmelden jederzeit möglich." Gleicher Monat, gleiche 1.200 Downloads, und 456 Menschen kreuzen das Kästchen an und bestätigen danach den Link in der Bestätigungsmail. Diese 456 sind eine Liste, die sie nutzen kann.

Eine Liste mit Einwilligung ist kleiner und mehr wert

Der übliche Einwand ist der Rückgang bei den Anmeldungen. Der ist echt. Entscheidend ist aber die nutzbare Liste, und was sie einbringt.

Der Anteil der Menschen, die Ja sagen, ist eine Quote wie jede andere:

r = \frac{C}{N}

Dabei ist $r$ die Einwilligungsquote, $C$ die Zahl der Menschen, die das Kästchen angekreuzt und bestätigt haben, und $N$ die Zahl der Menschen, die das Formular gesehen und abgeschickt haben. Aussagekräftig ist das nur, wenn du $C$ und $N$ jeden Monat gleich zählst, und genau darum geht es in Grundlagen: Verhältnisse und Quoten.

Um einen Abonnenten zu bewerten, nehme ich den Erwartungswert: die Wahrscheinlichkeit, dass jemand in einem Monat bestellt, mal die Marge, die eine Bestellung bringt.

E = p \times m

Dabei ist $E$ die erwartete Marge in Euro pro Abonnent und Monat, $p$ die Wahrscheinlichkeit, dass ein Abonnent nach den Mails in einem Monat bestellt, und $m$ die Marge in Euro einer durchschnittlichen Bestellung. Das ist der einfachste Fall der Formel für den Erwartungswert, mit einem Ergebnis, das etwas bringt, und einem, das nichts bringt. Von Grund auf erklärt in Grundlagen: Erwartungswert.

Rechenbeispiel: was die 456 wert sind

Aus Lenas neuem Formular:

r = \frac{456}{1{.}200} = 0{,}38

Dabei ist $456$ gleich $C$ , die Menschen, die angekreuzt und bestätigt haben, und $1{.}200$ gleich $N$ , alle, die den Ratgeber heruntergeladen haben. Also haben 38 % von ihnen auch um die Mail gebeten. Beim alten Formular lag die gesammelte Zahl bei 1.200, die nutzbare aber bei null, also lautet der Vergleich, der zählt, 456 gegen 0. Die Quote rechnest du wie in Grundlagen: Verhältnisse und Quoten.

Jetzt der Wert. In Lenas (erfundenen) Zahlen bestellen 4 % der Abonnenten in einem Monat, und eine durchschnittliche Bestellung bringt ihr € 14 Marge nach Tee, Verpackung und Versand.

E = 0{,}04 \times 14 = 0{,}56

Dabei ist $0{,}04$ gleich $p$ und $14$ gleich $m$ in Euro, also ist $E$ gleich € 0,56 pro Abonnent und Monat, gerechnet wie in Grundlagen: Erwartungswert. Über alle 456 sind das $456 \times 0{,}56 = 255{,}36$ , rund € 255 im Monat aus den Downloads eines einzigen Monats, von Menschen, die von ihr hören wollen.

Unten stehen die zwei Formulare mit je zwei Balken: gesammelte Adressen und Adressen, die rechtmäßig Werbemails bekommen dürfen. An der Seite steht die Zahl der Adressen. Die Erkenntnis: Das gekoppelte Formular schaut nach der größeren Liste aus und ist in Wahrheit eine leere, 1.200 Adressen, die du speichern und schützen musst und nie nutzen darfst.

Nach meiner Erfahrung bekommt eine so aufgebaute Liste auch weniger Spambeschwerden, weil niemand darauf überrascht ist. Wenn du zwei Formulierungen des Kästchens sauber vergleichen willst, ist das ein A/B Test mit genug Menschen in jeder Gruppe, und der Artikel über Stichprobengröße, Lift und Testdesign zeigt, wie viele du brauchst, bevor der Unterschied etwas bedeutet.

Die Bitte um Einwilligung per Mail ist selbst schon Werbung

Wenn sich zeigt, dass eine Liste nicht sauber ist, liegt der Reflex nahe, allen zu schreiben und um Bestätigung zu bitten. Lass es, wenn du ihnen gar nicht schreiben durftest.

Wie weit österreichische Gerichte den Begriff der Direktwerbung ziehen, zeigt eine Entscheidung des OGH vom 30. September 2009 (7 Ob 168/09w). Ein Sachverständiger hatte per Mail über seine an sich zulässige Neueintragung in die Sachverständigenliste informiert und dabei auf die Möglichkeit hingewiesen, Befund und Gutachten bei ihm zu bestellen. Der OGH sah darin Direktwerbung: Schon die Anregung, bestimmte Leistungen in Anspruch zu nehmen, reicht, und die Gestaltung als Newsletter oder Informationsmail ändert daran nichts.¹⁰ Eine Informationsmail wird also zur Werbung, sobald du etwas Werbliches hineinpackst. Eine eigene österreichische Entscheidung zu Bitten um eine Bewertung oder zu Zufriedenheitsumfragen habe ich nicht gefunden. Nach dieser weiten Auslegung behandle ich sie aber genauso als Werbung, und das ist meine allgemeine Lesart, kein Urteil. Für mich folgt daraus: Eine Mail, deren einziger Zweck ist, dir künftige Werbung zu erlauben, ist erst recht Werbung.

Die Bestätigungsmail im Double Opt In ist etwas anderes, weil die Person sie gerade selbst angestoßen hat. Auch sie darf nach der WKO keine Werbung enthalten.⁸ Ich halte sie deshalb frei von allem Werblichen: ein Satz, ein Link, kein Rabattbanner.

Der saubere Weg zur Erlaubnis führt also über Momente, die die Person selbst beginnt: den nächsten Kauf, den nächsten Login, mit einer klaren Frage an der Kassa oder im Kundenkonto.

Lenas altes Popup hat in zwei Jahren mit dem Wortlaut aus dem ersten Beispiel 3.000 Adressen gesammelt. Davon haben 1.100 inzwischen etwas gekauft.

Die 1.900, die nie gekauft haben: keine wirksame Einwilligung, keine Ausnahme für Kunden. Lena schreibt ihnen nicht, nicht einmal, um zu fragen, und löscht die Adressen nach ihrem normalen Löschkonzept.

Die 1.100, die gekauft haben: Ihre Kassa hat nie die Möglichkeit zum Ablehnen angeboten, also war die Ausnahme nicht eingerichtet, und ein späterer Hinweis kommt zu spät, denn das Gesetz verlangt die Möglichkeit schon bei der Erhebung.¹ Auch keine Kampagne "Bitte bestätige". Ab jetzt tragen Kassa und Kundenkonto die Möglichkeit zum Ablehnen und den neuen Einwilligungstext, und wenn jemand von den 1.100 wieder kauft, wird der Status ab diesem Moment korrekt festgehalten. Langsamer als eine Massenmail, und es endet nicht mit einer Klage.

Nachweis ist ein Protokoll, kein Gefühl

Art. 7 Abs. 1 legt die Beweislast auf dich.⁶ Die WKO rät, jede Einwilligung aus Beweisgründen zu dokumentieren.⁸ Ich halte dafür die konkrete Erklärung jeder einzelnen Person fest, mit ihrem Wortlaut, gespeichert und jederzeit ausdruckbar, und behalte den Nachweis auch nach einem Widerruf, solange die Behörde oder die Person danach fragen könnte. Für die Ausnahme für Kunden musst du belegen können, dass alle vier Bedingungen erfüllt waren, auch dass eine Adresse wirklich von einem Kunden stammt.² Dazu kommt eine Sperrliste für Abmeldungen und Widersprüche, die du vor jedem Versand prüfst, und bei Kunden ohne Einwilligung der Abgleich mit der ECG Liste.¹

In den Shops, die ich baue, ist das eine kleine Tabelle, die das Formular schreibt und die niemand von Hand bearbeitet. Eine Zeile schaut so aus:

{
  "email": "ben@example.com",
  "basis": "consent",
  "channel": "email",
  "purpose": "weekly_new_teas",
  "wording_version": "popup_v3_2026_03_02",
  "source": "guide_form",
  "page": "https://haeferlundblatt.example/ratgeber/zubereitung",
  "given_at": "2026-03-14T09:12:44+01:00",
  "confirmed_at": "2026-03-14T09:14:02+01:00",
  "withdrawn_at": null
}

Die Version des Wortlauts zeigt auf eine gespeicherte Kopie genau des Textes, den die Person gesehen hat. Ohne sie sagt das Protokoll, dass jemand zugestimmt hat, aber nicht, wozu. confirmed_at ist der Klick in der Bestätigungsmail, also der Double Opt In.

Einwilligungen, die lange ungenutzt sind, erneuere ich vorsorglich. Ich markiere ältere Einwilligungen ohne Reaktion, und diese Menschen bekommen beim nächsten Besuch im Kundenkonto eine klare Frage.

Beispiel: die Beschwerde, die nach einer Minute erledigt ist

Ben, der Inhaber der Zeile oben, schreibt Lena: "Ich habe mich nie für eure Mails angemeldet." Sie findet seine Zeile: Einwilligung, über das Ratgeberformular, 14. März 2026 um 9:12 Uhr, bestätigt um 9:14 Uhr, Wortlaut popup_v3_2026_03_02, den sie öffnet: "Schickt mir auch die wöchentliche Mail von Häferl und Blatt über neue Tees. Abmelden jederzeit möglich." Sie antwortet mit Datum, Seite und Wortlaut, entschuldigt sich und meldet ihn sofort ab. Das Protokoll ist nicht dafür da, Streit mit Kunden zu gewinnen. Es zeigt der Datenschutzbehörde, falls sie je fragt, dass die Einwilligung echt war.

Gehen muss so leicht sein wie Kommen

Art. 7 Abs. 3 sagt, dass der Widerruf so einfach sein muss wie die Erteilung der Einwilligung.⁶ Die WKO sagt für jede elektronische Direktwerbung: Empfänger müssen sich kostenfrei und problemlos abmelden können.⁸ Für die Ausnahme für Kunden verlangt das TKG genau das bei jeder einzelnen Mail.¹ Für mich heißt das: ein Klick, keine Pflichtfrage nach dem Grund, und ein Nein, das als Antwort auf eine Mail kommt, zählt genauso.

Daneben gibt Art. 21 Abs. 2 und 3 jedem das Recht, der Verarbeitung für Direktwerbung jederzeit zu widersprechen, und danach dürfen die Daten für diese Zwecke nicht mehr verarbeitet werden. Gründe musst du keine prüfen, das Recht gilt ohne Abwägung.¹⁴ Es gilt auch für Kunden, denen du nach der Ausnahme schreibst. Ein Widerspruch beendet die Ausnahme für diesen Kunden endgültig, bis er später aktiv einwilligt, und das steht auch im TKG: Der Kunde darf die Zusendung nicht abgelehnt haben und muss sie bei jeder Mail ablehnen können.¹

In der Praxis heißt das drei Dinge. Der Abmeldelink funktioniert mit einem Klick. Er schreibt in dieselbe Einwilligungstabelle, sodass withdrawn_at gefüllt wird. Und jede Versandliste wird von einer Abfrage gebaut, die alle auf der Sperrliste ausschließt, damit eine Abmeldung in einem Tool nicht durch einen Import in ein anderes rückgängig gemacht wird.

Beispiel: eine Abmeldung, drei Tools

Jule, unter jule@example.com, klickt an einem Dienstagabend auf Abmelden. Das Mailtool markiert sie als abgemeldet, und ein Webhook schreibt die Uhrzeit in ihre Einwilligungszeile und setzt sie auf die Sperrliste. Am Mittwoch lädt Lena die jüngsten Kunden in ihre Werbeplattform, und am Freitag importiert sie die Teilnehmer des Gewinnspiels vom letzten Jahr ins Mailtool. Beide Listen bauen Abfragen, die die Sperrliste auslassen, also ist Jule in keiner. Ohne diese Prüfung hätte der Import am Freitag sie still wieder angemeldet. Zielgruppen an andere Plattformen zu schicken, wirft eigene Fragen zu den Firmen auf, mit denen du Daten teilst. Die behandle ich in wie Auftragsverarbeiter dich zu Strafen führen können.

Das Onboarding ist der beste Moment zu fragen, und gut zu fragen

Wer gerade gekauft oder einen Test begonnen hat, ist aufmerksam und will etwas von dir. Das ist der Moment, zu fragen, worüber jemand hören will, statt es anzunehmen.

Ich baue das als einen kurzen Schritt für Vorlieben. Zwei oder drei Themen, jedes mit einer klaren Beschreibung und einer ehrlichen Häufigkeit, jedes nicht angekreuzt. Ein Kanal pro Kästchen, weil die Person nach dem OGH wissen muss, über welche Kommunikationsmittel sie Werbung bekommt, und dein Nachweis gerade für den Kanal gelten muss, über den du wirbst.⁷⁶ Und eine Einstellungsseite, die das später mit denselben Worten ändert. Die Texte auf diesem Schritt richtig hinzubekommen, ist einen Nachmittag wert, denn "etwa zweimal im Monat" ist ein Versprechen, an dem man dich messen kann.

Als Selin sich zum ersten Mal in ihren Schichtwerk Test einloggt, fragt ein Bildschirm, worüber sie hören möchte, mit zwei leeren Kästchen: "Tipps, wie du Dienstpläne schneller baust, etwa zweimal im Monat" und "Neue Funktionen, ungefähr monatlich". Eine dritte Zeile, "Schick mir eine SMS, wenn ein Schichttausch meine Freigabe braucht", ist eine Servicenachricht und als Teil des Produkts gekennzeichnet, nicht als Werbung.

In Österreich ist diese Frage für Selin nicht nur Kür. Solange ungeklärt ist, ob ihr Test schon als Verkauf zählt, ist ihr Häkchen die Grundlage, auf die Schichtwerk sich sicher stützen kann. Ihre Adresse hat sie beim Anlegen des Kontos schon über einen Link bestätigt, und genau dieser Klick wird mit ihrem Häkchen verknüpft. Sie kreuzt nur die Tipps an. Ab dann bekommt sie die Tipps und sonst nichts, und ihre Wahl landet in der Einwilligungstabelle, mit der Version des Wortlauts auf dem Bildschirm, den sie gesehen hat. Passt.

Kurz gesagt: Bau das Formular so, dass die richtige Antwort die leichte ist

Hier ist die ganze Entscheidung, so wie ich sie prüfe, bevor eine E Mail Adresse auf eine Werbeliste kommt.

Lies es von oben. Jede Raute ist eine Frage, deren Antwort dich stoppt oder weiterschickt. Die Reihenfolge zählt: Die Sperrliste kommt zuerst, weil ein Widerspruch jede andere Grundlage schlägt. Die Erkenntnis: Es gibt in Österreich nur zwei Türen auf eine Werbeliste, die Einwilligung und die Ausnahme für Kunden, und eine dritte gibt es für niemanden, auch nicht für gemeinnützige Vereine.

Nichts davon verlangt weniger Ehrgeiz, nur weniger Adressen, die du nicht nutzen darfst. Ein klares Kästchen, ein protokollierter Wortlaut mit Bestätigung, eine Möglichkeit zum Ablehnen an der Kassa und eine Sperrliste, die bei jedem Versand geprüft wird, sind in ein paar Tagen gebaut und tun dann jeden Tag still das Richtige. So gewonnenes Vertrauen zahlt sich später oft aus, und darum geht es in DSGVO als strategischer Vorteil.