Einwilligung mit Plan: E Mail Capture, Lead Forms und Onboarding unter DSGVO und UWG

Zwei Gesetze entscheiden, ob du jemandem Werbung mailen darfst, nicht eines

Die meisten denken, ein Anmeldeformular folgt einer einzigen Regel, und die heißt DSGVO. In Deutschland sind es zwei.

Das Gesetz gegen den unlauteren Wettbewerb (UWG) entscheidet, ob du überhaupt Werbung per E Mail schicken darfst. Nach § 7 Abs. 2 Nr. 2 ist Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung des Empfängers immer eine unzumutbare Belästigung, und das gilt für Verbraucher genauso wie für Unternehmen.¹ Die Datenschutz Grundverordnung (DSGVO) entscheidet, was eine Einwilligung ist, wann sie wirksam ist und dass du sie nachweisen musst. Durchgesetzt wird das von zwei Seiten: Die DSGVO überwachen die Datenschutzbehörden der Länder, und Verstöße gegen das UWG können Mitbewerber, Wirtschaftsverbände und Verbraucherzentralen per Unterlassung angreifen.²

Jedes Formular beantwortet also zwei Fragen. Nach dem UWG: Darf ich dieser Person überhaupt Werbemails schicken? Nach der DSGVO: Wenn ich mich auf ihre Einwilligung stütze, ist sie echt, und kann ich sie beweisen?

Ich bin Ingenieur und baue solche Formulare, kein Anwalt. Was folgt, ist das, was Gesetz, Gerichte und Aufsichtsbehörden sagen, und wie ich daraus Formulare mache, die funktionieren. Für alles, was über diese Grundlagen hinausgeht, frag einen Anwalt.

Beispiel: ein Popup, zwei Fragen

Kessel und Blatt ist ein erfundener Onlineteeladen in Köln. Lena führt ihn, der Shop läuft unter kesselundblatt.example. Niemand davon ist echt, und jede Zahl in diesem Artikel ist ausgedacht, damit ich jeden Schritt zeigen kann.

Auf ihrer Website erscheint ein Popup: "Werde Teil des Clubs und spar 10 % auf deine erste Bestellung", ein Feld für die E Mail Adresse und ein Button. Darunter in kleiner grauer Schrift: "Mit der Anmeldung akzeptierst du unsere AGB und Datenschutzerklärung."

Die Frage nach dem UWG: Eine wöchentliche Mail über neue Tees ist Werbung, und die meisten dieser Besucher haben noch nie etwas gekauft, also braucht Lena ihre Einwilligung. Die Frage nach der DSGVO: Ist ein Klick auf diesen Button eine Einwilligung in Werbemails? Der Text erwähnt weder E Mail noch Werbung und hängt die Anmeldung an die AGB. Das Popup sammelt also Adressen, die Lena nicht anschreiben darf: die ganze Arbeit des Sammelns, nichts vom Nutzen.

Eine wirksame Einwilligung muss fünf Prüfungen bestehen, und alle finden im Formular statt

Die DSGVO definiert die Einwilligung in Art. 4 Nr. 11 als jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, "in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung". Erwägungsgrund 32 sagt dazu ausdrücklich, dass Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung darstellen sollten.³

Art. 7 legt die Bedingungen drumherum fest.⁴ Du musst nachweisen können, dass die Person eingewilligt hat. Steht die Bitte in einem längeren Text, muss sie klar davon abgesetzt sein, in klarer und einfacher Sprache. Die Person kann jederzeit widerrufen, muss das vorher erfahren, und der Widerruf muss so einfach sein wie die Erteilung. Und nach Abs. 4, dem Kopplungsverbot, ist eine Einwilligung kaum freiwillig, wenn etwas, das die Person wollte, von einer Einwilligung abhängig gemacht wurde, die dafür nicht nötig ist.

Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzbehörden, wird in ihrer Orientierungshilfe zur Direktwerbung konkret. Die Person muss wissen, welche Art Werbung kommt (Brief, E Mail, SMS, Telefon), für welche Produkte und von welchem Unternehmen. Die Einwilligung braucht einen eigenen Text ohne anderen Inhalt, und Zwecke dürfen nicht gebündelt werden.⁵

Ich mache aus dem Gesetz fünf Prüfungen, jede eine Frage, auf die das Formular mit Ja antworten muss:

1. Freiwillig: Könnte die Person Nein sagen und trotzdem bekommen, weswegen sie gekommen ist?
2. Bestimmt: Nennt es dieses Unternehmen, diesen Kanal, diese Art von Nachricht?
3. Informiert: Weiß sie, wer du bist und dass sie widerrufen kann?
4. Eindeutig: Hat sie bewusst etwas getan, etwa ein leeres Kästchen angekreuzt?
5. Nachweisbar: Könntest du zeigen, wer zugestimmt hat, wann, wie und zu welchem Wortlaut?

Ein Kästchen, das schon angekreuzt ankommt, fällt allein an der vierten Frage durch. Das ist so verbreitet, dass es einen eigenen Artikel über Dark Patterns bekommen hat.

Für die fünfte Frage kommt in Deutschland ein Baustein dazu, den die Aufsichtsbehörden für elektronische Einwilligungen für geboten halten: das Double Opt In. Nach der Anmeldung geht eine Mail an die Adresse, und erst der Klick auf den Link darin bestätigt, dass die Einwilligung wirklich vom Inhaber dieser Adresse kommt. Die DSK stützt sich dabei auf die Anforderungen des Bundesgerichtshofs an den Nachweis aus dem Urteil vom 10. Februar 2011 (I ZR 164/09). Eine gespeicherte IP Adresse allein beweist nichts, und der Wortlaut der Einwilligung muss vollständig nachweisbar sein.⁶⁷

Beispiel: Lenas Popup neu gebaut

Freiwillig: Das Popup ist für die Mailingliste da, und der Rabatt ist der Grund beizutreten. Es wird also nichts Fremdes als Pfand genommen, solange das Formular klar sagt, dass der Club eine Werbemail ist. Bestimmt: "AGB akzeptieren" sagt nichts über E Mail. Durchgefallen. Informiert: kein Firmenname im Einwilligungstext, nichts über Widerruf. Durchgefallen. Eindeutig: Der Klick ist bewusst, stimmt aber den AGB zu, nicht der Werbung. Durchgefallen. Nachweisbar: Der Shop speichert die Adresse und ein Datum, sonst nichts. Durchgefallen.

Das neue Popup lautet: "10 % Rabatt auf deine erste Bestellung, dazu jede Woche eine Mail von Kessel und Blatt über neue Tees. Abmelden kannst du dich jederzeit mit einem Klick." Ein Feld, ein Button: "Schick mir den Code und die Wochenmail". Der Button sagt jetzt genau, was passiert, also ist der Klick eine eindeutige bestätigende Handlung für eine bestimmte Sache. Danach kommt die Bestätigungsmail mit einem einzigen Link und sonst nichts, und erst nach dem Klick darauf landet die Adresse auf der Liste und der Code im Postfach. Der Shop speichert Wortlaut, Zeitpunkt der Anmeldung und Zeitpunkt der Bestätigung.

Die Bestandskundenausnahme: Wer gekauft hat, darf ohne Häkchen Post bekommen

Das UWG kennt eine einzige Ausnahme von der Einwilligung für Werbemails, die Bestandskundenausnahme in § 7 Abs. 3. Du darfst ohne Einwilligung mailen, wenn alle vier Bedingungen erfüllt sind: Du hast die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden selbst bekommen, du bewirbst eigene ähnliche Waren oder Dienstleistungen, der Kunde hat nicht widersprochen, und du hast ihn bei der Erhebung der Adresse und bei jeder Mail klar und deutlich darauf hingewiesen, dass er jederzeit widersprechen kann, ohne dass ihm dafür mehr als die üblichen Übermittlungskosten entstehen.¹

Die Details entscheiden. Die Adresse muss vom Kunden kommen, nicht aus einer Liste und nicht von einer anderen Firma. "Im Zusammenhang mit dem Verkauf" heißt in Deutschland: Es muss tatsächlich etwas verkauft worden sein. Eine Anfrage, ein angefordertes Angebot oder ein Besuch auf der Website reichen nicht. Anders als in manchen anderen Ländern gibt es keine Ausnahme für Verhandlungen über einen Kauf. Ähnlich heißt, was der Kunde nach seinem Kauf vernünftigerweise erwartet, und Werbung für Produkte anderer Firmen deckt die Ausnahme nie.¹⁸

Ein Punkt ist seit Kurzem in Bewegung: kostenlose Konten und Testzugänge. Der Europäische Gerichtshof hat am 13. November 2025 entschieden (Rechtssache Inteligo Media), dass ein "Verkauf" grundsätzlich ein Entgelt voraussetzt, dass aber ein kostenloses Nutzerkonto darunter fallen kann, wenn es Teil eines kostenpflichtigen Angebots ist, dessen Preis die Kosten des kostenlosen Zugangs mitträgt, und der Nutzer dafür Vertragsbedingungen akzeptiert hat. Ob das im Einzelfall erfüllt ist, sollen die nationalen Gerichte prüfen.⁹ Für deutsche Testzugänge ist das also vertretbar, aber noch nicht gesichert. Ich verlasse mich bei Testkunden deshalb nicht darauf, sondern frage sie, dazu mehr im Abschnitt über das Onboarding.

Der Hinweis auf den Widerspruch bei der Erhebung ist die Stelle, an der die meisten Shops stolpern. Die DSK sagt, ein Hinweis, der in langen AGB versteckt ist, ist kein Hinweis, und empfiehlt, den Widerspruch gleich an Ort und Stelle zu ermöglichen, etwa mit einem Kästchen.¹⁰ Er gehört also genau dorthin, wo du die Adresse aufnimmst, nicht erst in die Bestellbestätigung, denn das Gesetz verlangt ihn "bei Erhebung".¹ Jede spätere Mail braucht dann eine Abmeldung, für die sich niemand einloggen muss.

Ich behandle das genau wie im Artikel über Data Warehousing für Marketing Automation: dieselben vier Bedingungen, abgelegt als Spalte mit der Erlaubnis pro Person und geprüft in jeder Abfrage, die eine Versandliste baut.

Die Ausnahme beantwortet die Frage nach dem UWG, und nach dem EuGH klärt sie auch die Rechtsgrundlage. Im selben Urteil zu Inteligo Media hat der Gerichtshof entschieden: Wenn du eine Adresse nach der Bestandskundenausnahme nutzt, sind die Bedingungen für eine rechtmäßige Verarbeitung aus Art. 6 Abs. 1 DSGVO nicht anwendbar, weil die Regel der ePrivacy Richtlinie, die § 7 Abs. 3 umsetzt, diese Nutzung abschließend regelt.⁹ Eine Abwägung nach dem berechtigten Interesse brauchst du dafür also nicht. Die DSGVO gilt aber weiter für die Erhebung der Adresse, für deine Informationspflichten und für das Widerspruchsrecht, und der Kunde muss schon bei der Erhebung und bei jeder Mail klar und deutlich widersprechen können.¹⁹ Außerdem musst du nachweisen können, dass eine Adresse wirklich die eines Bestandskunden ist.⁸

Beispiel: die Kasse und der Testzugang

An der Kasse von Kessel und Blatt steht unter dem Feld für die E Mail ein leeres Kästchen in normaler Schriftgröße: "Bitte schickt mir keine Mails über neue Tees und Angebote. Du kannst dich auch in jeder Mail abmelden." Tom, ein erfundener Kunde unter tom@example.com, kauft eine Dose Assam und lässt das Kästchen leer.

Darf Lena Tom nächste Woche über ihren neuen Darjeeling schreiben? Die Adresse kam von Tom, bei einem Kauf. Darjeeling ist ihr eigener Tee, ein ähnliches Produkt. Er hatte beim Erheben der Adresse eine einfache Möglichkeit zu widersprechen, und jede Mail enthält eine Abmeldung. Ja. Darf sie ihm gegen Provision die Käsekörbe vom Feinkostladen nebenan anbieten? Nein. Das ist nicht ihr Produkt.¹

Jetzt ein Beispiel aus Software. Schichtwerk ist ein erfundenes Tool für Dienstpläne in Hamburg. Selin, unter selin@example.com, startet einen 14 Tage langen kostenlosen Test. Nach englischen Regeln dürfte Schichtwerk ihr jetzt schon ohne Einwilligung über eigene Funktionen schreiben, weil das britische Recht auch Verhandlungen über einen Kauf zählen lässt. In Deutschland hat Selin bisher nichts gekauft. Ob ihr Testzugang nach dem EuGH Urteil schon als Verkauf zählt, hängt davon ab, wie eng er mit dem bezahlten Tarif verknüpft ist, und das ist ungeklärt.⁹ Schichtwerk fragt sie deshalb. Hätte Selin nur die Preisseite gelesen und wäre gegangen, gäbe es ohnehin nichts, worauf es sich stützen könnte.

Ein Punkt für Software, die an Unternehmen verkauft wird: Anders als in Großbritannien gibt es in Deutschland keine Ausnahme für Mails an Firmenadressen. § 7 Abs. 2 Nr. 2 spricht vom "Adressaten", egal ob Verbraucher oder Unternehmen.¹ Und hinter einer Adresse wie name@example.com steht ein Mensch, den die DSGVO schützt.

Was in Deutschland gilt, und was es hier nicht gibt

Drei Punkte werden in Deutschland oft falsch eingeschätzt.

Erstens gibt es keine Ausnahme für gemeinnützige Organisationen. Großbritannien hat 2026 eine eigene Bestandskundenregel für Wohltätigkeitsorganisationen eingeführt. Weder das UWG noch die DSGVO kennen so etwas. Die DSK zählt ausdrücklich auch die Ansprache durch Vereine, Verbände sowie karitative und soziale Organisationen zur Werbung, wenn sie ihre Ziele bekannt machen oder fördern wollen.¹¹ Die Ausnahme in § 7 Abs. 3 setzt einen Verkauf voraus, und nach dem EuGH ist ein Verkauf ein Vorgang mit Entgelt.¹⁹ Eine Spende, eine Mitgliedschaft oder ein Ehrenamt sind kein Kauf. Ein gemeinnütziger Verein braucht für seinen Spendenaufruf per Mail also dasselbe wie ein Shop: eine Einwilligung.

Zweitens die Folgen. Für Verstöße gegen die Grundsätze der Verarbeitung, die Bedingungen der Einwilligung und die Rechte der betroffenen Personen, also auch gegen Art. 6, 7 und 21, sieht Art. 83 Abs. 5 DSGVO Geldbußen bis zu 20 Millionen € oder bis zu 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.¹² Dazu kommt das UWG: Wer Werbemails ohne Grundlage schickt, kann von Mitbewerbern, eingetragenen Wirtschaftsverbänden, Verbraucherzentralen und Kammern auf Unterlassung in Anspruch genommen werden.² Eine Abmahnung kommt nicht nur von der Behörde, sie kann auch vom Konkurrenten kommen.

Drittens ein Punkt, der leicht missverstanden wird. Das Urteil zu Inteligo Media heißt nicht "für Werbemails keine Einwilligung nötig". Es schaltet die Bedingungen aus Art. 6 DSGVO nur dort ab, wo die Bestandskundenausnahme ohnehin greift. Für alle anderen entscheidet weiter das UWG, ob du die Mail schicken darfst, und bei Menschen, die keine Kunden sind, heißt das weiter: Einwilligung.¹⁹

Beispiel: eine Igelhilfe in Leipzig

Die Igelhilfe Auenwald e.V. ist ein erfundener gemeinnütziger Verein in Leipzig und plant einen Spendenaufruf im Frühjahr. Sam, unter sam@example.com, hat sich im März 2026 über die Website des Vereins als Helfer gemeldet. Ein Kauf ist das nicht. Der Verein braucht Sams Einwilligung, und das Anmeldeformular für Ehrenamtliche ist der richtige Ort, um mit einem eigenen leeren Kästchen danach zu fragen.

Jo, unter jo@example.com, hat beim Kaffee im Vereinscafé eine Adresse für die Quittung angegeben. Selbst wenn man das als Verkauf zählt, deckt die Ausnahme nur eigene ähnliche Waren, also Kaffee und Kuchen, nicht den Spendenaufruf. Der Verein braucht Jos Einwilligung.

Alex hat im Dezember 2025 gespendet. Eine Spende ist kein Kauf, also gibt es auch hier keine Ausnahme. Der Verein braucht Alex' Einwilligung, und die holt er nicht per Mail ein, sondern beim nächsten Kontakt, den Alex selbst anstößt.

Und eine Mail mit Werbung für das Gartencenter, das den Verein sponsert? Für niemanden ohne Einwilligung, denn für fremde Werbung gilt keine Ausnahme.¹

Der kostenlose Ratgeber darf keine Werbeeinwilligung kosten

Das häufigste Muster der Leadgenerierung, das ich sehe, ist der Ratgeber hinter der Mailadresse: Gib deine E Mail ein, um ihn herunterzuladen, und damit abonnierst du den Newsletter. Es fühlt sich wie ein fairer Tausch an. Das Gesetz sieht es anders.

Art. 7 Abs. 4 fragt, ob etwas, das die Person wollte, von einer Einwilligung abhängig gemacht wurde, die dafür nicht nötig ist.⁴ Die DSK nennt das Koppelungsverbot. Rechtlich ist es kein echtes Verbot, aber bei so eingeholten Einwilligungen fehlt es regelmäßig an der Freiwilligkeit, sodass sie unwirksam sind.⁵ Um jemandem ein PDF zu schicken, braucht es keine Einwilligung in einen wöchentlichen Newsletter. Die Bestandskundenausnahme rettet das auch nicht, denn ein Download ist kein Kauf.¹

Ganz einheitlich sehen das deutsche Gerichte nicht. Das Oberlandesgericht Frankfurt hat 2019 die Kopplung einer Werbeeinwilligung an die Teilnahme an einem Gewinnspiel unter engen Bedingungen gebilligt.¹³ Ich baue ein Formular trotzdem nicht auf die günstigste Meinung, wenn die Aufsichtsbehörden die strengere vertreten.

Zwei saubere Wege, das zu bauen. Schick den Ratgeber per Mail, wofür du die Adresse brauchst, mit einem eigenen leeren Kästchen für den Newsletter. Oder, was ich oft lieber mag, lass die Leute ganz ohne Adresse herunterladen und lade sie auf der letzten Seite zum Newsletter ein. Weniger Adressen, jede von einem Menschen, der darum gebeten hat.

Beispiel: Lenas Ratgeber zur Teezubereitung

Kessel und Blatt bietet "Der Kölner Ratgeber für losen Tee" als PDF an. Das alte Formular sagte: "Gib deine E Mail ein und erhalte den Ratgeber. Damit abonnierst du auch unseren Newsletter." In einem Monat haben 1.200 Menschen ihn heruntergeladen.

Keine dieser 1.200 Newsletter Einwilligungen ist freiwillig, weil der Ratgeber von ihr abhing, und ein Download macht niemanden zum Kunden. Lena darf also keiner dieser Personen Werbung schicken. Sie darf jeder den Ratgeber schicken, und das ist alles.

Das neue Formular: ein Feld für die Adresse, ein Button "Schick mir den Ratgeber per Mail" und daneben ein leeres Kästchen: "Schickt mir auch die wöchentliche Mail von Kessel und Blatt über neue Tees. Abmelden jederzeit möglich." Gleicher Monat, gleiche 1.200 Downloads, und 456 Menschen kreuzen das Kästchen an und bestätigen danach den Link in der Bestätigungsmail. Diese 456 sind eine Liste, die sie nutzen kann.

Eine Liste mit Einwilligung ist kleiner und mehr wert

Der übliche Einwand ist der Rückgang bei den Anmeldungen. Der ist echt. Entscheidend ist aber die nutzbare Liste, und was sie einbringt.

Der Anteil der Menschen, die Ja sagen, ist eine Quote wie jede andere:

$$r = \frac{C}{N}$$

Dabei ist $r$ die Einwilligungsquote, $C$ die Zahl der Menschen, die das Kästchen angekreuzt und bestätigt haben, und $N$ die Zahl der Menschen, die das Formular gesehen und abgeschickt haben. Aussagekräftig ist das nur, wenn du $C$ und $N$ jeden Monat gleich zählst, und genau darum geht es in Grundlagen: Verhältnisse und Quoten.

Um einen Abonnenten zu bewerten, nehme ich den Erwartungswert: die Wahrscheinlichkeit, dass jemand in einem Monat bestellt, mal die Marge, die eine Bestellung bringt.

$$E = p \times m$$

Dabei ist $E$ die erwartete Marge in Euro pro Abonnent und Monat, $p$ die Wahrscheinlichkeit, dass ein Abonnent nach den Mails in einem Monat bestellt, und $m$ die Marge in Euro einer durchschnittlichen Bestellung. Das ist der einfachste Fall der Formel für den Erwartungswert, mit einem Ergebnis, das etwas bringt, und einem, das nichts bringt. Von Grund auf erklärt in Grundlagen: Erwartungswert.

Rechenbeispiel: was die 456 wert sind

Aus Lenas neuem Formular:

$$r = \frac{456}{1{.}200} = 0{,}38$$

Dabei ist $456$ gleich $C$, die Menschen, die angekreuzt und bestätigt haben, und $1{.}200$ gleich $N$, alle, die den Ratgeber heruntergeladen haben. Also haben 38 % von ihnen auch um die Mail gebeten. Beim alten Formular lag die gesammelte Zahl bei 1.200, die nutzbare aber bei null, also lautet der Vergleich, der zählt, 456 gegen 0. Die Quote rechnest du wie in Grundlagen: Verhältnisse und Quoten.

Jetzt der Wert. In Lenas (erfundenen) Zahlen bestellen 4 % der Abonnenten in einem Monat, und eine durchschnittliche Bestellung bringt ihr 14 € Marge nach Tee, Verpackung und Versand.

$$E = 0{,}04 \times 14 = 0{,}56$$

Dabei ist $0{,}04$ gleich $p$ und $14$ gleich $m$ in Euro, also ist $E$ gleich 0,56 € pro Abonnent und Monat, gerechnet wie in Grundlagen: Erwartungswert. Über alle 456 sind das $456 \times 0{,}56 = 255{,}36$, rund 255 € im Monat aus den Downloads eines einzigen Monats, von Menschen, die von ihr hören wollen.

Unten stehen die zwei Formulare mit je zwei Balken: gesammelte Adressen und Adressen, die rechtmäßig Werbemails bekommen dürfen. An der Seite steht die Zahl der Adressen. Die Erkenntnis: Das gekoppelte Formular sieht nach der größeren Liste aus und ist in Wahrheit eine leere, 1.200 Adressen, die du speichern und schützen musst und nie nutzen darfst.

Nach meiner Erfahrung bekommt eine so aufgebaute Liste auch weniger Spambeschwerden, weil niemand darauf überrascht ist. Wenn du zwei Formulierungen des Kästchens sauber vergleichen willst, ist das ein A/B Test mit genug Menschen in jeder Gruppe, und der Artikel über Stichprobengröße, Lift und Testdesign zeigt, wie viele du brauchst, bevor der Unterschied etwas bedeutet.

Die Bitte um Einwilligung per Mail ist selbst schon Werbung

Wenn sich zeigt, dass eine Liste nicht sauber ist, liegt der Reflex nahe, allen zu schreiben und um Bestätigung zu bitten. Lass es, wenn du ihnen gar nicht schreiben durftest.

Wie weit deutsche Gerichte den Begriff der Werbung ziehen, zeigt ein Urteil des Bundesgerichtshofs vom 10. Juli 2018 (VI ZR 225/17). Ein Händler hatte mit der Rechnung per Mail um eine Bewertung gebeten. Der BGH sah darin Werbung, obwohl die Mail zugleich eine Rechnung enthielt, und ohne Einwilligung oder den Hinweis nach § 7 Abs. 3 war sie unzulässig.¹⁴ Die DSK zählt Zufriedenheitsnachfragen nach einem Kauf sowie Geburtstags und Weihnachtsmails ausdrücklich zur Werbung.¹¹ Eine Servicemail wird also zur Werbung, sobald du etwas Werbliches hineinpackst. Für mich folgt daraus: Eine Mail, deren einziger Zweck ist, dir künftige Werbung zu erlauben, ist erst recht Werbung.

Die Bestätigungsmail im Double Opt In ist etwas anderes, weil die Person sie gerade selbst angestoßen hat. Ich halte sie trotzdem frei von allem Werblichen: ein Satz, ein Link, kein Rabattbanner.

Der saubere Weg zur Erlaubnis führt also über Momente, die die Person selbst beginnt: den nächsten Kauf, den nächsten Login, mit einer klaren Frage an der Kasse oder im Kundenkonto.

Beispiel: die alte Popup Liste aufräumen

Lenas altes Popup hat in zwei Jahren mit dem Wortlaut aus dem ersten Beispiel 3.000 Adressen gesammelt. Davon haben 1.100 inzwischen etwas gekauft.

Die 1.900, die nie gekauft haben: keine wirksame Einwilligung, keine Bestandskundenausnahme. Lena schreibt ihnen nicht, nicht einmal, um zu fragen, und löscht die Adressen nach ihrem normalen Löschkonzept.

Die 1.100, die gekauft haben: Ihre Kasse hat nie auf den Widerspruch hingewiesen, also war die Ausnahme nicht eingerichtet, und ein späterer Hinweis kommt zu spät, denn das Gesetz verlangt ihn bei der Erhebung.¹ Auch keine Kampagne "Bitte bestätige". Ab jetzt tragen Kasse und Kundenkonto den Hinweis auf den Widerspruch und den neuen Einwilligungstext, und wenn jemand von den 1.100 wieder kauft, wird der Status ab diesem Moment korrekt festgehalten. Langsamer als eine Massenmail, und es endet nicht mit einer Abmahnung.

Nachweis ist ein Protokoll, kein Gefühl

Art. 7 Abs. 1 legt die Beweislast auf dich.⁴ Die DSK verlangt, dass die konkrete Einverständniserklärung jeder einzelnen Person vollständig dokumentiert ist, auch ihr Wortlaut, gespeichert und jederzeit ausdruckbar. Den Nachweis musst du auch nach einem Widerruf noch führen können, gegenüber der Behörde und gegenüber der Person, mindestens für die üblichen Verjährungsfristen von drei Jahren.⁶ Für die Bestandskundenausnahme musst du belegen können, dass eine Adresse wirklich von einem Kunden stammt.⁸ Dazu kommt eine Sperrliste für Werbewidersprüche, die du vor jedem Versand prüfst.¹⁰

In den Shops, die ich baue, ist das eine kleine Tabelle, die das Formular schreibt und die niemand von Hand bearbeitet. Eine Zeile sieht so aus:

{
  "email": "ben@example.com",
  "basis": "consent",
  "channel": "email",
  "purpose": "weekly_new_teas",
  "wording_version": "popup_v3_2026_03_02",
  "source": "guide_form",
  "page": "https://kesselundblatt.example/ratgeber/zubereitung",
  "given_at": "2026-03-14T09:12:44+01:00",
  "confirmed_at": "2026-03-14T09:14:02+01:00",
  "withdrawn_at": null
}

Die Version des Wortlauts zeigt auf eine gespeicherte Kopie genau des Textes, den die Person gesehen hat. Ohne sie sagt das Protokoll, dass jemand zugestimmt hat, aber nicht, wozu. confirmed_at ist der Klick in der Bestätigungsmail, also der Double Opt In.

Die DSK empfiehlt außerdem, Einwilligungen, die länger als zwei Jahre ungenutzt sind, vorsorglich zu erneuern.⁶ Ich markiere ältere Einwilligungen ohne Reaktion, und diese Menschen bekommen beim nächsten Besuch im Kundenkonto eine klare Frage.

Beispiel: die Beschwerde, die nach einer Minute erledigt ist

Ben, der Inhaber der Zeile oben, schreibt Lena: "Ich habe mich nie für eure Mails angemeldet." Sie findet seine Zeile: Einwilligung, über das Ratgeberformular, 14. März 2026 um 9:12 Uhr, bestätigt um 9:14 Uhr, Wortlaut popup_v3_2026_03_02, den sie öffnet: "Schickt mir auch die wöchentliche Mail von Kessel und Blatt über neue Tees. Abmelden jederzeit möglich." Sie antwortet mit Datum, Seite und Wortlaut, entschuldigt sich und meldet ihn sofort ab. Das Protokoll ist nicht dafür da, Streit mit Kunden zu gewinnen. Es zeigt der Datenschutzbehörde, falls sie je fragt, dass die Einwilligung echt war.

Gehen muss so leicht sein wie Kommen

Art. 7 Abs. 3 sagt, dass der Widerruf so einfach sein muss wie die Erteilung der Einwilligung.⁴ Die DSK empfiehlt, dass die Abmeldung von Werbemails möglichst mit einem Klick funktioniert, ohne zusätzliche Hürden, und dass Fragen nach dem Grund nie Pflicht sein dürfen. Ein Widerspruch kann außerdem auf jedem anderen Weg kommen, etwa als Antwort auf eine Mail.¹⁰ Für die Bestandskundenausnahme braucht jede Mail den Hinweis, dass der Kunde jederzeit kostenlos widersprechen kann.¹

Daneben gibt Art. 21 Abs. 2 und 3 jedem das Recht, der Verarbeitung für Direktwerbung jederzeit zu widersprechen, und danach dürfen die Daten für diese Zwecke nicht mehr verarbeitet werden. Gründe musst du keine prüfen, das Recht gilt ohne Abwägung.¹⁵ Es gilt auch für Kunden, denen du nach der Bestandskundenausnahme schreibst. Ein Widerspruch beendet die Ausnahme für diesen Kunden endgültig, bis er später aktiv einwilligt, und das steht auch im UWG: Der Kunde darf "der Verwendung nicht widersprochen" haben.¹

In der Praxis heißt das drei Dinge. Der Abmeldelink funktioniert mit einem Klick. Er schreibt in dieselbe Einwilligungstabelle, sodass withdrawn_at gefüllt wird. Und jede Versandliste wird von einer Abfrage gebaut, die alle auf der Sperrliste ausschließt, damit eine Abmeldung in einem Tool nicht durch einen Import in ein anderes rückgängig gemacht wird.

Beispiel: eine Abmeldung, drei Tools

Jule, unter jule@example.com, klickt an einem Dienstagabend auf Abmelden. Das Mailtool markiert sie als abgemeldet, und ein Webhook schreibt die Uhrzeit in ihre Einwilligungszeile und setzt sie auf die Sperrliste. Am Mittwoch lädt Lena die jüngsten Kunden in ihre Werbeplattform, und am Freitag importiert sie die Teilnehmer des Gewinnspiels vom letzten Jahr ins Mailtool. Beide Listen bauen Abfragen, die die Sperrliste auslassen, also ist Jule in keiner. Ohne diese Prüfung hätte der Import am Freitag sie still wieder angemeldet. Zielgruppen an andere Plattformen zu schicken, wirft eigene Fragen zu den Firmen auf, mit denen du Daten teilst. Die behandle ich in wie Auftragsverarbeiter dich zu Strafen führen können.

Das Onboarding ist der beste Moment zu fragen, und gut zu fragen

Wer gerade gekauft oder einen Test begonnen hat, ist aufmerksam und will etwas von dir. Das ist der Moment, zu fragen, worüber jemand hören will, statt es anzunehmen.

Ich baue das als einen kurzen Schritt für Vorlieben. Zwei oder drei Themen, jedes mit einer klaren Beschreibung und einer ehrlichen Häufigkeit, jedes nicht angekreuzt. Ein Kanal pro Kästchen, weil die Einwilligung die Art der Werbung nennen muss und der Nachweis gerade für den Kanal gelten muss, über den du wirbst.⁵⁶ Und eine Einstellungsseite, die das später mit denselben Worten ändert. Die Texte auf diesem Schritt richtig hinzubekommen, ist einen Nachmittag wert, denn "etwa zweimal im Monat" ist ein Versprechen, an dem man dich messen kann.

Beispiel: Selins erster Login

Als Selin sich zum ersten Mal in ihren Schichtwerk Test einloggt, fragt ein Bildschirm, worüber sie hören möchte, mit zwei leeren Kästchen: "Tipps, wie du Dienstpläne schneller baust, etwa zweimal im Monat" und "Neue Funktionen, ungefähr monatlich". Eine dritte Zeile, "Schick mir eine SMS, wenn ein Schichttausch meine Freigabe braucht", ist eine Servicenachricht und als Teil des Produkts gekennzeichnet, nicht als Werbung.

In Deutschland ist diese Frage für Selin nicht nur Kür. Solange ungeklärt ist, ob ihr Test schon als Verkauf zählt, ist ihr Häkchen die Grundlage, auf die Schichtwerk sich sicher stützen kann. Ihre Adresse hat sie beim Anlegen des Kontos schon über einen Link bestätigt, und genau dieser Klick wird mit ihrem Häkchen verknüpft. Sie kreuzt nur die Tipps an. Ab dann bekommt sie die Tipps und sonst nichts, und ihre Wahl landet in der Einwilligungstabelle, mit der Version des Wortlauts auf dem Bildschirm, den sie gesehen hat.

Kurz gesagt: Bau das Formular so, dass die richtige Antwort die leichte ist

Hier ist die ganze Entscheidung, so wie ich sie prüfe, bevor eine E Mail Adresse auf eine Werbeliste kommt.

Lies es von oben. Jede Raute ist eine Frage, deren Antwort dich stoppt oder weiterschickt. Die Reihenfolge zählt: Die Sperrliste kommt zuerst, weil ein Widerspruch jede andere Grundlage schlägt. Die Erkenntnis: Es gibt in Deutschland nur zwei Türen auf eine Werbeliste, die Einwilligung und die Bestandskundenausnahme, und eine dritte gibt es für niemanden, auch nicht für gemeinnützige Vereine.

Nichts davon verlangt weniger Ehrgeiz, nur weniger Adressen, die du nicht nutzen darfst. Ein klares Kästchen, ein protokollierter Wortlaut mit Bestätigung, ein Hinweis auf den Widerspruch an der Kasse und eine Sperrliste, die bei jedem Versand geprüft wird, sind in ein paar Tagen gebaut und tun dann jeden Tag still das Richtige. So gewonnenes Vertrauen zahlt sich später oft aus, und darum geht es in DSGVO als strategischer Vorteil.

Footnotes

1. Bundesministerium der Justiz, Gesetz gegen den unlauteren Wettbewerb (UWG), § 7 Unzumutbare Belästigungen, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/uwg_2004/__7.html

2. Bundesministerium der Justiz, Gesetz gegen den unlauteren Wettbewerb (UWG), § 8 Beseitigung und Unterlassung, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/uwg_2004/__8.html

3. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 4 Nr. 11 und Erwägungsgrund 32, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

4. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 7 Bedingungen für die Einwilligung, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

5. Datenschutzkonferenz (DSK), Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, Abschnitte 3.1 und 3.4, 2022, https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf

6. Datenschutzkonferenz (DSK), Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, Abschnitte 3.3, 3.5 und 3.7, 2022, https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf

7. Bundesgerichtshof, Urteil vom 10. Februar 2011, I ZR 164/09 (Double opt in Verfahren), dejure.org, 2011, https://dejure.org/2011,63

8. Datenschutzkonferenz (DSK), Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, Abschnitt 1.4.1, 2022, https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf

9. Gerichtshof der Europäischen Union, Urteil vom 13. November 2025, C-654/23, Inteligo Media, Rn. 48, 53 bis 62 und 64 bis 69 sowie Tenor, EUR Lex, 2025, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:62023CJ0654

10. Datenschutzkonferenz (DSK), Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, Abschnitte 5.1 bis 5.3, 2022, https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf

11. Datenschutzkonferenz (DSK), Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, Abschnitt 1.1 Begriff der Werbung, 2022, https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf

12. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 83 Abs. 5, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

13. Oberlandesgericht Frankfurt am Main, Urteil vom 27. Juni 2019, 6 U 6/19, dejure.org, 2019, https://dejure.org/2019,24629

14. Bundesgerichtshof, Urteil vom 10. Juli 2018, VI ZR 225/17, dejure.org, 2018, https://dejure.org/2018,28246

15. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 21 Widerspruchsrecht, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679