Double-Opt-in: Ablauf, Einwilligung und Nachweis

Marktdenker · Veröffentlicht am 13.10.2026

Double-Opt-in ist ein zweistufiges Anmeldeverfahren: Zuerst trägt sich jemand für einen Newsletter ein. Anschließend bestätigt diese Person die angegebene E-Mail-Adresse aktiv, typischerweise über einen Link in einer Nachricht. Damit lässt sich die elektronische Erklärung verifizieren. Welche Einwilligung vorliegt und welche Werbung darauf gestützt werden darf, musst du gesondert prüfen. Die Datenschutzkonferenz behandelt diese Verifizierung in ihrer Orientierungshilfe zur Direktwerbung, Abschnitt 3.3.

Dieser Leitfaden betrachtet E-Mail-Newsletter in Deutschland. Belegstand: 5. Oktober 2026. Die verwendete Orientierungshilfe der Datenschutzkonferenz stammt aus Februar 2022.

Single, Confirmed und Double-Opt-in unterscheiden

Entscheidend ist, ob auf die Anmeldung eine weitere aktive Handlung folgt. Für die Planung lässt sich der Unterschied so darstellen:

Die Tabelle ist eine vereinfachte Verfahrensübersicht. Sie bewertet weder einen konkreten Anbieter noch die rechtliche Zulässigkeit eines einzelnen Versands. Eine versendete Bestätigungsnachricht und eine tatsächlich zurückbestätigte Anmeldung sind unterschiedliche Ereignisse. Diese Unterscheidung sollte auch in deiner Organisation erkennbar sein.

Was bestätigt der Klick – und was bleibt zu prüfen?

Für eine nachvollziehbare Planung helfen vier getrennte Fragen:

Einwilligung setzt eine freiwillige, auf den bestimmten Fall bezogene, informierte und unmissverständliche Erklärung voraus. Ein technisches Bestätigungsereignis beantwortet deshalb noch nicht jede Frage zum Inhalt der Erklärung. Maßgeblich sind Artikel 4 Nummer 11 und Artikel 7 DSGVO, in der amtlichen BfDI-Ausgabe auf den Schriftseiten 145 und 151.

Die DSGVO kennt außerdem mehrere Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Daraus folgt keine allgemeine Erlaubnis, Werbe-E-Mails zu versenden: Für diesen Kommunikationskanal ist zusätzlich das UWG relevant. Artikel 6 Absatz 1 DSGVO steht in der BfDI-Ausgabe auf Schriftseite 149.

Ist Double-Opt-in gesetzlich immer vorgeschrieben?

Die aktuelle E-Mail-Werberegel steht in § 7 Absatz 2 Nummer 2 UWG. Danach ist Werbung mittels elektronischer Post ohne vorherige ausdrückliche Einwilligung grundsätzlich eine unzumutbare Belästigung. Das Gesetz nennt dort das Double-Opt-in-Verfahren nicht ausdrücklich. Die Datenschutzkonferenz hält es in Abschnitt 3.3 ihrer Orientierungshilfe jedoch zur Verifizierung elektronischer Einwilligungserklärungen für geboten. Das ist eine konkret zugeordnete Aufsichtsposition zum Nachweis, keine umfassende Rechtssicherheits- oder Identitätsgarantie. Aktueller § 7 UWG, DSK-Orientierungshilfe, Abschnitt 3.3, Februar 2022.

§ 7 Absatz 3 UWG enthält einen engen Bestandskundenfall. Alle vier Bedingungen müssen zusammen erfüllt sein:

1. Die E-Mail-Adresse wurde im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten.
2. Sie wird für Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet.
3. Der Kunde hat dieser Verwendung nicht widersprochen.
4. Bei der Erhebung und bei jeder Verwendung wird klar auf die Widerspruchsmöglichkeit hingewiesen; dafür dürfen keine anderen als die Übermittlungskosten nach den Basistarifen entstehen.

Der bloße Eintrag „Kunde“ in einem System beantwortet diese Fragen nicht. Ob die Ausnahme im konkreten Fall trägt, lässt sich aus dem Double-Opt-in-Status allein ebenfalls nicht ableiten. § 7 Absatz 3 UWG.

Ein nachvollziehbarer Newsletter-Ablauf

Stell dir ein kleines Unternehmen vor, das einen Newsletter zu seinen eigenen Angeboten plant. Der folgende Ablauf ist ein hypothetisches Organisationsmodell. Es wurde dafür kein Formular abgeschickt und keine E-Mail versendet.

1. Angebot und Erklärung festlegen. Beschreibe, von wem der Newsletter kommt und wofür die Anmeldung gedacht ist. Die spätere Dokumentation muss erkennen lassen, welcher konkrete Text bei der Anmeldung galt. Bei der Datenerhebung sind außerdem die erforderlichen Informationen bereitzustellen, darunter Verantwortlicher, Zweck und Rechtsgrundlage, Speicherdauer oder Kriterien sowie die betreffenden Rechte. Diese Übersicht ersetzt keine vollständige Datenschutzinformation. Artikel 13 DSGVO, BfDI-Schriftseiten 157–158.

2. Anmeldung als ausstehend erfassen. In diesem Modell ist die eingegebene Adresse zunächst noch nicht zurückbestätigt. Halte diesen Status von der späteren Newsletter-Nutzung getrennt. Damit bleibt sichtbar, was bereits geschehen ist und welcher Schritt noch fehlt.

3. Rückbestätigung anfordern. Die Bestätigungsnachricht hat in diesem Modell einen klaren Zweck: die angeforderte Anmeldung zurückzubestätigen. Eine Werbeaktion gehört nicht in diesen Modellschritt. Wie der verwendete Dienst den Link erzeugt, begrenzt und verarbeitet, musst du tatsächlich prüfen; hier wird keine allgemeine Linkgültigkeit vorgegeben.

4. Bestätigungsereignis zuordnen. Nach der zusätzlichen Handlung wird der Status im Modell auf „bestätigt“ gesetzt. Die Zuordnung sollte den konkreten Anmeldevorgang erhalten. Vor einer Werbenutzung bleiben die zuvor beschriebenen Inhalts-, Nachweis- und Zulässigkeitsfragen bestehen.

5. Ohne Bestätigung ausstehend bleiben. Eine eingegangene Anmeldung wird im Modell nicht durch Zeitablauf automatisch zu einer bestätigten Anmeldung. Was mit ausstehenden Daten geschieht und wie lange sie für den festgelegten Zweck erforderlich sind, gehört in die Aufbewahrungsplanung.

Was du nachvollziehbar dokumentieren solltest

Nach Artikel 7 Absatz 1 DSGVO muss der Verantwortliche eine erteilte Einwilligung nachweisen können. Die Datenschutzkonferenz konkretisiert für elektronische Erklärungen, dass die einzelne Erklärung einschließlich ihres konkreten Wortlauts dokumentiert werden muss. Die Speicherung einer IP-Adresse allein reicht nach ihrer Orientierungshilfe nicht aus. Artikel 7 DSGVO, BfDI-Schriftseite 151, DSK, Abschnitt 3.3, Schriftseiten 11–12.

Für die organisatorische Planung kannst du diese eigene Arbeitshilfe nutzen:

Die Tabelle ist kein gesetzlich vollständiger Pflichtfeldkatalog. Sie hilft, Inhalte und Ereignisse zusammenzuführen. Eine heutige Standardvorlage sagt beispielsweise noch nichts darüber aus, welcher Wortlaut bei einer früheren Anmeldung tatsächlich vorlag. Lege deshalb fest, wer Änderungen am Text dokumentiert und wer die Zuordnung später nachvollziehen kann.

In unserem hypothetischen Beispiel wird das Newsletter-Angebot geändert. Für die Zuordnung bleibt festgehalten, welche Erklärung zur ursprünglichen Anmeldung gehört. Der aktuelle Text überschreibt diese Information im Modell nicht. Ob die vorhandene Erklärung eine neue Nutzung abdeckt, ist eine eigene Inhaltsfrage.

Wenn dein CRM Kontaktinformationen mit mehreren Prozessen verbindet, kläre auch dort die Zuständigkeit für die Newsletter-Nutzung. Ein allgemeiner Kontaktstatus sollte in deinem Arbeitsmodell nicht stillschweigend den spezifischen Einwilligungs- und Bestätigungsstatus ersetzen.

Dokumentation rechtfertigt keine beliebige Datensammlung oder unbegrenzte Speicherung. Zweckbindung, Datenminimierung und Speicherbegrenzung gelten auch hier. Eine pauschale Aufbewahrungsfrist für sämtliche Newsletter-Daten lässt sich daraus nicht ableiten. Artikel 5 DSGVO, BfDI-Schriftseiten 148–149.

Widerruf und Werbewiderspruch einplanen

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf muss so einfach wie die Erteilung sein; darüber ist vor der Einwilligung zu informieren. Frühere rechtmäßige Verarbeitung wird durch den späteren Widerruf nicht rückwirkend rechtswidrig. Artikel 7 Absatz 3 DSGVO, BfDI-Schriftseite 151.

Davon zu unterscheiden ist der Widerspruch gegen die Verarbeitung für Direktwerbung. Nach einem solchen Widerspruch dürfen die Daten nicht mehr für diesen Zweck verarbeitet werden. Artikel 21 Absätze 2–4 DSGVO, BfDI-Schriftseiten 165–166.

Plane deshalb im Modell einen ausdrücklich erkennbaren Stopp der Werbenutzung. Bei Marketing-Automation lautet die praktische Frage, welche laufenden Abläufe diesen Stopp tatsächlich berücksichtigen. Ein geändertes Feld allein ist noch keine beobachtete Wirkung in sämtlichen Versandwegen.

Werbenutzung und gegebenenfalls weiter erforderliche Nachweisdokumentation sind dabei verschiedene Zwecke. Die Datenschutzkonferenz behandelt diese Trennung in Abschnitt 3.7. Welche Unterlagen weiterhin benötigt werden und auf welcher Grundlage, muss gesondert geklärt werden. Eine automatische vollständige Löschung oder eine feste Drei- beziehungsweise Fünfjahresfrist wird hier nicht vorgegeben. DSK-Orientierungshilfe, Abschnitt 3.7, Schriftseite 14.

Den Ablauf vor dem Einsatz prüfen

Nutze die folgenden Fragen als eigene organisatorische Checkliste:

• Ist erkennbar, welche Erklärung für welchen Newsletter abgegeben wurde?
• Bleiben ausstehende Anmeldung und aktive Rückbestätigung unterscheidbar?
• Kannst du Erklärung, Wortlaut und Ereignisse gemeinsam nachvollziehen?
• Wer verantwortet Änderungen und den Stopp der Werbenutzung?
• Welche Informationen und Aufbewahrungskriterien sind für den konkreten Zweck erforderlich?

Prüfe anschließend die tatsächlich eingesetzten Funktionen deines Newsletter-Tools: Welche Zustände lassen sich unterscheiden, welche Unterlagen sind verfügbar und wie werden Änderungen weitergegeben? Die dargestellten Modelle sind eine Vorbereitung für diese Prüfung. Sie behaupten keinen durchgeführten Systemtest und bescheinigen keine Rechtmäßigkeit eines konkreten Formulars.

Den Newsletter in dein Marketing einordnen

Im E-Mail-Marketing müssen auch Inhalt, Ziel und Versandrhythmus zum erklärten Newsletter-Angebot passen. Der Bestätigungsablauf ist damit eine konkrete Teilaufgabe innerhalb einer breiteren Planung.

Unser Themenbereich CRM & Vertrieb hilft dir, Fragen zu Kontakten und Zuständigkeiten im Zusammenhang einzuordnen.

Weitere Einstiegsfragen zu Business und Marketing verbinden diese Planung mit Angebot und Geschäftsmodell.