Double Opt-in

Hinweis: Dieser Glossareintrag erklärt den technischen und organisatorischen Rahmen und ersetzt keine Rechtsberatung. Für die verbindliche Beurteilung deines Einzelfalls ist eine Anwältin oder ein Anwalt zuständig.

Protokolliert dein Newsletter-Formular überhaupt etwas?

Wir sehen nach, ob das Anmeldeverfahren den Nachweis erbringt, den es erbringen soll — und ob der Wortlaut der Einwilligung mitgespeichert wird.

Das Double Opt-in ist ein zweistufiges Anmeldeverfahren: Nach dem Eintragen einer E-Mail-Adresse verschickt das System eine Bestätigungsmail, und erst ein Klick auf den darin enthaltenen Link schließt die Anmeldung ab. Es stellt sicher, dass die Adresse tatsächlich der anmeldenden Person gehört, und liefert den Nachweis der Einwilligung, den die DSGVO vom Verantwortlichen verlangt.

Kurz zusammengefasst:

• Zwei Stufen: Eintragen und Bestätigen per Klick.
• Es beweist zwei Dinge: die Adresse existiert, und der Inhaber wollte die Anmeldung.
• Der Nachweis liegt beim Absender — ohne Protokoll kein Beleg.
• Ohne wirksame Einwilligung ist eine Werbe-E-Mail eine unzulässige Belästigung und abmahnfähig.
• Die Bestätigungsmail selbst darf keine Werbung enthalten.

Warum zwei Stufen

Beim einfachen Verfahren — Adresse eintragen, fertig — kann jeder jede beliebige Adresse eintragen. Das führt zu zwei Problemen: Menschen erhalten E-Mails, die sie nie bestellt haben, und der Absender kann im Streitfall nicht belegen, dass eine Einwilligung vorlag.

Genau darum geht es rechtlich. Die DSGVO verlangt vom Verantwortlichen, die Einwilligung nachweisen zu können. Die bloße Behauptung, jemand habe sich eingetragen, genügt nicht. Das Double Opt-in erzeugt diesen Nachweis als Nebenprodukt: Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, IP-Adresse und der Wortlaut, dem zugestimmt wurde.

Was protokolliert werden muss

Der vierte Punkt wird gern vergessen und ist der wichtigste. Eine Einwilligung gilt nur für das, was beim Eintragen danebenstand. Wer den Text später ändert, kann sich für Altbestände nicht darauf berufen. Deshalb gehört der Wortlaut versioniert ins Protokoll — nicht nur ein Häkchen.

Gängige Newsletter-Dienste erledigen das automatisch. Bei selbstgebauten Formularen fehlt es fast immer.

Die Bestätigungsmail

Sie ist der heikelste Teil, weil sie an eine Person geht, die noch nicht eingewilligt hat. Daraus folgt:

• Keine Werbung. Kein Angebot, kein Rabattcode, keine Produktvorstellung. Die Mail darf nur den Zweck haben, die Anmeldung zu bestätigen.
• Klarer Bezug. Wer schreibt, worum es geht, wo die Anmeldung erfolgte.
• Ein eindeutiger Bestätigungslink, kein vorausgefülltes Formular.
• Keine Erinnerungsmails. Wer nicht bestätigt, hat nicht eingewilligt — eine Nachfassmail ist bereits die unerwünschte Werbung, die vermieden werden sollte.
• Zeitliche Grenze. Unbestätigte Anmeldungen sollten nach einigen Tagen gelöscht werden.

Der Punkt mit den Erinnerungen ist der häufigste Fehler in der Praxis, weil er sich als Service tarnt. Er ist es nicht.

Wo es gebraucht wird — und wo nicht

Der klassische Fall ist der Newsletter. Sinnvoll ist das Verfahren aber überall, wo eine E-Mail-Adresse für spätere Ansprache erhoben wird: Downloads gegen Adresse, Webinar-Anmeldungen, Wartelisten.

Nicht nötig ist es dort, wo die Nachricht die Erfüllung eines Vertrags oder einer Anfrage ist — die Antwort auf eine Kontaktanfrage, die Bestellbestätigung, die Terminerinnerung. Diese Nachrichten sind keine Werbung und brauchen keine gesonderte Einwilligung.

Ein Sonderfall ist die Bestandskundenansprache: Wer im Rahmen eines Verkaufs eine Adresse erhalten hat, darf unter engen Voraussetzungen für eigene ähnliche Produkte werben — bei jeder Erhebung und jeder Verwendung muss aber klar auf das Widerspruchsrecht hingewiesen werden. Wer sich darauf stützt, sollte die Voraussetzungen genau prüfen; die Ausnahme ist schmaler, als sie klingt.

Häufige Fehler

• Vorausgewähltes Häkchen beim Anmeldeformular — eine Einwilligung braucht eine aktive Handlung.
• Kopplung: Der Download gibt es nur mit Newsletter-Anmeldung. Freiwillig ist das nicht.
• Sammeleinwilligung für Newsletter, Werbepost und Telefonwerbung in einem Satz.
• Kein Abmeldelink in den folgenden Mails — der Widerruf muss so einfach sein wie die Anmeldung.
• Protokoll nicht aufbewahrt — der Nachweis muss auch nach Jahren noch vorliegen.
• Gekaufte Adresslisten, bei denen der Nachweis fehlt. Solche Listen sind praktisch nie rechtmäßig nutzbar.

Häufige Fragen

Ist Double Opt-in gesetzlich vorgeschrieben?

Das Gesetz nennt das Verfahren nicht ausdrücklich. Es verlangt aber eine nachweisbare Einwilligung — und das Double Opt-in ist der praktisch einzige Weg, diesen Nachweis zuverlässig zu erbringen. Wer darauf verzichtet, trägt im Streitfall das Risiko.

Darf die Bestätigungsmail Werbung enthalten?

Nein. Sie geht an jemanden, der noch nicht eingewilligt hat. Ein Angebot oder Rabattcode darin macht sie selbst zur unerlaubten Werbung.

Darf ich an unbestätigte Anmeldungen erinnern?

Nein. Wer nicht bestätigt hat, hat nicht eingewilligt. Eine Erinnerungsmail ist bereits die Werbe-E-Mail, die das Verfahren verhindern soll. Unbestätigte Einträge sollten nach kurzer Zeit gelöscht werden.

Wie lange muss ich den Nachweis aufbewahren?

Mindestens so lange, wie die Einwilligung genutzt wird, und darüber hinaus so lange Ansprüche geltend gemacht werden können. Praktisch heißt das: das Protokoll behalten, auch nach der Abmeldung — allerdings nur die Nachweisdaten, nicht den gesamten Datensatz.

Brauche ich Double Opt-in für ein Kontaktformular?

Nein. Die Antwort auf eine Anfrage ist keine Werbung. Erst wenn die Adresse aus dem Formular später für Newsletter oder Angebote verwendet werden soll, braucht es dafür eine eigene Einwilligung.

Was ist mit gekauften Adresslisten?

Bei gekauften Listen fehlt in aller Regel der Nachweis, dass die Betroffenen gerade dir gegenüber eingewilligt haben. Eine Einwilligung lässt sich nicht wirksam weiterverkaufen. Der Versand an solche Adressen ist deshalb regelmäßig unzulässig.