Email-Compliance ist kein Wahlfach. Im Jahr 2026 drohen nach Regelungen wie der DSGVO und CAN-SPAM Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen € – je nachdem, welcher Betrag höher ist. Und abgesehen vom finanziellen Risiko zerstört Nichteinhaltung das Vertrauen, das Sie bei Ihren Abonnenten aufgebaut haben.
Ob Sie einen Newsletter betreiben, eine Kaltakquise-Kampagne planen oder transaktionale E-Mails versenden: Dieser Leitfaden erklärt alles Wichtige zur E-Mail-Compliance in den wichtigsten Rechtsräumen – und zeigt, wie Sie sich rechtskonform verhalten, ohne Ihr E-Mail-Programm unmöglich zu machen.
Die drei Säulen der E-Mail-Compliance
Jede wichtige E-Mail-Regulierung – DSGVO, CAN-SPAM, CASL und weitere – lässt sich auf drei Grundprinzipien zurückführen:
| Säule | Was das bedeutet |
|---|---|
| Einwilligung | Der Empfänger muss dem Erhalt Ihrer E-Mails zugestimmt haben (aktiv oder auf Grundlage berechtigter Interessen) |
| Transparenz | Sie müssen klar angeben, wer Sie sind, warum Sie E-Mails versenden und wie man sich abmelden kann |
| Kontrolle | Empfänger müssen sich einfach abmelden können, und Ihre Abmeldung muss zügig bearbeitet werden |
Die genauen Anforderungen unterscheiden sich je nach Rechtsraum. Wenn Sie Ihr E-Mail-Programm jedoch auf diesen drei Säulen aufbauen, sind Sie überall schon zu 90 % auf dem Weg zur Compliance.
DSGVO: Datenschutz-Grundverordnung (EU/EWR + UK)
Gilt für: Jede Organisation, die personenbezogene Daten von Personen in der EU, im EWR oder im Vereinigten Königreich verarbeitet – unabhängig davon, wo Ihr Unternehmen seinen Sitz hat.
Einwilligung nach der DSGVO
Die DSGVO verlangt eine von sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Für E-Mail-Marketing sind die beiden relevantesten:
| Rechtsgrundlage | Wann sie gilt | Beispiel |
|---|---|---|
| Einwilligung | Der Abonnent hat ausdrücklich zugestimmt, E-Mails zu erhalten | „Setzen Sie hier ein Häkchen, um unseren Newsletter zu erhalten“ (standardmäßig nicht angehakt) |
| Berechtigtes Interesse | Sie haben einen gültigen Grund, und dieser überwiegt nicht die Rechte der betroffenen Person | Eine Follow-up-E-Mail an jemanden, der Ihr Whitepaper heruntergeladen hat |
Anforderungen an die Einwilligung
- Affirmative Aktion: Vorab angekreuzte Kästchen sind keine gültige Einwilligung. Der Abonnent muss eine bewusste Handlung vornehmen.
- Granular: Die Einwilligung für Marketing muss getrennt von der Einwilligung zu den Nutzungsbedingungen erfolgen
- Informiert: Erklären Sie genau, wofür sich die Person anmeldet (Art, Häufigkeit, Kanal)
- Widerrufbar: Die Abmeldung muss genauso einfach sein wie die Anmeldung
- Dokumentiert: Führen Sie Aufzeichnungen darüber, wann, wie und welche Einwilligung erteilt wurde
Auskunfts- und Löschungsrecht
Nach der DSGVO können Abonnenten:
- Auskunft über alle Daten verlangen, die Sie über sie speichern (Auskunftsersuchen der betroffenen Person — DSAR)
- die Löschung ihrer Daten verlangen (Recht auf Löschung / "Recht auf Vergessenwerden")
Sie müssen innerhalb von 30 Tagen antworten. Eine saubere, durchsuchbare Datenbank erleichtert dies erheblich — wenn Sie die Daten eines Abonnenten nicht finden, können Sie der Anfrage nicht nachkommen.
DSGVO-Bußgelder
- Untere Stufe: Bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes
- Obere Stufe: Bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes
Praxisbeispiel: Meta wurde 2023 wegen DSGVO-Verstößen im Zusammenhang mit Datenübermittlungen zu einer Strafe von 1,2 Milliarden € verurteilt.
CAN-SPAM: Controlling the Assault of Non-Solicited Pornography and Marketing Act (Vereinigte Staaten)
Gilt für: Alle kommerziellen E-Mails, die in die oder aus den Vereinigten Staaten gesendet werden.
CAN-SPAM ist weniger streng als die DSGVO — es basiert auf einem Opt-out-Modell statt auf Opt-in. Dennoch gelten erhebliche Anforderungen:
CAN-SPAM-Anforderungen
| Anforderung | Was Sie tun müssen |
|---|---|
| Keine falschen Kopfzeilen | "Von", "An" und Routing-Informationen müssen korrekt sein und den Absender eindeutig identifizieren |
| Keine irreführenden Betreffzeilen | Die Betreffzeile muss den tatsächlichen Inhalt der E-Mail widerspiegeln |
| Als Werbung kennzeichnen | Offenlegen, dass es sich bei der Nachricht um Werbung handelt (ergibt sich implizit, wenn sie eindeutig werblich ist) |
| Physische Adresse | Fügen Sie in jeder E-Mail eine gültige postalische Anschrift ein |
| Opt-out-Mechanismus | Klarer Abmeldelink, der mindestens 30 Tage nach dem Versand funktioniert |
| Abmeldungen zeitnah berücksichtigen | Abmeldeanfragen innerhalb von 10 Werktagen bearbeiten |
| Dritte überwachen | Sie sind für die Einhaltung verantwortlich, auch wenn ein Dritter in Ihrem Namen versendet |
CAN-SPAM-Bußgelder
- Bis zu 51.744 $ pro Verstoß (jede E-Mail, die gegen das Gesetz verstößt, zählt als separater Verstoß)
- Erhöhter Schadensersatz bei vorsätzlichem Gesetzesverstoß
CASL: Kanadas Anti-Spam-Gesetz
Gilt für: Kommerzielle elektronische Nachrichten, die von Kanada aus gesendet oder in Kanada abgerufen werden.
CASL ist das strengste der drei großen Regelwerke:
| Anforderung | Details |
|---|---|
| Ausdrückliche Einwilligung | Für die meisten kommerziellen E-Mails erforderlich (stillschweigende Einwilligung läuft nach 2 Jahren ab) |
| Identifizierung | Vollständiger Absendername, Postanschrift und Kontaktdaten (Telefon, E-Mail oder Website) |
| Abmeldemöglichkeit | Muss kostenlos sein, 60 Tage lang funktionieren und innerhalb von 10 Werktagen bearbeitet werden |
| Beweislast | Sie müssen nachweisen, dass Sie eine Einwilligung haben – der Empfänger muss nicht beweisen, dass er nicht eingewilligt hat |
CASL-Bußgelder
- Bis zu 10 Mio. CAD pro Verstoß für Unternehmen
- Geschäftsführer und leitende Angestellte können persönlich haftbar gemacht werden
Weitere Rechtsordnungen im Überblick
| Regelwerk | Region | Wesentlicher Unterschied |
|---|---|---|
| LGPD | Brasilien | Nach dem Vorbild der DSGVO – Opt-in-Einwilligung, Rechte auf Auskunft und Löschung von Daten |
| PDPA | Singapur | Einwilligungsbasiert, erfordert Benachrichtigung über einen "angemessenen Zweck" |
| POPIA | Südafrika | Opt-in für Direktmarketing, strenge Regeln für die grenzüberschreitende Datenübermittlung |
| CCPA/CPRA | Kalifornien, USA | Recht auf Auskunft, Löschung und Widerspruch gegen den Datenverkauf – gilt für E-Mail-Adressen |
| PIPEDA | Kanada (allgemein) | Überschneidet sich mit CASL und ergänzt Anforderungen an die Datengenauigkeit und den Datenschutz |
Praktischer Ansatz: Wenn Sie die DSGVO und CAN-SPAM einhalten, erfüllen Sie bereits die Anforderungen der meisten anderen Vorschriften oder sind diesen sehr nahe. Die DSGVO setzt den höchsten Maßstab.
Umsetzung in der Praxis: Was Sie implementieren sollten
1. Einholung der Einwilligung
Anmeldeformulare müssen:
- Ein nicht angekreuztes Kästchen für die Einwilligung zu Marketingmails enthalten (DSGVO)
- Angeben, welche Inhalte Abonnenten erhalten und wie oft
- Auf Ihre Datenschutzerklärung verlinken
- Das Double-Opt-in-Verfahren (bestätigtes Opt-in) nutzen – rechtlich nicht überall vorgeschrieben, aber dringend empfohlen
2. Abmeldemöglichkeit
Jede Marketing-E-Mail muss Folgendes enthalten:
- Einen Abmeldelink mit einem Klick (gut sichtbar, nicht in winziger, versteckter Schrift)
- Einen List-Unsubscribe-Header (RFC 8058) für die Abmeldung mit einem Klick in der Benutzeroberfläche von Gmail/Yahoo
- Bearbeitung innerhalb von 10 Werktagen (CAN-SPAM), idealerweise sofort
Google und Yahoo verlangen inzwischen eine Abmeldung mit einem Klick von Massenversendern (5.000+ E-Mails pro Tag).
3. Umgang mit Daten
- E-Mail-Adressen und Einwilligungsnachweise sicher speichern
- Einwilligungsprotokolle führen (Zeitstempel, IP-Adresse, Formular-URL, Inhalt der Einwilligung)
- Abonnenten ermöglichen, ihre Daten einzusehen und herunterzuladen (DSGVO)
- Abonnenten ermöglichen, die Löschung ihrer Daten zu beantragen (DSGVO)
- Daten ohne ausdrückliche Einwilligung nicht an Dritte weitergeben
4. Datenschutzerklärung
Ihre Datenschutzerklärung muss erläutern:
- Welche Daten Sie erheben (E-Mail, Name, IP-Adresse, Verhalten)
- Warum Sie diese erheben (Marketing, Analyse, Personalisierung)
- Wie lange Sie die Daten aufbewahren
- Wer Zugriff hat (Mitarbeiter, Tools von Drittanbietern)
- Wie Abonnenten auf ihre Daten zugreifen, sie korrigieren oder löschen können
5. Aufbewahrungsrichtlinie für Daten
Legen Sie fest und dokumentieren Sie, wie lange Sie Abonnentendaten aufbewahren:
| Datentyp | Empfohlene Aufbewahrungsdauer |
|---|---|
| Aktive Abonnenten | Unbegrenzt (solange sie angemeldet bleiben) |
| Abgemeldete E-Mail-Adressen | 3 Jahre (für die Unterdrückungsliste — um versehentliches erneutes Hinzufügen zu vermeiden) |
| Bounced/ungültige E-Mails | 6 Monate (für die Zustellbarkeitsanalyse, danach löschen) |
| Einwilligungsnachweise | 3–7 Jahre (zur rechtlichen Absicherung) |
| Antworten auf DSAR | 3 Jahre (Nachweis der Compliance) |
6. E-Mail-Listenverifizierung und Compliance
Die Verifizierung Ihrer E-Mail-Liste unterstützt die Compliance auf mehrere Arten:
- Verringert das Risiko, an recycelte Spam-Fallen zu senden: Ein Treffer einer Spam-Falle kann behördliche Prüfungen auslösen, wenn er darauf hindeutet, dass Sie Ihre Liste nicht pflegen
- Schützt die Datengenauigkeit: Artikel 5 Absatz 1 Buchstabe d DSGVO verlangt, dass personenbezogene Daten "sachlich richtig und erforderlichenfalls auf dem neuesten Stand" sind
- Minimiert Daten: Der Grundsatz der Datenminimierung der DSGVO bedeutet, dass Sie ungültige Adressen nicht speichern sollten – verifizieren und entfernen Sie sie
- Unterstützt die Beantwortung von Auskunftsersuchen: Eine saubere Datenbank erleichtert es, Auskunfts- und Löschungsanfragen innerhalb der Frist von 30 Tagen zu finden und zu beantworten
Compliance-Checkliste
Nutzen Sie diese Checkliste vor jeder Kampagne:
□ CAN-SPAM: Physische Postversand Adresse enthalten in FußzeileEinzeln
□ CAN-SPAM/CASL/DSGVO: Funktioniert Abmelden Link vorhandenEinzeln
□ Gmail/Yahoo: Liste-Abmelden Header konfiguriertEinzeln
□ DSGVO: Einwilligung dokumentiert Spam all EmpfängerEinzeln
□ DSGVO: Datenschutz Richtlinie verlinkt und auf auf dem neuesten StandEinzeln
□ Alle: Absender Name und email Adresse klar sichtbarEinzeln
□ Alle: Betreff Zeile korrekt (keine irreführenden Angaben)?
□ Alle: Liste verified und bereinigt bevor VersandEinzeln
Die wichtigsten Erkenntnisse
- DSGVO erfordert eine Einwilligung per Opt-in und gilt für alle Daten von Personen mit Wohnsitz in der EU, dem EWR oder dem Vereinigten Königreich — Bußgelder von bis zu 4 % des weltweiten Umsatzes
- CAN-SPAM basiert auf einem Opt-out, verlangt aber eine physische Anschrift, korrekte Header und eine funktionierende Abmeldefunktion
- CASList am strengsten — ausdrückliche Einwilligung erforderlich, Beweislast liegt beim Absender
- Double Opt-in und E-Mail-Verifizierung sind Ihre besten Schutzmaßnahmen gegen versehentliche Nichteinhaltung
- Dokumentieren Sie alles: Einwilligungen, Abmeldungen, Auskunftsanfragen (DSAR) und Richtlinien zur Datenspeicherung
- Wenn Sie die DSGVO einhalten, sind Sie für nahezu alle anderen Rechtsordnungen ebenfalls abgedeckt
