DSGVO-konforme E-Mail-Akquise — Double-Opt-In & berechtigtes Interesse

DSGVO-konforme E-Mail-Akquise ruht auf zwei Säulen: einem dokumentierten Double-Opt-In als Einwilligung für Newsletter und Marketing-Mails, und – in engen Grenzen – dem berechtigten Interesse nach Art. 6 Abs. 1 lit. f DSGVO für sachbezogene B2B-Erstkontakte. Werbliche E-Mails verlangen wettbewerbsrechtlich (§ 7 Abs. 2 Nr. 2 UWG in Deutschland, § 174 TKG in Österreich) fast immer eine vorherige Einwilligung, die Sie per Double-Opt-In einholen und protokollieren. Kalte Massen-Mails an gekaufte Postfächer sind dagegen fast nie zulässig. Dieser HOW-TO-Leitfaden zeigt das Double-Opt-In-Verfahren Schritt für Schritt, grenzt die beiden Rechtsgrundlagen sauber voneinander ab und erklärt, wie Sie einen rechtskonformen E-Mail-Funnel aufbauen. Stand: Oktober 2026. Dieser Artikel ist keine Rechtsberatung und ersetzt im Einzelfall nicht die anwaltliche Prüfung.

Die zwei Rechtsgrundlagen für E-Mail: Einwilligung vs. berechtigtes Interesse

Bevor Sie eine einzige Mail versenden, müssen Sie wissen, auf welcher Rechtsgrundlage Sie stehen. Für E-Mail-Akquise kommen praktisch nur zwei in Betracht – und sie sind nicht beliebig austauschbar.

Die erste Grundlage ist die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, flankiert durch § 7 UWG). Sie ist die saubere, eindeutige Basis: Der Empfänger hat aktiv zugestimmt, von Ihnen E-Mails zu erhalten. Eine wirksame Einwilligung ist nach Art. 4 Nr. 11 DSGVO vorherig, informiert, freiwillig und durch eine aktive Handlung erteilt – ein vorangekreuztes Kästchen genügt nicht. Und sie muss dokumentiert sein, denn die Beweislast trägt der Werbende.

Die zweite Grundlage ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO). Erwägungsgrund 47 nennt Direktwerbung ausdrücklich als möglichen Anwendungsfall. Diese Grundlage trägt jedoch nur nach einer dreistufigen Interessenabwägung – und sie ist datenschutzrechtlicher Natur. Das ist der entscheidende Denkfehler, den viele machen: Sie verwechseln die DSGVO-Ebene (darf ich die Adresse verarbeiten?) mit der wettbewerbsrechtlichen Ebene (darf ich diese Werbe-Mail überhaupt senden?).

Warum das UWG bei Werbe-Mails fast immer Einwilligung verlangt

Hier liegt der Kern: § 7 Abs. 2 Nr. 2 UWG stuft Werbung mittels elektronischer Post ohne vorherige ausdrückliche Einwilligung grundsätzlich als unzumutbare Belästigung ein – und zwar auch im B2B. Das Wettbewerbsrecht kennt für die Werbe-Mail keine "mutmaßliche Einwilligung" wie beim B2B-Telefon. Eine sauber dokumentierte DSGVO-Abwägung nützt Ihnen also nichts, wenn das UWG für genau diese Mail eine Einwilligung fordert. In Österreich verschärft § 174 TKG die Lage zusätzlich. Das berechtigte Interesse bleibt dadurch im E-Mail-Marketing ein schmaler Pfad: Es trägt allenfalls einen einzelnen, sachbezogenen B2B-Erstkontakt, nie einen wiederkehrenden Newsletter. Die vollständige Aufschlüsselung dieser Paragrafen liefert die vollständige DACH-Rechtslage zu B2B-Mailing & Kaltakquise.

Single- vs. Confirmed- vs. Double-Opt-In

Wer eine Einwilligung einholt, kann das auf drei technisch verschiedene Weisen tun – mit sehr unterschiedlicher Beweiskraft. Der Unterschied entscheidet im Streitfall darüber, ob Ihre Einwilligung Bestand hat.

Single-Opt-In

Die Adresse wird eingetragen und sofort in den Verteiler aufgenommen, ohne dass der Inhaber den Eintrag bestätigt. Das Verfahren ist bequem, aber riskant: Jeder kann eine fremde Adresse anmelden, und Sie haben keinen Nachweis, dass der tatsächliche Inhaber zugestimmt hat. Im Streitfall steht Aussage gegen Aussage – und die Beweislast liegt bei Ihnen.

Confirmed-Opt-In

Nach der Anmeldung erhält der Empfänger eine Bestätigungsmail, die den Eintrag lediglich mitteilt, aber keine aktive Bestätigung verlangt. Das ist etwas besser als Single-Opt-In, weil der echte Inhaber zumindest eine Information erhält und widersprechen könnte. Den positiven Einwilligungsbeweis liefert es jedoch nicht.

Double-Opt-In

Hier muss der Empfänger einen Bestätigungslink in der Aktivierungsmail anklicken, bevor er in den Verteiler aufgenommen wird. Erst dieser Klick aktiviert die Anmeldung. Das Double-Opt-In ist im DACH-Raum der anerkannte Standard, weil nur es nachweist, dass tatsächlich der Inhaber der Adresse zugestimmt hat.

Für jede E-Mail-Akquise, die auf Einwilligung beruht, ist das Double-Opt-In daher nicht optional, sondern das Mindestmaß. Es ist der einzige Weg, die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO praktisch zu erfüllen.

Double-Opt-In Schritt für Schritt

Das Double-Opt-In klingt aufwendiger, als es ist. Im Kern sind es vier Schritte, die jedes seriöse E-Mail-Tool nativ unterstützt.

1. Formular: Der Interessent trägt seine E-Mail-Adresse in ein Anmeldeformular ein. Direkt am Formular steht ein knapper Datenschutzhinweis mit Verlinkung der Datenschutzerklärung und einer klaren Beschreibung, wofür die Adresse genutzt wird. Die Einwilligungs-Checkbox ist nicht vorangekreuzt.
2. Bestätigungsmail: Unmittelbar nach dem Absenden erhält der Eintragende eine Aktivierungsmail. Diese enthält ausschließlich den Bestätigungslink und einen kurzen Hinweis – noch keine Werbung, denn bis zur Bestätigung liegt keine Einwilligung vor.
3. Klick: Der Empfänger klickt den Bestätigungslink. Erst dieser Klick aktiviert die Anmeldung und macht die Einwilligung wirksam. Ohne Klick bleibt die Adresse inaktiv und wird nach einer angemessenen Frist gelöscht.
4. Protokoll: Das System speichert revisionssicher, wer wann wofür eingewilligt hat.

Was ins DOI-Protokoll gehört

Das Protokoll ist Ihr juristischer Rettungsanker. Es sollte pro Einwilligung mindestens festhalten:

• Zeitstempel der Anmeldung – wann das Formular abgesendet wurde.
• Zeitstempel der Bestätigung – wann der Bestätigungslink geklickt wurde.
• IP-Adresse – aus der die Anmeldung beziehungsweise Bestätigung erfolgte.
• Exakter Einwilligungstext – der Wortlaut, dem zum Zeitpunkt der Anmeldung zugestimmt wurde (er kann sich später ändern, der historische Stand muss erhalten bleiben).
• Die versendete Bestätigungsmail – als Nachweis des Aktivierungswegs.

Berechtigtes Interesse im B2B – wann es trägt und wann nicht

Das berechtigte Interesse ist verlockend, weil es ohne vorherige Einwilligung auskommt. Im E-Mail-Marketing ist sein Anwendungsbereich aber deutlich enger, als viele annehmen.

Wann es eine E-Mail tragen kann

Denkbar ist das berechtigte Interesse für einen einzelnen, sachbezogenen Erstkontakt, bei dem ein erkennbarer, konkreter Bezug zwischen Ihrem Angebot und dem Geschäftsgegenstand des angeschriebenen Unternehmens besteht. Die dreistufige Abwägung muss tragen:

1. Berechtigtes Interesse: Das wirtschaftliche Interesse an Neukundengewinnung ist anerkannt.
2. Erforderlichkeit: Die Ansprache muss für genau dieses Interesse erforderlich und verhältnismäßig sein.
3. Abwägung: Die Interessen und Grundrechte des Empfängers dürfen nicht überwiegen – im B2B fällt das tendenziell günstiger aus, weil es um geschäftliche Funktions-Kontaktdaten geht.

Diese Abwägung ist nach der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) zu dokumentieren. Wichtig bleibt aber: Die DSGVO-Abwägung allein macht die Mail nicht zulässig – das UWG muss separat erfüllt sein, und für die Werbe-E-Mail verlangt es regelmäßig die Einwilligung. Das berechtigte Interesse ist hier die schmalere, riskantere Grundlage.

Wann es nicht trägt

Nicht tragfähig ist das berechtigte Interesse für Newsletter, wiederkehrende Marketing-Mails oder Massenwerbung. Sobald Sie regelmäßig oder breit gestreut versenden, verlassen Sie den Bereich des sachbezogenen Einzelkontakts – und damit den schmalen Pfad, den ErwG 47 überhaupt eröffnet. Für diese Fälle führt kein Weg an der Einwilligung per Double-Opt-In vorbei.

DSGVO-konforme Leadgenerierung: den Funnel sauber bauen

Ein rechtskonformer E-Mail-Funnel entsteht nicht durch nachträgliche Reparatur, sondern durch sauberes Design von Anfang an. Vier Prinzipien tragen jeden Akquise-Funnel.

Datenschutzhinweis am Formular

Jedes Anmeldeformular trägt einen klaren, knappen Datenschutzhinweis mit Link zur vollständigen Datenschutzerklärung. Der Eintragende muss verstehen, wer seine Daten zu welchem Zweck verarbeitet und welche Rechte er hat.

Zweckbindung

Die Einwilligung gilt nur für den Zweck, für den sie erteilt wurde. Wer für einen Newsletter zum Thema A eingewilligt hat, darf nicht ungefragt mit Angeboten zum völlig unverbundenen Thema B bespielt werden. Definieren Sie den Zweck präzise und halten Sie sich daran.

Kopplungsverbot

Die Einwilligung muss freiwillig sein. Sie an eine Gegenleistung zu koppeln – etwa "nur wer dem Newsletter zustimmt, darf am Gewinnspiel teilnehmen" oder "Whitepaper nur gegen Marketing-Einwilligung" – ist heikel, weil die Freiwilligkeit dann fraglich wird. Trennen Sie die eigentliche Leistung von der Marketing-Einwilligung.

Datensparsamkeit

Erheben Sie nur die Daten, die Sie wirklich brauchen. Für einen Newsletter genügt meist die E-Mail-Adresse; jedes zusätzliche Pflichtfeld muss begründet sein. Ein schlankes Formular ist nicht nur DSGVO-konformer, es konvertiert auch besser. Wie sich eine saubere Leadgenerierung von den Schwächen klassischer Listen unterscheidet, zeigt der Beitrag dazu, warum gekaufte E-Mail-Listen selten taugen.

Pflichtbestandteile jeder Akquise-Mail

Unabhängig von der Rechtsgrundlage muss jede Akquise-Mail bestimmte Pflichtangaben enthalten. Fehlen sie, ist die Mail selbst dann angreifbar, wenn die Einwilligung sauber wäre.

Absender und Impressum

Der Absender muss klar und unverschleiert erkennbar sein. Eine geschäftliche Mail unterliegt der Impressumspflicht – Firma, Verantwortlicher und Kontaktdaten gehören erkennbar in die Mail, üblicherweise in den Footer. Verschleierte Absenderangaben sind nicht nur unseriös, sie sind auch unzulässig.

Datenherkunft (Art. 14 DSGVO)

Wenn Sie die Adresse nicht beim Empfänger selbst erhoben haben – etwa weil Sie sie aus einer Datenbank oder einer anderen Quelle bezogen haben –, greift die Informationspflicht nach Art. 14 DSGVO. Sie müssen über Verantwortlichen, Zwecke, Rechtsgrundlage, Datenkategorien, Herkunft der Daten und die Betroffenenrechte informieren, spätestens binnen eines Monats und, wenn Sie die Daten zur Kontaktaufnahme nutzen, spätestens bei der ersten Kontaktaufnahme (Art. 14 Abs. 3 DSGVO). In der Praxis heißt das: Schon die erste Akquise-Mail nennt, woher Sie die Daten haben. Ob der zugrunde liegende Datenbezug überhaupt zulässig ist, vertieft der Beitrag dazu, ob der Datenkauf selbst DSGVO-konform ist.

Abmelde- und Widerspruchsweg (Art. 21 DSGVO)

Jede werbliche Mail braucht einen funktionierenden, einfachen Weg, sich abzumelden oder zu widersprechen. Das Widerspruchsrecht bei Direktwerbung ist absolut (Art. 21 Abs. 2 und 3 DSGVO): Es findet keine Interessenabwägung mehr statt, und Sie müssen die Verarbeitung für Werbezwecke sofort einstellen. Ein einziger Klick muss genügen – versteckte oder funktionsuntüchtige Abmeldelinks sind ein typischer Abmahn-Auslöser.

B2B vs. B2C – Unterschiede in der Abwägung

Die Grundregeln gelten für beide Welten, aber die Gewichte verschieben sich.

Im B2C ist der Empfänger eine Privatperson in ihrer persönlichen Sphäre. Die Schutzbedürftigkeit ist hoch, die Interessenabwägung fällt strenger aus, und der Spielraum für das berechtigte Interesse ist eng. Werbe-Mails an Verbraucher brauchen praktisch immer eine ausdrückliche, per Double-Opt-In nachgewiesene Einwilligung.

Im B2B geht es um geschäftliche Funktions-Kontaktdaten und die berufliche Sphäre, die weniger schutzbedürftig ist als die private. Die DSGVO-Abwägung beim berechtigten Interesse fällt daher tendenziell günstiger aus. Das verleitet zu dem Trugschluss, im B2B sei E-Mail-Werbung pauschal erlaubt – das ist falsch. Das UWG macht beim Werbe-Mail-Versand keinen pauschalen B2B-Rabatt: Auch hier verlangt § 7 Abs. 2 Nr. 2 UWG grundsätzlich die Einwilligung. Der B2B-Vorteil liegt also in der datenschutzrechtlichen Abwägung, nicht in einer wettbewerbsrechtlichen Freigabe.

„DSGVO-konforme E-Mail-Anbieter" und Tools – worauf achten

Der Versanddienstleister ist Teil Ihrer Compliance-Kette. Ein gutes Tool nimmt Ihnen viel Arbeit ab, ein schlechtes verlagert das Risiko auf Sie. Bei der Auswahl eines E-Mail- oder Versanddienstleisters sollten Sie auf folgende Punkte achten:

• Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO): Wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie zwingend einen AVV. Seriöse Anbieter stellen ihn standardisiert bereit – fehlt er, ist der Anbieter ungeeignet.
• EU-Hosting / Serverstandort: Ein Serverstandort in der EU vermeidet die Komplexität von Drittlandtransfers. Liegt der Standort außerhalb, müssen geeignete Garantien vorhanden sein.
• Native Double-Opt-In-Funktion: Das Tool sollte den DOI-Prozess inklusive Bestätigungsmail und Aktivierungslink ohne Bastellösung abbilden.
• Revisionssichere Protokollierung: Die Einwilligungen müssen mit Zeitstempel, IP und Einwilligungstext nachvollziehbar und exportierbar gespeichert werden.
• Suppression-Management: Abmeldungen und Widersprüche müssen dauerhaft und zuverlässig gesperrt werden, sodass eine abgemeldete Adresse nie wieder versehentlich angeschrieben wird.

Kein Tool nimmt Ihnen aber die rechtliche Verantwortung als Verantwortlicher ab. Auch der beste „DSGVO-konforme Anbieter" liefert nur die Technik – die Rechtsgrundlage und die saubere Datenherkunft müssen Sie selbst sicherstellen.

Häufige Fehler

Die meisten Abmahnungen und Beschwerden im E-Mail-Marketing gehen auf eine überschaubare Zahl wiederkehrender Fehler zurück. Wer sie kennt, vermeidet die teuersten Stolperfallen.

• Vorangekreuzte Checkbox: Eine bereits angehakte Einwilligungsbox ist keine aktive Handlung und damit keine wirksame Einwilligung (Art. 4 Nr. 11 DSGVO).
• Gekaufte Liste kalt anmailen: Eine fremde Einwilligung ist nicht übertragbar; die Liste ersetzt keine eigene Rechtsgrundlage. Das ist der klassische Abmahn-Fall.
• Fehlendes Protokoll: Ohne dokumentierte Double-Opt-In-Nachweise können Sie die Einwilligung im Streitfall nicht beweisen – und tragen die Beweislast.
• Kopplung an ein Gewinnspiel: Wird die Newsletter-Einwilligung zur Bedingung für eine andere Leistung gemacht, ist die Freiwilligkeit – und damit die Wirksamkeit – fraglich.
• Werbung in der Bestätigungsmail: Bis zum Bestätigungsklick liegt keine Einwilligung vor; eine werbliche Aktivierungsmail ist bereits unzulässig.
• Defekter oder versteckter Abmeldelink: Das absolute Widerspruchsrecht (Art. 21) verlangt einen einfachen, funktionierenden Weg.

Der gemeinsame Nenner: Diese Fehler entstehen, wenn der Funnel auf maximale Reichweite statt auf rechtliche Tragfähigkeit optimiert wird. Jetzt kostenlos registrieren und die saubere Datengrundlage filtern →

Checkliste: DSGVO-konforme E-Mail-Akquise

Die folgende Checkliste fasst die Bausteine zusammen, die jede rechtskonforme E-Mail-Akquise tragen. Sie ist eine praktische Orientierung, kein Ersatz für die Einzelfallprüfung.

Saubere Datengrundlage statt fertiger Versandlisten

Aus allem Vorigen folgt eine klare Konsequenz: Der tragfähige Weg ist nicht die kalte Massen-Mail an gekaufte persönliche Adressen, sondern die sachbezogene, gut vorbereitete Ansprache auf Basis sauberer, gefilterter Firmendaten – kombiniert mit einem selbst aufgebauten, dokumentierten Einwilligungsprozess für Newsletter und wiederkehrendes Marketing.

Genau dafür ist LeadSuche gebaut. LeadSuche ist ein Self-Service-B2B-Lead-Daten-SaaS für den DACH-Raum mit KI-qualifizierten Firmendatensätzen. Sie filtern selbst nach Branche, Region, Zielmarkt (B2B, B2C oder beides) und Tech-Stack, sehen Vorschauen und schalten gezielt nur die wirklich relevanten Datensätze frei – ein Credit pro Datensatz, transparent ab rund 39 € im Monat über Stripe, ohne Sales-Anruf und ohne Vertragsbindung. Die freigeschalteten Daten exportieren Sie als CSV oder XLSX direkt ins CRM.

Der entscheidende Unterschied: LeadSuche verkauft nur Kontaktdaten, die ein Unternehmen selbst auf seiner Website oder im Impressum veröffentlicht, und bewusst keine über E-Mail-Finder-Dienste ermittelten Adressen oder Durchwahlen der Geschäftsführung. Solche recherchierten Postfächer altern schnell und wären rechtlich heikel, weil die kalte Direktansprache streng reguliert ist. Dazu liefert LeadSuche die fundierte Firmendaten-Grundlage, auf der Sie eine sachbezogene, dokumentierte Ansprache aufbauen – und die Entscheideransprache läuft über den direkten persönlichen Kontakt, was rechtssicherer und nachhaltiger ist. Weil die Daten KI-qualifiziert und auf den Geschäftsgegenstand bezogen sind, erleichtern sie genau die Begründung, die eine Interessenabwägung verlangt: Sie wissen, mit wem Sie es zu tun haben. Lead-Pool jetzt testen und passende Firmendaten filtern →

Zusammenfassung

DSGVO-konforme E-Mail-Akquise ruht auf zwei Säulen: einem dokumentierten Double-Opt-In als Einwilligung für Newsletter und Marketing-Mails, und – in engen Grenzen – dem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) für einen sachbezogenen B2B-Erstkontakt. Werbliche E-Mails verlangen wettbewerbsrechtlich (§ 7 Abs. 2 Nr. 2 UWG, § 174 TKG in Österreich) fast immer eine vorherige Einwilligung, nach dem UWG eine ausdrückliche, auch im B2B und ohne pauschalen Rabatt. Single- und Confirmed-Opt-In liefern den nötigen Einwilligungsbeweis nicht; nur das Double-Opt-In mit revisionssicherem Protokoll (Zeitstempel, IP, Einwilligungstext, Bestätigungsmail) erfüllt die Rechenschaftspflicht. Ein sauberer Funnel achtet auf Datenschutzhinweis am Formular, Zweckbindung, Kopplungsverbot und Datensparsamkeit; jede Akquise-Mail braucht klaren Absender, Datenherkunfts-Hinweis (Art. 14) und einen funktionierenden, sofort wirksamen Widerspruchsweg (Art. 21). Kalte Massen-Mails an gekaufte Postfächer sind fast nie zulässig – die rechtssichere Grundlage sind saubere, gefilterte Firmendaten statt fertiger persönlicher Listen. Dieser Artikel ist keine Rechtsberatung. Stand Oktober 2026.

Häufige Fragen zum Thema