DSGVO- und LGPD-konformes E-Mail-Marketing: Ein praktischer Leitfaden

Jede E-Mail-Adresse in Ihrer Datenbank ist ein personenbezogenes Datum. Allein diese Tatsache stellt Ihr gesamtes E-Mail-Programm unter die DSGVO (Datenschutz-Grundverordnung, seit 2018 in Kraft) — und, sobald Sie Abonnenten in Brasilien haben, zusätzlich unter die brasilianische LGPD (Lei Geral de Proteção de Dados, Gesetz 13.709/2018). Diese Gesetze regeln, wie Sie Adressen erheben, speichern, nutzen und löschen.

Die gute Nachricht: Die Regeln sind praxisnäher, als sie wirken, und decken sich weitgehend mit dem, was gute E-Mail-Marketer ohnehin tun — nur an Menschen senden, die es wollten, Daten korrekt halten und Kontakte loslassen, die nicht mehr gebraucht werden. Dieser Leitfaden stellt beide Rechtsrahmen nebeneinander, von Rechtsgrundlagen und Einwilligung bis zu Speicherfristen und Durchsetzung, und zeigt, wo saubere, validierte Daten Ihr Risiko messbar senken.

Warum E-Mail-Marketer diese Gesetze nicht ignorieren können

Beide Regelwerke wirken weit über ihre Grenzen hinaus. Die DSGVO gilt nicht nur für Unternehmen mit Sitz in der EU, sondern für jede Organisation, die Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet. Die LGPD funktioniert genauso: Sie erfasst Verarbeitungen in Brasilien sowie Verarbeitungen, die auf das Angebot von Waren oder Dienstleistungen an Personen in Brasilien zielen — unabhängig vom Firmensitz.

Für E-Mail-Marketer heißt das: Eine Newsletter-Liste mit deutschen, französischen oder brasilianischen Abonnenten bringt Sie in den Anwendungsbereich, selbst wenn Ihr Unternehmen in keiner der Regionen ein Büro hat. Und anders als Gesetze wie der US-amerikanische CAN-SPAM Act, die vor allem das Versenden regeln, erfassen DSGVO und LGPD den gesamten Lebenszyklus der Adresse: Erhebung, Speicherung, Nutzung, Weitergabe und Löschung.

DSGVO vs. LGPD auf einen Blick

Die LGPD ist stark von der DSGVO inspiriert, daher teilen beide dieselbe Architektur: Grundsätze, Rechtsgrundlagen, Betroffenenrechte und eine Aufsichtsbehörde mit Bußgeldbefugnis. Die Unterschiede stecken im Detail:

Rechtsgrundlagen: Einwilligung und berechtigtes Interesse

Die sechs Grundlagen der DSGVO — und die zwei, die für E-Mail zählen

Artikel 6 der DSGVO nennt sechs Rechtsgrundlagen: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen. Für Marketing-E-Mails kommen realistisch nur zwei in Betracht:

• Einwilligung — die Standard- und sicherste Grundlage für Werbe-E-Mails und für neue Interessenten faktisch zwingend. Die europäischen ePrivacy-Regeln kommen hinzu: Unerbetene elektronische Werbung erfordert grundsätzlich ein vorheriges Opt-in. In Deutschland verlangt zudem §7 UWG für E-Mail-Werbung regelmäßig eine ausdrückliche Einwilligung.
• Berechtigtes Interesse — ein deutlich engerer Weg, vor allem vertretbar für die Kommunikation mit Bestandskunden zu ähnlichen Produkten oder Dienstleistungen, und nur nach einer dokumentierten Interessenabwägung. Behörden und Gerichte legen das berechtigte Interesse im Marketing restriktiv aus, und das Widerspruchsrecht des Empfängers gewinnt immer.

Die zehn Grundlagen der LGPD

Artikel 7 der LGPD nennt zehn Rechtsgrundlagen. Neben Einwilligung, Vertrag, rechtlicher Verpflichtung und berechtigtem Interesse enthält er Grundlagen ohne direktes DSGVO-Pendant — die bekannteste ist der Kreditschutz, dazu Forschung, Gesundheitsschutz und Gerichtsverfahren. Für das E-Mail-Marketing entspricht die praktische Analyse jedoch der europäischen: Die Einwilligung ist die Standardgrundlage für Werbenachrichten, und das berechtigte Interesse kann die Kommunikation mit Bestandskunden tragen — vorausgesetzt, Sie führen und dokumentieren eine Abwägung und bieten eine einfache Abmeldung. Die LGPD-Einwilligung muss frei, informiert und unmissverständlich sein und sich auf bestimmte Zwecke beziehen — die Beweislast trägt der Verantwortliche.

Wie eine gültige Einwilligung wirklich aussieht

Beide Gesetze definieren die Einwilligung nahezu wortgleich. Um einer Prüfung standzuhalten, muss sie sein:

• Freiwillig — nicht mit sachfremden Bedingungen gebündelt und nie Voraussetzung für einen Dienst, der sie nicht erfordert.
• Spezifisch — ein Zweck pro Checkbox. Die Einwilligung, "unseren Newsletter zu erhalten", deckt keine Weitergabe der Adresse an Partner.
• Informiert — der Abonnent weiß, wer die Daten erhebt, was er erhalten wird und wie er widerrufen kann.
• Unmissverständlich — eine eindeutige bestätigende Handlung. Der Europäische Gerichtshof hat im Planet49-Urteil (2019) bestätigt, dass vorangekreuzte Kästchen keine gültige Einwilligung sind; dieselbe Logik gilt unter der LGPD.

Der Widerruf muss so einfach sein wie die Erteilung — deshalb braucht jede Nachricht eine funktionierende Ein-Klick-Abmeldung, und Einwilligungsnachweise (Zeitstempel, Herkunftsformular, IP, exakter angezeigter Wortlaut) gehören in Ihr ESP oder CRM, nicht in eine handgepflegte Tabelle.

Double-Opt-in: Best Practice — und in Deutschland der faktische Standard

Weder die DSGVO noch die LGPD schreiben das Double-Opt-in (bestätigtes Opt-in) wörtlich vor. Da aber beide Gesetze Ihnen die Beweislast für die Einwilligung auferlegen, ist der Bestätigungsklick der stärkste Nachweis, den Sie haben können. In Deutschland behandelt die Rechtsprechung das Double-Opt-in seit Jahren als faktischen Standard für den Nachweis einer E-Mail-Einwilligung, und Aufsichtsbehörden in ganz Europa empfehlen es. Dazu kommt ein Marketing-Bonus: Es hält Tippfehler, Bots und Fake-Anmeldungen von Ihrer Liste fern — Adressen, die sonst bouncen, Ihre Kennzahlen verzerren und bedeuten würden, dass Sie personenbezogene Daten von Menschen speichern, die sich nie angemeldet haben.

Betroffenenrechte, die Ihr E-Mail-Programm direkt treffen

Beide Gesetze geben Einzelpersonen durchsetzbare Rechte an ihren Daten, und vier davon landen unmittelbar beim Marketingteam:

• Auskunft — ein Abonnent kann fragen, welche Daten Sie über ihn halten: Profilfelder, Einwilligungsnachweise, Interaktionshistorie. Sie müssen diese innerhalb der gesetzlichen Frist exportieren können.
• Löschung (Recht auf Vergessenwerden) — auf Verlangen müssen für Marketing genutzte personenbezogene Daten gelöscht werden, wenn kein anderer rechtmäßiger Grund für die Aufbewahrung besteht.
• Datenübertragbarkeit — die betroffene Person kann ihre Daten in einem strukturierten, maschinenlesbaren Format verlangen.
• Widerspruch — unter der DSGVO ist das Widerspruchsrecht gegen Direktwerbung absolut: Widerspricht jemand, hören Sie auf. Keine Abwägung, keine Ausnahmen. Die LGPD erreicht dasselbe Ergebnis über den Widerruf der Einwilligung und den Widerspruch gegen die Verarbeitung.

Sperrliste vs. Löschung: die Mechanik richtig aufsetzen

Hier lauert die operative Falle: Löschen Sie einen abgemeldeten Kontakt vollständig, hindert nichts eine CRM-Synchronisation oder eine Partnerliste daran, die Adresse im nächsten Quartal erneut zu importieren — und plötzlich schreiben Sie jemanden an, der ausdrücklich widersprochen hat. Die anerkannte Praxis ist die Sperrliste (Suppression List): Löschen Sie Marketingprofil und Historie, behalten Sie aber einen minimalen Eintrag (idealerweise die gehashte E-Mail-Adresse), dessen einziger Zweck es ist, sicherzustellen, dass die Person nie wieder kontaktiert wird. Dokumentieren Sie das in Ihrer Datenschutzerklärung; minimale Daten zu behalten, um eine Abmeldung zu wahren, ist selbst ein anerkannter rechtmäßiger Zweck.

Speicherfristen: Behalten Sie nur, was Sie noch brauchen

Der Grundsatz der Speicherbegrenzung steht in beiden Gesetzen: Personenbezogene Daten dürfen nur so lange aufbewahrt werden, wie es für den Erhebungszweck erforderlich ist. Im E-Mail-Marketing ist "für immer" keine Speicherfrist — sondern ein Haftungsrisiko. Praktische Leitplanken:

• Legen Sie Speicherfristen schriftlich fest. Die französische CNIL empfiehlt, Daten inaktiver Interessenten etwa drei Jahre nach dem letzten relevanten Kontakt zu löschen — ein Richtwert, der auch außerhalb Frankreichs breit genutzt wird.
• Automatisieren Sie die Löschung. Eine Richtlinie, die davon abhängt, dass jemand an ein Aufräumskript denkt, fällt in jedem Audit durch. Speicherfristen muss das System nach Zeitplan durchsetzen.
• Bereinigen Sie auch Verarbeitungsartefakte. Hochgeladene CSVs, Validierungsexporte und Kampagnendateien enthalten personenbezogene Daten. Sie brauchen Ablaufdaten wie jeder Datenbankeintrag.
• Beachten Sie die Durchsetzungspraxis. Die französische Behörde hat Unternehmen gezielt wegen unverhältnismäßiger Speicherdauern sanktioniert — 2024 verhängte sie gegen das B2B-Datenunternehmen Kaspr €200.000, unter anderem wegen Kontaktdaten, die Jahre länger als gerechtfertigt aufbewahrt wurden.

Internationale Datentransfers, kurz gefasst

Verlassen Abonnentendaten die EU oder Brasilien — etwa zu einem ESP mit Sitz in den USA — verlangen beide Gesetze Schutzmaßnahmen. Unter der DSGVO heißt das üblicherweise Angemessenheitsbeschluss oder Standardvertragsklauseln (SCC); unter der LGPD hat die ANPD 2024 ihren eigenen Transferrahmen samt Standardvertragsklauseln verabschiedet. Für Marketer ist die Lehre einfach: Wissen Sie, wo Ihr E-Mail-Stack Daten speichert, und prüfen Sie, ob Ihre Anbieter im Auftragsverarbeitungsvertrag einen gültigen Transfermechanismus vorsehen.

Wie Durchsetzung in der Praxis aussieht

Diese Risiken sind nicht theoretisch. Europäische Behörden ahnden E-Mail-bezogene Verstöße regelmäßig: 2025 verhängte die französische CNIL gegen Solocal Marketing Services €900.000 wegen kommerzieller Ansprache ohne gültige Einwilligung und der Weitergabe von Interessentendaten an Partner ohne Rechtsgrundlage. Einwilligungsherkunft, Listenkäufe und Speicherdauern tauchen in aktuellen Sanktionen immer wieder auf. In Brasilien verhängt die ANPD seit 2023 Bußgelder und hat seither Unternehmen jeder Größe sanktioniert — und über Geldbußen hinaus können beide Behörden Verarbeitungsverbote anordnen, was für eine Marketingdatenbank bedeutet: Die Liste selbst wird unbrauchbar.

Praktische Compliance-Checkliste für E-Mail-Marketer

• Erfassen Sie jede Quelle von E-Mail-Adressen und dokumentieren Sie die Rechtsgrundlage je Segment.
• Verwenden Sie in jedem Formular entbündelte, nicht vorangekreuzte, zweckgebundene Einwilligungs-Checkboxen.
• Setzen Sie Double-Opt-in um — für Zielgruppen in der EU und in Brasilien mindestens.
• Speichern Sie Einwilligungsnachweise: Zeitstempel, Formular, IP-Adresse und den exakt angezeigten Text.
• Kaufen oder mieten Sie niemals E-Mail-Listen — Einwilligungen sind nicht auf Sie übertragbar.
• Setzen Sie Abmeldungen sofort um und pflegen Sie eine gehashte Sperrliste.
• Bauen Sie einen fristgebundenen Workflow für Auskunfts-, Lösch- und Übertragbarkeitsanfragen auf.
• Halten Sie Speicherfristen je Datenkategorie schriftlich fest und automatisieren Sie die Löschung.
• Prüfen Sie, ob Ihr ESP und Ihre Validierungsanbieter einen Auftragsverarbeitungsvertrag mit gültigen Transfergarantien bieten.
• Validieren Sie Ihre Liste regelmäßig, damit Sie keine personenbezogenen Daten ohne Zweck speichern.

Wo E-Mail-Validierung die Compliance unterstützt

E-Mail-Validierung ist keine Rechtsdienstleistung, aber sie setzt drei Pflichten, die beide Gesetze auferlegen, unmittelbar operativ um:

• Datenminimierung. Tote, aufgegebene und ungültige Adressen sind personenbezogene Daten, die Sie ohne Zweck vorhalten. Sie zu identifizieren und zu entfernen verkleinert Ihre Compliance-Angriffsfläche — jeder bereinigte Datensatz ist einer weniger, den Sie sichern, beauskunften oder verlieren können.
• Richtigkeit. Beide Gesetze verlangen sachlich richtige und aktuelle personenbezogene Daten. Regelmäßige Validierung markiert Adressen, die nicht mehr existieren, und hält Ihre Datenbank faktisch korrekt.
• Integrität der Einwilligung. Echtzeit-Validierung bei der Anmeldung blockiert Tippfehler und Fake-Adressen und senkt das Risiko, Menschen anzuschreiben, die sich nie angemeldet haben — Signale, die Aufsichtsbehörden als nachlässige Datenführung werten.

Weiterführende Artikel: Wie disziplinierte Listenpflege in der Praxis funktioniert, zeigt unser Leitfaden zu Best Practices der E-Mail-Listen-Hygiene; wie große Datenbestände im Maßstab sauber bleiben, lesen Sie in B2B-E-Mail-Datenqualität im CRM.

Fazit

DSGVO- und LGPD-Compliance ist kein einmaliges Projekt — sie ist eine Art, ein E-Mail-Programm zu führen: Adressen transparent erheben, Einwilligungen nachweisen, jede Abmeldung respektieren und Daten nur so lange behalten, wie sie ihren Platz verdienen. Marketer, die diese Gewohnheiten verinnerlichen, stellen durchweg fest, dass dieselbe Disziplin Zustellbarkeit, Engagement und Absender-Reputation verbessert. Listen, die die Privatsphäre respektieren, performen schlicht besser.

Bereit, Ihre Compliance-Angriffsfläche zu verkleinern? Erstellen Sie ein kostenloses AT-Valid-Konto mit 200 Validierungs-Credits, entfernen Sie Adressen, die Sie nicht mehr brauchen, und stellen Sie Ihre Speicherrichtlinie auf Autopilot.