Business-Software

DSGVO-konforme E-Mail-Tools im Überblick

Kein Werkzeug ist von sich aus konform. Welche sechs Punkte den Unterschied machen und woran sich ein Anbieter schnell einordnen lässt.

Zuletzt geprüft am 13.8.2026 · 8 Minuten Lesezeit

6: Punkte, die geprüft gehören
AVV: Vertrag, ohne den es nicht geht
Protokoll: Form des Einwilligungsnachweises

Kein E-Mail-Werkzeug ist „DSGVO-konform“, so wie kein Auto von sich aus verkehrssicher fährt. Konform wird die Verarbeitung durch die Kombination aus Anbieterwahl, Konfiguration und Dokumentation. Werbeaussagen wie „100 % DSGVO-konform“ sagen daher wenig. Sechs Punkte sagen viel.

Die sechs Prüfpunkte

1. Einwilligungsnachweis mit Wortlaut

Das Werkzeug muss zu jeder Adresse protokollieren: wann angemeldet, wann bestätigt, von welcher IP-Adresse, über welches Formular und – der am häufigsten fehlende Teil – mit welchem Einwilligungstext. Ändern Sie die Formulierung Ihres Anmeldeformulars, müssen alte Einträge weiterhin den damals gültigen Text ausweisen.

2. Verarbeitungsvertrag

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Pflicht, nicht Kür. Seriöse Anbieter stellen ihn als abrufbares Dokument oder zum Abschluss im Konto bereit. Wer erst nach mehrfacher Nachfrage einen liefert, ist ein Warnsignal.

3. Serverstandort und Übermittlung

Ein Anbieter mit Verarbeitung ausschließlich in der EU ist der einfachste Weg. Bei US-Anbietern brauchen Sie eine tragfähige Übermittlungsgrundlage, eine dokumentierte Abwägung und den entsprechenden Hinweis in der Datenschutzerklärung. Machbar, aber Aufwand – und bei einer Prüfung genau der Punkt, der angesehen wird.

4. Löschfristen und Datensparsamkeit

Das Werkzeug muss erlauben, Verhaltensdaten nach einer festgelegten Frist automatisch zu löschen und beim Austragen alles außer der Sperrliste zu entfernen. Systeme, die jeden Klick unbegrenzt aufbewahren, erzeugen einen Datenbestand, den niemand mehr rechtfertigen kann.

5. Erfolgsmessung getrennt regelbar

Personenbezogene Messung von Öffnungen und Klicks ist einwilligungsbedürftig. Ein gutes Werkzeug lässt die Messung abschalten oder anonymisieren – und bietet an, die Einwilligung dafür getrennt einzuholen.

6. Auskunft und Export je Person

Bei einem Auskunftsersuchen müssen Sie zu einer einzelnen Adresse alle gespeicherten Daten ausgeben können. Wenn das nur über einen Gesamtexport geht, den Sie händisch durchsuchen, ist die Frist praktisch nicht einzuhalten.

Sicherheitshinweis: Bestehende Verteiler ohne dokumentierte Einwilligung lassen sich nicht nachträglich heilen, indem man eine Bestätigungsmail versendet – auch diese Mail wäre bereits werblicher Kontakt. Wer einen Altbestand ohne Nachweis hat, sollte den rechtlichen Rahmen prüfen lassen, bevor er ihn anschreibt.

Anbietergruppen einordnen

Gruppe	Vorteil	Zu beachten
Deutsche und europäische Anbieter	Verarbeitung in der EU, Vertragsrecht vertraut, Vertrag meist vorbereitet	Automatisierung oft weniger tief als bei großen US-Suiten
US-Anbieter mit EU-Rechenzentrum	Voller Funktionsumfang bei EU-Verarbeitung	Oft nur in höheren Stufen, Zugriff aus Drittstaaten prüfen
US-Anbieter ohne EU-Option	Größter Funktionsumfang, häufig günstigster Einstieg	Übermittlungsgrundlage und Abwägung nötig, Dokumentationsaufwand
Selbst betriebene Lösungen	Volle Datenhoheit	Zustellbarkeit und Betrieb liegen bei Ihnen – der schwierigste Teil

Formular und Datenschutzhinweis

Nur Pflichtfelder, die Sie verwenden. Jedes zusätzliche Feld muss begründbar sein.
Keine vorangekreuzten Kästchen. Eine vorausgewählte Einwilligung ist keine.
Konkret sagen, worum es geht. „Newsletter mit Tipps zu X, etwa monatlich, jederzeit abbestellbar.“
Keine Kopplung. Ein Download darf nicht davon abhängen, dass jemand dem Newsletter zustimmt.
Abmeldung in einem Schritt. Ohne Anmeldung, ohne Rückfrage.

Merksatz: Der beste Einwilligungsnachweis nützt nichts, wenn Sie ihn im Ernstfall nicht finden. Prüfen Sie einmal an einer zufälligen Adresse, wie lange es dauert, den vollständigen Nachweis herauszusuchen. Dauert es länger als fünf Minuten, ist das Verfahren nicht praxistauglich.

Die Auswahl nach Funktion behandelt E-Mail-Marketing-Tools für kleine Unternehmen, die automatisierten Abläufe E-Mail-Funnels. Für die Analysewerkzeuge gilt Vergleichbares, siehe Analytics gegen Matomo.

Häufige Fragen

Ist ein Anbieter aus den USA grundsätzlich unzulässig?

Nein, aber er verlangt mehr Sorgfalt: Verarbeitungsvertrag, Prüfung der Übermittlungsgrundlage, Angabe in der Datenschutzerklärung und eine dokumentierte Abwägung. Ein Anbieter mit EU-Rechenzentrum reduziert diesen Aufwand erheblich.

Was muss der Einwilligungsnachweis enthalten?

Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, IP-Adresse, den genauen Wortlaut, dem zugestimmt wurde, und die Quelle der Anmeldung. Ohne den Wortlaut ist der Nachweis unvollständig, weil sich Formulierungen ändern.

Darf man Öffnungen und Klicks messen?

Die Messung individuellen Verhaltens ist einwilligungspflichtig. Sauber gelöst ist es, wenn die Einwilligung zur Erfolgsmessung getrennt eingeholt wird oder das Werkzeug rein anonymisiert auswerten kann.

Was passiert bei einer Abmeldung mit den Daten?

Die Adresse darf und sollte in einer Sperrliste bleiben, damit sie nicht versehentlich erneut angeschrieben wird. Alle übrigen Merkmale und der Verhaltensverlauf gehören gelöscht. Ein Werkzeug muss diese Trennung beherrschen.