Was ist das Double Opt-in?

Double Opt-in ist das zweistufige Anmeldeverfahren, das E-Mail-Listen und Newsletter nutzen. Die Person füllt ein Formular mit ihrer E-Mail-Adresse aus und muss, bevor sie irgendeinen Versand erhält, diese Anmeldung per Klick auf einen Link in einer Bestätigungsmail bestätigen. Erst dieser Klick aktiviert die Eintragung.

Das Verfahren erfüllt zwei unterschiedliche Funktionen. Es verhindert, dass jemand eine fremde Adresse ohne Wissen ihres Inhabers einträgt, ein häufiges Problem bei öffentlich zugänglichen Formularen. Und es hinterlässt eine technisch überprüfbare Spur des genauen Zeitpunkts, zu dem diese Person ihr Einverständnis gegeben hat, samt der IP-Adresse, von der aus der Bestätigungslink angeklickt wurde.

Dieser zweite Punkt ist der Grund, warum sich Double Opt-in in Deutschland als Standard im E-Mail-Marketing durchgesetzt hat. Es beschreibt nicht, wie die Einwilligung allgemein einzuholen ist, das regelt bereits die DSGVO als übergeordneter Rahmen, sondern wie dieses Prinzip konkret auf eine E-Mail-Anmeldung angewendet wird, meist der erste formale Kontaktpunkt in der Customer Journey eines E-Mail-Abonnenten.

In Deutschland lässt Single Opt-in dem Verantwortlichen keine belastbare Möglichkeit, nachzuweisen, dass tatsächlich der Inhaber der Adresse die Anmeldung wollte, ein Problem, das bei einer Beschwerde entscheidend wird.

Der Prozess beginnt mit einem Anmeldeformular, meist auf einer Website oder Landingpage, in das der Nutzer seine E-Mail-Adresse einträgt. In diesem Moment wird noch kein werblicher Inhalt verschickt: Das System erzeugt automatisch eine Bestätigungsmail mit einem eindeutigen Link, unterschiedlich für jede Anmeldung und jeden Versuch. Die meisten E-Mail-Marketing-Plattformen bringen diesen Mechanismus bereits als Standardfunktion mit, ganz ohne eigene Programmierung.

Klickt die Person auf diesen Link, protokolliert das System die Bestätigung sofort mit Datum, Uhrzeit und IP-Adresse, und erst dann wechselt die betreffende Adresse in der Liste in den aktiven Status. Ab diesem Zeitpunkt kann sie den Newsletter oder die Kampagnen erhalten, denen sie zugestimmt hat, ein üblicher Schritt in jeder Inbound-Marketing-Strategie, die Abonnenten über eigene Formulare gewinnt statt über gekaufte Listen.

Klickt niemand auf den Link, bleibt die Adresse in einem Zwischenzustand, unbestätigt, ohne in dieser Zeit irgendeinen Versand zu erhalten. Diesen Zustand unbegrenzt zu belassen ist keine gute Praxis: Nach einer angemessenen Frist, üblich sind 24 bis 72 Stunden, sollte die Adresse automatisch gelöscht werden, statt sie ohne Aktivität und ohne Rechtsgrundlage für den Versand aufzubewahren. Diese regelmäßige Bereinigung hält die Liste zudem sauber und spart Versandkontingent für Adressen, die nie aktiviert wurden.

Der Begriff Double Opt-in taucht weder in der DSGVO noch im deutschen Gesetz gegen den unlauteren Wettbewerb (UWG) namentlich auf: Kein Artikel nennt oder verlangt ihn wörtlich. Die Pflicht ist mittelbar, und es lohnt sich, genau zu unterscheiden, woher sie kommt.

Ausgangspunkt ist Artikel 7 Absatz 1 DSGVO, der die Beweislast dem Verantwortlichen auferlegt: Er muss nachweisen können, dass die Person ihre Einwilligung erteilt hat, nicht umgekehrt. Nur eine E-Mail-Adresse in einer Datenbank zu speichern, beweist für sich genommen gar nichts.

Darauf aufbauend stellte der Bundesgerichtshof (BGH) in einem Urteil vom 10. Februar 2011 (Az. I ZR 164/09) fest, dass das bloße Speichern einer IP-Adresse zusammen mit der Behauptung, von dieser sei die Einwilligung erteilt worden, als Nachweis nicht genügt. Gefordert wird eine vollständigere Dokumentation: der gesamte Opt-in-Vorgang, einschließlich des genauen Wortlauts, dem die Person zugestimmt hat.

Die Datenschutzkonferenz (DSK), die die Aufsichtsbehörden von Bund und Ländern zusammenfasst, griff beide Elemente in ihrer Orientierungshilfe vom Februar 2022 zur Direktwerbung auf: Sie erklärt Double Opt-in für die elektronische Verifizierung einer Einwilligungserklärung als "geboten" und verweist dabei ausdrücklich auf dieses BGH-Urteil für die Dokumentationsanforderungen. Diese Orientierungshilfe hat keinen Gesetzesrang, sie bündelt lediglich die gemeinsame Auffassung der Aufsichtsbehörden, dient in der Praxis aber als Maßstab, an dem sie eine Beschwerde messen. Double Opt-in ist deshalb keine ausdrückliche gesetzliche Pflicht, sondern der praktische Weg, um die Nachweispflicht aus Artikel 7 Absatz 1 zu erfüllen.

• Verschicke die Bestätigungsmail innerhalb weniger Minuten nach der Anmeldung, ohne jeden werblichen Inhalt über die reine Bestätigungsbitte hinaus.
• Protokolliere Datum, Uhrzeit, IP-Adresse und den genauen Wortlaut der Einwilligung bei jeder Bestätigung, wie es die BGH-Rechtsprechung verlangt.
• Lösche unbestätigt gebliebene Anmeldungen nach einer angemessenen Frist automatisch, statt sie unbegrenzt als "ausstehend" zu speichern.
• Nutze pro Bestätigungslink genau einen Zweck: Verknüpfe damit nicht heimlich eine weitere Anmeldung oder eine Änderung der Bedingungen.
• Biete in jedem Versand einen sichtbaren Abmeldelink an, genauso einfach wie die Anmeldung selbst.
• Bewahre den Einwilligungsnachweis in deinem CRM auch nach einer Abmeldung auf, als Beleg gegenüber einer künftigen Beschwerde.

• Double Opt-in als reine Formsache behandeln statt als den rechtlichen Nachweis, der den gesamten späteren Versand trägt.
• Nur die IP-Adresse speichern und annehmen, dass das als Einwilligungsnachweis reicht, etwas, das der BGH ausdrücklich zurückgewiesen hat.
• Unbestätigte Anmeldungen monatelang in der Datenbank ansammeln lassen, ohne Frist und ohne automatische Löschung.
• Double Opt-in mit der Segmentierung der Liste verwechseln: Das sind unterschiedliche Vorgänge, der eine bestätigt die Anmeldung, der andere ordnet die bereits Angemeldeten.
• Werbliche Inhalte direkt in die Bestätigungsmail packen, wodurch dieser Versand selbst zu nicht eingewilligter Werbung werden kann.