Newsletter rechtssicher und zustellbar aufsetzen: Praxisleitfaden von Anmeldung bis Versand

mailwissen.de · Aktualisiert am 26. September 2026

Ein rechtssicherer und zustellbarer Newsletter braucht mehr als Formular und Versandvorlage. Dieser Leitfaden führt Sie in acht Phasen vom AV-Vertrag über Double-Opt-In und SPF, DKIM sowie DMARC bis zum Preflight und Post-Send-Check. Sie sehen bei jedem Schritt, was einzurichten und zu prüfen ist – und anhand welcher Kriterien der erste reguläre Versand freigegeben werden kann.

Ein Newsletter ist nicht schon dann versandbereit, wenn ein Anmeldeformular funktioniert und eine erste E-Mail gestaltet wurde. Vor dem regulären Versand müssen rechtliche, organisatorische und technische Voraussetzungen ineinandergreifen: vom Auftragsverarbeitungsvertrag über Double-Opt-In und Kontaktstatus bis zu SPF, DKIM, DMARC, Abmeldemöglichkeiten und der Kontrolle nach dem Versand.

Entscheidend ist dabei die richtige Reihenfolge. Ein technisch korrekt authentifizierter Newsletter darf nicht an unbestätigte Kontakte verschickt werden. Umgekehrt hilft eine wirksame Einwilligung wenig, wenn die Versanddomain bei großen Mailbox-Providern an technischen Anforderungen scheitert.

Dieser Leitfaden führt Sie deshalb in acht Phasen durch das komplette Setup. Jede Phase folgt derselben Freigabelogik:

1. Einrichten: Was muss konfiguriert werden?
2. Prüfen: Wie kontrollieren Sie die Funktion?
3. Freigabekriterium: Welcher Zustand muss erreicht sein?
4. Erledigt, wenn: Woran erkennen Sie, dass Sie weitergehen können?

Die Prüfungen sind zusätzlich gekennzeichnet:

• 🔵 [RECHT] Gesetzliche Vorgabe
• 🟢 [NACHWEIS] Dokumentation und Nachweisbarkeit
• 🟣 [PROVIDER] Anforderung von Mailbox-Providern
• ⚪ [BEST PRACTICE] Empfehlung für einen zuverlässigen Versand

Phase 1: Versandmodell festlegen & Auftragsverarbeitung absichern

Wenn Sie für Ihr E-Mail-Marketing einen externen Dienstleister einsetzen, verarbeitet dieser personenbezogene Daten in Ihrem Auftrag. Bevor Sie über das System Kontaktdaten erheben, muss deshalb die datenschutzrechtliche Grundlage für diese Verarbeitung stehen.

🔵 [RECHT] Einrichten: Wählen Sie den E-Mail-Marketing-Dienstleister aus und schließen Sie mit ihm einen Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO ab.

Bei einem Dienstleister mit relevanten Drittlandtransfers müssen zusätzlich die Voraussetzungen für die Übermittlung personenbezogener Daten in Drittländer geprüft werden. Dafür kommen insbesondere ein Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln in Betracht.

Herstelleraussagen wie „Server in Deutschland“ oder „100 % DSGVO-konform“ ersetzen diese Prüfung nicht. Solche Aussagen beschreiben allenfalls einzelne Eigenschaften oder Anbieterpositionen. Verantwortlich für die konkrete Nutzung des Systems und die Einhaltung der eigenen Pflichten bleibt der Versender.

Sie möchten prüfen, ob KlickTipp als System für Ihr E-Mail-Marketing-Setup infrage kommt?

🔵 [RECHT] Prüfen: Kontrollieren Sie, ob der AV-Vertrag tatsächlich digital oder schriftlich geschlossen und dokumentiert wurde. Prüfen Sie außerdem, ob bei Drittlandtransfers ein zulässiges Transferinstrument vorliegt.

Freigabekriterium: Der erforderliche AV-Vertrag ist rechtswirksam abgeschlossen und dokumentiert; relevante Drittlandtransfers wurden geprüft.

Erledigt, wenn: Die vertragliche Grundlage steht, bevor über das System personenbezogene Daten erhoben werden.

Phase 2: Technische Authentifizierung einrichten & Provider-Vorgaben erfüllen

Bevor Sie den eigentlichen Anmelde- und Versandprozess freigeben, sollte die Versanddomain technisch vorbereitet werden. Im Mittelpunkt stehen SPF, DKIM und DMARC.

SPF legt fest, welche Systeme für eine Domain E-Mails versenden dürfen. DKIM versieht Nachrichten mit einer kryptografischen Signatur. DMARC baut auf SPF und DKIM auf und berücksichtigt unter anderem das sogenannte Domain Alignment: Die für die Authentifizierung verwendeten Domains müssen zur sichtbaren Absenderdomain passen.

Diese Verfahren sind keine deutschen gesetzlichen Newsletter-Pflichten. Sie sind technische Internetstandards und zugleich wichtige Anforderungen großer Mailbox-Provider.

🟣 [PROVIDER] Einrichten: Hinterlegen Sie die erforderlichen SPF-, DKIM- und DMARC-Einträge für Ihre Versandkonfiguration im DNS. Bei DMARC ist eine Monitoring-Phase mit p=none ein sinnvoller Einstieg, bevor strengere Richtlinien eingesetzt werden.
Große Mailbox-Provider stellen zusätzliche Anforderungen an die E-Mail-Authentifizierung. Für Bulk-Sender gelten dabei weitergehende Vorgaben, unter anderem zu SPF, DKIM, DMARC und Domain Alignment. Prüfen Sie deshalb vor dem Versand, welche Anforderungen für Ihr konkretes Versandvolumen und die jeweiligen Empfänger-Provider gelten.

⚪ [BEST PRACTICE] Einrichten: Starten Sie DMARC nicht ungeprüft mit p=reject. Nutzen Sie zunächst p=none, werten Sie die Berichte aus und prüfen Sie die legitimen Versandquellen, bevor Sie die Policy schrittweise verschärfen.

🟣 [PROVIDER] Prüfen: Senden Sie eine Testnachricht an externe Postfächer und kontrollieren Sie den E-Mail-Header. SPF, DKIM und DMARC müssen erfolgreich ausgewertet werden. Kontrollieren Sie dabei auch das Domain Alignment.

Freigabekriterium: Die Testnachrichten zeigen spf=pass, dkim=pass und dmarc=pass; das Alignment ist korrekt.

Erledigt, wenn: Die Versanddomain authentifiziert ist und Testnachrichten die vorgesehenen Prüfungen bestehen.

Phase 3: Anmeldeformular, Einwilligung & Double-Opt-In rechtssicher aufbauen

Für Werbe-E-Mails gilt grundsätzlich: Sie benötigen eine vorherige ausdrückliche Einwilligung des Empfängers. § 7 Abs. 2 Nr. 2 UWG behandelt Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung als unzumutbare Belästigung.

Eine Ausnahme kann unter den engen Voraussetzungen des § 7 Abs. 3 UWG für bestehende Kundenbeziehungen gelten. Ob diese Voraussetzungen im konkreten Fall vollständig erfüllt sind, muss vor dem Versand gesondert geprüft und dokumentiert werden. Die einzelnen Voraussetzungen werden im Artikel zu den rechtlichen Grundlagen für Newsletter und E-Mail-Marketing erläutert.

🔵 [RECHT] Einrichten: Gestalten Sie den regulären Anmeldeprozess so, dass eine freiwillige, informierte und unmissverständliche Einwilligung abgegeben werden kann. Vorangekreuzte Checkboxen sind dafür nicht geeignet.

Bei der Erhebung der E-Mail-Adresse müssen außerdem die erforderlichen Informationen nach Art. 13 DSGVO verfügbar sein. Dazu gehören unter anderem Angaben zum Verantwortlichen, zu Verarbeitungszwecken und Rechtsgrundlage, zur Speicherdauer und zu den Rechten der betroffenen Person.

🟢 [NACHWEIS] Einrichten: Konfigurieren Sie anschließend das Double-Opt-In. Nach der Anmeldung wird zunächst eine Bestätigungsnachricht versendet. Erst der anschließende Bestätigungsklick gibt den Kontakt für den vorgesehenen Verteiler frei.

Double-Opt-In ist dabei nicht als eigener Begriff im Gesetz vorgeschrieben. Gesetzlich relevant ist insbesondere, dass eine Einwilligung nachweisbar sein muss. DOI ist das rechtlich gebotene operative Verfahren, mit dem die Anmeldung verifiziert und der erforderliche Nachweis abgesichert werden kann. Die bloße Speicherung einer IP-Adresse ohne Bestätigungsklick reicht dafür nicht aus.

🟢 [NACHWEIS] Prüfen: Führen Sie selbst eine Testanmeldung durch. Kontrollieren Sie, ob die DOI-Mail ankommt und ob der Bestätigungsvorgang einschließlich Zeitpunkt und maßgeblicher Einwilligungserklärung nachvollziehbar protokolliert wird.

Freigabekriterium: Der vollständige DOI-Prozess funktioniert und die Bestätigung lässt sich dokumentieren.

Erledigt, wenn: Eine Testadresse erst nach dem erfolgreichen Bestätigungsklick in den aktiven Verteiler gelangt.

Falls Öffnungs- oder Klicktracking eingesetzt werden soll, ist dessen konkrete datenschutzrechtliche Ausgestaltung gesondert zu prüfen. Die rechtliche Detailbewertung ist kontextabhängig und gehört nicht in diesen Setup-Leitfaden.

Phase 4: Kontakt-Lebenszyklus verwalten & Versandfreigabe steuern

Nach dem Anmeldeprozess braucht das System eine eindeutige Statuslogik. Nur so lässt sich verhindern, dass unbestätigte, abgemeldete oder technisch gesperrte Kontakte versehentlich angeschrieben werden.

Für das Setup sind vier Zustände besonders wichtig:

1. Unbestätigt / DOI ausstehend: Der Kontakt hat den Bestätigungsprozess noch nicht abgeschlossen.
2. Bestätigt / Versandbereit: Die erforderliche Bestätigung wurde nachgewiesen oder es liegt ein dokumentierter Tatbestand nach § 7 Abs. 3 UWG vor.
3. Abgemeldet / Gesperrt: Der Kontakt darf keine entsprechende Werbung mehr erhalten.
4. Hard Bounce / Beschwerde: Die Adresse wird aus technischen beziehungsweise Reputationsgründen für weitere reguläre Mailings gesperrt.

🟢 [NACHWEIS] Einrichten: Definieren Sie im E-Mail-Marketing-System Regeln, nach denen ausschließlich Kontakte mit dem Status „Bestätigt / Active“ in die regulären Newsletter-Segmente gelangen. Dokumentierte Bestandskundenfälle nach § 7 Abs. 3 UWG müssen entsprechend separat rechtlich abgesichert sein.

🔵 [RECHT] Einrichten: Abmeldungen müssen zum sofortigen Ausschluss aus dem aktiven Verteiler führen. Für die Werbesperre kann eine Suppression List erforderlich sein, damit eine bereits abgemeldete Adresse beispielsweise bei einem späteren Datenimport nicht versehentlich wieder aktiviert wird.

Eine Abmeldung bedeutet deshalb nicht automatisch, dass sämtliche zur Sperre oder zum Nachweis erforderlichen Informationen spurlos aus allen Systemen entfernt werden müssen. Entscheidend ist zunächst, dass die Werbung beendet und eine versehentliche erneute Ansprache verhindert wird.

🟣 [PROVIDER] Einrichten: Hard Bounces und Beschwerden müssen ebenfalls zu einer Sperre für weitere reguläre Mailings führen.

🟢 [NACHWEIS] Prüfen: Kontrollieren Sie das tatsächliche Versandsegment. Enthält es unbestätigte, abgemeldete oder gesperrte Adressen?

Freigabekriterium: Der Versandfilter lässt ausschließlich freigegebene Kontakte in den regulären Verteiler.

Erledigt, wenn: Im Versandsegment nur Kontakte mit zulässigem Versandstatus enthalten sind.

Phase 5: Impressum, Absendertransparenz & Abmeldelink in der Vorlage verankern

Nun wird die eigentliche Versandvorlage geprüft. Neben Inhalt und Gestaltung sind dabei insbesondere Absendertransparenz, Anbieterkennzeichnung und Abmeldung relevant.

🔵 [RECHT] Einrichten: Der kommerzielle Charakter der Nachricht und der Absender dürfen nicht verschleiert werden. Absenderangaben und Betreffzeile müssen entsprechend klar gestaltet sein.

Eine Werbe-E-Mail benötigt außerdem die erforderliche Anbieterkennzeichnung beziehungsweise einen unmittelbar erreichbaren Impressumszugang sowie eine sichtbare und einfache Abmeldemöglichkeit im E-Mail-Text.

Verwenden Sie keine irreführenden Absenderbezeichnungen oder Betreffzeilen.

🟣 [PROVIDER] Einrichten: Zusätzlich zur sichtbaren Abmeldung im E-Mail-Body benötigen relevante Marketing-Mailings für die Anforderungen großer Provider die technischen Header für One-Click-Unsubscribe. Dazu gehören List-Unsubscribe und List-Unsubscribe-Post gemäß den einschlägigen Standards.

Ein normaler Abmeldelink im Text ersetzt diesen technischen Mechanismus nicht. Umgekehrt ersetzt der technische Header nicht die für den Empfänger sichtbare Abmeldemöglichkeit.

⚪ [BEST PRACTICE] Einrichten: Verwenden Sie eine Absenderadresse, über die Antworten möglich sind, statt einer nicht antwortbaren „No-Reply“-Adresse.

🔵 [RECHT] Prüfen: Öffnen Sie die Testmail und kontrollieren Sie Absender, Betreff, Impressumszugang und den sichtbaren Abmeldelink.

🟣 [PROVIDER] Prüfen: Kontrollieren Sie zusätzlich den Header der Testnachricht. Der technische One-Click-Unsubscribe-Mechanismus muss korrekt mitgesendet werden.

Freigabekriterium: Sichtbare Abmeldung und technische Abmeldung funktionieren; das Impressum ist erreichbar und der Absender eindeutig.

Erledigt, wenn: Die Testmail einen funktionierenden Abmeldelink enthält und der technische Abmelde-Header korrekt vorhanden ist.

Phase 6: Der Preflight-Check – die finale Go/No-Go-Prüfung vor dem ersten Versand

Jetzt werden die bisherigen Phasen zusammengeführt. Der Preflight-Check ist die letzte Freigabestufe vor dem ersten regulären Mailing.

Senden Sie zunächst eine Testnachricht an einen kleinen Audit-Verteiler mit externen Postfächern und arbeiten Sie anschließend alle sechs Punkte ab.

Go/No-Go-Checkliste

1. 🟢 [NACHWEIS] Verteiler: Enthält das Versandsegment ausschließlich bestätigte Kontakte mit nachweisbarem DOI beziehungsweise rechtlich geprüfte Bestandskundenfälle nach § 7 Abs. 3 UWG? Unbestätigte oder abgemeldete Kontakte bedeuten NO-GO.
2. 🟣 [PROVIDER] Authentifizierung: Zeigen die Header von Testnachrichten an externe Adressen SPF = PASS, DKIM = PASS und DMARC = PASS? Ist das Domain Alignment korrekt? Ein Authentifizierungsfehler bedeutet NO-GO.
3. 🔵 [RECHT] Absender und Betreff: Ist der Absender eindeutig identifizierbar? Kann auf die verwendete Adresse geantwortet werden? Ist der Betreff frei von irreführenden Angaben?
4. 🔵 [RECHT] Pflichtangaben: Ist die Anbieterkennzeichnung beziehungsweise das Impressum erreichbar? Funktioniert der sichtbare Abmeldelink?
5. 🟣 [PROVIDER] Technical Header: Ist der RFC-8058-One-Click-Mechanismus aktiv und wird er im Header der Testmail tatsächlich mitgesendet?
6. ⚪ [BEST PRACTICE] Darstellung und Links: Funktionieren sämtliche Links? Ist die Darstellung auf mobilen Geräten fehlerfrei?

Einrichten: Versenden Sie die Testmail an den Audit-Verteiler.

Prüfen: Arbeiten Sie alle sechs Punkte vollständig ab.

Freigabekriterium: Sechsmal GO. Kein einziger Prüfpunkt steht auf NO-GO.

Erledigt, wenn: Die gesamte Preflight-Checkliste ohne offenen Fehler abgehakt ist.

Phase 7: Der erste reguläre Versand & Warm-up-Hinweise

Erst nach einem vollständig bestandenen Preflight beginnt der eigentliche Produktionsbetrieb.

⚪ [BEST PRACTICE] Einrichten: Terminieren oder starten Sie den freigegebenen Newsletter im E-Mail-Marketing-System. Bei einer neuen Versanddomain oder einer neuen dedizierten IP sollte das Versandvolumen nicht schlagartig hochgefahren, sondern schrittweise gesteigert werden.

Ein solcher Warm-up vermeidet abrupte Volumenspitzen bei einer noch nicht etablierten Versandhistorie.

⚪ [BEST PRACTICE] Prüfen: Kontrollieren Sie im Versand-Dashboard, ob die Auslieferung ohne technische Fehlermeldungen gestartet wurde.

Freigabekriterium: Die Nachrichten werden ordnungsgemäß an die empfangenden Provider übergeben.

Erledigt, wenn: Der Versand im System als ausgeführt beziehungsweise versendet ausgewiesen wird.

Damit endet die eigentliche Einrichtungsphase. Die Arbeit ist allerdings noch nicht abgeschlossen: Ab jetzt beginnt die technische Betriebsüberwachung.

Phase 8: Post-Send-Check – Bounces, Spam-Raten & Reputations-Monitoring

Die Reaktion der empfangenden Mailserver zeigt sich erst nach dem Versand. Deshalb gehört die Nachkontrolle zum vollständigen Setup-Prozess.

🟣 [PROVIDER] Einrichten: Richten Sie die verfügbaren Postmaster- und Reputationswerkzeuge ein. Dazu gehören insbesondere Google Postmaster Tools und Microsoft SNDS. Für Provider- und Beschwerdesignale stehen außerdem entsprechende Dienste und Feedback-Mechanismen von Microsoft und Yahoo zur Verfügung.

Aktivieren Sie im E-Mail-Marketing-System außerdem das automatische Bounce-Handling.

⚪ [BEST PRACTICE] Einrichten: Permanente Zustellfehler beziehungsweise Hard Bounces mit 5.x.x-Statuscodes müssen automatisch deaktiviert und in die Suppression-Logik übernommen werden. Temporäre 4.x.x-Fehler sind davon zu unterscheiden.

Beschwerden über „Spam melden“ müssen ebenfalls dazu führen, dass betroffene Empfänger nicht weiter im aktiven Verteiler verbleiben. Feedback-Loop-Daten unterstützen diese Verarbeitung.

🟣 [PROVIDER] Prüfen: Kontrollieren Sie 24 bis 48 Stunden nach dem Versand die verfügbaren Zustell- und Reputationsdaten. Prüfen Sie insbesondere Bounces, Beschwerden und Authentifizierungsprobleme.

Für Gmail muss die Spam-Beschwerderate unter 0,3 Prozent bleiben; als Zielwert ist weniger als 0,1 Prozent vorgesehen.

Freigabekriterium: Bounces werden automatisch verarbeitet, es liegen keine Authentifizierungsfehler vor und die Spam-Beschwerderate bleibt im vorgesehenen Zielbereich unter 0,1 Prozent.

Erledigt, wenn: Der Post-Send-Report keine auffälligen Zustell-, Authentifizierungs- oder Beschwerdesignale zeigt.

Fazit: Vom fertigen Setup zur regelmäßigen E-Mail-Marketing-Praxis

Ein versandbereiter Newsletter entsteht nicht durch einen einzelnen Schalter im E-Mail-Marketing-Tool. Rechtliche Grundlage, Einwilligungsnachweis, Kontaktstatus, technische Authentifizierung, Pflichtangaben, Abmeldung und Zustellkontrolle bilden eine zusammenhängende Prozesskette.

Die Reihenfolge lässt sich auf acht Phasen verdichten:

1. Versandmodell und Auftragsverarbeitung absichern.
2. Versanddomain mit SPF, DKIM und DMARC vorbereiten.
3. Anmeldung, Einwilligung und Double-Opt-In einrichten.
4. Kontaktstatus und Versandsperren definieren.
5. Versandvorlage einschließlich Impressum und Abmeldung prüfen.
6. Den vollständigen Preflight-Check bestehen.
7. Den ersten regulären Versand kontrolliert starten.
8. Bounces, Beschwerden und Reputation nach dem Versand überwachen.

Der entscheidende Freigabepunkt liegt unmittelbar vor Phase 7: Erst wenn sämtliche Punkte des Preflight-Checks auf GO stehen, sollte der erste reguläre Newsletter starten.

Danach wird aus dem einmaligen Setup ein laufender Prozess. Ist das Setup abgeschlossen, zeigt Ihnen der Leitfaden E-Mail-Marketing-Kampagnen planen und umsetzen, wie Sie Ihre eigentlichen Kampagnen von der Zielsetzung bis zur Auswertung systematisch planen und durchführen. Listenhygiene, Zustellbarkeit, Sperrlisten und technische Konfigurationen müssen auch im regulären Betrieb gepflegt und überwacht werden.

Wenn Sie sich die E-Mail-Marketing-Funktionen von Quentn ansehen möchten, finden Sie hier die entsprechende Anbieterübersicht.