Jemand trägt seine E-Mail-Adresse in Ihr Formular ein. Klick. Fertig.

Oder?

Beim Double Opt-in beginnt hier erst die zweite Hälfte. Bevor die Adresse in Ihrem Verteiler landet, geht eine Nachricht zurück an genau diese Adresse: Waren Sie das wirklich? Dann bestätigen Sie bitte. Erst der Klick auf diesen Link macht aus einem Eintrag eine Einwilligung.

Denken Sie an ein Einschreiben mit Rückschein. Sie werfen den Brief nicht einfach in den Kasten und hoffen das Beste. Sie bekommen einen unterschriebenen Zettel zurück, der zeigt: angekommen, angenommen, von der richtigen Hand. Genau das leistet der zweite Klick. Er ist Ihr Rückschein.

Beim Double Opt-in wird eine Newsletter-Anmeldung erst durch den zweiten Klick in der Bestätigungsmail wirksam.

Was Double Opt-in bedeutet

Double Opt-in (DOI) ist ein zweistufiges Einwilligungsverfahren für E-Mail-Werbung und Newsletter. Schritt eins: die Anmeldung über ein Formular. Schritt zwei: die aktive Bestätigung über einen Link in einer separaten E-Mail. Erst wenn beide Schritte vorliegen, gilt die Einwilligung als wirksam erteilt und die Adresse wird aktiviert.

Zwei Dinge erledigt dieser zweite Schritt zugleich.

Er prüft, ob die Adresse echt ist und der Person gehört, die sie eingetragen hat. Kein Tippfehler, keine fremde Adresse, keine böswillige Eintragung durch Dritte.

Und er liefert den Nachweis, dass die Einwilligung tatsächlich von dieser Person stammt.

Das Zweite ist das eigentlich Wichtige.

Wozu der zweite Klick?

Die DSGVO verlangt, dass eine Einwilligung durch eine eindeutige bestätigende Handlung zustande kommt (Erwägungsgrund 32). Vorangekreuzte Kästchen zählen nicht. Schweigen zählt nicht. Und wer wirbt, muss diese Einwilligung jederzeit nachweisen können (Art. 7 Abs. 1 DSGVO, bekräftigt durch Erwägungsgrund 42).

Und genau hier dreht sich der Spieß um.

Nicht der Empfänger muss beweisen, dass er nie zugestimmt hat. Sie müssen beweisen, dass er zugestimmt hat. Die Beweislast liegt vollständig bei Ihnen.

Ein Eintrag in einem Formular beweist wenig. Jeder kann irgendeine Adresse eintippen, auch eine fremde. Der protokollierte Bestätigungsklick dagegen zeigt auf eine konkrete Person, zu einem konkreten Zeitpunkt, an einem konkreten Ort. Das ist der Unterschied zwischen einer Behauptung und einem Rückschein.

Muss man das überhaupt?

Nein.

Kein Gesetz schreibt das Double-Opt-in-Verfahren ausdrücklich vor. Weder die DSGVO noch das UWG nennen es beim Namen.

Aber.

Was die Gesetze verlangen, ist die nachweisbare Einwilligung. Und für E-Mail-Werbung gilt in Deutschland eine klare Linie: Ohne vorherige ausdrückliche Einwilligung ist sie eine unzumutbare Belästigung und damit unzulässig (§ 7 Abs. 2 Nr. 2 UWG). Auf europäischer Ebene fordert die ePrivacy-Richtlinie (Art. 13) dieselbe vorherige Einwilligung für elektronische Direktwerbung. Die Leitlinien 05/2020 des Europäischen Datenschutzausschusses konkretisieren, wie eine wirksame Einwilligung gestaltet und belegt wird.

Double Opt-in ist also keine Pflicht. Es ist die Antwort auf eine Pflicht. Es hat sich als das Verfahren etabliert, das die Nachweisanforderung am robustesten erfüllt. Wer es nutzt, hat den Rückschein in der Hand. Wer es nicht nutzt, hofft.

Single, Confirmed, Double: drei Türen

Es gibt drei Wege, wie eine Adresse in Ihren Verteiler kommt.

• Single Opt-in (SOI): Die Eintragung genügt, die Adresse ist sofort aktiv. Schnell. Aber Sie wissen nie sicher, wer da eingetragen hat. Tippfehler, fremde Adressen, höhere Bounce- und Beschwerderaten kommen gratis dazu.
• Confirmed Opt-in (COI): Die Adresse wird aktiv, zusätzlich geht eine Willkommens- oder Hinweismail hinaus. Bestätigen muss niemand. Bequemer als Single, rechtlich aber schwächer als Double, weil der aktive Klick fehlt.
• Double Opt-in (DOI): Eintragung plus Bestätigungsklick. Erst danach ist die Adresse aktiv. Etwas mehr Reibung. Dafür ein belastbarer Nachweis.

Die Reibung ist der Punkt, nicht der Makel. Sie filtert. Wer auf den Bestätigungslink nicht klickt, wollte vermutlich ohnehin nichts von Ihnen lesen.

Wollen Sie eine möglichst große Liste oder eine, die Ihnen antwortet?

Was die Gerichte sagen

Der Bundesgerichtshof hat das Verfahren für E-Mail-Werbung im Grundsatz bestätigt und damit jahrelange Zweifel ausgeräumt (BGH, 10.02.2011, I ZR 164/09). In derselben Entscheidung zog er aber eine scharfe Grenze: Für Telefonwerbung taugt eine per E-Mail eingeholte Bestätigung nicht als Nachweis. Zwischen einer E-Mail-Adresse und einer Telefonnummer besteht keine zweifelsfreie Verbindung. Der Rückschein für den einen Briefkasten beweist nichts über den anderen.

Heikler wird es bei der Bestätigungsmail selbst. Das OLG München entschied, dass schon diese Aufforderung zur Bestätigung unzulässige Werbung sein könne, wenn die vorherige Einwilligung nicht nachweisbar ist (Urteil vom 27.09.2012, 29 U 1682/12). Das Urteil hat die ganze Branche aufgeschreckt. Es blieb umstritten. Andere Gerichte beurteilten dieselbe Frage milder und hielten die reine Bestätigungsanfrage für hinnehmbar, solange sie keinen werblichen Inhalt trägt.

Für die Praxis ergibt sich daraus eine angenehm einfache Regel: Die Bestätigungsmail bleibt werbefrei. Kein Rabatt, kein Cross-Selling, kein Newsletter-Schaufenster, kein Logo-Feuerwerk. Nur die Bitte, zu bestätigen, und der Link dazu. Sobald Werbung in die Bestätigungsmail rutscht, riskieren Sie, dass aus dem Schutzmechanismus selbst ein Verstoß wird. Der Türsteher darf nicht anfangen, Getränke zu verkaufen.

Wie ein sauberer DOI-Prozess aussieht

Drei Stationen, an denen alles hängt.

Das Formular. Der Einwilligungstext muss klar und zweckgebunden sein: für diesen Newsletter, diese Kommunikation, nicht für alles Mögliche zugleich. Keine vorangekreuzten Kästchen. Bei mehreren Zwecken, etwa zusätzlichem Profiling oder Werbung Dritter, jeweils eine eigene, getrennte Einwilligung. Dazu der Hinweis, dass der Widerruf jederzeit und so einfach möglich ist wie die Anmeldung selbst (Art. 7 Abs. 3 DSGVO). Und keine erzwungene Kopplung an Leistungen, die mit dem Newsletter nichts zu tun haben.

Die Bestätigungsmail. Ein einziges Ziel: bestätigen. Ein klarer Link, dazu ein Alternativweg wie ein manueller Code, falls der Link in der Firewall hängen bleibt. Der Link trägt einen Einmal-Token mit begrenzter Gültigkeit, sinnvollerweise wenige Tage bis Wochen. Der Absender ist eindeutig benannt, mit Kontakt und einem Hinweis, was zu tun ist, wenn die Mail versehentlich ankam. Werbung: keine.

Das Protokoll. Hier liegt Ihr Rückschein. Speichern Sie zu jeder Adresse, was die Einwilligung belegt: Zeitpunkt und Quelle von Anmeldung und Bestätigung, IP-Adresse und Browserkennung beider Schritte, den genauen Einwilligungstext in seiner damaligen Fassung, die Herkunfts-URL des Formulars. Diese Daten dienen einem einzigen Zweck, dem Nachweis, und keinem anderen. Der Bundesgerichtshof verlangt ausdrücklich, dass jede einzelne Einwilligung vollständig dokumentiert und jederzeit abrufbar ist. Ein Protokoll, das im Ernstfall niemand vorzeigen kann, ist kein Protokoll. Es ist eine Behauptung mit Zeitstempel.

Und dann der Widerruf. In jeder Mail ein funktionierender Abmeldelink. Keine Hürden, keine Begründungspflicht, kein Hindernislauf durch fünf Bestätigungsseiten. Der Ausgang muss so breit sein wie der Eingang. Das ist nicht nur höflich, das verlangt Art. 7 Abs. 3 DSGVO.

Wo es trotzdem klemmt

Ein paar Stellen, an denen sauber gearbeitete Prozesse trotzdem stolpern.

Telefon, SMS, Messenger. Eine E-Mail-Bestätigung beweist nichts für Telefonwerbung, das hat der BGH klargestellt. Bei Bestätigungscodes per SMS oder Anruf ist die Beweiskraft oft gering, weil sie sich leichter fälschen lässt. Darauf weist auch die DSK-Orientierungshilfe Werbung (02/2022) hin. Setzen Sie pro Kanal auf einen Nachweis, der zu diesem Kanal passt.

Bestandskunden. § 7 Abs. 3 UWG erlaubt E-Mail-Werbung ausnahmsweise ohne erneute Einwilligung. Aber nur, wenn alle Bedingungen zugleich erfüllt sind: Die Adresse stammt aus dem Verkauf einer Ware oder Dienstleistung, beworben werden ausschließlich eigene, ähnliche Produkte, der Empfänger wurde bei der Erhebung und in jeder Mail klar auf seinen Widerspruch hingewiesen, und er hat nicht widersprochen. Die Hürde ist eng auszulegen. Im Zweifel führt das Double Opt-in zum sichereren Ergebnis.

B2B. Auch im Geschäftskundenbereich gilt das Einwilligungserfordernis. Das UWG schützt alle Marktteilnehmer, nicht nur Verbraucher. Wer glaubt, an Firmenadressen dürfe man frei schreiben, irrt.

Tracking und Cookies. Öffnungs- und Klick-Messung per Pixel ist eine eigene Baustelle. Sie kann zusätzlich eine Endgeräte-Einwilligung nach § 25 TDDDG erfordern. Das E-Mail-Opt-in und die Tracking-Einwilligung sind zwei Paar Schuhe. Trennen Sie die Zwecke, statt sie in eine Box zu werfen.

Wer sich unrechtmäßig beworben fühlt, kann sich übrigens bei der Bundesnetzagentur beschweren. Das schärft den Blick dafür, auf welcher Seite man stehen möchte.

Der eigentliche Gewinn

Der zweite Klick kostet Sie ein paar Adressen. Das stimmt.

Aber er schenkt Ihnen etwas, das keine noch so lange Liste ersetzt: die Gewissheit, an Menschen zu schreiben, die Ihre Post wollten. Wem schreiben Sie eigentlich, einer Zeichenfolge oder einem Menschen?

Eine Adresse ist ein Eintrag. Eine bestätigte Adresse ist ein Ja.

Schreiben Sie dem Ja.