DSGVO, § 7 UWG, CAN-SPAM und CASL im Vergleich: Rechtssichere E-Mail-Infrastruktur & Double-Opt-In

Der Betrieb einer internationalen E-Mail-Infrastruktur erfordert die präzise Umsetzung unterschiedlicher Datenschutz- und Wettbewerbsgesetze. Während in den USA nach dem CAN-SPAM Act kommerzielle E-Mails grundsätzlich ohne vorherige Einwilligung versendet werden dürfen, sofern ein funktionierender Abmeldelink (Opt-Out) vorhanden ist, gilt im deutschsprachigen Raum (DACH) und der Europäischen Union das strikte Verbotsprinzip mit Erlaubnisvorbehalt. Nach Art. 6 Abs. 1 lit. a, Art. 7 DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG (Gesetz gegen den unlauteren Wettbewerb) stellt jede werbliche E-Mail ohne nachweisbare, vorherige ausdrückliche Einwilligung – selbst im B2B-Geschäft – eine unzumutbare Belästigung dar, die kostenpflichtige Abmahnungen, Unterlassungsverfügungen und Bußgelder nach Art. 83 DSGVO auslösen kann.

1. Deutschland & EU: DSGVO, § 7 UWG und der Double-Opt-In-Standard

In der deutschen Rechtsprechung (u. a. Bundesgerichtshof) trägt ausschließlich der Versender die volle Darlegungs- und Beweislast (Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO) dafür, dass der Inhaber der E-Mail-Adresse tatsächlich selbst in den Erhalt werblicher Nachrichten eingewilligt hat. Ein einfaches Webformular (Single-Opt-In) genügt vor deutschen Gerichten nicht als Nachweis, da Dritte fremde E-Mail-Adressen eintragen können.

Rechtssichere E-Mail-Systeme erzwingen daher zwingend das Double-Opt-In-Verfahren (DOI) mit revisionssicherer Protokollierung:

• Stufe 1 (Web-Anmeldung): Der Nutzer gibt seine E-Mail-Adresse ein und setzt aktiv ein nicht vorangekreuztes Häkchen (Kopplungsverbot nach Art. 7 Abs. 4 DSGVO beachten).
• Stufe 2 (Bestätigungs-E-Mail): Das System versendet eine rein transaktionale Bestätigungs-E-Mail ohne jegliche Werbebanner oder Produktlinks (da bereits eine werblich gestaltete DOI-Mail als unzulässiger Spam nach § 7 UWG gewertet wird).
• Stufe 3 (Kryptografischer Audit-Trail): Erst nach Klick auf den eindeutigen Bestätigungs-Token speichert die Datenbank den Zeitstempel von Anfrage und Bestätigung, die gehashte oder verkürzte IP-Adresse, den exakten Wortlaut des Einwilligungstextes sowie die Version der Datenschutzerklärung.

2. Die Bestandskundenausnahme nach § 7 Abs. 3 UWG

Die einzige gesetzliche Ausnahme vom ausdrücklichen Opt-In im deutschen Recht bildet das Bestandskundenprivileg nach § 7 Abs. 3 UWG (in Umsetzung von Art. 13 Abs. 2 der ePrivacy-Richtlinie 2002/58/EG). Direktwerbung darf nur dann ohne gesondertes Opt-In versendet werden, wenn alle vier Voraussetzungen kumulativ erfüllt sind:

1. Der Unternehmer hat die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten (eine bloße kostenlose Registrierung oder ein Whitepaper-Download reicht nicht aus).
2. Die E-Mail-Adresse wird ausschließlich zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet (kein Cross-Selling völlig fremder Produktkategorien).
3. Der Kunde hat der Verwendung nicht widersprochen.
4. Der Kunde wurde bereits bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich darauf hingewiesen, dass er der Verwendung jederzeit widersprechen kann, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen.

3. Internationaler Rechtsvergleich: DSGVO/UWG vs. US CAN-SPAM vs. Kanada CASL

Wenn Ihr Mail Transfer Agent (MTA) Empfänger in Nordamerika und Europa bedient, muss die Versand-Pipeline die Rechtsordnung anhand des Empfängerlandes strikt segmentieren:

4. Technische Umsetzung: RFC 8058 One-Click-Unsubscribe & Suppression-Hashes

Seit Februar 2024 verlangen Google Mail und Yahoo neben der gesetzlichen Pflicht zusätzlich die technische Signalisierung eines Ein-Klick-Abmelde-Headers nach RFC 8058 für alle Massenversender. Gleichzeitig fordert Art. 17 DSGVO (Recht auf Löschung), dass personenbezogene Daten nach einem Widerruf gelöscht werden, während § 7 UWG sicherstellen muss, dass die Person nie wieder versehentlich angeschrieben wird.

// RFC 8058 Header & DSGVO-konforme Sperrlisten-Architektur (SHA-256 Suppression)
import crypto from 'crypto';

export function createSuppressionHash(email: string, salt: string): string {
  const normalized = email.trim().toLowerCase();
  return crypto.createHmac('sha256', salt).update(normalized).digest('hex');
}

export function buildCompliantHeaders(token: string) {
  return {
    'List-Unsubscribe': `<mailto:widerruf@emailcampaigner.info?subject=unsub-${token}>, <https://emailcampaigner.info/api/unsubscribe?token=${token}>`,
    'List-Unsubscribe-Post': 'List-Unsubscribe=One-Click'
  };
}