Themenseite · DSGVO · TDDDG · § 7 UWG

Mailinglisten und Newsletter im Datenschutz

Mailinglisten und Newsletter sind im Hochschulalltag allgegenwärtig: Fakultäts- und Bibliotheksnewsletter, Diskussionslisten in Forschungsprojekten, Verteiler aus dem Identitätsmanagement an alle Studierenden oder alle Beschäftigten, Personalnewsletter aus dem Rektorat, Kooperationsnewsletter mit externen Partnern. So unterschiedlich die Listen sind, so unterschiedlich sind auch die einschlägigen Rechtsgrundlagen. Diese Seite ordnet vier typische Mailinglisten-Konstellationen ein, beschreibt das Double-Opt-In-Verfahren, die Anforderungen an Einwilligung und Informationspflicht sowie die häufigsten Stolpersteine in der Praxis.

Keine Rechtsberatung, kein Ersatz für Einzelfallprüfung: Diese Seite dient der fachlichen Orientierung und kann eine rechtsverbindliche Einzelfallbewertung nicht ersetzen. Sie stellt keine individuelle Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG) dar. Für konkrete Fragen wenden Sie sich bitte an die Landesbeauftragte für den Datenschutz Sachsen-Anhalt oder an eine auf Datenschutzrecht spezialisierte Rechtsanwaltskanzlei.

Persönliche fachliche Auffassung: Ich bin hauptberuflich als Datenschutzmanager an einer öffentlichen Hochschule in Sachsen-Anhalt tätig. Die hier veröffentlichten Inhalte geben ausschließlich meine persönliche fachliche Auffassung wieder und stellen keine offizielle Position meines Arbeitgebers dar.

Praxisbeispiele als didaktische Fallgruppen: Die auf dieser Seite enthaltenen Praxisbeispiele sind didaktische Fallgruppen zur Veranschaulichung typischer Konstellationen. Sie ersetzen keine Bewertung des konkreten Einzelfalls; abweichende Sachverhaltsmerkmale können zu einer anderen rechtlichen Würdigung führen.

Worum es geht – Mailinglisten an Hochschulen

Eine Mailingliste ist ein technisches Verfahren, mit dem eine einzelne E-Mail automatisiert an eine definierte Gruppe von Empfängerinnen und Empfängern verteilt wird. Die Sammelbezeichnung umfasst sehr unterschiedliche Erscheinungsformen: vom periodisch versandten Newsletter mit redaktionellem Inhalt über die wissenschaftliche Diskussionsliste mit „Reply-to-all"-Funktionalität bis hin zu automatisch aus dem Identitätsmanagement gespeisten Beschäftigten- und Studierendenverteilern.

Datenschutzrechtlich gemeinsam ist allen Mailinglisten, dass die E-Mail-Adresse als personenbezogenes Datum nach Art. 4 Nr. 1 DSGVO verarbeitet wird – auch dann, wenn sie funktional aufgebaut ist (vorname.nachname@…); der Personenbezug folgt regelmäßig aus der Verknüpfung mit dem Empfangsverhalten. Hinzu treten häufig weitere Daten: Name, Funktionsbezeichnung, Sprachpräferenz, IP-Adresse beim Eintragungsvorgang, Klick- und Öffnungsstatistiken bei extern gehosteten Anbietern.

Welche Rechtsgrundlage trägt, hängt vom Typ der Liste ab. Diese Seite unterscheidet vier Typen (Abschnitt 02), zeigt das datenschutzrechtlich erwartete Eintragungsverfahren (Abschnitt 03 bis 05), erläutert die Anforderungen an den Abmelde-Link (Abschnitt 07) und beschreibt zwei Sonderfälle: den Beschäftigten-Newsletter mit automatischer Eintragung (Abschnitt 08) und den Kooperations-Newsletter mit gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO (Abschnitt 09).

Art. 4 Nr. 1, Art. 6, Art. 7, Art. 13 DSGVO; § 7 UWG

Vier Mailinglisten-Typen und ihre Rechtsgrundlagen

Die Wahl der Rechtsgrundlage ist der erste und folgenreichste Schritt. Sie bestimmt, ob eine Eintragung mit Einwilligung erforderlich ist, ob eine automatische Aufnahme aus dem Personalbestand zulässig ist, ob die Betroffenen widersprechen oder nur widerrufen können, und welche Informationspflichten gelten.

Typ	Rechtsgrundlage	Eintragung
Newsletter mit Self-Service-Eintragung	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)	Aktive Eintragung der Person mit Bestätigung per Double-Opt-In; jederzeit widerrufbar nach Art. 7 Abs. 3 DSGVO.
Diskussionsliste (Mailman, Sympa)	Art. 6 Abs. 1 lit. a DSGVO; bei dienstlich initiierten Listen ggf. lit. e i. V. m. Aufgabennorm	Anmeldung über Listen-Software; Listen-Verantwortliche pflegen die Mitgliedschaft; Reply-to-all-Funktion ist konfigurierbar.
Interner Verteiler aus dem IDM	Art. 6 Abs. 1 lit. e DSGVO i. V. m. § 3 HSG LSA und § 4 DSAG LSA (öffentliche Aufgabe)	Automatische Aufnahme aller Mitglieder einer definierten Personengruppe (z. B. alle Studierenden, alle Beschäftigten). Ein Opt-In ist für dienstlich oder organisatorisch erforderliche Verteiler regelmäßig nicht erforderlich; Betroffenenrechte, insbesondere ein Widerspruch nach Art. 21 Abs. 1 DSGVO (Gründe aus der besonderen Situation der Person), sind aber einzelfallbezogen im Rahmen der einschlägigen Rechtsgrundlage zu prüfen.
Beschäftigten-Newsletter (Personalnewsletter)	Art. 6 Abs. 1 lit. e DSGVO (öffentliche Aufgabe) bzw. lit. b DSGVO (Durchführung des Arbeits- oder Dienstverhältnisses) i. V. m. Art. 88 DSGVO (Öffnungsklausel für den Beschäftigtenkontext) und den einschlägigen organisations-, dienst- und arbeitsrechtlichen Rahmenvorgaben; an Hochschulen Sachsen-Anhalts insbesondere § 3 HSG LSA sowie das beamtenrechtliche Personalaktenrecht (§ 50 BeamtStG i. V. m. den Personalaktenvorschriften des LBG LSA).	Automatische Aufnahme aus dem Personalstamm; Widerspruchsrecht zumindest gegen nicht zwingend dienstliche Inhalte; Mitbestimmung des Personalrats nach § 69 Nr. 1 PersVG LSA.

Diese Typeneinteilung ist kein abschließendes Schema – Mischformen kommen vor und werden in den Abschnitten 08 und 09 vertieft. Praktisch entscheidend ist die Klärung vorab: Welche Personengruppe wird angeschrieben, mit welchem Inhalt, in welchem Verhältnis zum Aufgabenkanon der Hochschule – und wer hat über Mittel und Zwecke der Verarbeitung entschieden?

Art. 4 Nr. 1, Art. 6 Abs. 1 lit. a, lit. e, Art. 7, Art. 21, Art. 88 DSGVO; § 3 HSG LSA; § 4 DSAG LSA; § 50 BeamtStG i. V. m. Personalaktenvorschriften LBG LSA; § 69 Nr. 1 PersVG LSA

Double-Opt-In: Eintragung mit Bestätigungs-E-Mail

Bei einwilligungsbasierten Newslettern ist das Double-Opt-In- Verfahren der praktische Standard. Es trennt die Eingabe der E-Mail-Adresse vom Wirksamwerden der Einwilligung und schützt damit vor zwei Risiken: einer fremden Eintragung ohne Wissen des Adressinhabers (Catch-Mail-Eintragungen) und einem Beweisproblem im Streitfall.

Ablauf des Double-Opt-In-Verfahrens

Die interessierte Person trägt ihre E-Mail-Adresse in ein Eintragungsformular ein und erteilt dort die Einwilligung in den Newsletter-Bezug.
Das System sendet automatisch eine Bestätigungs-E-Mail mit einem einmaligen Bestätigungslink an genau diese Adresse.
Erst nach Klick auf den Bestätigungslink wird die Adresse in den Verteiler aufgenommen. Die Einwilligung wird mit Zeitstempel und IP-Adresse zur späteren Beweisführung dokumentiert.
Wird der Bestätigungslink nicht angeklickt, sind die zwischenzeitlich erfassten Daten nach kurzer Frist (regelmäßig 7 bis 30 Tage) zu löschen.

Die Beweislast für die Einwilligung trägt nach Art. 7 Abs. 1 DSGVO der Verantwortliche – er muss nachweisen können, dass die betroffene Person eingewilligt hat. Im wettbewerbsrechtlichen Kontext hat der BGH im Urteil vom 10. Februar 2011 (Az. I ZR 164/09 – „Double-opt-in-Verfahren") differenziert: Für die Einwilligung in E-Mail-Werbung ist das Double-Opt-In nach Anschluss an die ältere Entscheidung „E-Mail-Werbung I" (BGH, Urteil vom 11.03.2004, I ZR 81/01) ein geeigneter Nachweis, weil es sicherstellt, dass keine Falscheingaben den Versand auslösen. Für die Einwilligung in Telefonwerbung – über die im Urteil 2011 unmittelbar zu entscheiden war – sah der BGH das Verfahren dagegen als wenig beweiskräftig an, weil aus der Bestätigung einer E-Mail-Adresse nicht folgt, dass der Inhaber der angegebenen Telefonnummer in Werbeanrufe eingewilligt hat.

Übertragen auf die Newsletter-Praxis bedeutet das: Das Double-Opt-In-Verfahren ist bei E-Mail-Newslettern ein in der Rechtsprechung anerkannter Nachweisweg, ersetzt aber keine sorgfältige Dokumentation. Für andere Werbeformen (Telefon, SMS) ist es regelmäßig nicht ausreichend.

Die Bestätigungs-E-Mail selbst sollte sich auf den Bestätigungslink, einen kurzen Hinweis auf die Datenschutzerklärung sowie einen Ignorier-Hinweis beschränken. Bereits im Urteil I ZR 164/09 hat der BGH angedeutet, dass werbliche Zusätze in einer Bestätigungs-E-Mail diese selbst zur unzulässigen Werbung im Sinne von § 7 UWG machen können – eine Linie, die in der Folgerechtsprechung der Instanzgerichte fortgeführt wurde.

Art. 6 Abs. 1 lit. a, Art. 7 Abs. 1 DSGVO; ErwGr 32 DSGVO; BGH, Urteil vom 11.03.2004, I ZR 81/01 („E-Mail-Werbung I"); BGH, Urteil vom 10.02.2011, I ZR 164/09 („Double-opt-in-Verfahren"); § 7 UWG

Informationspflichten nach Art. 13 DSGVO bei der Eintragung

Nach Art. 13 Abs. 1 und 2 DSGVO sind die Betroffenen zum Zeitpunkt der Datenerhebung über die wesentlichen Punkte der Verarbeitung zu informieren – also unmittelbar im Eintragungsformular oder in einer klar dort verlinkten Datenschutzhinweis-Seite. Das Eintragungsformular ist nicht der Ort für eine vollständige Datenschutzerklärung; es ist aber der Ort, an dem der Hinweis auf die Datenschutzerklärung wahrnehmbar und ohne Hindernis erreichbar sein muss.

Pflichtinhalte am Eintragungsformular

Verantwortlicher: Identität und Kontaktdaten der Hochschule (Name, Anschrift, vertretungsberechtigte Person).
Datenschutzbeauftragte oder Datenschutzbeauftragter: Kontaktdaten nach Art. 13 Abs. 1 lit. b DSGVO, getrennt vom allgemeinen Funktionspostfach der Hochschule.
Zweck der Verarbeitung: Klar benannt – z. B. „Versand des Fakultätsnewsletters mit redaktionellen Beiträgen, Veranstaltungshinweisen und Stellenangeboten der Fakultät".
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; bei berechtigtem Interesse das konkrete Interesse (Art. 13 Abs. 1 lit. d DSGVO).
Empfänger oder Kategorien von Empfängern: Insbesondere Auftragsverarbeiter (Listen-Hosting-Anbieter) und ggf. Drittlandbezug.
Speicherdauer: Bis Widerruf, ergänzt durch Sperrlogik nach Widerruf zum Schutz vor erneuter Eintragung.
Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerruf (Art. 7 Abs. 3 DSGVO), Beschwerde bei der zuständigen Aufsichtsbehörde.
Erforderlichkeit und Folgen der Nichtbereitstellung (Art. 13 Abs. 2 lit. e DSGVO): Klarstellung, ob die Bereitstellung der Daten gesetzlich oder vertraglich verpflichtend ist – beim freiwilligen Newsletter regelmäßig nicht – und welche Folgen die Nichtbereitstellung hat (z. B. „Ohne E-Mail-Adresse kann der Newsletter nicht zugestellt werden").

Bei automatischer Aufnahme aus dem IDM oder beim Beschäftigten-Newsletter ist die Informationspflicht regelmäßig in den allgemeinen Datenschutzhinweisen der Hochschule verortet. Wer dort den Newsletter nicht ausweist, schafft eine Informationslücke. Die Information ist – ähnlich wie bei der Zweckänderung – aktiv zu erfüllen: Verlinkung im Intranet, Hinweis auf der Login-Seite oder Bekanntmachung im ersten Newsletter selbst. Welche Form gewählt wird, ist zweckgebunden zu wählen.

Art. 13 Abs. 1 und 2 DSGVO; ErwGr 60 DSGVO; § 4 DSAG LSA

Anforderungen an die Einwilligung

Die Einwilligung ist nach Art. 4 Nr. 11 DSGVO „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung". Art. 7 DSGVO ergänzt formale Anforderungen, ErwGr 32, 42 und 43 DSGVO konkretisieren sie. Aus diesen Vorgaben ergeben sich vier Prüfschritte.

Vier Prüfschritte einer wirksamen Einwilligung

Freiwilligkeit: Die Einwilligung darf nicht an die Inanspruchnahme einer Leistung gekoppelt werden, die ohne sie ebenfalls erbracht werden kann (Kopplungsverbot, Art. 7 Abs. 4 DSGVO). Beim Newsletter regelmäßig unproblematisch, sofern keine Bestandsprozesse damit verknüpft werden.
Informiertheit: Vor der Einwilligung muss klar sein, wer welche Daten zu welchem Zweck verarbeitet (Art. 13 DSGVO). Die Datenschutzerklärung ist verlinkt, der Zweck im Eintragungsformular benannt.
Bestimmtheit: Eine Einwilligung „in alles" ist unwirksam. Liegen inhaltlich oder zweckmäßig klar getrennte Newsletter-Angebote vor („Forschungsnews", „Veranstaltungshinweise", „Stellenangebote"), sollte eine granulare Auswahl ermöglicht werden. Bilden mehrere Rubriken hingegen einen einheitlichen Newsletter mit thematisch zusammengehörigen Inhalten, kann eine zusammenfassende Einwilligung tragfähig sein.
Eindeutige Handlung: Vorausgewählte Checkboxen sind nach EuGH C-673/17 Planet49 (01.10.2019) unwirksam. Erforderlich ist ein aktiver Klick durch die Person.

Die Widerruflichkeit ist Bestandteil der Einwilligung selbst (Art. 7 Abs. 3 DSGVO). Auf das Widerrufsrecht ist vor der Einwilligung hinzuweisen, der Widerruf muss „so einfach wie die Erteilung" sein. Praktisch bedeutet das: Wer den Newsletter über ein Online-Formular abonniert hat, muss ihn auch über ein Online-Formular oder einen Klick auf den Abmelde-Link wieder abbestellen können – nicht erst nach postalischer Anfrage oder telefonischer Identifikation.

Die Hochschule trägt die Beweislast dafür, dass die Einwilligung wirksam erteilt wurde (Art. 7 Abs. 1 DSGVO). Praktisch erfüllt das Double-Opt-In diese Beweislast, wenn der Anmeldevorgang, die Versendung der Bestätigungs-E-Mail und der anschließende Bestätigungsklick mit Zeitstempel dokumentiert sind. Welche weiteren Metadaten – etwa die IP-Adresse beim Eintragungsvorgang oder eine technische Verlinkung von Bestätigungslink und Datensatz – sinnvoll sind, ist eine Frage der Risiko- und Erforderlichkeitsabwägung im Einzelfall.

Art. 4 Nr. 11, Art. 6 Abs. 1 lit. a, Art. 7 DSGVO; ErwGr 32, 42, 43 DSGVO; EuGH, Urteil vom 01.10.2019, C-673/17 (Planet49)

Berechtigtes Interesse und § 7 UWG – ein Querverweis

Eine Einwilligung ist nicht in jeder Konstellation der einzige Weg. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) kommt theoretisch auch für Mailinglisten in Betracht. Der EuGH hat in C-621/22 KNLTB (04.10.2024) den Maßstab präzisiert: Erforderlich ist ein dreistufiger Test – berechtigtes Interesse, Erforderlichkeit der Verarbeitung, Abwägung mit den Rechten und Erwartungen der Betroffenen. Bei reinen Werbe-Newslettern an Personen außerhalb eines Bestandsverhältnisses ist diese Abwägung regelmäßig schwer zu gewinnen.

Daneben steht das wettbewerbsrechtliche Filterrecht aus § 7 UWG. Die Norm gilt unmittelbar nur für Wettbewerbshandlungen unter Marktteilnehmenden. Sie kann aber im Einzelfall als wertungsrelevanter Orientierungspunkt für die Erwartungen der Betroffenen herangezogen werden – nicht als allgemeine Zusatznorm des Datenschutzrechts, sondern als Anhaltspunkt dafür, was bei E-Mail-Werbung als zulässig gilt. § 7 Abs. 2 Nr. 3 UWG verbietet E-Mail-Werbung grundsätzlich ohne ausdrückliche Einwilligung; § 7 Abs. 3 UWG kennt eine eng umrissene Bestandskunden-Ausnahme.

§ 7 Abs. 3 UWG – die vier Voraussetzungen der Bestandskunden-Ausnahme

Die E-Mail-Adresse wurde im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhoben.
Es wird Werbung für eigene ähnliche Waren oder Dienstleistungen gemacht.
Die Person hat der Verwendung nicht widersprochen.
Die Person wurde bei Erhebung und in jeder Folge-E-Mail klar darauf hingewiesen, dass sie die Verwendung jederzeit widersprechen kann, ohne dass dafür andere als Übermittlungskosten entstehen.

Für Hochschulen ist die Bestandskunden-Ausnahme regelmäßig nicht einschlägig: Hochschulleistungen werden überwiegend nicht „verkauft", und die meisten Newsletter zielen auf eine breitere als die unmittelbar leistungsbezogene Zielgruppe. Mögliche Anwendungsfälle gibt es in Randbereichen – kostenpflichtige wissenschaftliche Weiterbildung, der Universitätsverlag, ein hochschulnahes Auftragsforschungs- Spin-off mit gewerblichem Charakter. Auch hier ist die enge Auslegung zu beachten.

Mein praktischer Eindruck aus der Beratung: Wer Hochschulnewsletter an Externe verschickt, sollte sich nicht auf Art. 6 Abs. 1 lit. f DSGVO als alleinige Stütze verlassen. Die Einwilligungslösung ist nicht nur rechtssicherer, sondern auch politisch tragfähig – Aufsichtsbehörden und Beschwerden gehen regelmäßig in dieselbe Richtung.

Art. 6 Abs. 1 lit. f DSGVO; ErwGr 47 DSGVO; § 7 Abs. 2 Nr. 3, Abs. 3 UWG; EuGH, Urteil vom 04.10.2024, C-621/22 (KNLTB)

Der Abmelde-Link – Anforderungen und häufige Fehler

Bei einwilligungsbasierten Newslettern und allgemein abonnierbaren Listen ist der Abmelde-Link keine freiwillige Komfortfunktion, sondern folgt unmittelbar aus Art. 7 Abs. 3 DSGVO (Widerruf der Einwilligung muss „so einfach wie die Erteilung" sein) und wird bei werblichen Inhalten ergänzt durch § 7 Abs. 3 Nr. 4 UWG (Hinweis auf Widerspruchsrecht in jeder Werbe-E-Mail). Praktisch bedeutet das: ein klar sichtbarer Link in jeder Newsletter-E-Mail, der ohne erneutes Login die Abmeldung auslöst.

Bei internen Pflichtverteilern, dienstlichen Rundschreiben oder geschlossenen Diskussionslisten greifen keine klassischen Newsletter-Abmeldelinks, sondern organisations- oder rollenbasierte Lösungen: Widerspruch nach Art. 21 Abs. 1 DSGVO gegen nicht zwingend dienstliche Inhalte, Rollentrennung, ggf. Listen-Mitgliedschaft an Funktion oder Status koppeln. Die Auswahl folgt dem Listentyp aus Abschnitt 02.

Was der Abmelde-Link leisten muss

Sichtbar und auffindbar: In jeder Newsletter-E-Mail an einer einheitlichen, gut wahrnehmbaren Stelle (regelmäßig im Footer).
Niedrigschwellig: Ein einziger Klick führt zur Abmeldung. Keine erneute Authentifizierung, keine Begründungspflicht. Ein zweiter Klick zur Bestätigung („Möchten Sie sich wirklich abmelden?") ist zulässig, aber nicht zwingend.
One-Click-tauglich (RFC 8058): Mailprogramme zeigen einen nativen „Abmelden"-Button neben der E-Mail an, wenn der Header List-Unsubscribe-Post: List-Unsubscribe=One-Click gesetzt ist. Google und Yahoo haben ihre neuen Anforderungen an Bulk-Sender ab Februar 2024 eingeführt; die Pflicht zum One-Click-Unsubscribe wurde mit späterer Umsetzungsfrist als Voraussetzung für die zuverlässige Zustellung an deren Postfächer durchgesetzt.
Bestätigung der Abmeldung: Eine kurze, sachliche Bestätigung der Abmeldung ist gute Praxis, aber rechtlich nicht zwingend. Wenn sie versendet wird, darf sie keine werblichen Inhalte und keine Aufforderung zur Wiedereintragung enthalten – das wäre erneute Werbung gegenüber einer Person, die sie soeben abgelehnt hat (§ 7 UWG).
Sperrdaten: Die abgemeldete Adresse wird nicht vollständig gelöscht, sondern zweckgebunden so weiterverarbeitet, dass weitere Zusendungen trotz Abmeldung oder Widerspruch zuverlässig unterbunden werden (Unterdrückungszweck). Maßstab ist die Erforderlichkeit für genau diesen Zweck – Speicherdauer und Datenumfang folgen daraus, nicht aus einer schematischen Frist.
Wirkung nur für die Zukunft (Art. 7 Abs. 3 Satz 2 DSGVO): Der Widerruf wirkt ex nunc – die bis zum Widerruf auf Grundlage der Einwilligung erfolgte Verarbeitung bleibt rechtmäßig. Rückwirkende Ansprüche der Betroffenen aus dem Newsletter-Bezug ergeben sich daraus regelmäßig nicht.

Die häufigsten Fehler in der Praxis sind: Abmeldung erst nach Login, Pflicht zur Eingabe der vollständigen E-Mail-Adresse („wer hat sich nicht selbst eingetragen, kennt die Adresse vielleicht nicht genau"), Begründungspflicht, Verzögerung der Wirksamkeit um mehrere Tage, oder ein „Vorerst-Pause"-Modell, das nach 30 Tagen automatisch wieder aktiviert wird. Solche Konstruktionen sind datenschutz- und wettbewerbsrechtlich regelmäßig nicht tragfähig.

Art. 7 Abs. 3 Satz 1 (Widerruflichkeit), Satz 2 (Wirkung ex nunc) DSGVO; Art. 21 Abs. 1 DSGVO; § 7 Abs. 3 Nr. 4 UWG; RFC 8058 (One-Click List-Unsubscribe); Sender Guidelines Google/Yahoo (02/2024)

Beschäftigten-Newsletter: Automatische Eintragung aus dem IDM

Personalnewsletter, Hochschul-Intranetbenachrichtigungen, Leitungsmemos und Veränderungsmitteilungen werden in der Regel ohne Einwilligung versandt – die Aufnahme in den Verteiler erfolgt automatisch durch das Identitätsmanagement (IDM) auf Basis der Beschäftigungs- verhältnisse. Das ist datenschutzrechtlich zulässig, hat aber klare Grenzen.

Drei Voraussetzungen einer zulässigen Beschäftigten-Mailingliste

Rechtsgrundlage: Für dienstlich erforderliche Beschäftigteninformationen kommt regelmäßig Art. 6 Abs. 1 lit. e DSGVO (öffentliche Aufgabe) – ergänzend lit. b DSGVO (Durchführung des Arbeits- bzw. Dienstverhältnisses) – i. V. m. Art. 88 DSGVO und den einschlägigen organisations-, dienst- und arbeitsrechtlichen Rahmenvorgaben in Betracht. Bei Beamtinnen und Beamten flankiert das beamtenrechtliche Personalaktenrecht die Verarbeitung (§ 50 BeamtStG i. V. m. den Personalaktenvorschriften des LBG LSA); eine umfassende Generalklausel zum Beschäftigtendatenschutz – wie § 26 BDSG auf Bundesebene – enthält das DSAG LSA nicht. Freiwillige Zusatzinhalte (Veranstaltungstipps, Werbung für hochschulnahe Vereine, Promotion-Aktionen externer Partner) sind getrennt zu beurteilen und unterfallen einem freiwilligen Bezug.
Erforderlichkeit der Inhalte: Dienstanweisungen, Sicherheitsmitteilungen, Personalentwicklung, Compliance-Hinweise sind regelmäßig erforderlich. „Nice-to-have"-Inhalte (Veranstaltungshinweise des Studierendenwerks, Werbung für hochschulnahe Vereine, Promotion-Aktionen externer Partner) sind es nicht und unterfallen einem freiwilligen Bezug.
Mitbestimmung des Personalrats: Die Einführung oder wesentliche Erweiterung eines Personalnewsletters mit automatischer Eintragung ist regelmäßig mitbestimmungspflichtig nach § 69 Nr. 1 PersVG LSA (automatisierte Verarbeitung von Beschäftigtendaten); je nach Ausgestaltung kann § 69 Nr. 2 PersVG LSA hinzutreten, wenn Tracking- oder Auswertungsfunktionen Verhalten oder Leistung erkennbar machen. Bei privatrechtlich organisierten Tochtergesellschaften der Hochschule (etwa ausgegliederten Universitätskliniken oder Forschungs-GmbHs) kann statt des PersVG LSA das BetrVG einschlägig sein – dann § 87 Abs. 1 Nr. 6 BetrVG für die Einführung technischer Einrichtungen mit Überwachungseignung; in Einzelfällen auch Nr. 1, soweit der Newsletter Fragen der Ordnung des Betriebs oder des Verhaltens der Beschäftigten betrifft.

Aus meiner Praxis heraus zeigen sich drei wiederkehrende Punkte: Die inhaltliche Trennung zwischen dienstlich erforderlichen Mitteilungen und freiwillig bezogenen Inhalten sollte wahrnehmbar sein – etwa durch zwei separate Newsletter oder durch klar gekennzeichnete Rubriken. Für die nicht zwingend dienstlichen Inhalte ist ein Widerspruchsrecht (Art. 21 Abs. 1 DSGVO) bzw. eine Widerrufsmöglichkeit beim freiwilligen Bezug vorzusehen. Und die Mitbestimmung wird besser früh eingebunden als nach Konfiguration des Versandsystems – Nachjustieren kostet erfahrungsgemäß mehr Zeit als das saubere Vorabverfahren.

Tracking-Funktionen verdienen in dieser Konstellation eine eigene Prüfung: Öffnungsraten, Klick-Statistiken oder Verweildaueranalysen können beim Beschäftigten-Newsletter rasch zur Verhaltens- oder Leistungsüberwachung im Sinne von § 69 Nr. 2 PersVG LSA werden – mit entsprechender Mitbestimmungspflicht und einem strengen datenschutzrechtlichen Erforderlichkeitsmaßstab.

Art. 6 Abs. 1 lit. b, lit. e, Art. 21 Abs. 1, Art. 88 DSGVO; § 50 BeamtStG i. V. m. Personalaktenvorschriften LBG LSA; § 69 Nr. 1 und Nr. 2 PersVG LSA; § 87 Abs. 1 Nr. 1 und Nr. 6 BetrVG (bei privatrechtlichen Tochtergesellschaften)

Kooperations-Newsletter und gemeinsame Verantwortlichkeit

Wo zwei oder mehr Stellen gemeinsam über Mittel und Zwecke einer Verarbeitung entscheiden, sind sie nach Art. 26 DSGVO „gemeinsam Verantwortliche". Das gilt auch für gemeinsame Newsletter aus Forschungsprojekten, aus Kooperationen mit kommunalen Partnern oder aus interuniversitären Verbünden. Die typische Konstellation: Ein Newsletter wird im Namen mehrerer Beteiligter versandt, redaktionelle Beiträge stammen von beiden Seiten, beide werben um Bezugspersonen, beide pflegen ihre Verteilerteile.

Inhalt einer Art. 26 DSGVO-Vereinbarung für Newsletter

Zwecke und Mittel: Welche Inhalte werden gemeinsam verantwortet, welche nicht? Wer entscheidet über Versandzeit, Empfängerkreis, Tracking-Funktionen?
Aufgabenverteilung: Wer holt die Einwilligung ein, wer pflegt die Adressen, wer betreibt das Versandsystem, wer beantwortet Auskunftsersuchen, wer führt das Verarbeitungsverzeichnis?
Anlaufstelle für Betroffene: Eine Hauptstelle ist als Anlaufstelle für Betroffenenrechte zu benennen, ohne die Geltendmachung gegen die jeweils andere Stelle einzuschränken (Art. 26 Abs. 3 DSGVO).
Wesentlicher Inhalt zugänglich: Das Wesentliche der Vereinbarung ist den Betroffenen zur Verfügung zu stellen – regelmäßig in den Datenschutzhinweisen des Newsletters.
Datenflüsse: Welche Adressdaten fließen zwischen den Partnern, in welche Richtung, mit welcher Rechtsgrundlage und welcher Sicherung?
Beendigung: Was passiert mit dem Verteiler bei Ende der Kooperation? Übergang an einen Partner, parallele Weiterführung, Löschung?

Praktisch wichtig ist die Abgrenzung zur reinen Auftragsverarbeitung: Wer einen externen Dienstleister mit dem Versand eines eigenen Newsletters beauftragt, bleibt allein verantwortlich – Art. 28 DSGVO mit AVV. Wer dagegen mit einem Kooperationspartner gemeinsam redaktionell entscheidet, wer welche Inhalte aufnimmt und an welche Zielgruppe der gemeinsame Versand geht, ist mit ihm gemeinsam verantwortlich – Art. 26 DSGVO mit Vereinbarung. Die Zwischenform „kombinierter Newsletter mit geteilter Verteilerpflege" ist nach meiner Erfahrung überwiegend der Art. 26-Konstellation zuzuordnen, weil beide Seiten an der Zweck- und Mittelentscheidung beteiligt sind.

Vertiefende Hinweise zu den Pflichten gemeinsam Verantwortlicher und zur Abgrenzung zur Auftragsverarbeitung finden sich auf der Themenseite zur gemeinsamen Verantwortlichkeit sowie zur AVV-Konstellation auf der Themenseite zur Auftragsverarbeitung.

Art. 26, Art. 28 DSGVO; ErwGr 79 DSGVO; EuGH, Urteil vom 05.06.2018, C-210/16 (Wirtschaftsakademie); EuGH, Urteil vom 29.07.2019, C-40/17 (Fashion ID)

Listen-Hosting: Eigenbetrieb, AVV, Drittlandtransfer

Mailinglisten lassen sich auf zwei Wegen betreiben: im Eigenbetrieb mit hochschuleigener Software (Mailman, Sympa, Listmonk) oder über einen externen Anbieter (Mailchimp, Brevo, CleverReach, MailerLite, SendGrid). Der Unterschied ist datenschutzrechtlich erheblich.

Aspekt	Eigenbetrieb	Externer Anbieter
Datenfluss	Adressen verbleiben in der Hochschulinfrastruktur.	Adressen werden zum Anbieter übertragen; dieser ist Auftragsverarbeiter nach Art. 28 DSGVO.
Vertrag	Kein AVV erforderlich. Interne Zuständigkeitsregelung genügt.	AVV nach Art. 28 Abs. 3 DSGVO, Verarbeitungsverzeichnis-Eintrag, Audit-Rechte vereinbaren.
Drittland	Regelmäßig kein Drittlandtransfer.	US-Anbieter: Drittlandtransfer nach Kapitel V DSGVO; DPF-Zertifizierung prüfen, andernfalls SCC mit Modul 2 (Verantwortlicher zu Auftragsverarbeiter) und Transfer Impact Assessment.
Tracking	Tracking-Pixel und Klick-Statistiken konfigurierbar; Erforderlichkeit prüfbar.	Standardmäßig oft aktiviert; abschalten oder TDDDG-konform einwilligungsbasiert.
Komfort	Höherer eigener Wartungsaufwand, Listen-Software ggf. veraltet.	Komfortabel, viele Vorlagen, Reports; Lock-in-Effekte und Kosten beachten.

Bei Tracking-Funktionen ist genauer hinzuschauen: Öffnungs-Tracking-Pixel und individualisierte Klick-Tracking-URLs sind technisch typisch nicht für die Bereitstellung des Newsletters „unbedingt erforderlich" im Sinne von § 25 Abs. 2 Nr. 2 TDDDG. Wer sie einsetzt, ist regelmäßig auf eine einwilligungsbasierte Lösung angewiesen – idealerweise im Eintragungsformular separat ausgewiesen. Bei der ausschließlich an dienstliche Beschäftigte versandten Personalmail ist die Erforderlichkeit nochmals enger zu prüfen.

Vertiefend zu Auftragsverarbeitung: Themenseite Auftragsverarbeitung; zum Drittlandtransfer: Themenseite Drittlandstransfer.

Art. 28, Art. 30, Art. 44 ff. DSGVO; § 25 Abs. 2 Nr. 2 TDDDG; EuGH, Urteil vom 16.07.2020, C-311/18 (Schrems II)

Technisch-organisatorische Maßnahmen

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Bei Mailinglisten zielen die Maßnahmen auf vier wiederkehrende Risiken: unbefugte Offenlegung der Empfängerliste, fremde Eintragungen, Reply-to-all-Pannen und Tracking-Exzess.

Pflichtenkatalog technisch-organisatorischer Maßnahmen

Transportverschlüsselung beim Versand (TLS 1.2 oder höher) zwingend; bei besonders sensiblen Inhalten zusätzlich Inhaltsverschlüsselung über S/MIME oder OpenPGP prüfen.
BCC-Versand bei manuell gepflegten Verteilern mit gemischtem Empfängerkreis; nicht im To- oder CC-Feld an einen Verteiler senden, der Empfänger einander offenlegt.
Reply-to-all-Konfiguration der Listen-Software bewusst setzen; Standardverhalten dokumentieren und Listen-Mitgliedern erläutern.
Listen-Archive nur intern zugänglich oder vollständig öffentlich – ein „halböffentliches" Archiv mit personenbezogenen Diskussionsbeiträgen ist riskant. noindex-Header und robots.txt nur als ergänzende Maßnahme.
SPF, DKIM und DMARC korrekt konfigurieren, um Spoofing der Newsletter-Absenderadresse durch Dritte zu verhindern.
Beim Eintragungsformular Bot-Schutz (z. B. einfache Honeypot-Felder) und Captcha-Lösungen mit Datenminimierung – Google reCAPTCHA überträgt Daten in die USA und kann ohne Einwilligung problematisch sein.
Tracking-Funktionen technisch deaktivieren oder einwilligungsgebunden steuern; Klick- und Öffnungs-Tracking auf den nachweislich erforderlichen Umfang reduzieren.
Periodische Bereinigung der Listen: Bounces, dauerhaft inaktive Adressen, Sperrlisten regelmäßig pflegen.
Zugriffskonzept zur Listen-Software dokumentieren: Wer darf Adressen einsehen, exportieren, ergänzen oder löschen?

Vertiefend zur strukturierten TOM-Bewertung nach dem Standard-Datenschutzmodell: Themenseite Technisch-organisatorische Maßnahmen mit interaktivem TOM-Explorer für fünf Hochschul-Szenarien.

Art. 32 DSGVO; Standard-Datenschutzmodell (SDM) v3.1a der DSK; BSI IT-Grundschutz, insb. Bausteine APP.5.3 (Allgemeiner E-Mail-Client und -Server) und ORP.4 (Identitäts- und Berechtigungsmanagement)

Praxisbeispiele aus dem Hochschulalltag

Die folgenden anonymisierten Fallgruppen veranschaulichen typische Konstellationen in der hochschulnahen Beratung. Sie ersetzen keine Einzelfallprüfung; Sachverhaltsmerkmale, die in der Realität auftreten, können die Bewertung verschieben.

Beispiel 1 · Fakultätsnewsletter mit Self-Service-Eintragung

Sachverhalt: Eine Fakultät richtet einen Newsletter ein, der Stellenangebote, Veranstaltungshinweise und neue Forschungsprojekte enthält. Das Eintragungsformular steht öffentlich zugänglich auf der Fakultätswebsite. Der Versand erfolgt über einen externen Anbieter mit Sitz in den USA.

Bewertungsansatz: Rechtsgrundlage regelmäßig Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); Double-Opt-In, Informationspflichten nach Art. 13 DSGVO unmittelbar am Formular, Datenschutzhinweise verlinkt. Auftragsverarbeitungsvertrag mit dem Anbieter, Drittlandtransfer über DPF-Zertifizierung oder SCC absichern. Tracking-Pixel prüfen und – wo möglich – deaktivieren oder einwilligungsbasiert steuern. Abmelde-Link niedrigschwellig, One-Click-tauglich.

Beispiel 2 · Sonderforschungsbereich-Diskussionsliste mit externen Forschenden

Sachverhalt: Ein Sonderforschungsbereich betreibt eine Mailman-Liste auf einem hochschuleigenen Server. Mitglieder sind etwa 80 Forschende aus drei Hochschulen sowie zwei industrielle Kooperationspartner. Reply-to-all ist aktiviert, das Listen-Archiv ist passwortgeschützt im Mitgliederbereich.

Bewertungsansatz: Rechtsgrundlage für Hochschulmitglieder regelmäßig Art. 6 Abs. 1 lit. e DSGVO i. V. m. der jeweiligen landesrechtlichen Aufgabennorm (in Sachsen-Anhalt § 3 HSG LSA); für externe Mitglieder Einwilligung. Das Listen-Archiv ist eine Verarbeitungstätigkeit mit eigenem Eintrag im VVT; Aufbewahrungsfrist und Löschkonzept dokumentieren. Die Mitglieder werden bei Eintragung über die Reply-to-all- Funktion und über das Archiv informiert.

Beispiel 3 · Kooperationsnewsletter mit einem kommunalen Partner

Sachverhalt: Hochschule und ein kommunaler Kooperationspartner betreiben in einem Forschungsprojekt gemeinsam einen Newsletter für interessierte Bürgerinnen und Bürger. Inhalte stammen von beiden Seiten, beide werben auf ihren Kanälen für die Eintragung, der Versand wird von der Hochschule organisiert.

Bewertungsansatz: Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO – beide Stellen entscheiden über Mittel und Zwecke. Erforderlich ist eine Vereinbarung nach Art. 26 DSGVO mit klarer Aufgabenverteilung (Einwilligungseinholung, Verteilerpflege, Versand, Auskunftsersuchen, VVT-Pflege, Anlaufstelle). Das Wesentliche der Vereinbarung wird in den Datenschutzhinweisen des Newsletters bereitgestellt. Zur Vertiefung Themenseite gemeinsame Verantwortlichkeit.

Beispiel 4 · Versehentliche Zusendung trotz Abmeldung

Sachverhalt: Eine Person hat sich vor zwei Jahren vom Newsletter abgemeldet. Im Zuge eines Anbieterwechsels werden die Bestandsadressen aus dem alten in das neue Versandsystem importiert; die Sperrliste der abgemeldeten Adressen wird dabei nicht mit übernommen. Die Person erhält erneut Newsletter und beschwert sich bei der Aufsichtsbehörde.

Bewertungsansatz: Der Widerruf der Einwilligung wirkt fort (Art. 7 Abs. 3 DSGVO); ein erneuter Versand ohne neue Einwilligung ist regelmäßig unzulässig. Die Sperrliste ist gerade deshalb ein zweckgebundenes Pflicht-Datum (Unterdrückungszweck); sie ist beim Anbieterwechsel zwingend mit zu migrieren und wird bei dieser Migration regelmäßig vergessen. Korrektive Maßnahmen: sofortige Wiedereinführung der Sperreinträge, sachliche Information der betroffenen Person über Ursache und Behebung, technische Migrationsroutine künftiger Wechsel um Sperrlisten erweitern, dokumentierte AVV-Übergabe nach Art. 28 DSGVO. Ob die Konstellation eine Datenpannenmeldung nach Art. 33 DSGVO auslöst, ist im Einzelfall zu prüfen – vertiefend Themenseite Datenpannen.

Typische Stolpersteine in der Praxis

Aus Beratungserfahrung lassen sich zehn wiederkehrende Schwachstellen benennen, die in der Praxis am häufigsten zu Beschwerden, Aufsichtsverfahren oder internen Eskalationen führen.

Single-Opt-In statt Double-Opt-In: Adresse wird ohne Bestätigung in den Verteiler aufgenommen; die Beweislast nach Art. 7 Abs. 1 DSGVO ist im Streitfall regelmäßig nicht erfüllbar.
Vorausgewählte Checkbox bei der Eintragung: Nach EuGH C-673/17 Planet49 ohne aktiven Klick keine wirksame Einwilligung.
Sammel-Einwilligung ohne Granularität: Eine einzige Checkbox für mehrere thematisch unterschiedliche Newsletter erfüllt das Bestimmtheitsgebot nicht.
Bestätigungs-E-Mail wird zur Werbung umfunktioniert: Die E-Mail mit dem Bestätigungslink sollte sich auf den Bestätigungslink, einen kurzen Datenschutz-Hinweis und einen Ignorier-Hinweis beschränken. Werbliche Zusätze können die Bestätigungs-E-Mail selbst zur unzulässigen Werbung im Sinne von § 7 UWG machen (vgl. BGH I ZR 164/09).
Abmelde-Link fehlt, ist defekt oder zu hochschwellig: Login-Pflicht, Begründungspflicht oder mehrtägige Verzögerung sind nicht tragfähig (Art. 7 Abs. 3 DSGVO).
Kein Auftragsverarbeitungsvertrag mit dem externen Anbieter: Verstoß gegen Art. 28 Abs. 3 DSGVO; bei US-Anbietern kommt der fehlende Drittland-Schutz nach Kapitel V DSGVO hinzu.
Tracking-Pixel ohne Einwilligung: Öffnungs-Tracking ist regelmäßig nicht „unbedingt erforderlich" im Sinne von § 25 Abs. 2 Nr. 2 TDDDG; ohne Einwilligung nicht zulässig.
Beschäftigten-Newsletter ohne Mitbestimmung: Einführung oder wesentliche Erweiterung ohne Beteiligung des Personalrats nach § 69 Nr. 1 PersVG LSA ist rechtswidrig und kann Untersagungsverfügungen auslösen.
Kooperationsnewsletter ohne Art. 26-Vereinbarung: Beide Stellen bleiben gemeinsam verantwortlich, die Aufgabenverteilung ist aber nicht dokumentiert; Konflikte treten regelmäßig erst im Auskunftsersuchen oder bei Beendigung der Kooperation auf.
Listen-Archive im offenen Web: Mailman-Archive mit Klarnamen und Diskussionsverläufen sind suchmaschinenindexiert; das ist regelmäßig weder erforderlich noch von den Betroffenen erwartet (Art. 5 Abs. 1 lit. c DSGVO).

Eine abschließende Bewertung, ob konkrete Verstöße vorliegen, obliegt der zuständigen Aufsichtsbehörde.