Double Opt-in: So funktioniert das Verfahren rechtssicher

Du baust seit Monaten eine E-Mail-Liste auf. Landingpage, Formular, Anmeldungen laufen. Und dann kommt eine einzige Beschwerde — und du sollst beweisen, dass sich dieser eine Empfänger wirklich angemeldet hat. Kannst du das nicht, drohen Abmahnung, Unterlassungserklärung und im schlimmsten Fall Schadensersatz. Für eine E-Mail.

Genau dafür gibt es das Double Opt-in. Es ist kein Bürokratie-Ritual, das dir Anmeldungen kostet. Es ist dein Beweismittel. Wer sauber per Double Opt-in sammelt, schreibt seine Liste mit ruhigem Gewissen an — während der Wettbewerber mit der gekauften Liste bei jeder Kampagne zittert. Rechtssicherheit ist ein Wettbewerbsvorteil, kein Bremsklotz.

In diesem Artikel bekommst du das komplette Verfahren: Schritt für Schritt, mit Beweislast, Protokollierung, Bestätigungsmail-Gestaltung und den sieben Fehlern, die in der Praxis am häufigsten schiefgehen.

Was ist Double Opt-in?

Double Opt-in (auch: Double-Opt-in-Verfahren) ist ein zweistufiges Anmeldeverfahren für Werbe-Einwilligungen: Der Interessent trägt seine E-Mail-Adresse in ein Formular ein (Stufe 1) und bestätigt die Anmeldung anschließend über einen Link in einer Bestätigungsmail (Stufe 2). Erst nach dem Klick auf diesen Link gilt die Einwilligung als erteilt — und erst dann darfst du werbliche E-Mails senden.

Der Punkt dahinter: Nur der Inhaber des Postfachs kann den Bestätigungslink klicken. Damit ist ausgeschlossen, dass jemand eine fremde Adresse einträgt — aus Versehen, mit Tippfehler oder mit Absicht. Und du hast einen dokumentierten Nachweis, wer wann wozu eingewilligt hat.

Zur Einordnung: Dieser Artikel erklärt das Verfahren — wie du Einwilligungen technisch sauber einholst und beweisbar machst. Wann Werbung überhaupt eine Einwilligung braucht und welche Regeln für Telefon, E-Mail und Brief gelten, liest du im Artikel zu § 7 UWG, dem Akquise-Paragrafen. Den Überblick über das gesamte Gesetz gegen den unlauteren Wettbewerb findest du im UWG-Leitfaden. Und die Besonderheiten einzelner Kanäle — etwa wie du Einwilligungen für einen WhatsApp-Newsletter einholst — behandeln die jeweiligen Kanal-Artikel.

Warum Single Opt-in nicht reicht

Beim Single Opt-in landet jede eingetragene Adresse sofort im Verteiler. Kein Bestätigungslink, keine zweite Stufe. Klingt bequem — und ist genau deshalb wertlos, wenn es darauf ankommt. Drei Gründe:

Erstens: Jeder kann jede Adresse eintragen. Dein Formular weiß nicht, ob die Adresse dem Besucher gehört. Ein Tippfehler reicht, und du schreibst einen Fremden an — ohne jede Einwilligung. Das ist Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung und damit nach § 7 Abs. 2 Nr. 2 UWG eine unzumutbare Belästigung. Abmahnfähig ab der ersten Mail.

Zweitens: Die Beweislast liegt bei dir. Art. 7 Abs. 1 DSGVO sagt es wörtlich: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat. Nicht der Empfänger muss beweisen, dass er sich nie angemeldet hat — du musst beweisen, dass er es getan hat. Ein Datensatz „Adresse wurde am 12.08. ins Formular eingetragen" beweist gar nichts, denn er sagt nicht, wer sie eingetragen hat.

Drittens: Die Gerichte erwarten Dokumentation. Der Bundesgerichtshof hat sich im Urteil vom 10.02.2011 (Az. I ZR 164/09) ausführlich mit dem Double-Opt-in-Verfahren beschäftigt. Kernaussage für dein E-Mail-Marketing: Es kommt auf den dokumentierten Nachweis der konkreten Einwilligung an. Und eine zweite Kernaussage, die viele überlesen: Für Telefonwerbung reicht das E-Mail-Double-Opt-in nach dieser Entscheidung gerade nicht aus — der Klick auf einen Mail-Link beweist nicht, dass der Inhaber der angegebenen Telefonnummer einwilligt hat. Einwilligungen gelten pro Kanal. Was bei der telefonischen Ansprache erlaubt ist und was nicht, steht im Artikel Kaltakquise verboten? Was 2026 erlaubt ist.

Kurz: Single Opt-in füllt deine Liste schneller — mit Adressen, die du im Streitfall nicht verteidigen kannst. Eine Liste, die du nicht anschreiben darfst, ist kein Asset. Sie ist ein Risiko mit Speicherplatz.

Das Double-Opt-in-Verfahren: Schritt für Schritt

So läuft das Verfahren sauber ab — von der Anmeldung bis zur ersten Werbemail. Jeder E-Mail-Marketing-Anbieter (Brevo, CleverReach, Klick-Tipp, Mailchimp und Co.) bringt die Technik dafür mit. Deine Aufgabe ist, sie richtig zu konfigurieren.

Schritt 1: Die Anmeldung

Der Interessent trägt seine E-Mail-Adresse in dein Formular ein — auf der Landingpage, im Blog, beim Lead-Magnet. Drei Dinge müssen an dieser Stelle stimmen:

• Der Zweck steht klar am Formular. „Du erhältst wöchentlich Vertriebs-Tipps per E-Mail" — nicht „Bleib auf dem Laufenden". Die Einwilligung gilt nur für das, wozu eingewilligt wurde. Schwammiger Zweck, schwache Einwilligung.
• Keine vorangekreuzten Kästchen. Einwilligung heißt aktives Tun. Ein Häkchen, das schon gesetzt ist, ist keine Einwilligung.
• Datenschutzhinweis verlinkt, Abmeldemöglichkeit erwähnt. Der Empfänger muss wissen, worauf er sich einlässt und dass er jederzeit rauskommt.

Schritt 2: Die Bestätigungsmail

Direkt nach dem Eintrag verschickt dein System automatisch die Bestätigungsmail (auch DOI-Mail genannt) an die eingetragene Adresse. Sie enthält den Bestätigungslink — und sonst so wenig wie möglich. Was genau hineindarf und was nicht, bekommst du im nächsten Abschnitt, denn hier liegt die größte Falle des ganzen Verfahrens.

Wichtig: Diese Mail geht an eine Adresse, deren Einwilligung noch nicht bestätigt ist. Deshalb muss sie neutral sein. Und deshalb gibt es auch keine „Erinnerungsmail" an Leute, die nicht geklickt haben — dazu unten mehr.

Schritt 3: Der Klick auf den Bestätigungslink

Der Empfänger klickt den Link — erst jetzt ist die Einwilligung erteilt. Wer nicht klickt, kommt nicht in den Verteiler. Punkt. In der Praxis bestätigt ein Teil der Anmelder nie: Mail übersehen, Spam-Ordner, Interesse verflogen. Diese Adressen sind keine Leads, die du „aktivieren" darfst. Sie sind Karteileichen — lösch sie nach angemessener Zeit.

Schritt 4: Die Protokollierung

Dein System speichert den kompletten Vorgang: Zeitpunkt der Anmeldung, Zeitpunkt des Bestätigungsklicks, IP-Adressen beider Vorgänge, den Wortlaut des Formulars und der Bestätigungsmail. Das ist dein Beweismittel — Details im übernächsten Abschnitt.

Schritt 5: Die Willkommensmail

Jetzt — und erst jetzt — darfst du liefern: Willkommensmail, Lead-Magnet-Download, erste Inhalte. Ab hier beginnt dein eigentliches E-Mail-Marketing. Die beste Einwilligung nützt nichts, wenn danach drei Monate Funkstille herrscht und sich der Empfänger bei deiner ersten Kampagne fragt, wer du bist. Wer bestätigt, will etwas von dir. Gib es ihm sofort.

Die Bestätigungsmail: Was hineingehört — und was nicht

Die Bestätigungsmail ist der heikelste Baustein des Verfahrens. Der Grund: Sie geht an jemanden, dessen Einwilligung noch aussteht. Das OLG München hat im Urteil vom 27.09.2012 (Az. 29 U 1682/12) sogar eine Bestätigungsmail selbst als unzulässige Werbung eingestuft. Andere Oberlandesgerichte haben das anders gesehen und halten neutrale Bestätigungsmails für zulässig. Die Konsequenz für die Praxis ist trotzdem eindeutig: Je werblicher deine Bestätigungsmail, desto angreifbarer bist du.

Das gehört hinein:

• Klare Betreffzeile: „Bitte bestätige deine Anmeldung"
• Ein Satz, worauf sich die Anmeldung bezieht („Du hast dich für den Vertriebs-Newsletter von … eingetragen")
• Der Bestätigungslink — prominent, unübersehbar
• Der Hinweis: „Wenn du dich nicht angemeldet hast, ignoriere diese E-Mail — du erhältst dann keine weiteren Nachrichten"
• Impressum/Absenderangaben

Das gehört nicht hinein:

• Produktangebote, Rabattcodes, Verkaufslinks
• Banner, Testimonials, „Das erwartet dich außerdem"-Teaser
• Anhänge oder Downloads (der Lead-Magnet kommt nach der Bestätigung, nicht davor)

Merksatz: Die Bestätigungsmail verkauft nichts. Sie stellt eine Frage — „Warst du das?" — und sonst nichts. Verkauft wird ab der Willkommensmail.

Beweislast und Protokollierung: Dein Sicherheitsnetz

Noch einmal, weil daran Abmahnungen hängen: Nach Art. 7 Abs. 1 DSGVO musst du die Einwilligung nachweisen können. Ein Double Opt-in ohne Protokoll ist deshalb nur ein halbes Double Opt-in. Diese fünf Punkte gehören in jede Dokumentation:

1. Zeitstempel der Anmeldung — wann wurde die Adresse ins Formular eingetragen?
2. Zeitstempel der Bestätigung — wann wurde der Link geklickt?
3. IP-Adressen beider Vorgänge — von wo kamen Eintrag und Klick?
4. Der Wortlaut der Einwilligung — wie sah das Formular zum Zeitpunkt der Anmeldung aus, welcher Zweck stand dabei? Wenn du dein Formular änderst, archiviere die alte Version. Eine Einwilligung von 2024 beweist du nicht mit dem Formulartext von 2026.
5. Der Inhalt der Bestätigungsmail — auch hier: Version archivieren.

Bewahre diese Protokolle so lange auf, wie du die Adresse anschreibst — die Einwilligung ist deine Rechtsgrundlage für jede einzelne Mail, nicht nur für die erste. Und prüfe beim Wechsel des E-Mail-Anbieters, ob die Opt-in-Protokolle mit umziehen. Eine exportierte Adressliste ohne die zugehörigen Nachweise ist im Streitfall so viel wert wie eine gekaufte Liste: nichts.

Die 7 häufigsten Fehler beim Double Opt-in

1. Werbung in der Bestätigungsmail. Der Klassiker. Angebot, Rabatt oder Produktbanner in der DOI-Mail — und aus dem Beweismittel wird selbst ein Abmahngrund.
2. Unbestätigte Adressen anschreiben. „Der hat sich doch eingetragen, der will das bestimmt" — nein. Ohne Klick keine Einwilligung. Auch keine „freundliche Erinnerung" an Unbestätigte: Das ist Werbung ohne Einwilligung.
3. Vorangekreuzte Checkboxen oder versteckte Einwilligungen. Eine Einwilligung im Kleingedruckten der AGB oder ein vorab gesetztes Häkchen hält nicht. Aktiv, informiert, freiwillig — sonst ist es keine.
4. Keine oder lückenhafte Protokollierung. Das Verfahren sauber aufgesetzt, aber die Logs nach zwölf Monaten gelöscht oder beim Anbieterwechsel verloren. Damit ist der Nachweis weg — und mit ihm dein Sicherheitsnetz.
5. Schwammiger oder später erweiterter Zweck. Eingesammelt für „Updates zum Whitepaper", verwendet für den wöchentlichen Verkaufs-Newsletter. Die Einwilligung deckt nur, was beim Eintrag erkennbar war.
6. Gekaufte oder gemietete Listen importieren. Einwilligungen sind nicht übertragbar. Dass irgendjemand irgendwann irgendwo eingewilligt hat, hilft dir nicht — die Einwilligung muss gegenüber deinem Unternehmen und für deinen Zweck vorliegen.
7. Einen Kanal-Opt-in für alle Kanäle halten. Das E-Mail-Double-Opt-in deckt E-Mails. Es deckt keine Werbeanrufe (siehe BGH oben) und nicht automatisch andere Kanäle. Wer mehrkanalig arbeiten will, holt die Einwilligung pro Kanal ein — sauber getrennt und einzeln dokumentiert.

Häufige Fragen zum Double Opt-in

Ist Double Opt-in gesetzlich vorgeschrieben?

Das Wort „Double Opt-in" steht in keinem Gesetz. Vorgeschrieben sind zwei Dinge: eine vorherige ausdrückliche Einwilligung für E-Mail-Werbung (§ 7 Abs. 2 Nr. 2 UWG) und deine Nachweispflicht dafür (Art. 7 Abs. 1 DSGVO). Das Double-Opt-in-Verfahren ist der in der Praxis etablierte Weg, beides zusammen zu erfüllen. Wer darauf verzichtet, braucht einen anderen belastbaren Nachweis — und den gibt es beim Formular-Eintrag praktisch nicht.

Reicht Double Opt-in auch für Telefonwerbung?

Nein. Der BGH hat im Urteil vom 10.02.2011 (Az. I ZR 164/09) klargestellt: Der Klick auf einen Link in einer E-Mail beweist nicht, dass der Inhaber der eingetragenen Telefonnummer in Anrufe eingewilligt hat. Für Telefonwerbung gegenüber Verbrauchern brauchst du eine eigene, ausdrückliche Einwilligung. Die Regeln dazu stehen im Artikel zu § 7 UWG.

Was mache ich mit alten Adressbeständen ohne Double Opt-in?

Ehrlich prüfen: Für welche Adressen hast du einen dokumentierten Einwilligungsnachweis? Nur diese darfst du bedenkenlos anschreiben. Für den Rest gilt: Ein nachträgliches „Bitte bestätige jetzt deine Einwilligung" an Adressen ohne Einwilligung ist selbst schon Werbung — und damit riskant. Bei größeren Altbeständen mit unklarer Herkunft ist das ein Fall für anwaltliche Beratung, nicht für Bauchgefühl. Die unbequeme Wahrheit: Meist ist es schneller, eine saubere Liste neu aufzubauen, als eine schmutzige zu retten.

Gilt Double Opt-in auch für WhatsApp-Newsletter?

Das Prinzip ja: Auch für werbliche Nachrichten per Messenger brauchst du eine ausdrückliche, dokumentierte Einwilligung — WhatsApp-Nachrichten sind elektronische Post im Sinne des § 7 UWG. Die Umsetzung läuft dort anders als per E-Mail (Einstiegs-Keyword, Meta-Vorgaben, Abmelde-Mechanik). Wie du das konkret aufsetzt, steht im Artikel zum WhatsApp-Newsletter.

Kostet Double Opt-in Anmeldungen?

Ja — jede zweite Stufe kostet Bestätigungen. Und trotzdem ist die Rechnung eindeutig: Eine bestätigte Adresse ist ein Kontakt, der zweimal aktiv Ja gesagt hat und den du jahrelang anschreiben darfst. Eine unbestätigte Adresse ist ein Kontakt, den du gar nicht anschreiben darfst. 1.000 bestätigte Empfänger schlagen 3.000 unklare — weil du mit den 1.000 arbeiten kannst. Qualität der Liste schlägt Größe der Liste.

Fazit: Double Opt-in ist dein Beweismittel — kein Hindernis

Das Double-Opt-in-Verfahren kostet dich einen Klick pro Anmeldung und liefert dir dafür das, was im E-Mail-Marketing über alles entscheidet: eine Liste, die dir wirklich gehört. Jede Adresse mit dokumentierter Einwilligung ist ein Vermögenswert. Jede ohne ist eine Altlast.

Die Umsetzung ist kein Hexenwerk: Zweck klar benennen, neutrale Bestätigungsmail, erst nach dem Klick senden, alles protokollieren. Vier Regeln, einmal sauber im System eingerichtet — und ab dann läuft dein Listenaufbau rechtssicher auf Autopilot.

Der nächste Schritt ist die Frage, wie du diese Liste systematisch füllst: mit einer Leadgenerierung, die planbar Anfragen produziert, statt auf Zufallsbesucher zu hoffen. Genau dafür hat Dirk Kreuter die Akquisemaschine gebaut: eine KI-gestützte Lead-Pipeline, die Leadgewinnung, Qualifizierung und Terminbuchung automatisiert — für Unternehmer, die ihren Vertrieb skalieren wollen, ohne bei jedem Lead selbst Hand anzulegen. Sauber eingesammelte Einwilligungen inklusive — mit System, nicht mit Glück.

Hinweis: Dieser Artikel beschreibt die Rechtslage allgemein und ersetzt keine Rechtsberatung. Bei konkreten Streitfällen oder unklaren Altbeständen hol dir anwaltlichen Rat.