DSGVO Marketing 2026: Newsletter, Werbung, Profilbildung

Hauptartikel: Cookie-Banner 2026 — der vollständige Pillar-Artikel zu Einwilligung und Ausnahmen nach § 25 TDDDG.

Marketing-Datenschutz beginnt mit zwei Fragen: Welche Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO trägt die Verarbeitung — und wird zusätzlich auf die Endeinrichtung der Nutzerin oder des Nutzers zugegriffen? Art. 6 Abs. 1 DSGVO nennt sechs Erlaubnistatbestände; mindestens einer muss erfüllt sein, damit die Verarbeitung rechtmäßig ist. Die folgenden sechs Abschnitte gehen die Marketing-Konstellationen der Reihe nach durch; danach folgen die querliegenden Pflichten: Betroffenenrechte und Fristen, Nachweis gegenüber der Aufsicht und die Unterschiede zwischen Deutschland und Österreich.

1. Newsletter-Einwilligung Double-Opt-In

Pflicht: aktive Einwilligung + Nachweis der Einwilligung + Widerruf so einfach wie Anmeldung. Double-Opt-In und Logging der Einwilligung mit IP, Zeitpunkt, Form sind der Praxis-Standard für diesen Nachweis (keine ausdrückliche gesetzliche Vorgabe).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO — die Einwilligung als einer der sechs Erlaubnistatbestände. Die Anforderungen an diese Einwilligung stehen in Art. 7 DSGVO: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat (Art. 7 Abs. 1 DSGVO). Genau dafür existiert das Bestätigungs-Log — es ist kein technisches Beiwerk, sondern der Nachweis selbst. Der Widerruf ist jederzeit möglich, berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht und muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO).

Praxisempfehlung (keine gesetzliche Vorgabe): Abmeldung mit einem Klick aus jeder Aussendung, ohne Login und ohne Rückfrage — das ist die einfachste Art, die Gleichwertigkeit von Erteilung und Widerruf belegbar zu machen. Ebenfalls Praxis: den Wortlaut des Anmeldeformulars versioniert aufbewahren, damit später nachvollziehbar bleibt, worin eingewilligt wurde.

Deutschland / Österreich: In Deutschland flankiert § 7 UWG die werbliche Ansprache. In Österreich regelt § 174 TKG 2021 (Unerbetene Nachrichten) den Newsletter-Versand — auch dort mit Einwilligung, ergänzend zu Art. 6 DSGVO; Double-Opt-In ist auch dort der Praxis-Standard für den Nachweis.

Praxiseinschätzung (keine belegte Fallzahl): Newsletter-Verstöße sind bei Aufsichts-Stichproben hochfrequent.

2. Cookies + Tracking-Pixel

§ 25 TDDDG: Einwilligung VOR Tag-Load. Equal-Choice: Zustimmen und Ablehnen als Auswahloptionen mit gleichwertigem Kommunikationseffekt (Auslegung der Aufsichtsbehörden, OH Digitale Dienste Rn. 50). Bußgeldrahmen: bis 300.000 EUR für das Speichern oder Auslesen ohne Einwilligung (§ 28 Abs. 1 Nr. 13, Abs. 2 TDDDG); für die anschließende Verarbeitung Art. 83 DSGVO.

Der Normtext ist enger, als er oft zitiert wird: Nach § 25 Abs. 1 TDDDG sind die Speicherung von Informationen in der Endeinrichtung des Endnutzers und der Zugriff auf bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat; Information und Einwilligung haben nach dem Maßstab der DSGVO zu erfolgen. Ohne Einwilligung bleiben nur die beiden Fälle des § 25 Abs. 2 TDDDG: Der alleinige Zweck ist die Durchführung der Nachrichtenübertragung, oder der Zugriff ist unbedingt erforderlich, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann.

Daraus folgt die Zweistufigkeit der Tracking-Prüfung, sobald auf die Endeinrichtung zugegriffen wird: § 25 TDDDG regelt den Zugriff auf das Endgerät, Art. 6 Abs. 1 DSGVO die anschließende Verarbeitung der so erhobenen Daten. Beide Ebenen brauchen eine eigene Antwort — eine Einwilligung im Banner ersetzt die Zuordnung der Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO nicht, die in der Dokumentation der Verarbeitungstätigkeit als Praxisfeld mitgeführt wird. In Österreich übernimmt § 165 TKG 2021 die Rolle des § 25 TDDDG und verlangt für Tracking-Cookies ebenfalls ein Opt-In.

Praxisempfehlung: ein dauerhaft erreichbarer Weg, die getroffene Auswahl wieder zu ändern — weil der Widerruf nach Art. 7 Abs. 3 DSGVO so einfach sein muss wie die Erteilung.

3. Profilbildung (Art. 22)

Art. 22 Abs. 1 DSGVO greift nur bei ausschließlich automatisierten Entscheidungen, die der betroffenen Person gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen. Gewöhnliche Werbe-Personalisierung erreicht diese Schwelle in der Regel nicht (nur ausnahmsweise bei besonders eingriffsintensivem Targeting) — maßgeblich sind dann die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO und für den Zugriff auf das Endgerät § 25 TDDDG. Rechtsprechung: EuGH, Urteil vom 04.07.2023, C-252/21 (Meta Platforms u.a./Bundeskartellamt) — auch aus anderen Daten abgeleitete oder aggregierte Informationen über sensible Merkmale unterfallen Art. 9 DSGVO. EuGH, Urteil vom 04.10.2024, C-446/21 (Schrems/Meta Platforms Ireland) — zeitlich unbegrenzte Aggregation personenbezogener Daten für personalisierte Werbung verstößt gegen die Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO); Art. 9 Abs. 2 lit. e DSGVO ist eng auszulegen.

Auch unterhalb der Art.-22-Schwelle löst Profilbildung eigene Pflichten aus. Erstens Art. 9 Abs. 1 DSGVO: Die Verarbeitung von Daten, aus denen etwa ethnische Herkunft, politische Meinungen oder religiöse und weltanschauliche Überzeugungen hervorgehen, sowie die Verarbeitung von Gesundheitsdaten und Daten zum Sexualleben oder zur sexuellen Orientierung ist grundsätzlich untersagt; zulässig ist sie nur über eine Ausnahme des Art. 9 Abs. 2 DSGVO, etwa die ausdrückliche Einwilligung. Zweitens die Datenschutz-Folgenabschätzung: Nach Art. 35 Abs. 1 und Abs. 3 DSGVO ist sie vorab durchzuführen, wenn eine Verarbeitungsform voraussichtlich ein hohes Risiko birgt — ausdrücklich genannt sind die systematische umfassende Bewertung persönlicher Aspekte mittels Profiling mit Rechtswirkung und die umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 DSGVO. Drittens die Benennung eines Datenschutzbeauftragten: Sie ist nach Art. 37 Abs. 1 lit. b DSGVO zwingend, wenn die Kerntätigkeit in Verarbeitungsvorgängen besteht, die eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen erforderlich machen.

4. Re-Targeting (Pixel + Lookalike)

Meta Pixel, Google Ads-Tag = Drittland-Daten. Erforderlich: eine Garantie für die Drittlandübermittlung (dazu der folgende Absatz) + Einwilligung; bei Standardvertragsklauseln in der Praxis ergänzt um ein Transfer Impact Assessment (TIA).

Für die Dokumentation heißt das dreierlei. Erstens gehört zu jedem Werkzeug ein Eintrag in der Spalte „Drittlandübermittlungen und Garantien" des Verarbeitungsverzeichnisses; Empfänger in Drittländern brauchen eine Garantie — Standardvertragsklauseln (SCC), das EU-US Data Privacy Framework (DPF) oder Binding Corporate Rules (BCR). Der fehlende Drittland-Hinweis bei US-Werkzeugen zählt nach Praxiserfahrung zu den häufigen Dokumentationsfehlern. Zweitens muss vor der Einbindung die Rolle geklärt sein: Verantwortlicher (Art. 4 Nr. 7 DSGVO), Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) oder gemeinsam Verantwortliche (Art. 26 DSGVO). Die Verwechslung von Auftragsverarbeitung und gemeinsamer Verantwortlichkeit ist nach Praxiserfahrung ein wiederkehrender Fehler; von der Rolle hängt insbesondere ab, ob ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO zu schließen ist (Abschnitt 5). Drittens greift § 25 Abs. 1 TDDDG (Abschnitt 2), soweit beim Einbinden des Pixels Informationen in der Endeinrichtung gespeichert oder bereits gespeicherte Informationen ausgelesen werden — unabhängig davon, wie die anschließende Verarbeitung nach Art. 6 Abs. 1 DSGVO begründet wird.

5. E-Mail-Marketing-Daten teilen

Mailchimp Tracking-Daten, Brevo Click-Tracking — AVV-pflichtig, soweit der Anbieter als Auftragsverarbeiter tätig wird (Rollenklärung in Abschnitt 4), dazu eine Einwilligung, die das Tracking abdeckt.

Art. 28 Abs. 1 DSGVO erlaubt die Zusammenarbeit nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Art. 28 Abs. 3 DSGVO gibt den Mindestinhalt des Vertrags vor: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Ein Vertrag, der diese Punkte nicht benennt, erfüllt Art. 28 Abs. 3 DSGVO nicht — auch wenn er „AVV" heißt. Umgekehrt ist die Aufzählung keine abschließende Prüfliste: Sie benennt den Mindestinhalt, nicht jede Einzelregelung, die ein Auftragsverarbeitungsvertrag enthalten muss.

Der Bußgeldrahmen unterscheidet sich je nach verletzter Norm: Verstöße gegen Art. 25 bis 39 DSGVO — und damit gegen die Auftragsverarbeitung nach Art. 28 — liegen bei bis zu 10 Mio. EUR oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Verstöße gegen die Grundsätze der Verarbeitung und die Einwilligungsbedingungen (Art. 5, 6, 7 und 9 DSGVO) sowie gegen die Betroffenenrechte (Art. 12 bis 22 DSGVO) liegen bei bis zu 20 Mio. EUR oder 4 % (Art. 83 Abs. 5 DSGVO). Ein häufiger Dokumentationsfehler sind nach Praxiserfahrung veraltete Empfänger-Listen: abgelöste Versand-Werkzeuge, die im Verarbeitungsverzeichnis noch stehen — oder noch Daten haben.

6. Custom Audiences von Bestandskunden

Hash-Upload nach Meta/Google: erfordert Einwilligung der Bestandskunden für Werbe-Kontext.

Wer den Upload auf eine Einwilligung stützt, muss die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO) — und der Upload erfordert eine Einwilligung, die den Werbe-Kontext abdeckt; eine Einwilligung in den Newsletter-Empfang deckt den Abgleich mit einer Werbeplattform nicht automatisch mit ab. Bildet die hochgeladene Zielgruppe sensible Merkmale ab, greift zusätzlich das Verarbeitungsverbot des Art. 9 Abs. 1 DSGVO; nach der in Abschnitt 3 zitierten Rechtsprechung genügt dafür bereits die Ableitung oder Aggregation solcher Merkmale aus anderen Daten. Für die Liste selbst gilt das Verarbeitungsverzeichnis-Feld „geplante Löschfristen" pro Datenkategorie — eine Upload-Zielgruppe ohne definierte Löschfrist ist ein Dokumentationsmangel.

Praxisempfehlung: den Upload-Turnus so festlegen, dass Widerrufe vor dem nächsten Abgleich wirksam werden, und den Turnus im Verarbeitungsverzeichnis vermerken.

Betroffenenrechte und Fristen im Marketing

Anträge betroffener Personen sind unverzüglich, spätestens binnen eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO); die Verlängerungsmechanik und die übrigen Marketing-relevanten Fristen stehen in der Tabelle. Die Übersicht trennt ausdrücklich zwischen normativen Vorgaben und Praxisempfehlung: Nur die Zeilen mit Fundstelle sind gesetzliche Vorgaben, die letzte Zeile ist ein Praxis-Rhythmus ohne Fundstelle.

Nachweis: was die Aufsicht zuerst sehen will

Am Anfang steht das Verarbeitungsverzeichnis. Prüfreihenfolge in der Praxis (keine gesetzlich vorgegebene Reihenfolge): Verarbeitungsverzeichnis, dann Auftragsverarbeitungsverträge, dann das Konzept der technischen und organisatorischen Maßnahmen, dann die Datenschutz-Folgenabschätzungen. Für Marketing bedeutet das: Newsletter-Versand, Cookie-Banner und Webanalyse sind eigene Verarbeitungstätigkeiten und gehören mit Zweck, Empfängerkategorien, Drittlandübermittlungen samt Garantien und geplanter Löschfrist einzeln erfasst (Art. 30 Abs. 1 DSGVO); die Rechtsgrundlage ist dort nicht genannt, wird aber als Praxisfeld mitgeführt, weil sie aus der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO folgt.

Die 250-Beschäftigten-Ausnahme des Art. 30 Abs. 5 DSGVO hilft dabei nicht: Sie greift nur kumulativ — weniger als 250 Beschäftigte und kein Risiko für die Rechte und Freiheiten der betroffenen Personen und keine regelmäßige Verarbeitung und keine besonderen Kategorien nach Art. 9 DSGVO beziehungsweise strafrechtlichen Daten. Der Normtext stellt dabei auf „ein Risiko" ab, nicht auf ein hohes Risiko; die Schwelle „hohes Risiko" gilt nur für die Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO. Ein Newsletter ist eine regelmäßige Verarbeitung — damit ist die Ausnahme praktisch verbraucht.

Vorzulegen ist das Verzeichnis nach Art. 30 Abs. 4 DSGVO „auf Anfrage". Praxiserwartung (keine gesetzliche Frist): eine Übermittlung binnen ein bis zwei Wochen. Der Einwilligungs-Nachweis nach Art. 7 Abs. 1 DSGVO aus Abschnitt 1 ist Teil derselben Kette — er belegt für jeden Newsletter-Empfänger, worauf sich der Eintrag im Verzeichnis stützt.

Deutschland und Österreich: die Normen, die abweichen

Die DSGVO-Anforderungen sind in beiden Ländern identisch; abweichend sind die nationalen Normen für Werbe-E-Mails, für den Zugriff auf die Endeinrichtung, für die Pflicht zur Benennung eines Datenschutzbeauftragten und für die ergänzenden Sanktionen.

Deutschland / Österreich: Die DSGVO-Artikel gelten in beiden Ländern identisch — die Einwilligungsanforderungen (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO) sind dieselben. Unterschiedlich sind nationales Recht und Aufsicht: § 25 TDDDG und § 7 UWG sind deutsches Recht; Aufsicht in Deutschland sind die Landesdatenschutzbehörden (§ 40 Abs. 1 BDSG; für öffentliche Stellen des Bundes der BfDI, § 9 Abs. 1 BDSG). In Österreich ist die Datenschutzbehörde zuständig (§ 18 Abs. 1 DSG); ergänzend zu Art. 83 DSGVO sieht § 62 Abs. 1 DSG Verwaltungsstrafen bis 50.000 Euro vor — allerdings nur subsidiär, also sofern die Tat nicht bereits einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen strenger bedroht ist, und nur für die dort aufgezählten Fälle, etwa den vorsätzlich widerrechtlichen Zugang zu einer Datenverarbeitung oder die vorsätzliche Übermittlung in Verletzung des Datengeheimnisses (§ 6 DSG).