DSGVO-konforme Einverständniserklärungen in ActiveCampaign: Praxisleitfaden für deutsche Unternehmen

DSGVO-konforme Einwilligungen in ActiveCampaign aufzubauen ist technisch lösbar – die häufigen Fehler liegen aber im Detail: falscher Formulartext, fehlende Dokumentation des Einwilligungsinhalts oder ein Double-Opt-In-Prozess, der rechtlich nicht lückenlos aufgebaut ist. Dieser Leitfaden zeigt, was Art. 7 DSGVO konkret verlangt, was ein aktuelles Gerichtsurteil für deine Nachweispflicht bedeutet und wie das technische Setup in ActiveCampaign Schritt für Schritt aussieht.

Das Wichtigste in Kürze

• Eine Einwilligung nach Art. 7 DSGVO muss freiwillig, spezifisch, informiert und unmissverständlich sein – und du musst ihren Inhalt, nicht nur IP-Adresse und Zeitstempel, nachweisbar gespeichert haben.
• Das VG Düsseldorf hat im Juli 2026 bestätigt: IP-Adresse plus Zeitstempel allein reichen als Einwilligungsnachweis nicht aus – der genaue Wortlaut des Formulartexts muss dokumentiert sein.
• ActiveCampaign aktiviert Double-Opt-In standardmäßig; das Verfahren gilt laut BfDI als rechtssicherste Nachweismethode und muss vollständig konfiguriert, nicht nur eingeschaltet sein.
• Das Kopplungsverbot nach Art. 7 Abs. 4 DSGVO verbietet, einen Download oder eine Dienstleistung von einer Newsletter-Einwilligung abhängig zu machen – Download-Gates mit Pflicht-Checkbox sind unzulässig.
• Seit dem EU-US Data Privacy Framework ist ActiveCampaign als US-Dienst datenschutzrechtlich abgesichert; gesonderte Standardvertragsklauseln sind nicht mehr erforderlich.

Was Art. 7 DSGVO für deine E-Mail-Liste konkret bedeutet

Die rechtliche Grundlage für E-Mail-Marketing ist in nahezu allen Fällen die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO – ergänzt durch die Nachweispflicht aus Art. 7 Abs. 1 DSGVO. Das klingt abstrakt, bedeutet in der Praxis aber vier konkrete Anforderungen, die jede Einwilligung erfüllen muss, bevor du eine Marketing-E-Mail verschicken darfst.

Freiwilligkeit und Kopplungsverbot

Freiwilligkeit scheitert regelmäßig am Kopplungsverbot aus Art. 7 Abs. 4 DSGVO. Die Regel ist klar: Eine Einwilligung ist nicht freiwillig, wenn du die Erfüllung eines Vertrags oder die Erbringung einer Dienstleistung davon abhängig machst. Wer ein Whitepaper nur nach Newsletter-Anmeldung herunterladen kann, hat damit ein Kopplungsverbot etabliert.

In der Praxis bedeutet das: Download-Link und Newsletter-Checkbox müssen getrennte Aktionen sein. Du kannst das Whitepaper direkt verlinken und daneben einen eigenständigen Newsletter-Block platzieren. Beides auf einer Seite ist erlaubt – beides miteinander zu verknüpfen ist verboten. Wer trotzdem ein Lead-Magnet-Gate bauen will, muss sicherstellen, dass die Newsletter-Checkbox für den Download nicht zwingend erforderlich ist.

Bestimmtheit: getrennte Einwilligung pro Zweck

Eine Sammeleinwilligung – die Formulierung „Ich bin mit der Nutzung meiner Daten einverstanden" – genügt nicht. Die DSGVO verlangt Granularität: Wer in Newsletter-Versand, in Profilbildung auf Basis des Leseverhaltens und in Datenweitergabe an Partnerunternehmen einwilligen soll, muss das in drei getrennten Checkboxen tun können. Eine gemeinsame Checkbox für alle drei Zwecke ist unwirksam.

Für das Standard-Newsletter-Marketing reicht eine spezifische Einwilligung pro Kanal: eine für den Newsletter, bei Bedarf eine weitere für transaktionale Benachrichtigungen mit Marketing-Anteil. Die Formulierung muss den genauen Zweck nennen – Versandhäufigkeit, Inhaltstyp, Absender – und einen Hinweis auf das Widerrufsrecht enthalten. Fehlende Zweckangabe macht die gesamte Einwilligung angreifbar, nicht nur den betroffenen Teilaspekt.

Das VG-Düsseldorf-Urteil vom Juli 2026 – warum IP-Adresse plus Zeitstempel nicht reichen

Ein Urteil des Verwaltungsgerichts Düsseldorf vom 27. Juli 2026 hat die Anforderungen an den Einwilligungsnachweis konkretisiert. Ein Unternehmen hatte als Nachweis E-Mail-Adresse, IP-Adresse, Zeitstempel der Formular-Submission sowie IP-Adresse und Zeitstempel des Double-Opt-In-Klicks vorgelegt. Das Gericht erklärte diesen Nachweis für unzureichend.

Der Grund: Aus den gespeicherten Daten war weder der konkrete Wortlaut der Einwilligung noch der Inhalt des Formulars rekonstruierbar. Es ließ sich nicht nachweisen, was die Person zum Zeitpunkt der Anmeldung gelesen und womit sie sich einverstanden erklärt hatte. Art. 7 Abs. 1 DSGVO verlangt, dass der Verantwortliche nachweisen kann, dass die betroffene Person eingewilligt hat – und das schließt den Nachweis ein, worin sie eingewilligt hat.

Für dein ActiveCampaign-Setup heißt das: Du musst nicht nur Zeitstempel und IP-Adresse speichern, sondern auch dokumentieren, welcher genaue Formulartext zum Zeitpunkt der Anmeldung aktiv war. Das gelingt durch drei Ansätze: erstens durch die E-Mail-Ergebnisse-Funktion von ActiveCampaign, die Formularinhalte mitspeichert; zweitens durch datierte, versionierte Screenshots des Formulars bei jeder Textänderung; drittens durch eine externe Consent-Management-Lösung, die den Nachweis automatisch und unveränderlich mit dem Kontaktdatensatz verknüpft. Wer keine dieser Maßnahmen umsetzt, trägt das volle Nachweis-Risiko allein.

Einwilligungen in ActiveCampaign technisch einrichten – Schritt für Schritt

Der folgende Ablauf richtet ein rechtssicheres Einwilligungs-Setup in ActiveCampaign ein: benutzerdefinierte Felder für Consent-Daten, ein Formular mit Pflicht-Checkbox und sauberem Einwilligungstext, aktiviertes Double-Opt-In und eine Automation, die das Consent-Datum automatisch ins Kontaktprofil schreibt. Am Ende ist für jeden Kontakt nachweisbar gespeichert, wann und auf welchem Weg er eingewilligt hat.

Schritt 1: Benutzerdefinierte Felder für Consent-Dokumentation anlegen

Lege zuerst die Felder an, in die du Consent-Metadaten speicherst. Diese Felder sind intern und erscheinen nicht im öffentlichen Formular.

1. Gehe zu Listen → Felder verwalten → Neues benutzerdefiniertes Kontaktfeld.
2. Erstelle ein Feld vom Typ Datum, Bezeichnung: Einwilligungsdatum Newsletter.
3. Erstelle ein zweites Feld vom Typ Text, Bezeichnung: Einwilligungsquelle – hier trägst du später über Automation ein, von welchem Formular oder Kanal die Einwilligung stammt.
4. Optional, aber nützlich für Segmentierungen: ein Feld vom Typ Checkbox, Bezeichnung Newsletter-Einwilligung bestätigt – das erlaubt dir später, gezielt nach Consent-Status zu filtern.

Schritt 2: Formular mit rechtssicherer Pflicht-Checkbox aufbauen

Erstelle das Anmeldeformular unter Website → Formulare → Neues Formular. Im Formular-Editor fügst du das Pflichtfeld für die Einwilligung ein:

1. Ziehe ein Checkbox-Feld in das Formular.
2. Trage als Beschriftung den vollständigen Einwilligungstext ein, zum Beispiel: Ich möchte den wöchentlichen Newsletter mit Marketing-Praxistipps per E-Mail erhalten und bin einverstanden, dass meine E-Mail-Adresse und mein Name zu diesem Zweck gespeichert werden. Diese Einwilligung widerrufe ich jederzeit über den Abmeldelink in jeder E-Mail.
3. Aktiviere Pflichtfeld im Feldeditor, damit das Formular ohne aktives Häkchen nicht abgeschickt werden kann.
4. Verlinke in der Checkbox-Beschriftung auf deine Datenschutzerklärung – in den Feldeinstellungen kannst du HTML-Text mit einem Ankerlink eintragen.
5. Füge unterhalb des Formulars einen sichtbaren Link zu den vollständigen Datenschutzhinweisen ein.

Die Checkbox darf nicht vorab angehakt sein. ActiveCampaign liefert sie standardmäßig leer aus – das ist korrekt und darf nicht geändert werden. Eine vorausgefüllte Checkbox macht die Einwilligung unwirksam.

Schritt 3: Double-Opt-In konfigurieren und Bestätigungs-E-Mail anpassen

ActiveCampaign aktiviert Double-Opt-In für Formulare standardmäßig. Prüfe die Einstellung unter Formular → Optionen → Bestätigung und passe die Bestätigungs-E-Mail an:

1. Stelle sicher, dass Bestätigung erforderlich aktiv ist.
2. Öffne die Bestätigungs-E-Mail und passe den Absendertext an: Name deines Unternehmens, was der Kontakt abonniert hat, und ein Hinweis auf das Widerrufsrecht.
3. Teste den gesamten Anmelde- und Bestätigungsprozess mit einer eigenen E-Mail-Adresse, bevor das Formular live geht.
4. Speichere einen datierten Screenshot der Bestätigungs-E-Mail zum Zeitpunkt des Launches – und wiederhole das bei jeder späteren Änderung des Textes.

Kontakte, die den Bestätigungslink nicht geklickt haben, erscheinen in ActiveCampaign als Unbestätigt und erhalten keine Mailings. Richte eine Automation ein, die diese Kontakte nach 30 Tagen automatisch löscht – dazu mehr im Abschnitt zu Löschautomationen weiter unten.

Schritt 4: Automation für Consent-Datum und Einwilligungsquelle einrichten

Diese Automation schreibt bei Bestätigung des Opt-In die Consent-Metadaten ins Kontaktprofil:

1. Gehe zu Automationen → Neue Automation.
2. Wähle als Auslöser: Kontakt bestätigt Opt-In (wähle das entsprechende Formular aus).
3. Füge eine Aktion Kontaktfeld aktualisieren hinzu: Einwilligungsdatum Newsletter = heutiges Datum.
4. Füge eine zweite Aktion hinzu: Einwilligungsquelle = statischer Text, zum Beispiel Newsletter-Formular Website.
5. Vergib dem Kontakt einen Tag, zum Beispiel DOI-bestätigt – den du später für Segmentierungen nutzt.

Du hast jetzt für jeden regulär angemeldeten Kontakt gespeichert: Datum der Einwilligung, Quelle, und den bestätigten Opt-In-Status als Tag. Den genauen Formulartext sicherst du zusätzlich über die E-Mail-Ergebnisse-Funktion oder durch Versions-Screenshots.

Double-Opt-In vollständig dokumentieren: Möglichkeiten und Grenzen

ActiveCampaign bietet unter Formular → Optionen → Aktionen → E-Mail-Ergebnisse die Möglichkeit, bei jeder Formular-Submission automatisch eine E-Mail an eine interne Adresse zu schicken. Diese E-Mail enthält Datum, Uhrzeit, E-Mail-Adresse des Kontakts, alle ausgefüllten Felder inklusive Checkbox-Auswahl – und damit Teile des Formulartexts, wenn du den Feldnamen entsprechend wählst.

Diese Funktion ergänzt das Setup sinnvoll, ist aber kein vollständiger Ersatz für einen lückenlosen Consent-Audit-Trail. Einschränkung: Bei Double-Opt-In-Formularen wird die E-Mail erst nach dem Bestätigungsklick verschickt. Unbestätigte Anmeldungen erscheinen nicht. Für die Nachweispflicht nach Art. 7 DSGVO ist das unproblematisch – du dokumentierst ausschließlich wirksame Einwilligungen – aber du solltest wissen, dass du damit nicht alle Formular-Submissions, sondern nur bestätigte Kontakte erfasst.

Wer einen vollständigen Consent-Audit-Trail braucht – etwa in stark regulierten Branchen oder bei Kontaktvolumina im fünfstelligen Bereich – sollte zusätzlich ein spezialisiertes Consent-Management-System einsetzen, das Formularversionen versioniert und den Einwilligungstext unveränderlich mit dem Kontaktdatensatz verknüpft. ActiveCampaign selbst bietet diese Funktion nicht nativ; die Versionsdokumentation läuft extern.

Wie du ActiveCampaign-Formulare mit Double-Opt-In aufbaust und die technischen Einstellungen im Detail konfigurierst, beschreibt der Beitrag zu ActiveCampaign-Formularen mit Double-Opt-In.

Bestandskontakte, Widerruf und automatische Löschung

Nachträgliche Einwilligung bei bestehenden Kontakten einholen

Wenn du Kontakte in deiner Liste hast, deren Einwilligung nicht den heutigen Anforderungen entspricht – kein dokumentierter Zeitstempel, kein Formulartext, keine klare Zweckangabe –, musst du eine neue Einwilligung einholen oder diese Kontakte löschen. Es gibt keine rechtssichere Grauzone, in der du weiter E-Mails verschicken kannst und dabei auf konkludentes Einverständnis hoffst.

Der empfohlene Ablauf in ActiveCampaign:

1. Identifiziere Kontakte ohne DOI-bestätigt-Tag oder ohne gesetztes Einwilligungsdatum-Feld – das sind Kontakte, deren Consent-Status unklar ist.
2. Schicke diesen Kontakten eine einmalige Re-Permission-E-Mail mit einem Link zu einem neuen, sauber konfigurierten Einwilligungs-Formular.
3. Setze in der Automation ein Ziel: Formular ausgefüllt und DOI bestätigt.
4. Kontakte, die nach 14 Tagen nicht reagiert haben, erhalten keine zweite Erinnerung – sie werden stattdessen mit einem Tag Zur Löschung vormerken versehen und nach weiteren 7 Tagen aus der Liste entfernt.

Diese Vorgehensweise kann kurzfristig zu einem deutlichen Listenrückgang führen. In der Praxis zeigt sich: Kontakte ohne reaktivierte Einwilligung konvertieren ohnehin selten. Die Qualität der verbleibenden Liste steigt spürbar, während das rechtliche Risiko sinkt.

Widerruf verarbeiten und Kontakte automatisch löschen

Jede Einwilligung muss jederzeit widerrufbar sein, und der Widerruf muss so einfach sein wie die ursprüngliche Einwilligung – das verlangt Art. 7 Abs. 3 DSGVO. In ActiveCampaign ist das über den Abmeldelink in jeder E-Mail abgedeckt; der Kontakt wird bei Klick automatisch aus der Liste ausgetragen.

Was viele übersehen: Abgemeldete Kontakte bleiben in ActiveCampaign als inaktive Datensätze erhalten und können weiterhin über Site Tracking erfasst werden, wenn du das Tracking nicht gesondert deaktivierst. Für Kontakte, die den Widerruf erklärt haben, ist das rechtlich problematisch, wenn keine andere Rechtsgrundlage für die weitere Datenspeicherung vorliegt. Richte deshalb eine Lösch-Automation ein:

1. Auslöser: Kontakt meldet sich von der Liste ab.
2. Warte 3 Tage (um versehentliche Abmeldungen auffangen zu können, falls du einen Reaktivierungspfad anbieten willst).
3. Prüfe per If-Else, ob der Kontakt noch in einer anderen aktiven Liste steht.
4. Falls nein: Lösche alle Custom Fields mit personenbezogenen Daten oder – wenn keine weitere Rechtsgrundlage besteht – den gesamten Kontaktdatensatz über die Aktion Kontakt löschen.

Wenn du die Bestätigungs- und Abmelde-E-Mails in ActiveCampaign anpasst, achte darauf, dass der Abmeldelink in jeder Textversion erhalten bleibt und fehlerfrei funktioniert – auch nach Designänderungen.

Unbestätigte Kontakte automatisch löschen

Für unbestätigte Kontakte – also Personen, die das Formular ausgefüllt, aber den DOI-Link nicht geklickt haben – gilt: Nach 30 Tagen ohne Bestätigung gibt es keinen Grund mehr, die Daten zu behalten. Richte eine Automation ein:

1. Auslöser: Kontakt füllt das Formular aus (Single-Opt-In-Zwischenstatus).
2. Warte 30 Tage.
3. Prüfe per If-Else: Hat der Kontakt das DOI-bestätigt-Tag?
4. Falls nein: Kontaktdatensatz löschen.

Diese Automation läuft still im Hintergrund und hält deine Liste technisch sauber, ohne manuellen Aufwand.

Typische Fehler und wie du sie vermeidest

Das Formular ist korrekt, aber die Automation dokumentiert nichts

Der häufigste blinde Fleck: Das Formular hat eine Pflicht-Checkbox mit sauberem Text, aber nirgendwo wird gespeichert, wann der Kontakt welcher Version des Formulartexts zugestimmt hat. Im Ernstfall ist die Einwilligung nach dem VG-Düsseldorf-Urteil nicht ausreichend nachweisbar. Die Lösung ist die Kombination aus E-Mail-Ergebnisse-Funktion, versionierten Screenshots des Formulartexts und einem Datumsfeld im Kontaktprofil.

Die Bestätigungs-E-Mail enthält keinen Hinweis auf den Zweck

ActiveCampaign liefert eine Standardtextvorlage für die DOI-Bestätigungs-E-Mail. Diese enthält häufig nur einen generischen Bitte-bestätige-deine-Anmeldung-Text, ohne zu nennen, was der Kontakt abonniert und wer ihn anschreibt. Das genügt nicht: Die Bestätigungs-E-Mail muss erkennbar machen, welches Unternehmen welchen Newsletter versendet – andernfalls kann der Kontakt nicht informiert einwilligen, selbst wenn er den Link klickt.

Verschiedene Verarbeitungszwecke mit einer Checkbox zusammengefasst

Newsletter-Versand, Profilbildung auf Basis des Leseverhaltens und Weitergabe an Partnerunternehmen lassen sich nicht mit einer einzigen Checkbox abdecken. Wer alle drei Zwecke unter einer allgemeinen Einwilligungsformel zusammenfasst, hat für zwei von drei Zwecken keine wirksame Einwilligung. Die Lösung ist eine Checkbox pro Zweck – auch wenn das bedeutet, dass Kontakte einzelne Punkte ablehnen können.

Der Abmeldelink entfernt den Kontakt aus der Liste, aber nicht aus dem Tracking

Wer die Einwilligung widerruft, widerruft sie vollständig. Site Tracking, Event Tracking und Automations-Trigger laufen in ActiveCampaign aber auch für abgemeldete Kontakte weiter, solange der Datensatz existiert. Wenn keine andere Rechtsgrundlage für die Datenspeicherung vorliegt, muss der Datensatz auf Widerruf gelöscht werden – nicht nur aus der Liste ausgetragen.

Formular-Screenshots werden nach dem Launch nie aktualisiert

Ein einmalig erstellter Screenshot aus dem Jahr des Launches schützt dich nicht, wenn du den Formulartext seitdem geändert hast. Dokumentiere jede Änderung am Einwilligungstext mit Datum und halte die Versionshistorie mindestens drei Jahre vor. Das klingt aufwendig, ist aber eine einmalige Prozesseinrichtung: Ein geteiltes Ordnersystem mit Datum als Ordnername reicht für die meisten Setups aus.

Häufige Fragen

Reicht Single-Opt-In in Deutschland aus, wenn die Checkbox Pflichtfeld ist?

Rechtlich gibt es kein generelles gesetzliches Double-Opt-In-Gebot in Deutschland, aber die BfDI empfiehlt es ausdrücklich als rechtssicherste Nachweismethode. Single-Opt-In kann für die Qualität der Einwilligung ausreichen, beweist aber nicht, dass tatsächlich die berechtigte Person das Formular ausgefüllt hat – und nicht jemand anderes mit fremder E-Mail-Adresse. Double-Opt-In verknüpft die Einwilligung mit einer verifizierten Adresse und ist deshalb der faktische Standard, der Beschwerden und Prüfungen standhält.

Was genau muss ich beim Einwilligungsnachweis speichern?

Mindestens: Zeitstempel der Formular-Submission, Zeitstempel des Bestätigungsklicks bei DOI, IP-Adresse beider Ereignisse – und den genauen Wortlaut des Einwilligungstexts, dem der Kontakt zugestimmt hat. Das VG Düsseldorf hat im Juli 2026 klargestellt, dass IP und Zeitstempel allein nicht reichen. Der Formularinhalt muss rekonstruierbar sein. Das erreichst du in ActiveCampaign über die E-Mail-Ergebnisse-Funktion in Kombination mit versionierten Formular-Screenshots oder einem externen Consent-Management-Tool.

Muss ich für jeden E-Mail-Typ eine eigene Einwilligung einholen?

Transaktionale E-Mails – Bestellbestätigungen, Passwort-Resets, Buchungsbelege – brauchen keine gesonderte Einwilligung für Marketing. Werbliche E-Mails, Newsletter und Produktneuheiten hingegen schon. Wenn du denselben Kontakt für mehrere Marketingzwecke anschreiben willst – Newsletter, Webinar-Einladungen und Angebots-E-Mails –, brauchst du eine Einwilligung, die alle drei Zwecke explizit nennt, oder separate Checkboxen pro Zweck.

Wie lange ist eine erteilte Einwilligung gültig?

Die DSGVO legt keine feste Gültigkeitsdauer fest. Eine Einwilligung bleibt wirksam, bis sie widerrufen wird oder bis sich der Verarbeitungszweck ändert. Als Orientierung gilt in der Praxis: Wenn ein Kontakt über einen Zeitraum von etwa zwei Jahren kein einziges Mal mit deinen E-Mails interagiert hat – kein Öffnen, kein Klick –, ist zu prüfen, ob die Einwilligung noch das aktive Interesse eines informierten Nutzers widerspiegelt. Viele Datenschutzberater empfehlen in diesem Fall eine Reaktivierungskampagne mit ausdrücklicher Bestätigung.

Was bedeutet das EU-US Data Privacy Framework für ActiveCampaign-Nutzer?

ActiveCampaign ist dem EU-US Data Privacy Framework beigetreten, das die Europäische Kommission durch einen Angemessenheitsbeschluss anerkannt hat. Das bedeutet: Der Transfer von Kontaktdaten deiner EU-Nutzer zu ActiveCampaign in die USA ist auf dieser Grundlage datenschutzrechtlich zulässig, ohne dass du Standardvertragsklauseln gesondert abschließen musst. Den Auftragsverarbeitungsvertrag von ActiveCampaign rufst du unter Einstellungen → Konto → Rechtliches ab und unterzeichnest ihn dort.

Den Einwilligungsprozess sauber aufzusetzen ist einmalige Arbeit. Was danach bleibt, ist das laufende Monitoring: unbestätigte Kontakte werden automatisch gelöscht, Formular-Screenshots werden bei Textänderungen aktualisiert, und die Löschautomationen laufen im Hintergrund. Wer sich den gesamten DSGVO-Rahmen für E-Mail-Marketing mit ActiveCampaign – von der Listenhygiene über Segmentierung bis zu Drittanbieter-Integrationen – strukturiert erarbeiten will, findet dafür den passenden Ausgangspunkt im Leitfaden zu DSGVO-konformem E-Mail-Marketing mit ActiveCampaign.