DSGVO-konformes E-Mail-Marketing mit ActiveCampaign: Praxisleitfaden für deutsche Unternehmen

DSGVO-konformes E-Mail-Marketing mit ActiveCampaign bedeutet in der Praxis vier Dinge: eine nachweisbare Einwilligung vor dem ersten Versand, einen abgeschlossenen Auftragsverarbeitungsvertrag (AVV) mit ActiveCampaign, Tracking nur nach explizitem Consent und eine Dokumentation, die im Prüffall standhält. Dieser Beitrag zeigt, was konkret einzustellen ist, welche Fehler regelmäßig zu Bußgeldern führen und wann die Plattform allein nicht ausreicht.

Das Wichtigste in Kürze

• Double Opt-in ist in Deutschland faktisch Pflicht: ohne Bestätigungsschritt ist eine Einwilligung vor Gericht kaum haltbar.
• Der AVV (Data Processing Agreement) mit ActiveCampaign ist nach Art. 28 DSGVO zwingend – er ist kostenlos in den Account-Einstellungen unterzeichenbar.
• Das Site-Tracking-Script darf erst nach Cookie-Consent geladen werden; vorher ist es datenschutzrechtlich unzulässig.
• Consent-Tags mit Datum und Quelle sind die einfachste Methode, Einwilligungen in ActiveCampaign nachzuweisen.
• UWG § 7 setzt eine eigenständige Einwilligungshürde, die strenger ist als die DSGVO allein – berechtigtes Interesse reicht für Newsletter nicht aus.

Was DSGVO und UWG im E-Mail-Marketing von dir verlangen

Wer Marketing-E-Mails in Deutschland verschickt, unterliegt zwei Rechtsbereichen gleichzeitig: der DSGVO für die Verarbeitung personenbezogener Daten und dem UWG für die Kommunikation selbst. Beide greifen ins E-Mail-Marketing ein, setzen aber an verschiedenen Punkten an. Das Nebeneinander zu kennen ist wichtig, weil eine DSGVO-konforme Einwilligung nicht automatisch auch UWG-konform ist.

Die sechs Pflichten, die für jeden Versand gelten

Aus Art. 5 bis 7 DSGVO und Art. 28 DSGVO ergeben sich folgende Mindestanforderungen:

• Eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten – für Newsletter ausschließlich ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
• Vollständige Information nach Art. 13 DSGVO zum Zeitpunkt der Datenerhebung, also im Formular selbst oder direkt darunter.
• Nachweisbarkeit jeder Einwilligung: Wann, wo, für welchen Zweck hat die Person zugestimmt (Art. 7 Abs. 1 DSGVO).
• Das Recht auf Löschung (Art. 17) und Datenportabilität (Art. 20) muss technisch umsetzbar sein.
• Ein AVV mit ActiveCampaign als Auftragsverarbeiter (Art. 28 DSGVO) – ohne diesen Vertrag ist die Nutzung rechtswidrig.
• Technische und organisatorische Maßnahmen zum Schutz der Daten (Art. 32 DSGVO), also unter anderem Zugangskontrolle und verschlüsselte Übertragung.

Wo das UWG strenger ist als die DSGVO

Das UWG (§ 7 Abs. 2 Nr. 2) verbietet unzumutbare Belästigung durch Werbung per E-Mail – unabhängig davon, ob eine DSGVO-Grundlage vorliegt. Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO reicht für Newsletter in Deutschland nicht aus. Es wird immer eine ausdrückliche Einwilligung benötigt.

Der Unterschied wird besonders im B2B-Bereich sichtbar. Andere EU-Länder erlauben E-Mail-Werbung an Firmenpostfächer bei berechtigtem Interesse. In Deutschland verlangt der BGH auch dort eine ausdrückliche Einwilligung, sobald es sich um personenbezogene Adressen handelt (etwa max.mustermann@firma.de). Nur unpersönliche Sammeladressen wie info@firma.de fallen aus dem DSGVO-Schutzbereich heraus – das UWG greift aber auch dort.

Verbraucherschutzverbände können Verstöße inzwischen zivilrechtlich verfolgen. Das erhöht das Abmahnrisiko, weil nicht mehr nur Wettbewerber klageberechtigt sind.

Wie du ActiveCampaign DSGVO-konform einrichtest – Schritt für Schritt

Geh diese Einstellungen der Reihe nach durch. Am Ende hast du eine Grundkonfiguration, die einem Datenschutz-Audit standhält.

1. AVV abschließen: Öffne deine Account-Einstellungen in ActiveCampaign. Gehe zu Einstellungen → Datenschutz → Data Processing Agreement. Lies das Dokument und unterzeichne es digital. ActiveCampaign sendet dir eine Bestätigung per E-Mail. Ohne diesen Schritt darfst du die Plattform für Kontakte aus der EU nicht nutzen.
2. Double Opt-in aktivieren: Gehe zu Listen → wähle deine Liste → Einstellungen → Double Opt-in aktivieren. Passe Betreff und Text der Bestätigungs-E-Mail an, aber lass den Bestätigungs-Link unverändert. Wiederhole das für jede Liste separat. Wie du die Bestätigungsmail individualisierst, zeigt der Beitrag Double Opt-in in ActiveCampaign korrekt einrichten.
3. Formulare mit separaten Checkboxen versehen: Öffne dein Formular unter Formulare → [Formularname]. Füge für jeden Verwendungszweck eine eigene Checkbox ein. Beispieltexte: „Ich möchte den wöchentlichen Newsletter erhalten" und „Ich möchte Produktupdates per E-Mail erhalten". Keine vorausgefüllten Boxen. Die Einwilligung zum Newsletter darf nicht an andere Leistungen gekoppelt sein.
4. Einwilligungs-Automation einrichten: Erstelle eine Automation mit Trigger „Kontakt wird zu einer Liste hinzugefügt" (nach Opt-in-Bestätigung). Füge die Aktion „Custom Field aktualisieren" ein: Feld „Consent-Datum" = aktuelles Datum, Feld „Consent-Quelle" = Name des Formulars. Alternativ: Tag mit der Struktur „Consent-Newsletter-[Formularname]" hinzufügen. Damit ist jede Einwilligung mit Zeitpunkt und Herkunft dokumentiert.
5. Preference Center einbinden: Gehe zu Einstellungen → E-Mail → Abmelden. Aktiviere das Preference Center und passe das Standard-Template an. Füge den {{Manage Preferences}}-Link in den Footer jeder Marketing-E-Mail ein. So können Kontakte einzelne Kategorien abwählen, ohne sich komplett abzumelden.
6. Site Tracking nur nach Consent laden: Implementiere das ActiveCampaign-Script über deine Consent-Management-Plattform (CMP) in der Kategorie „Marketing/Tracking". Ohne CMP darf das Script nicht im Seitencode stehen. Der Script darf erst nach expliziter Zustimmung im Cookie-Banner aktiv werden.

Einwilligungen dokumentieren: Was im Prüffall zählt

Die DSGVO verlangt nicht nur, dass Einwilligungen vorliegen, sondern dass du sie beweisen kannst (Art. 7 Abs. 1 DSGVO). Für jeden Kontakt muss nachweisbar sein: wann, wo und für welchen Zweck er zugestimmt hat. ActiveCampaign speichert automatisch den Zeitpunkt der Listenzugehörigkeit, nicht aber die Quelle und den Zweck – das musst du selbst strukturieren.

Consent-Tags als Nachweis-Protokoll

Ein einfaches und bewährtes System verwendet Tags in folgender Struktur: Consent-Newsletter-20260301-Landingpage-Webinar. Dieses Tag enthält Verwendungszweck, Datum und Quelle. Im Kontaktprofil ist auf einen Blick ablesbar, welche Einwilligung wann woher stammt. Hat ein Kontakt mehreren Zwecken zugestimmt, trägt er mehrere Consent-Tags.

Der Vorteil gegenüber Custom Fields: Tags sind direkt in der Kontaktsicht sichtbar und in Segmenten filterbar. Wenn eine Aufsichtsbehörde fragt, ob ein bestimmter Kontakt eine gültige Einwilligung hat, öffnest du das Profil und siehst die Antwort sofort.

Widerruf und Preference Center verknüpfen

Einwilligungen müssen jederzeit widerrufbar sein. Eine vollständige Abmeldung (Unsubscribe) entzieht in ActiveCampaign alle Einwilligungen für diese Liste. Wenn du mehrere Kommunikationstypen verwaltest – Newsletter, Produktupdates, Webinar-Einladungen – führe sie im Preference Center getrennt auf. Kontakte können dann einzelne Kategorien abwählen, ohne die Verbindung ganz zu kappen.

Ergänze die Automation: Wenn ein Kontakt im Preference Center eine Kategorie deaktiviert, entferne automatisch den entsprechenden Consent-Tag oder setze ein „Widerrufen"-Tag. Der aktuelle Einwilligungsstatus bleibt damit immer im Profil sichtbar und ist auditierbar.

Site Tracking ohne Datenschutzrisiko einsetzen

ActiveCampaign SiteTracking verfolgt, welche Seiten ein bekannter Kontakt besucht. Diese Information ist wertvoll für verhaltensbasierte Automationen – sie birgt aber ein Datenschutzproblem: Das Tracking-Script kann IP-Adressen erfassen, was personenbezogene Daten erzeugt, noch bevor ein Kontakt im System identifiziert ist.

Die Lösung ist eine zweistufige Einwilligung. Erstens gibt der Besucher über den Cookie-Banner seine allgemeine Tracking-Einwilligung. Erst danach wird das ActiveCampaign-Script geladen. Solange kein bekannter Kontakt identifiziert ist, sieht die Plattform nur anonyme Sessions – das Tracking wird erst dann nützlich, wenn das Script einen Kontakt aus der eigenen Liste erkennt.

Entscheidend: Das Script darf nicht vorgeladen und erst nachträglich deaktiviert werden. Es muss von Anfang an inaktiv bleiben, bis der Consent vorliegt. Wie das technisch umzusetzen ist, beschreibt der Beitrag ActiveCampaign SiteTracking einrichten im Detail.

AVV und Datentransfer in die USA: Was rechtlich gilt

Warum der AVV mit ActiveCampaign Pflicht ist

Ein Auftragsverarbeitungsvertrag (AVV) ist nach Art. 28 DSGVO zwingend, sobald ein Dritter personenbezogene Daten in deinem Auftrag verarbeitet. ActiveCampaign verarbeitet Kontaktdaten in deinem Auftrag – damit ist der AVV keine Option, sondern Rechtspflicht. Ohne diesen Vertrag ist jede Nutzung der Plattform für EU-Kontakte rechtswidrig, unabhängig davon, wie sauber deine Formulare sind.

ActiveCampaign stellt den Vertrag als „Data Processing Agreement" (DPA) bereit. Du schließt ihn direkt in den Account-Einstellungen ab: Einstellungen → Datenschutz → Data Processing Agreement. Der Prozess dauert wenige Minuten. Das Dokument regelt unter anderem, welche Datenkategorien verarbeitet werden, für welche Zwecke und wie lange, welche Subunternehmer ActiveCampaign einsetzt, welche technischen und organisatorischen Maßnahmen gelten und wie Datenpannenmeldungen kommuniziert werden.

Prüfe bei der Unterzeichnung die Liste der Subunternehmer. ActiveCampaign veröffentlicht sie und aktualisiert sie bei Änderungen. Falls ein neuer Subunternehmer für dein Datenschutzkonzept problematisch ist, hast du ein Widerspruchsrecht.

Was das EU-US Data Privacy Framework für dich bedeutet

ActiveCampaign ist ein US-amerikanisches Unternehmen. Damit stellt sich die Frage, ob die Übermittlung von Kontaktdaten in die USA DSGVO-konform ist. Die Europäische Kommission hat das EU-US Data Privacy Framework (DPF) als angemessenen Schutzmechanismus anerkannt. Unternehmen, die unter dem DPF zertifiziert sind, können Daten aus der EU empfangen, ohne dass separate Standard Contractual Clauses (SCCs) erforderlich sind.

ActiveCampaign ist unter dem DPF zertifiziert – die Zertifizierung ist öffentlich im DPF-Register der US-Handelsbehörde einsehbar. Für dich als Nutzer bedeutet das: Du kannst ActiveCampaign einsetzen, ohne eigene SCCs zu verhandeln. Der abgeschlossene AVV reicht als rechtliche Grundlage aus, solange ActiveCampaign seine DPF-Zertifizierung aufrechterhält.

Das DPF steht wie seine Vorgänger-Frameworks (Safe Harbor, Privacy Shield) unter rechtlichem Druck. Behalte offizielle Quellen wie die Datenschutzkonferenz (DSK) im Blick, falls sich die Rechtslage ändert. Eine Änderung würde ActiveCampaign dazu zwingen, auf SCCs umzustellen – ein Prozess, den die Plattform bei Bedarf kommuniziert.

Typische Fehler und wie du sie vermeidest

Aus dem Betrieb von ActiveCampaign-Instanzen entstehen immer wieder dieselben Compliance-Lücken. Die meisten davon sind behebbar, sobald man sie kennt.

Automation startet vor der Opt-in-Bestätigung

Ursache: Als Trigger wird „Formular wird abgesendet" verwendet, nicht „Opt-in wird bestätigt". Der Kontakt durchläuft die Automation, bevor er den Bestätigungslink geklickt hat. Im schlimmsten Fall erhält er eine Marketing-E-Mail, obwohl seine Einwilligung nie bestätigt wurde. Gegenmittel: Immer „Opt-in bestätigt" als Trigger verwenden. ActiveCampaign bietet diesen Trigger explizit an.

Kein AVV abgeschlossen

Ursache: ActiveCampaign läuft seit Monaten oder Jahren im Einsatz, niemand hat sich um das DPA gekümmert. Das ist häufiger als man denkt – besonders bei Konten, die vor 2018 angelegt wurden. Gegenmittel: Jetzt in den Einstellungen nachholen. Das DPA ist rückwirkend unterzeichenbar, ändert aber nichts daran, dass die Nutzung bis dahin rechtswidrig war.

Site Tracking ohne Cookie-Consent aktiv

Ursache: Das Tracking-Script wurde direkt in den Seitencode eingebunden, ohne es an den Cookie-Consent zu knüpfen. Besucher werden getrackt, noch bevor sie zugestimmt haben. Gegenmittel: Script aus dem Seitencode entfernen und in die CMP-Konfiguration verschieben, Kategorie „Marketing/Tracking" zuweisen. Ohne Consent wird es nicht geladen.

Marketing-Mails an Transaktionskontakte

Ursache: Alle Kontakte – Kunden, die nur Bestellbestätigungen bekommen wollen, und Newsletter-Abonnenten – liegen in einer Liste ohne Segmentierung nach Einwilligungstyp. Marketing-Kampagnen gehen an alle. Gegenmittel: Separate Consent-Tags für Transaktions- und Marketing-Einwilligung einführen. Jede Kampagne filtert ausschließlich nach dem passenden Tag.

Einwilligung an andere Leistungen gekoppelt

Ursache: Eine Checkbox gilt gleichzeitig als Zustimmung zu AGB, Datenschutzerklärung und Newsletter. Art. 7 Abs. 4 DSGVO verbietet dieses Koppelungsverbot: Wer nur die AGB akzeptieren will, darf nicht gleichzeitig in den Newsletter eingetragen werden. Gegenmittel: Separate Checkboxen für jeden Zweck. Die Newsletter-Einwilligung muss eigenständig und freiwillig sein.

Inaktive Kontakte ohne Prüfung behalten

Ursache: Listenhygiene wurde vernachlässigt; Kontakte ohne Engagement aus 2020 oder früher sind noch aktiv. Ob deren Einwilligungen noch gelten, wurde nie geprüft. Gegenmittel: Eine Automation aufsetzen, die Kontakte ohne Engagement in den letzten 18 Monaten in ein Segment verschiebt. Dort werden sie entweder reaktiviert oder entfernt. Wie das systematisch funktioniert, beschreibt der Beitrag inaktive Kontakte aus der Liste entfernen.

Wann DSGVO-konforme Prozesse allein nicht genügen

DSGVO-Konformität ist die Grundbedingung, aber nicht das Ende der Prüfkette. Drei Punkte, die im Tagesgeschäft unterschätzt werden:

Koppelungsverbot: Du darfst den Zugang zu einer kostenlosen Leistung – einem Webinar, einem Download, einem Freimonat – nicht an die Einwilligung zum Newsletter koppeln. Die Person muss die Leistung auch erhalten, wenn sie den Newsletter-Consent verweigert. Wer das ignoriert, riskiert neben einem DSGVO-Verstoß auch wettbewerbsrechtliche Abmahnungen.

Formulartext und Datenschutzerklärung: ActiveCampaign kann die Double-Opt-in-Bestätigungsmail verschicken und den Zeitpunkt dokumentieren. Was die Plattform nicht prüft: ob dein Formulartext klar genug formuliert war, ob die Checkboxen wirklich unausgefüllt waren und ob deine Datenschutzerklärung die tatsächliche Datenverarbeitung vollständig beschreibt. Diese Punkte liegen ausschließlich in deiner Verantwortung.

Cold Outreach per E-Mail: Wer Personen ohne Vorab-Einwilligung per E-Mail anschreibt, verstößt in Deutschland gegen das UWG – unabhängig davon, wie sauber ActiveCampaign konfiguriert ist. Auch eine „weiche" Einwilligung durch ein vorausgefülltes Kontaktformular hält vor Gericht nicht stand. Für Kaltakquise per E-Mail gibt es im deutschen Recht keinen legalen Weg ohne ausdrückliche Einwilligung.

Häufige Fragen

Bin ich automatisch DSGVO-konform, wenn ich ActiveCampaign nutze?

Nein. ActiveCampaign stellt die technischen Werkzeuge bereit: Double Opt-in, AVV, Preference Center, Consent-Felder. Ob diese Werkzeuge korrekt konfiguriert und eingesetzt werden, liegt bei dir. Ein nicht abgeschlossener AVV oder ein Tracking-Script ohne Consent-Gate macht die gesamte Nutzung rechtswidrig, unabhängig davon, welche Plattform du verwendest.

Welche Einwilligungsgrundlage gilt für Newsletter in Deutschland?

Ausschließlich Art. 6 Abs. 1 lit. a DSGVO – die ausdrückliche Einwilligung. Berechtigtes Interesse (lit. f) ist für Werbe-E-Mails in Deutschland nach höchstrichterlicher Rechtsprechung nicht ausreichend, auch nicht für B2B-Kontakte mit personenbezogenen Adressen. Zusätzlich greift § 7 Abs. 2 Nr. 2 UWG, der eine eigenständige Einwilligungshürde setzt.

Muss ich für B2B-Kontakte einen Double Opt-in einrichten?

Technisch schreibt kein Gesetz den Double Opt-in vor. Faktisch ist er der einzige belastbare Weg, die Einwilligung nachzuweisen. Ohne Bestätigungsmail fehlt der Beweis, dass die eingetragene Person selbst zugestimmt hat – jemand anderes könnte die Adresse eingegeben haben. Im Prüffall oder vor Gericht steht man ohne Double Opt-in nahezu immer schlechter da.

Kann ich Kontakte aus alten Systemen importieren und sofort anschreiben?

Nur, wenn du nachweisen kannst, dass diese Kontakte eine Einwilligung erteilt haben, die den aktuellen Anforderungen entspricht: ausdrücklich, freiwillig, zweckgebunden und dokumentiert. Einwilligungen, die vor der DSGVO (vor Mai 2018) eingeholt wurden, sind in der Regel nicht mehr ausreichend. Alte Kontaktlisten solltest du über einen Re-Engagement-Prozess reaktivieren – mit einer Bestätigungs-E-Mail, in der die Person explizit zustimmt – bevor du Marketing-Mails verschickst.

Wie häufig muss ich den AVV mit ActiveCampaign erneuern?

Der AVV läuft unbefristet, solange sich die Vertragsbedingungen nicht ändern. ActiveCampaign informiert Nutzer bei wesentlichen Änderungen, etwa wenn neue Subunternehmer hinzukommen. Überprüfe den aktuellen DPA-Status in deinen Account-Einstellungen mindestens einmal im Jahr. Wenn ActiveCampaign eine neue Version des DPA veröffentlicht, ist eine erneute Unterzeichnung notwendig.

Was droht konkret bei einem DSGVO-Verstoß im E-Mail-Marketing?

Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Dazu kommen Abmahnungen durch Wettbewerber und zivilrechtliche Klagen durch Verbraucherschutzverbände. In der Praxis kostet oft nicht das Bußgeld am meisten, sondern der Reputationsschaden und der interne Aufwand zur Schadensbegrenzung.

Wer die Grundkonfiguration einmal sauber aufsetzt – AVV abschließen, Double Opt-in aktivieren, Consent-Tags strukturieren, Tracking nach Consent laden –, muss im laufenden Betrieb wenig nachsteuern. Die meisten Compliance-Probleme entstehen nicht durch fehlende Plattformfunktionen, sondern durch unvollständige Einrichtung. Wer ActiveCampaign darüber hinaus für Automationen, Segmentierungen und CRM nutzen will, findet bei Advertal als offiziellem ActiveCampaign-Partner Unterstützung bei Setup und laufender Betreuung.