Einwilligung, Abmeldung und eine saubere Liste

Modul 7: Newsletter und Mail von Ihrer Website · Lesezeit: 12 Minuten

Lernziel: Nach dieser Lektion können Sie eine Adressliste aufbauen und pflegen, der sowohl das Gesetz als auch die Spamfilter vertrauen, und können Sie prüfen, ob ein Newsletter eine funktionierende Ein-Klick-Abmeldung hat.

Kernbegriffe: vorherige Einwilligung (Opt-in), bestätigte Einwilligung (Double-Opt-in), Ausnahme für eigene Kunden (Soft-Opt-in), § 7 UWG, DSGVO, Abmeldelink, List-Unsubscribe (RFC 2369), List-Unsubscribe-Post und Abmelden mit einem Klick (RFC 8058), Beschwerdequote, harte und weiche Bounces, inaktive Adressen, Spamtrap, gekaufte Liste

Technik allein reicht nicht

In Lektion 7.1 haben Sie Ihre Domain bei einem Versanddienst authentifiziert. SPF, DKIM und DMARC stimmen. Trotzdem kann Ihr Newsletter im Spam landen. Empfänger wie Gmail, Yahoo und Outlook.com schauen nämlich auch darauf, wie ihre Nutzer auf Ihre Mail reagieren. Klicken Menschen auf „Das ist Spam“, öffnen sie Ihre Mail nie, oder versenden Sie an Adressen, die seit Jahren nicht mehr existieren? Dann sinkt Ihre Reputation, egal wie gut Ihre Technik ist.

Gmail nennt in seinen Richtlinien für Absender eine Grenze: Halten Sie die Spamquote (den Anteil Ihrer Mail, den Empfänger als Spam markieren, gemessen in Google Postmaster Tools) unter 0,1 % und kommen Sie niemals auf 0,3 % oder höher. Yahoo setzt ebenfalls 0,3 % an. Das ist eine Beschwerde pro 333 Mails. Mit einer Liste von Menschen, die nicht wissen, warum sie Ihre Mail erhalten, erreichen Sie das nie.

Eine saubere Liste beginnt also mit der Frage: Möchte diese Person meine Mail wirklich?

Was sagt das Gesetz?

Die Regeln für unerwünschte elektronische Nachrichten (Spam) stammen aus der europäischen ePrivacy-Richtlinie (Richtlinie 2002/58/EG, Artikel 13), die jedes Land in ein eigenes Gesetz umgesetzt hat. Prüfen Sie daher die Regeln Ihres eigenen Landes und Ihrer Aufsichtsbehörde. In Deutschland gilt dafür insbesondere § 7 des Gesetzes gegen den unlauteren Wettbewerb (UWG). Für personenbezogene Daten gilt zusätzlich die DSGVO. Dies ist keine Rechtsberatung, aber die Grundzüge sind klar:

• Vorherige Einwilligung. Werbung per E-Mail, auch Nachrichten für ideelle oder karitative Zwecke, darf nur an jemanden gehen, der vorab dafür eine Einwilligung erteilt hat. Sie müssen diese Einwilligung nachweisen können. Die Einwilligung muss bewusst gegeben worden sein: kein vorab angekreuztes Kästchen, nicht in den allgemeinen Geschäftsbedingungen versteckt, und die Wahl muss eindeutig Werbung betreffen.
• Ausnahme für eigene Kunden, oft Soft-Opt-in genannt. Haben Sie die E-Mail-Adresse beim Verkauf eines Produkts oder einer Dienstleistung erhalten, dürfen Sie diesen Kunden über eigene, ähnliche Produkte oder Dienstleistungen informieren. Voraussetzung: Sie haben beim Erfassen der Adresse deutlich die Möglichkeit gegeben, Nein zu sagen, und tun dies in jeder Mail erneut.
• Geschäftliche Adressen. Auch für juristische Personen gilt im Grundsatz die vorherige Einwilligung. Die Ausnahme ist eng gefasst: Adressen, die das Unternehmen selbst bekannt gemacht hat, um Werbung zu diesem Zweck zu erhalten. Eine Adresse von einer Website zu entnehmen, ist also keine Einwilligung.
• Abmeldung und Absender. Bei jeder Nachricht muss der Empfänger kostenlos und einfach abmelden können. Sie nennen immer die tatsächliche Identität des Absenders und eine gültige Adresse, an die der Empfänger eine Stoppanfrage senden kann.

Es gibt also keine „gekauften Listen mit Einwilligung“, an die Sie einfach mailen können: Die Einwilligung muss für Sie und Ihre Nachrichten erteilt worden sein.

Bestätigte Einwilligung: Nachweis und Qualität zugleich

Bei einem einfachen Opt-in trägt jemand seine Adresse in ein Formular ein und steht sofort auf Ihrer Liste. Das Problem: Jeder kann jede Adresse eintragen, auch die eines anderen, und Tippfehler (jan@gmial.com) landen ebenfalls auf Ihrer Liste.

Bei bestätigter Einwilligung (Double-Opt-in) erhält die Adresse zuerst eine Mail mit einem Bestätigungslink. Erst nach dem Klick steht sie auf der Liste. Das hat drei Vorteile:

1. Sie beweisen, dass der Inhaber der Adresse selbst die Einwilligung erteilt hat (bewahren Sie Datum, Uhrzeit und IP-Adresse der Bestätigung auf). Sie müssen die Einwilligung auch noch Jahre nach dem Versand nachweisen können.
2. Ihre Liste enthält nur Adressen, die existieren und gelesen werden.
3. Sie verhindern, dass Unbefugte oder Bots Ihr Formular mit Adressen anderer füllen. Diese Menschen beschweren sich später, und das schadet Ihnen.

Viele Hostinganbieter setzen die bestätigte Einwilligung als Bedingung voraus, wenn Sie über ihre Server Mailings versenden. Bei WebOké steht das zum Beispiel in Wissensdatenbankartikel 18; bei anderen Anbietern steht es in der Richtlinie für akzeptable Nutzung.

Abmelden mit einem Klick

Ein Abmeldelink am Ende der Mail ist gesetzlich vorgeschrieben. Große Empfänger wollen zusätzlich eine Abmeldeschaltfläche in ihrem eigenen Programm: Gmail und Yahoo zeigen dann oben in der Mail „Abmelden“ an. Das funktioniert über zwei Header.

List-Unsubscribe (RFC 2369) gibt ein oder zwei Möglichkeiten zum Abmelden an, zwischen spitzen Klammern:

List-Unsubscribe: <https://lists.example.com/afmelden?id=7f3a9c>, <mailto:afmelden@lists.example.com?subject=afmelden-7f3a9c>

List-Unsubscribe-Post (RFC 8058) sagt, dass der https-Link mit einem Klick funktioniert, ohne dass der Empfänger noch auf einer Seite bestätigen muss:

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Klickt der Empfänger in Gmail auf Abmelden, sendet Gmail eine POST-Anfrage mit genau List-Unsubscribe=One-Click an diese URL. Ihr Server meldet die Adresse dann sofort ab. Ein paar Regeln aus RFC 8058:

• die URL muss https sein;
• der Link muss pro Empfänger eindeutig sein (es steht ein Code darin), damit der Server weiß, wer sich abmeldet;
• die Header List-Unsubscribe und List-Unsubscribe-Post müssen unter die DKIM-Signatur fallen, sonst könnte sie jemand unterwegs austauschen;
• eine GET-Anfrage auf derselben URL darf nicht sofort abmelden (Virenscanner und Vorschauansichten folgen Links), nur die POST-Anfrage.

Gmail verlangt von Massenversendern (mehr als etwa 5.000 Mails pro Tag an Gmail-Adressen) Abmelden mit einem Klick in Marketingmails, zusätzlich zu einem sichtbaren Abmeldelink im Text. Yahoo verlangt dasselbe und möchte, dass Sie eine Abmeldung innerhalb von 2 Tagen verarbeiten. Auch wenn Sie kleiner sind: Jeder gute Versanddienst setzt diese Header automatisch ein. Prüfen Sie es dennoch (siehe die Aufgabe).

Ihre Liste sauber halten

Eine Liste veraltet. Menschen wechseln den Job, Postfächer werden aufgelöst, Interesse verschwindet. Ohne Pflege steigen Ihre Bounces und Beschwerden, und Ihre Öffnungen sinken. Fünf feste Gewohnheiten:

1. Harte Bounces sofort entfernen. Ein harter Bounce (ein 5xx-Fehler wie 550 5.1.1 „Adresse existiert nicht“, Lektion 6.2) bedeutet, dass die Adresse nicht funktioniert. Senden Sie weiter dorthin, sehen Empfänger Sie als nachlässigen oder spammenden Absender. Versanddienste erledigen dies automatisch.
2. Weiche Bounces im Auge behalten. Ein vorübergehender Fehler (4xx, zum Beispiel ein volles Postfach) darf ein paar Mal vorkommen, aber schlägt eine Adresse bei jedem Versand fehl, entfernen Sie sie.
3. Beschwerden verarbeiten. Wer auf „Das ist Spam“ klickt, muss von Ihrer Liste. Große Empfänger senden eine Meldung über eine Feedback-Loop; Versanddienste verarbeiten diese.
4. Inaktive bereinigen. Jemand, der seit einem Jahr nichts öffnet oder anklickt, sendet ein schlechtes Signal. Senden Sie zuerst eine Reaktivierungsmail („Möchten Sie unseren Newsletter noch erhalten?“), und entfernen Sie, wer nicht reagiert, von der Liste. Beachten Sie: Seit Apple Mail Privacy Protection (Lektion 2.3) sind Öffnungen unzuverlässig; achten Sie auch auf Klicks.
5. Nie Listen kaufen, mieten oder entnehmen. Neben dem rechtlichen Problem enthalten solche Listen oft Spamtraps: Adressen, die Betreiber von Blocklisten und Empfänger gezielt pflegen, um Spammer zu fangen. Es gibt alte Adressen, die nach Jahren der Stille als Falle wiedereröffnet wurden, und Adressen, die nie irgendwo angemeldet waren. Wer dorthin mailt, beweist damit, dass er keine Einwilligung hat. Ein Treffer kann Sie auf eine Blocklist setzen (Lektion 5.2).

In der Praxis

Beispiel: Sie haben einen Webshop und möchten Kunden nach einem Kauf einen Newsletter über vergleichbare Produkte senden. Dann setzen Sie beim Bezahlvorgang ein nicht vorab angekreuztes Kästchen „Ich möchte den Newsletter erhalten“, oder Sie nutzen die Ausnahme für eigene Kunden: Sie teilen beim Bezahlvorgang deutlich mit, dass Sie Kunden über ähnliche Produkte informieren, mit der Wahl „nein, lieber nicht“, und jeder Newsletter hat einen Abmeldelink. Die gesamte Mail läuft über einen Versanddienst mit authentifizierter Domain (Lektion 7.1). Der Dienst entfernt Bounces und Beschwerden automatisch, und Sie bereinigen zweimal im Jahr inaktive Adressen.

Bei einem Verein mit einer Mailingliste im Hostingpaket (bei WebOké heißt das Mailinglisten in DirectAdmin; andere Panels haben vergleichbare Listen) geht es um Mitglieder, die die Mail erwarten. Auch dort gilt: Geben Sie in jeder Mail an, wie man sich abmelden kann, und entfernen Sie ehemalige Mitglieder von der Liste.

Zusammenfassung

• Empfänger achten auf Beschwerden: Bleiben Sie unter 0,1 % und kommen Sie niemals auf 0,3 %.
• Nach § 7 UWG versenden Sie Werbung nur mit nachweisbarer vorheriger Einwilligung, mit einer Ausnahme für eigene Kunden bei ähnlichen Produkten. Immer mit Absender und Abmeldemöglichkeit.
• Bestätigte Einwilligung liefert einen Nachweis und eine Liste ohne Tippfehler und falsche Anmeldungen.
• List-Unsubscribe mit https-Link und List-Unsubscribe-Post: List-Unsubscribe=One-Click, unter der DKIM-Signatur, und Abmeldungen innerhalb von 2 Tagen verarbeiten.
• Harte Bounces und Beschwerdeführer entfernen, Inaktive bereinigen, nie Listen kaufen (Spamtraps).

Quiz

Aufgabe

Aufgabe Z7.2: Abmelde-Header kontrollieren. Fügen Sie die Header eines Newsletters ein, den Sie selbst versenden (oder eines Newsletters, den Sie erhalten, oder die Beispieldatei nieuwsbrief-kopregels-2.txt). Tragen Sie ein: Steht dort ein List-Unsubscribe mit einem https-Link (ja/nein), steht dort eine mailto:-Variante (ja/nein), ist Abmelden mit einem Klick aktiviert (ja/nein), und fallen diese Header unter die DKIM-Signatur (ja/nein, siehe h= in der DKIM-Signature)? Das Programm analysiert die Header und vergleicht sie.

Aufgabe O7.2: Ihren Einwilligungsprozess überprüfen. Beschreiben Sie, wie Menschen auf Ihre Liste gelangen (Formular, Bezahlvorgang, Anmeldung bei einer Veranstaltung) und beantworten Sie die Checkliste: Ist das Kästchen leer, bis jemand es selbst ankreuzt, bestätigt jemand seine Adresse, bewahren Sie Datum und Uhrzeit der Einwilligung auf, steht in jeder Mail ein Abmeldelink und Ihr Firmenname mit Adresse, und wie oft bereinigen Sie inaktive Adressen? Sie erhalten anschließend die Musterantwort mit den Punkten, auf die Sie achten müssen.

Weiterführende Links

Die Schritte in diesen Artikeln gelten für die Panels von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Dürfen Sie einen Mailversand über Ihr Hostingpaket bei WebOké durchführen?
• Manche Nachrichten an eine Mailingliste kommen nicht an
• DirectAdmin Anleitung 7.10: Mailinglisten
• ACM, Spam (Regeln für den Versand von Werbung per E-Mail) (Niederlande): https://www.acm.nl/nl/onderwerpen/telecommunicatie/internet/spam
• Telecommunicatiewet, Artikel 11.7 (Niederlande): https://wetten.overheid.nl/BWBR0009950/#Hoofdstuk11_Paragraaf11.1_Artikel11.7
• RFC 8058 (Abmelden mit einem Klick): https://www.rfc-editor.org/rfc/rfc8058
• Yahoo, Richtlinien für Absender: https://senders.yahooinc.com/best-practices/