E-Mail-Datenschutzgesetze erklärt: DSGVO, CAN-SPAM, CCPA, CASL und deine Rechte

Dieselbe Werbe-Mail, im selben Moment von derselben Firma verschickt, kann rechtmäßig sein, wenn sie einen Leser in Ohio erreicht, und rechtswidrig, wenn sie bei einem Leser in Berlin oder Toronto ankommt. An der Nachricht muss sich dafür nichts ändern. Unterschiedlich sind der Standort des Empfängers und die Frage, ob er vorher eingewilligt hat. Ein US-Shop darf einem Fremden in der Regel mailen, ohne vorher zu fragen, solange er ehrlich bleibt und die Person widersprechen lässt, während dieselbe Nachricht in der EU und in Kanada meist eine Einwilligung vor dem Versand bräuchte.

Diese Trennung ist der Kern der E-Mail-Datenschutzgesetze. Die DSGVO und die ePrivacy-Regeln in Europa sowie das kanadische CASL arbeiten nach dem Opt-in-Prinzip, der US-amerikanische CAN-SPAM Act nach dem Opt-out-Prinzip. Daneben gibt es allgemeine Datenschutzgesetze wie die DSGVO und Kaliforniens CCPA, die dir Rechte an den Daten geben, die Unternehmen über dich speichern. Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Gesetze ändern sich und unterscheiden sich von Land zu Land, und wie sie gelten, hängt vom Einzelfall ab. Sieh dir deshalb die Hinweise der zuständigen Aufsichtsbehörde an oder sprich bei einer konkreten Frage mit einer qualifizierten Anwältin oder einem Anwalt.

Eine Werbe-Mail, vier Ergebnisse

Ein durchgerechnetes Beispiel: Ein kleiner Online-Shop in Texas kauft eine Adressliste und schickt allen darauf eine E-Mail „20 % Rabatt an diesem Wochenende“. Die Nachricht hat einen ehrlichen Betreff, eine Postadresse und einen Abmeldelink. So sieht das ungefähr für einzelne Empfänger an verschiedenen Orten aus, unter der Annahme, dass jedes Gesetz auf die Tätigkeit des Shops dort anwendbar ist.

Empfänger in	Wichtigste Regel	Voraussichtliche Lage in diesem Beispiel
USA	CAN-SPAM Act	Eine vorherige Einwilligung ist nicht nötig. Die Nachricht kann rechtmäßig sein, wenn sie die Inhalts- und Opt-out-Regeln erfüllt, auch wenn durch Abgreifen gewonnene Adressen eigene Probleme aufwerfen
Deutschland (EU)	DSGVO plus nationale ePrivacy-Regeln, in Deutschland § 7 des Gesetzes gegen den unlauteren Wettbewerb (UWG)	Braucht in der Regel eine vorherige Einwilligung. Gekaufte Adressen ohne Kundenbeziehung erfüllen die Ausnahme des Soft-Opt-ins nicht
Vereinigtes Königreich	UK GDPR und PECR Regulation 22	Braucht in der Regel eine vorherige Einwilligung bei Einzelabonnenten oder ein Soft-Opt-in, das der Shop hier nicht in Anspruch nehmen kann
Kanada	CASL	Braucht eine ausdrückliche oder stillschweigende Einwilligung. Eine gekaufte Liste liefert normalerweise keins von beiden, und der Shop muss die Einwilligung nachweisen können

Das zeigt auch, warum das Heimatland des Absenders wenig entscheidet. Eine Firma aus Texas, die Kunden in der EU anspricht, kann unter EU-Recht fallen, und das CASL gilt für Nachrichten, die auf Computern in Kanada abgerufen werden. Wo ein Unternehmen verkauft und wo seine Empfänger sind, zählt meist mehr als der Standort des Büros.

Die Gesetze im Überblick

Gesetz	Wo	Modell für Werbung	Durchgesetzt von	Höchststrafe im Überblick
DSGVO	EU und EWR, auch Organisationen anderswo, die dort Menschen ansprechen oder beobachten	Braucht eine Rechtsgrundlage; zusammen mit den ePrivacy-Regeln zu lesen	Nationale Datenschutzbehörden und Gerichte	Bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist
ePrivacy-Richtlinie	EU, über das nationale Recht jedes Mitgliedstaats	Opt-in für Einzelpersonen, mit einem Soft-Opt-in für bestehende Kunden	Nationale Aufsichtsbehörden, die sich von Land zu Land unterscheiden	Durch nationales Recht festgelegt
UK GDPR und PECR	Vereinigtes Königreich	Opt-in mit Soft-Opt-in, nah am EU-Modell	Die britische Datenschutzbehörde	17,5 Millionen £ oder 4 % des weltweiten Umsatzes, je nachdem, was höher ist
CAN-SPAM Act	USA	Opt-out	FTC, andere Bundesbehörden, Generalstaatsanwälte der Bundesstaaten, Internetzugangsanbieter	Mehr als 50.000 $ pro rechtswidriger E-Mail, jährlich an die Inflation angepasst
CCPA in der Fassung des CPRA	Einwohner Kaliforniens und erfasste gewinnorientierte Unternehmen	Keine Regel zur E-Mail-Einwilligung; regelt Erhebung, Verkauf und Weitergabe	Kalifornische Datenschutzbehörde (California Privacy Protection Agency) und Generalstaatsanwalt	Bußgelder pro Verstoß, höher bei vorsätzlichen Verstößen und bei solchen, die Minderjährige betreffen
CASL	Kanada, einschließlich Nachrichten, die aus dem Ausland gesendet und dort abgerufen werden	Ausdrückliche oder stillschweigende Einwilligung vor dem Versand	CRTC, Competition Bureau, Office of the Privacy Commissioner	Bis zu 10 Millionen kanadische Dollar pro Verstoß für Organisationen, 1 Million für Einzelpersonen

Ist eine E-Mail-Adresse ein personenbezogenes Datum?

Nach Artikel 4 Nr. 1 der DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine Adresse wie maria.lopez@example.com fällt eindeutig darunter. Eine weniger offensichtliche wie ml1987@example.com in der Regel ebenfalls, weil sie einer Person gehört und sich mit anderen Informationen verknüpfen lässt, um sie zu identifizieren. Eine gemeinsam genutzte Adresse wie info@company.example ist unter Umständen gar kein personenbezogenes Datum, es sei denn, sie lässt sich einer Person zuordnen.

E-Mail enthält weit mehr personenbezogene Daten als die Adresse selbst. Da sind der Inhalt der Nachricht und ihre Anhänge. Da sind Metadaten, also Absender, Empfänger, Zeiten, Betreffzeilen und IP-Adressen in den Headern. Da sind Nutzungsdaten, etwa wann du eine Nachricht geöffnet und welche Links du angeklickt hast. Und es gibt abgeleitete Profile wie Interessengruppen und Vorhersagen darüber, was du als Nächstes kaufen könntest.

In den USA sind die Begriffe anders. Der CCPA spricht von „personal information“, weit definiert, sodass auch Kennungen wie E-Mail-Adressen und Schlussfolgerungen zum Erstellen eines Profils darunterfallen. CAN-SPAM kennt diesen Begriff nicht, denn es ist überhaupt kein allgemeines Datenschutzgesetz. Es regelt, wie kommerzielle E-Mails versendet werden, und gibt dir kein Recht, etwas einzusehen oder löschen zu lassen, das ein Unternehmen über dich speichert.

Europa: zwei Gesetze, die zusammenarbeiten

Viele Artikel beschreiben Opt-in-Werbung als DSGVO-Regel. Die Einwilligungspflicht für Werbe-E-Mails stammt tatsächlich aus einem anderen Gesetz, der ePrivacy-Richtlinie (Richtlinie 2002/58/EG), während die DSGVO festlegt, was eine wirksame Einwilligung ist, und regelt, was mit den Daten geschieht. Da eine Richtlinie in jedem Mitgliedstaat gesondert umgesetzt wird, unterscheiden sich die Einzelheiten in der EU. Frankreich und Deutschland zum Beispiel haben eigene nationale Vorschriften und eigene Sichtweisen ihrer Aufsichtsbehörden.

Artikel 13 der ePrivacy-Richtlinie

Artikel 13 setzt den Grundrahmen. Direktwerbung per E-Mail an Einzelpersonen braucht eine vorherige Einwilligung. Eine enge Ausnahme, meist Soft-Opt-in genannt, erlaubt einem Unternehmen, das deine Adresse im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung erhalten hat, für eigene ähnliche Produkte oder Dienstleistungen zu werben, sofern du bei der Erhebung deiner Daten und in jeder späteren Nachricht klar und einfach widersprechen konntest. Absender dürfen ihre Identität nicht verschleiern oder verbergen, und sie müssen eine gültige Adresse für den Widerspruch angeben.

Die Regeln für Mails an Unternehmen sind uneinheitlich. Artikel 13 Absatz 5 lässt den Mitgliedstaaten Spielraum, juristische Personen anders zu behandeln, sodass manche das Opt-in auf Firmenadressen ausdehnen und andere nicht. Namentliche Arbeitsadressen wie firstname.lastname@company.example bleiben nach der DSGVO personenbezogene Daten, selbst wo die Werberegel lockerer ist.

Tracking-Pixel

Artikel 5 Absatz 3 derselben Richtlinie verlangt eine Einwilligung für das Speichern von Informationen auf dem Gerät eines Nutzers oder den Zugriff darauf, es sei denn, das ist unbedingt erforderlich für einen vom Nutzer gewünschten Dienst. Am bekanntesten ist das von Cookie-Bannern. Die Leitlinien 2/2023 des Europäischen Datenschutzausschusses zum technischen Anwendungsbereich von Artikel 5 Absatz 3 vertreten die Ansicht, dass Tracking-Pixel in E-Mails darunterfallen können. Die französische Aufsichtsbehörde CNIL ging weiter und veröffentlichte im April 2026 eine Empfehlung, die für Tracking-Pixel in E-Mails die Einwilligung zur Regel macht, mit begrenzten Ausnahmen für Zwecke wie Sicherheit. Rechne mit Unterschieden zwischen den Ländern und prüfe die Haltung deiner eigenen Aufsichtsbehörde. Wie die Technik selbst funktioniert, behandelt unser Artikel über Tracking-Pixel in E-Mails.

Was die DSGVO hinzufügt

Die Datenschutz-Grundverordnung gilt seit dem 25. Mai 2018. Sie erfasst in der EU niedergelassene Organisationen, und nach Artikel 3 Absatz 2 auch Organisationen anderswo, die Menschen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten. Erwägungsgrund 23 gibt Hinweise zur Ausrichtung: Eine bloße aus Europa erreichbare Website genügt nicht, während die Verwendung der Sprache oder Währung eines Mitgliedstaats, um dort Waren anzubieten, genügen kann. Island, Liechtenstein und Norwegen wenden die DSGVO über den EWR an.

Grundsätze und Rechtsgrundlagen

Artikel 5 legt die Grundsätze fest. Eine Adresse, die erhoben wurde, um eine Bestellbestätigung zu senden, darf nicht einfach für fremde Zwecke weiterverwendet werden (Zweckbindung). Es sollen nur Daten erhoben werden, die nötig sind (Datenminimierung), nicht länger als nötig aufbewahrt (Speicherbegrenzung) und sicher gehalten werden. Die Organisation muss auch nachweisen können, dass sie sich daran gehalten hat (Rechenschaftspflicht).

Artikel 6 verlangt für jede Verwendung eine Rechtsgrundlage. Bei E-Mail sind das üblicherweise diese:

• Vertrag: Versand deiner Bestellbestätigung oder von Kontomitteilungen.
• Rechtliche Verpflichtung: Aufbewahrung von Rechnungen aus steuerlichen Gründen.
• Einwilligung: Anmeldung zu einem Newsletter.
• Berechtigte Interessen: manche Sicherheits- und Betrugsprävention und in begrenzten Fällen Direktwerbung, aber nur, wo die ePrivacy-Regeln die Nachricht selbst zulassen.

Wann eine Einwilligung wirksam ist

Artikel 4 Nr. 11 definiert die Einwilligung als freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben, durch eine eindeutige bestätigende Handlung. Erwägungsgrund 32 sagt, dass Stillschweigen, bereits angekreuzte Kästchen und Untätigkeit nicht genügen, und der Gerichtshof der EU hat das zu vorangekreuzten Kästchen 2019 im Fall Planet49 (C-673/17) bestätigt. Artikel 7 Absatz 3 besagt, dass der Widerruf der Einwilligung so einfach sein muss wie ihre Erteilung, eine Anmeldung per Klick sollte also nicht ein Login und fünf Seiten brauchen, um rückgängig gemacht zu werden. Artikel 7 Absatz 1 verlangt, dass die Organisation die Einwilligung nachweisen kann, und das ist ein Grund, warum seriöse Absender Double-Opt-in-Bestätigungsmails einsetzen, obwohl die DSGVO dieses Verfahren nicht nennt.

Die Kopplung ist ein häufiger Schwachpunkt. Artikel 7 Absatz 4 fragt, ob ein Dienst von einer Einwilligung abhängig gemacht wurde, die er nicht braucht. „Gib uns deine Werbeeinwilligung, sonst kannst du diese Seite nicht lesen“ ist die Art von Konstruktion, die Aufsichtsbehörden genau ansehen, und die Antwort kann je nach Zusammenhang unterschiedlich ausfallen.

Deine Rechte

Recht	Artikel	Was es dir gibt	Beispiel E-Mail
Information	13, 14	Wer deine Daten verarbeitet, warum, wie lange und wer sie erhält	Eine Datenschutzerklärung, die bei der Newsletter-Anmeldung verlinkt ist
Auskunft	15	Eine Kopie deiner Daten und Angaben zu ihrer Verwendung, normalerweise kostenlos	Einen Shop fragen, was er zu deiner Adresse speichert, einschließlich Zielgruppen
Berichtigung	16	Korrektur unrichtiger Daten	Einen falsch geschriebenen Namen korrigieren
Löschung	17	Löschung in bestimmten Fällen, etwa wenn die Daten nicht mehr benötigt werden oder die Einwilligung widerrufen wurde	Dein Profil bei einem Dienst entfernen, den du verlassen hast
Einschränkung	18	Eine Pause bei der Verwendung während eines Streits	Die Verarbeitung stoppen, während die Richtigkeit geprüft wird
Datenübertragbarkeit	20	Von dir bereitgestellte Daten in einem maschinenlesbaren Format, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht	Kontakte bei einem Mailanbieter exportieren
Widerspruch	21	Die Verarbeitung auf Grundlage berechtigter Interessen stoppen; bei Direktwerbung uneingeschränkt	Einem Unternehmen sagen, dass es jede Werbung einstellen soll
Beschwerde und Schadensersatz	77, 82	Beschwerde bei einer Behörde und Schadensersatz für entstandenen Schaden	Einen Absender melden, der deinen Widerspruch ignoriert

Artikel 12 Absatz 3 gibt Organisationen einen Monat für die Antwort, bei komplexen oder zahlreichen Anträgen um zwei weitere Monate verlängerbar, wobei sie dich innerhalb des ersten Monats informieren müssen. Sie dürfen einen angemessenen Identitätsnachweis verlangen. Nach Artikel 12 Absatz 5 dürfen sie ein angemessenes Entgelt verlangen oder sich weigern, nur wenn ein Antrag offenkundig unbegründet oder exzessiv ist.

Das Widerspruchsrecht gegen Werbung ist das stärkste davon, und es wird leicht übersehen. Artikel 21 Absatz 2 und 3 besagen, dass deine Daten, sobald du der Direktwerbung widersprichst, nicht mehr für diesen Zweck verarbeitet werden dürfen. Anders als bei anderen Widersprüchen findet keine Abwägung statt. Ein Unternehmen darf deine Adresse auf einer Sperrliste behalten, damit es dir nicht erneut schreibt, aber es darf dich nicht weiter bewerben.

Die Löschung hat dagegen Grenzen. Artikel 17 Absatz 3 nennt Ausnahmen, darunter rechtliche Verpflichtungen. Ein Shop darf deine Rechnungen behalten, nachdem er dein Profil gelöscht hat, und er sollte dir das sagen, wenn du fragst.

Meldung von Datenpannen

Artikel 33 verlangt von einer Organisation, ihre Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten zu informieren, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Menschen. Artikel 34 verlangt, dass sie die Betroffenen unverzüglich informiert, wenn das Risiko hoch ist. Deshalb meldet sich mitunter ein Dienst bei dir, den du vor Jahren verlassen hast. Bekommst du eine solche Meldung, erklärt unser Leitfaden, was nach einem E-Mail-Datenleck zu tun ist, mit praktischen Schritten.

Eine Änderung könnte bevorstehen. Der im November 2025 veröffentlichte Vorschlag der Europäischen Kommission zum Digital Omnibus würde unter anderem die 72 Stunden auf 96 verlängern und die Meldung an die Aufsichtsbehörde auf Verletzungen mit hohem Risiko beschränken. Stand Ende 2026 ist er ein Vorschlag im Gesetzgebungsverfahren, es gelten also weiter die heutigen Regeln. Sieh dir den endgültigen Text an, wenn du dich darauf stützen musst.

Das Vereinigte Königreich: ähnlich, mit eigenen Neuerungen

Nach dem Brexit hat das Vereinigte Königreich die DSGVO als UK GDPR im nationalen Recht behalten, neben dem Data Protection Act 2018. Die Privacy and Electronic Communications Regulations 2003 (PECR) enthalten die ePrivacy-Regeln, und Regulation 22 spiegelt das Opt-in- und Soft-Opt-in-Modell der EU für Einzelabonnenten.

Der Data (Use and Access) Act 2025 hat Teile dieses Bildes verändert. Er hob die Höchststrafe nach PECR von 500.000 £ auf das Niveau der UK GDPR an, den höheren Betrag aus 17,5 Millionen £ oder 4 % des weltweiten Umsatzes, wobei die Änderung Berichten zufolge Anfang 2026 in Kraft trat. Er schuf auch eine Form des Soft-Opt-ins für gemeinnützige Organisationen, die es ihnen erlaubt, Menschen zu mailen, die ihre Arbeit unterstützt oder danach gefragt haben, unter Bedingungen, zu denen ein Opt-out bei der Erhebung gehört. Die Behörde selbst wird umgebaut: Das Information Commissioner's Office soll durch eine Information Commission ersetzt werden, du kannst also beiden Namen begegnen. Ihre Website bleibt der Ort für aktuelle Hinweise und bietet ein Werkzeug, um unerwünschte Werbung zu melden.

CAN-SPAM: was das US-Bundesrecht tatsächlich verlangt

Der CAN-SPAM Act von 2003 ist das wichtigste US-Bundesgesetz zu kommerzieller E-Mail. Trotz seines Namens verbietet er unerwünschte Werbung nicht. Er legt Regeln fest, wie solche E-Mails versendet werden müssen, und gibt Empfängern das Recht, sie zu stoppen. Die Durchführungsvorschrift der FTC steht in 16 CFR Part 316, und die Behörde veröffentlicht einen Leitfaden zur Einhaltung für Unternehmen, den man ganz lesen sollte, wenn man Werbe-Mails verschickt.

Welche Nachrichten zählen

Entscheidend ist der Hauptzweck einer Nachricht. Kommerzielle Nachrichten bewerben ein Produkt oder eine Dienstleistung und sind voll erfasst. Transaktions- oder Beziehungsnachrichten bestätigen ein Geschäft, geben Garantie- oder Sicherheitsinformationen, melden Änderungen an einem Konto oder Abonnement, liefern Informationen zum Beschäftigungsverhältnis oder liefern bereits gekaufte Waren. Sie sind von den meisten Anforderungen ausgenommen, dürfen aber keine falschen oder irreführenden Routing-Angaben enthalten. Rein private Post liegt außerhalb des Gesetzes.

Für B2B-E-Mails gibt es keine Ausnahme. Auch eine Werbenachricht an eine Firmenadresse muss die Vorgaben erfüllen, was Menschen überrascht, die die mildere Behandlung von B2B in manchen Ländern gewohnt sind.

Die Anforderungen

1. Die Header-Angaben müssen korrekt sein. Von, An, Antwort-an und Routing-Daten müssen richtig angeben, wer die Nachricht ausgelöst hat.
2. Betreffzeilen dürfen nicht über den Inhalt täuschen.
3. Die Nachricht muss klar als Werbung erkennbar sein, es sei denn, der Empfänger hat vorher ausdrücklich zugestimmt.
4. Sie muss eine gültige physische Postanschrift enthalten, die eine Straßenadresse, ein registriertes Postfach oder ein registriertes privates Postfach sein kann.
5. Sie muss klar erklären, wie man sich abmeldet, und einen funktionierenden Weg dafür anbieten, etwa eine Antwortadresse oder einen Link.
6. Abmeldungen müssen innerhalb von 10 Werktagen umgesetzt werden, und der Mechanismus muss nach dem Versand mindestens 30 Tage weiter funktionieren. Ein Absender darf keine Gebühr verlangen, keine weiteren persönlichen Angaben über eine E-Mail-Adresse und Abmeldepräferenzen hinaus abfragen und keinen Schritt über eine Antwort oder den Besuch einer einzigen Webseite hinaus verlangen.
7. Adressen, die sich abgemeldet haben, dürfen nicht verkauft oder übertragen werden, außer an ein Unternehmen, das zur Hilfe bei der Einhaltung beauftragt wurde.
8. Ein Unternehmen bleibt für jeden verantwortlich, der in seinem Namen sendet, eine Agentur zu beauftragen verlagert die Pflicht also nicht.

Sexuell explizite kommerzielle E-Mails müssen nach einer gesonderten FTC-Vorschrift den Warnhinweis „SEXUALLY-EXPLICIT:“ in der Betreffzeile tragen.

Erschwerende Praktiken und Durchsetzung

Das Gesetz behandelt bestimmte Praktiken als erschwerend, darunter das Abgreifen von Adressen von Websites, das Erzeugen von Adressen durch „Wörterbuchangriffe“, die Namen und Buchstaben kombinieren, und den Einsatz von Skripten, um massenhaft Konten für den Spam-Versand anzulegen. Manche Täuschungspraktiken sind Straftaten.

Einzelne Empfänger haben kein eigenes Klagerecht, eines der am häufigsten missverstandenen Dinge an diesem Gesetz. Die Durchsetzung liegt bei der FTC, bei anderen Bundesbehörden für regulierte Branchen, bei den Generalstaatsanwälten der Bundesstaaten und bei Internetzugangsanbietern. Verstöße kannst du auf ReportFraud.ftc.gov melden. Die FTC führt tatsächlich Verfahren: 2024 gab sie eine Strafe von 2,95 Millionen $ gegen den Überwachungskamera-Hersteller Verkada bekannt, in einem Fall, der auch Vorwürfe nach CAN-SPAM enthielt. Das Gesetz verdrängt außerdem die meisten Gesetze der Bundesstaaten, die speziell kommerzielle E-Mail regeln, außer wo diese Falschangaben oder Täuschung verbieten.

Textnachrichten sind getrennt

Werbe-SMS in den USA unterliegen hauptsächlich dem Telephone Consumer Protection Act, der für automatisierte Werbe-SMS in der Regel eine vorherige ausdrückliche Einwilligung verlangt. Die Opt-out-Logik der E-Mail überträgt sich also nicht auf deine Telefonnummer, und ein Bestellformular, das nach deiner Nummer fragt, fragt nach einer gesonderten Einwilligung.

Kalifornien und die anderen US-Bundesstaaten

Der California Consumer Privacy Act trat 2020 in Kraft und wurde ab 2023 durch den California Privacy Rights Act wesentlich geändert. Er ist ein allgemeines Datenschutzgesetz und für E-Mail relevant, weil deine Adresse eine personenbezogene Information ist und Unternehmen sie oft für Werbung weitergeben.

Er gilt für gewinnorientierte Unternehmen, die in Kalifornien Geschäfte machen und mindestens eines von drei Kriterien erfüllen: ein jährlicher Bruttoumsatz über einer inflationsangepassten Schwelle (sie begann bei 25 Millionen $, und die Anpassung der Behörde 2025 setzte sie auf 26.625.000 $), der Kauf, Verkauf oder die Weitergabe der personenbezogenen Informationen von 100.000 oder mehr kalifornischen Verbrauchern oder Haushalten im Jahr, oder mindestens die Hälfte des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Informationen.

Erfasste Unternehmen müssen diese Rechte beachten:

• Zu erfahren, was erhoben wird, woher, warum und an welche Kategorien Dritter es weitergegeben wird.
• Von dir erhobene personenbezogene Informationen löschen zu lassen, mit Ausnahmen wie dem Abschluss eines Geschäfts oder der Erfüllung gesetzlicher Pflichten.
• Unrichtige personenbezogene Informationen berichtigen zu lassen.
• Dem Verkauf oder der Weitergabe zu widersprechen. „Weitergabe“ (Sharing) umfasst ausdrücklich die Offenlegung für kontextübergreifende verhaltensbasierte Werbung, wozu auch das Hochladen von Kunden-E-Mail-Listen auf Werbeplattformen gehören kann.
• Die Verwendung sensibler personenbezogener Informationen zu beschränken, eine Kategorie, zu der der Inhalt von Post, E-Mails und Textnachrichten zählt, sofern das Unternehmen nicht der beabsichtigte Empfänger ist.
• Nicht benachteiligt zu werden, wenn du diese Rechte ausübst, auch wenn Unternehmen offengelegte finanzielle Anreize wie Treueprogramme anbieten dürfen.

Anträge auf Auskunft, Löschung und Berichtigung müssen innerhalb von 45 Kalendertagen beantwortet werden, mit Mitteilung um weitere 45 verlängerbar. Für Opt-outs gilt nach den Vorschriften eine kürzere Frist, höchstens 15 Werktage. Unternehmen müssen außerdem ein Opt-out-Präferenzsignal wie die Global Privacy Control, die dein Browser oder eine Erweiterung sendet, als gültigen Widerspruch gegen Verkauf und Weitergabe behandeln.

Die California Privacy Protection Agency, die auch CalPrivacy heißt, und der Generalstaatsanwalt setzen das Gesetz durch. Einzelne Personen können nur bei bestimmten Datenpannen klagen, die durch fehlende angemessene Sicherheit verursacht wurden, mit gesetzlichem Schadensersatz pro Verbraucher und Vorfall. Kalifornierinnen und Kalifornier haben außerdem ein eigenes Werkzeug nach dem Delete Act: Die Delete Request and Opt-out Platform (DROP) erlaubt ihnen, einen einzigen Löschantrag an registrierte Datenhändler zu senden, und die Händler sollten ab August 2026 mit der Bearbeitung dieser Anträge beginnen.

Viele andere Bundesstaaten, darunter Virginia, Colorado, Connecticut, Texas und Oregon, haben umfassende Datenschutzgesetze mit im Großen und Ganzen ähnlichen Rechten verabschiedet. Einzelheiten und Schwellenwerte unterscheiden sich, die meisten bieten kein privates Klagerecht, sieh dir also die Seite des Generalstaatsanwalts in deinem eigenen Bundesstaat an.

CASL: Kanadas strenges Regime

Kanadas Anti-Spam-Gesetz (CASL) ist größtenteils seit dem 1. Juli 2014 in Kraft und gehört zu den strengsten Gesetzen zu E-Mail-Werbung überhaupt. Es erfasst kommerzielle elektronische Nachrichten, einschließlich E-Mails und Textnachrichten, die an Computer in Kanada gesendet oder dort abgerufen werden.

Ein Absender braucht eine ausdrückliche oder, in bestimmten Situationen, eine stillschweigende Einwilligung. Das bekannteste Beispiel für stillschweigende Einwilligung ist eine bestehende Geschäftsbeziehung, etwa ein Kauf in den vorangegangenen zwei Jahren oder eine Anfrage in den vorangegangenen sechs Monaten. Jede Nachricht muss den Absender kenntlich machen und Kontaktinformationen angeben. Jede Nachricht braucht außerdem einen Abmeldemechanismus, der nach dem Versand mindestens 60 Tage gültig bleibt, und Anträge müssen innerhalb von 10 Werktagen bearbeitet werden.

Strafen können bis zu 10 Millionen kanadische Dollar pro Verstoß für Organisationen und 1 Million für Einzelpersonen erreichen. Das private Klagerecht des Gesetzes, das Einzelpersonen Klagen erlaubt hätte, wurde 2017 von der Regierung ausgesetzt, bevor es in Kraft trat. Kanadier können Spam über das Spam Reporting Centre melden, Teil des bundesweiten Anti-Spam-Programms.

Anderswo in Kürze

Australiens Spam Act 2003 verlangt Einwilligung, Absenderangabe und eine funktionierende Abmeldemöglichkeit, und Anträge müssen innerhalb von fünf Arbeitstagen umgesetzt werden. Die Australian Communications and Media Authority setzt ihn durch. Brasiliens LGPD ist ein allgemeines Gesetz nach dem Vorbild der DSGVO, durchgesetzt von der nationalen Behörde ANPD, mit Rechten auf Auskunft, Berichtigung, Löschung und Information über die Weitergabe. Indiens Digital Personal Data Protection Act 2023 führt eine einwilligungsbasierte Verarbeitung ein, und seine im November 2025 bekannt gemachten Regeln treten über 18 Monate gestaffelt in Kraft, sodass die meisten Pflichten noch nicht gelten. Das revidierte Schweizer Bundesgesetz über den Datenschutz gilt seit September 2023 und ist eng an die Grundsätze der DSGVO angelehnt.

Wenn dein Land hier nicht aufgeführt ist, kann es trotzdem ein einschlägiges Gesetz haben. Deine nationale Datenschutz- oder Verbraucherbehörde ist die Stelle, bei der du nachsehen kannst.

Warum eine Abmeldung deine Quittungen nicht stoppt

Menschen fragen oft, warum die Abmeldung von der Werbung eines Shops die Bestell-Mails nicht beendet. Die Gesetze trennen beides bewusst, und deshalb kann sich ein Absender auch nicht den Werberegeln entziehen, indem er etwas einfach Service-Nachricht nennt.

Art	Beispiele	DSGVO und ePrivacy	CAN-SPAM	CASL
Transaktion	Quittungen, Versandmeldungen, Passwort-Rücksetzungen, Sicherheitswarnungen	Braucht eine Rechtsgrundlage, meist Vertrag oder berechtigte Interessen, aber keine Werbeeinwilligung	Von den meisten Regeln ausgenommen; keine falschen Routing-Angaben	Die aufgeführten Kategorien sind von der Einwilligung befreit, brauchen aber trotzdem Absenderangabe und Abmeldehinweis
Werbung	Rabattaktionen, Werbe-Newsletter, Produktempfehlungen	Einwilligung oder Soft-Opt-in; uneingeschränktes Widerspruchsrecht	Ohne Einwilligung erlaubt; alle Anforderungen gelten	Ausdrückliche oder stillschweigende Einwilligung erforderlich
Gemischt	Eine Bestellbestätigung mit einem großen Werbebanner	Der werbliche Teil kann eine Werbeeinwilligung brauchen	Beurteilt nach dem Hauptzweck, mit Blick auf Betreffzeile und Platzierung des Inhalts	Kann als kommerziell behandelt werden, wenn sie Produkte bewirbt

Auch nicht jede Regel, auf die du stößt, stammt von einem Gesetzgeber. Seit 2024 verlangen Google und Yahoo von Massenversendern, die Abmeldung mit einem Klick über den Mechanismus aus RFC 8058 zu unterstützen und Anträge innerhalb von zwei Tagen umzusetzen. Das ist eine Bedingung für gute Zustellung, die von Postfachanbietern gesetzt wird, ohne rechtliche Kraft, und doch stoppt sie in der Praxis manche Absender schneller als die 10 Werktage des Gesetzes.

Deine Rechte nutzen, Schritt für Schritt

1. Die Werbung stoppen

Nutze den Abmelde-Button, den deine Mail-App neben dem Absender anzeigt und der auf dem Header List-Unsubscribe beruht. Gibt es keinen, nimm den Link in der Fußzeile einer seriösen Nachricht. Tu das nur bei Absendern, die du kennst, denn ein Link in offensichtlichem Spam kann überallhin führen, und dort ist Melden die bessere Reaktion. Notiere das Datum. Nach CAN-SPAM und CASL sollte die Post innerhalb von 10 Werktagen aufhören. In der EU und im Vereinigten Königreich sollte ein Widerspruch ohne Verzögerung wirksam werden, auch wenn Aufsichtsbehörden meist eine kurze Bearbeitungszeit akzeptieren.

2. Herausfinden, was ein Unternehmen speichert

Sende einen Auskunftsantrag nach der DSGVO oder einen Antrag auf Auskunft nach dem CCPA. Viele Unternehmen bieten ein Datenschutzformular oder ein Portal an, und es zu nutzen kann die Sache beschleunigen. Sonst reicht eine kurze Nachricht wie diese Vorlage:

Betreff: Antrag auf Auskunft über personenbezogene Daten
Ich beantrage nach Artikel 15 der DSGVO [oder: nach dem California Consumer Privacy Act] Auskunft über die personenbezogenen Daten, die Sie über mich gespeichert haben. Meine E-Mail-Adresse in Ihren Unterlagen lautet [Adresse]. Bitte senden Sie mir eine Kopie der Daten, die Zwecke der Verarbeitung, die Kategorien der Empfänger, an die Sie sie weitergegeben haben, die Dauer der Speicherung und die Quelle der Daten, falls Sie sie nicht bei mir erhoben haben. Ich erwarte Ihre Antwort innerhalb der gesetzlichen Frist.

Sende ihn von der Adresse, die das Unternehmen gespeichert hat, an die Datenschutzstelle aus seiner Datenschutzerklärung, und bewahre eine Kopie mit Datum auf. Rechne mit einer Identitätsprüfung. Sie ist legitim, sollte aber verhältnismäßig sein. Wenn ein Shop einen Passscan verlangt, um eine Anfrage zu einer Newsletter-Adresse zu beantworten, lohnt es sich, nachzufragen.

3. Löschung verlangen

Wenn du einen Dienst nicht mehr nutzt, verlange die Löschung nach Artikel 17 der DSGVO oder nach dem CCPA. Das Unternehmen darf Unterlagen behalten, die es aufbewahren muss, etwa Rechnungen, und eine Adresse auf einer Sperrliste, damit es dir nicht versehentlich schreibt. Es ist vernünftig, zu fragen, was es behält und warum.

4. In US-Bundesstaaten dem Verkauf und der Weitergabe widersprechen

Suche nach einem Link wie „Do Not Sell or Share My Personal Information“ oder „Your Privacy Choices“, oder schalte die Global Privacy Control in einem Browser oder einer Erweiterung ein, die sie unterstützt. Kalifornierinnen und Kalifornier können DROP für registrierte Datenhändler nutzen.

5. Eskalieren, wenn du nicht weiterkommst

• EU und EWR: Beschwere dich bei deiner nationalen Datenschutzbehörde. Der Europäische Datenschutzausschuss führt sie alle auf.
• Vereinigtes Königreich: Beschwere dich bei der britischen Datenschutzbehörde, nachdem du es zuerst bei der Organisation angesprochen hast, oder melde unerwünschte Werbung über ihr Online-Werkzeug.
• USA: Melde täuschende oder nicht regelkonforme kommerzielle E-Mails auf ReportFraud.ftc.gov. Bei CCPA-Problemen reiche eine Beschwerde bei der California Privacy Protection Agency oder beim Generalstaatsanwalt ein.
• Kanada: Melde an das Spam Reporting Centre.

Halte deine Belege einfach: das Datum deines Antrags, eine Kopie davon, gegebenenfalls eine Kopie der Antwort und Beispiele für Nachrichten, die weiter ankamen, mit ihren vollständigen Headern. Aufsichtsbehörden können nicht jeder Beschwerde nachgehen, eine einzelne Beschwerde bringt also vielleicht kein schnelles Ergebnis, aber sie erweitert die Akte gegen einen Wiederholungstäter.

Was diese Gesetze nicht abdecken

Kriminellen Spam zu erfassen, ist die deutlichste Lücke. Wer von einem gekaperten Server gefälschte Medikamente verkauft, ignoriert jede der obigen Regeln, weshalb ein Spamfilter und der Melden-Button deines Anbieters gegen diese Post mehr ausrichten als jedes Gesetz. Solchen Betrug zu erkennen und zu melden ist eine praktische Fähigkeit, die dir keine Behörde abnehmen kann.

Auch deine eigene Korrespondenz liegt größtenteils außerhalb dieser Regeln. Eine persönliche Notiz an Freunde ist keine kommerzielle E-Mail, und die DSGVO hat in Artikel 2 Absatz 2 Buchstabe c eine Ausnahme für rein persönliche oder familiäre Tätigkeiten. Der Zugriff von Strafverfolgungsbehörden auf Postfächer fällt unter eigene Gesetze, etwa den US-amerikanischen Stored Communications Act und nationale Überwachungsgesetze, und diese verdienen eine eigene Erklärung.

Schließlich binden die meisten dieser Gesetze Organisationen einer bestimmten Art oder ab einer bestimmten Größe. Ein kleiner kalifornischer Shop unterhalb der CCPA-Schwellen muss trotzdem CAN-SPAM befolgen, hat aber keine CCPA-Pflichten. Eine gemeinnützige Organisation kann dem CCPA entgehen und trotzdem der DSGVO unterliegen, wenn sie Menschen in Europa mailt. Sieh dir immer an, wer der Absender ist, bevor du annimmst, welche Regeln gelten.

Wo passt eine Wegwerf-Adresse hinein?

Eine Wegwerf-E-Mail-Adresse ist ein temporäres Postfach, das keine Registrierung braucht und seine Nachrichten nach kurzer Zeit löscht. Uns ist kein Gesetz in den obigen Regimen bekannt, das Menschen verbietet, sie zum Schutz ihrer Privatsphäre zu nutzen, und damit folgt man demselben Gedanken wie die Pflicht zur Datenminimierung, die die DSGVO Organisationen auferlegt. Wenn eine Seite keine dauerhafte Beziehung zu dir braucht, kannst du entscheiden, keine anzubieten, solange ihre Bedingungen das erlauben. Regeln und Bedingungen unterscheiden sich, das ist also eine allgemeine Beobachtung und keine Garantie für einen bestimmten Fall.

Übliche Verwendungen sind der Empfang eines einmaligen Downloads oder das Testen der eigenen Website mit Registrierungs- und Bestätigungs-Mails. VookMail ist ein solcher Dienst. Eine Adresse ist da, sobald die Seite lädt, du kannst auf Neu drücken, um einen Benutzernamen bei einer von mehr als 30 Domains einzutippen, oder den gelben Zufall-Button für eine zufällige nutzen, und Nachrichten, Anhänge und Adressen werden nach etwa einem Tag gelöscht. Wie er mit Daten umgeht, steht in der Datenschutzerklärung, und die Methodik-Seite erklärt, wie Mail für seine Domains über MX-Einträge zu einem Zustellanbieter gelangt und per HTTPS weitergeleitet wird.

Es gelten mehrere Grenzen:

• Dienste dürfen Wegwerf-Adressen ablehnen, und viele haben gute Gründe dafür. Unser Artikel warum Websites Wegwerf-E-Mails blockieren erklärt sie. Wenn eine Seite eine ablehnt, respektiere das und nutze eine dauerhafte Adresse oder einen Alias.
• Jeder, der eine temporäre Adresse kennt oder errät, kann dieses Postfach öffnen. Sie bietet daher Privatsphäre gegenüber dem Verteiler eines Unternehmens, aber keine Vertraulichkeit für die Nachrichten. Eine zufällige Adresse ist die sicherere Wahl.
• Bank, Behörden, Gesundheitswesen und wichtigste Social-Media-Konten brauchen eine Adresse, die du immer kontrollierst, weil sie rechtlich bedeutsame Mitteilungen und Wiederherstellungsnachrichten senden.
• Missbrauch ist nicht geschützt. Betrug, Belästigung, Identitätsvortäuschung oder das Umgehen einer Sperre können rechtliche Folgen haben, egal welche Adresse benutzt wird, und unsere Allgemeinen Geschäftsbedingungen verbieten sie.
• Anträge zu deinen Rechten brauchen eine beständige Adresse. Ein Unternehmen prüft dich meist über die gespeicherte Adresse, wenn du also später deine Rechte nach DSGVO oder CCPA nutzen möchtest, ist eine dauerhafte Adresse besser für dich.

Wenn du selbst E-Mails versendest

Ein Newsletter oder ein kleiner Online-Shop stellt dich auf die andere Seite von alldem. Hast du internationale Leser, ist der praktische Ansatz, nach der strengsten Regel zu bauen, die für dein Publikum gilt. Die Liste unten ist eine Grundlage, und eine echte Prüfung der Rechtskonformität hängt von deinem Land und deinen Kunden ab.

1. Hole die Einwilligung mit einem nicht vorangekreuzten Kästchen oder einer ausdrücklichen Anmeldehandlung ein und halte fest, wann und wie sie erteilt wurde.
2. Erwäge Double-Opt-in, das dir einen Nachweis der Einwilligung liefert und Tippfehler und falsche Anmeldungen draußen hält.
3. Verlinke überall, wo du Adressen erhebst, eine klare Datenschutzerklärung.
4. Halte Transaktions- und Werbe-Mails getrennt und schmuggle keine Werbung in Quittungen.
5. Gib in jeder Werbe-Mail die Identität deiner Organisation und eine gültige Postanschrift an.
6. Unterstütze die Abmeldung mit einem Klick über die Header List-Unsubscribe und List-Unsubscribe-Post und setze Abmeldungen schnell um.
7. Führe eine Sperrliste, damit abgemeldete Adressen nie wieder importiert werden.
8. Kaufe keine Listen. Eine gekaufte Liste besteht in Opt-in-Ländern keine Einwilligungsprüfung und bringt tendenziell Beschwerden und Rückläufer, die deine Zustellung überall beeinträchtigen.
9. Lege Öffnungs- und Klick-Tracking offen und prüfe, ob die Länder deiner Leser dafür eine Einwilligung verlangen. Frankreich hat dazu inzwischen konkrete Hinweise.
10. Lege Aufbewahrungsfristen fest und lösche Daten inaktiver Abonnenten, die du nicht mehr brauchst.
11. Richte einen Ablauf ein, um Anträge auf Auskunft, Löschung und Berichtigung innerhalb eines Monats (DSGVO) oder 45 Tagen (CCPA) zu beantworten.
12. Teste Anmeldung und Abmeldung vor dem Start mit einem frischen Postfach, damit du siehst, was ein Abonnent sieht.

Überzeugungen, die Ärger machen

„Wenn eine Adresse öffentlich ist, darf ich ihr Werbung schicken.“ In Opt-in-Systemen ist eine öffentlich sichtbare Adresse für sich genommen keine Einwilligung. Nach CAN-SPAM ist das Abgreifen von Adressen von Websites ein erschwerender Faktor. Die Veröffentlichung entscheidet die Frage schlicht nicht.

„Abmelden bestätigt Spammern nur meine Adresse.“ Das stimmt bei offensichtlichem Spam von unbekannten Absendern, wo Melden die bessere Wahl ist. Bei einem seriösen Absender ist die Abmeldung der richtige Schritt, und das Gesetz verlangt, dass der Absender sie umsetzt.

„Die DSGVO gilt nur für EU-Unternehmen.“ Artikel 3 Absatz 2 erfasst Organisationen anderswo, die Menschen in der EU oder im EWR ansprechen oder beobachten. Wie Aufsichtsbehörden das gegenüber einem Unternehmen ohne europäische Niederlassung durchsetzen, ist eine andere Frage und in der Praxis schwierig.

„CAN-SPAM erlaubt mir, Spammer zu verklagen.“ Es gibt Einzelpersonen kein solches Recht. Andere Gesetze können in bestimmten Situationen helfen, und Gesetze der Bundesstaaten gegen Täuschung können die Verdrängung überstehen, ein Anwalt kann dir also sagen, ob in deinem Fall etwas zutrifft.

„Wenn ich mein Konto lösche, werden alle meine Daten gelöscht.“ Unternehmen dürfen rechtmäßig manche Unterlagen behalten, etwa den Verlauf von Transaktionen für die Steuer. Sie sollten das erklären, wenn du fragst.

„Transaktions-Mails sind nicht reguliert.“ Sie entgehen vielen Werberegeln, brauchen aber trotzdem eine Rechtsgrundlage nach der DSGVO und dürfen nicht täuschen.

Kurze Antworten auf häufige Fragen

Darf mir ein Unternehmen mailen, wenn ich mich nie angemeldet habe?

Das hängt davon ab, wo du bist. In den USA in der Regel ja, sofern es CAN-SPAM befolgt und aufhört, wenn du dich abmeldest. In der EU, im Vereinigten Königreich und in Kanada braucht eine Werbe-Mail in der Regel deine Einwilligung oder fällt unter eine enge Ausnahme für Bestandskunden.

Muss ein Unternehmen außerhalb Europas meinen DSGVO-Antrag beantworten?

Wenn es Menschen in der EU oder im EWR Waren oder Dienstleistungen anbietet oder deren Verhalten dort beobachtet, kann die DSGVO für es gelten. Artikel 27 verlangt von einem solchen Unternehmen in der Regel auch, einen Vertreter in der EU zu benennen, dessen Angaben in seiner Datenschutzerklärung stehen sollten. Ob du den Antrag in der Praxis durchsetzen kannst, ist eine gesonderte Frage.

Habe ich CCPA-Rechte, wenn ich außerhalb Kaliforniens lebe?

Der CCPA schützt Einwohner Kaliforniens. Manche Unternehmen bieten allen ähnliche Wahlmöglichkeiten, und viele andere Bundesstaaten haben eigene Gesetze, fragen lohnt sich also trotzdem.

Wie schnell sollte eine Abmeldung wirken?

Höchstens zehn Werktage nach CAN-SPAM und CASL, fünf Arbeitstage in Australien und in der EU und im Vereinigten Königreich in der Praxis ohne unangemessene Verzögerung. Von großen Absendern, die Gmail und Yahoo nutzen, wird nach den Regeln dieser Anbieter außerdem erwartet, innerhalb von zwei Tagen zu handeln.

Ist Öffnungs-Tracking legal?

In den USA regelt CAN-SPAM es nicht direkt. In der EU behandeln Aufsichtsbehörden Tracking-Pixel in E-Mails zunehmend als unter Artikel 5 Absatz 3 der ePrivacy-Richtlinie fallend, und die französische CNIL sieht die Einwilligung inzwischen als Regelfall. Anderswo hängt es vom nationalen Recht ab.

Wo kann ich die Gesetze selbst nachlesen?

Die DSGVO und die ePrivacy-Richtlinie stehen auf EUR-Lex. Die FTC veröffentlicht den Leitfaden zur Einhaltung von CAN-SPAM, die kalifornische Aufsichtsbehörde und der Generalstaatsanwalt veröffentlichen Hinweise zum CCPA, und die Regierung Kanadas betreibt eine Website zum CASL. Auf diese offiziellen Quellen solltest du dich verlassen, denn dieser Überblick kann nur die Rechtslage widerspiegeln, wie wir sie beim Schreiben verstanden haben.