Bestandskundenwerbung bleibt an vier Bedingungen geknüpft – hessische Aufsicht untersagte E-Mail-Werbung ohne Einwilligung nach 1,3 Millionen Mails

Welche Werbekampagne die hessische Aufsicht beanstandet hat

Der Fall begann mit mehreren voneinander unabhängigen Beschwerden. Laut dem 54. Tätigkeitsbericht hatte ein Unternehmen, das während der Pandemie bundesweit Testzentren betrieb, die dort erhobenen Adressen später für Werbung genutzt. Beworben wurde die gesamte Produktpalette an Tests, versehen mit einem allgemeinen Gutscheincode. Eine Einwilligung in eine werbliche Nutzung hatten die Besucher nach Darstellung der Behörde weder bei der Onlinebuchung noch vor Ort erteilt.

Die Behörde untersagte dem Unternehmen daraufhin die weitere werbliche Nutzung dieser Adressen ohne Einwilligung. Nach Abschluss des Verwaltungsverfahrens leitete sie zusätzlich ein Geldbußenverfahren ein. Einen Betrag nennt der Bericht nicht.

„Wer Adressen für einen Zweck erhebt und sie später für einen anderen einsetzt, verlässt sich meist darauf, dass niemand nachfragt. Genau dieses Kalkül geht nicht mehr auf, wenn mehrere Empfänger unabhängig voneinander dieselbe Behörde einschalten“, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.

Die Zahl der Beschwerden ist deutlich gestiegen. Nach Angaben der Behörde nahmen sie in Hessen im Jahr 2025 von 3.839 auf 6.070 zu, ein Zuwachs von 58 Prozent. Im Fachgebiet Adresshandel und Werbung stiegen sie von 367 auf 418.

Woran sich eine wirksame Einwilligung nach der Verordnung messen lässt

Der Begriff ist in der Verordnung selbst festgelegt. Nach Artikel 4 Nummer 11 der Datenschutz-Grundverordnung ist eine Einwilligung jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung. Sie liegt in einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung.

Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche seit dem 25. Mai 2018 nachweisen können, dass die betroffene Person eingewilligt hat. Diese Nachweispflicht steht in Artikel 7 Absatz 1 der Datenschutz-Grundverordnung. Verantwortlicher ist jede Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet, also auch das werbende Unternehmen und nicht nur der ursprüngliche Sammler der Adresse.

Daneben nennt der Bericht die Interessenabwägung als mögliche Grundlage. Artikel 6 Absatz 1 Buchstabe f der Datenschutz-Grundverordnung lässt eine Verarbeitung zu, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen erforderlich ist und die Interessen oder Grundrechte der betroffenen Person nicht überwiegen. Wie ein Versandwerkzeug Verteiler und Zustimmungen getrennt verwaltet, zeigt eine Erläuterung zur Pflege von Empfängerlisten.

Wo das Wettbewerbsrecht die Grenze für Werbung per elektronischer Post zieht

Das Wettbewerbsrecht setzt neben dem Datenschutzrecht einen eigenen Maßstab. Nach § 7 Absatz 2 Nummer 2 des Gesetzes gegen den unlauteren Wettbewerb ist eine unzumutbare Belästigung stets anzunehmen bei Werbung unter Verwendung elektronischer Post, ohne dass eine vorherige ausdrückliche Einwilligung des Empfängers vorliegt. Verpflichtet wird, wer die Werbung vornimmt oder vornehmen lässt.

Beide Rechtsgebiete greifen dabei ineinander. Nach Darstellung der hessischen Aufsicht überwiegen die Interessen der betroffenen Person bei der Abwägung immer dann, wenn das Handeln des Verantwortlichen nicht im Einklang mit der Rechtsordnung steht. Ein Verstoß gegen das Wettbewerbsrecht schlägt damit auf die datenschutzrechtliche Bewertung durch.

Das Gesetz gegen den unlauteren Wettbewerb dient insoweit der Umsetzung von Artikel 13 der Richtlinie 2002/58/EG. Am 27. September 2026 tritt das Dritte Gesetz zur Änderung dieses Gesetzes vom 12. Februar 2026 in Kraft, eine weitere Änderung folgt am 20. November 2026. § 7 Absatz 2 und Absatz 3 bleiben von beiden unberührt.

Welche vier Voraussetzungen für die Bestandskundenwerbung zugleich vorliegen müssen

Abweichend von § 7 Absatz 2 Nummer 2 des Gesetzes gegen den unlauteren Wettbewerb ist eine unzumutbare Belästigung nicht anzunehmen, wenn vier Voraussetzungen zugleich vorliegen. Das allgemeine Verbot belästigender Werbung in Absatz 1 bleibt daneben bestehen. Die vier lauten:

• Ein Unternehmer hat die elektronische Postadresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von dem Kunden erhalten.
• Der Unternehmer verwendet die Adresse zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen.
• Der Kunde hat der Verwendung nicht widersprochen.
• Der Kunde wird bei Erhebung der Adresse und bei jeder Verwendung klar und deutlich darauf hingewiesen, dass er der Verwendung jederzeit widersprechen kann, ohne dass ihm dafür andere als die Übermittlungskosten nach den Basistarifen entstehen.

Im hessischen Fall fehlten nach Darstellung der Behörde die zweite und die vierte Voraussetzung. Die beworbenen Testkits für andere Krankheiten deckten weder denselben typischen Verwendungszweck noch denselben Bedarf ab wie ein Corona-Test. Der Hinweis auf das Widerspruchsrecht stand zudem nur als abstrakter Verweis im Fließtext einer langen Datenschutzerklärung.

Wie eng der Begriff der Ähnlichkeit zu ziehen ist, beurteilt die Rechtsprechung nicht einheitlich. Die Behörde stützt ihre Auslegung auf ein Urteil eines Oberlandesgerichts von 2010 und eines Landgerichts von 2018; eine höchstrichterliche Entscheidung nennt der Bericht nicht.

Was ein Widerspruch auslöst und was das Urteil aus Luxemburg verändert

Ein Widerspruch beendet die werbliche Verarbeitung. Artikel 21 Absatz 2 der Datenschutz-Grundverordnung räumt betroffenen Personen das Recht ein, jederzeit Widerspruch gegen eine Verarbeitung zum Zweck der Direktwerbung einzulegen. Nach Artikel 21 Absatz 3 derselben Verordnung werden die Daten danach nicht mehr für diese Zwecke verarbeitet.

Ein zweiter Fall im Bericht zeigt, dass ein Werbewiderspruch auch Briefwerbung erfasst. Bei einem international tätigen Reiseunternehmen legte eine Prozessumstellung für zahlreiche Kunden einen zweiten Datensatz an, in den hinterlegte Werbewidersprüche nicht übernommen wurden. Knapp über 5.000 Kunden erhielten daraufhin Briefwerbung, obwohl sie nach Artikel 21 Absatz 2 widersprochen hatten; hierfür verhängte die Behörde eine rechtskräftige Geldbuße von 70.000 Euro.

Für die Bestandskundenwerbung hat der Europäische Gerichtshof den Rahmen präzisiert. In der Rechtssache C-654/23 entschied der Gerichtshof am 13. November 2025 über ein kostenloses Nutzerkonto auf einer Online-Plattform. Die E-Mail-Adresse gilt dann als im Zusammenhang mit dem Verkauf erlangt, wenn das Konto zugleich kostenlosen Zugriff auf eine bestimmte Zahl von Artikeln, einen kostenlosen Newsletter und gegen Bezahlung weitere Artikel eröffnet. Greift die Ausnahme, gilt Artikel 6 Absatz 1 der Verordnung nach dem Urteil nicht.

Ob sich diese Auslegung auf andere Geschäftsmodelle mit kostenfreien Konten übertragen lässt, ist offen; die Entscheidung war auf den vorgelegten Sachverhalt bezogen. Wer im Herbst 2026 Adressen für Werbung nutzt, sollte damit rechnen, dass eine Aufsichtsbehörde die Dokumentation jeder Zustimmung sehen will. Der nächste hessische Tätigkeitsbericht ist im Frühjahr 2027 zu erwarten.

Die vorstehenden Angaben geben eine allgemeine Information nach dem am 14. September 2026 abgerufenen Gesetzes- und Verordnungswortlaut und sind keine Rechtsberatung. Ob und wie die genannten Vorgaben einen einzelnen Versand betreffen, klärt im Einzelfall eine rechtliche Beratung.