Mailchimp und DSGVO: Compliance-Leitfaden 2026

In einem Satz. Mailchimp ist das Werkzeug, an dem eine deutsche Aufsichtsbehörde die Frage des US-Transfers exemplarisch durchgespielt hat — und die beiden Baustellen sind bis heute dieselben: eine belastbare Transferdokumentation und der Nachweis, dass jeder Empfänger tatsächlich eingewilligt hat.

Newsletter-Werkzeuge sind datenschutzrechtlich unangenehm, weil bei ihnen zwei Rechtsgebiete zusammenlaufen. Die DSGVO verlangt eine Rechtsgrundlage und einen Auftragsverarbeitungsvertrag; das Wettbewerbsrecht verlangt in Deutschland nach § 7 UWG für Werbe-E-Mails grundsätzlich eine vorherige ausdrückliche Einwilligung, deren Nachweis der Versender führen muss. Ein Verstoß trifft Sie damit doppelt — über die Aufsichtsbehörde und über Abmahnungen von Wettbewerbern. Bei Mailchimp kommt der US-Bezug hinzu. Alle Anbieterangaben in diesem Beitrag haben den Stand Juli 2026 und sind vor Verwendung in Ihrer Dokumentation in der aktuellen Rechtsdokumentation des Anbieters nachzuprüfen.

Wichtige Punkte

• Der AV-Vertrag ist Bestandteil der Nutzungsbedingungen und über die Rechtsdokumentation abrufbar.
• Das BayLDA hat 2021 den Einsatz von Mailchimp durch ein deutsches Unternehmen beanstandet — nicht wegen des Werkzeugs, sondern wegen der fehlenden Transferprüfung.
• Die Rechtslage hat sich mit dem Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Juli 2023) verändert; die Prüfpflicht ist damit nicht entfallen.
• Öffnungs- und Klick-Tracking ist eine eigenständige Verarbeitung und braucht eine eigene Rechtsgrundlage.
• Der Nachweis der Einwilligung — Zeitpunkt, Text, Verfahren — ist die Pflicht, an der die meisten Prüfungen scheitern.

1. Welche personenbezogenen Daten Mailchimp verarbeitet

Im Kern: E-Mail-Adresse, meist Vor- und Nachname, häufig Anrede, Unternehmen, Land oder Postleitzahl, dazu die von Ihnen angelegten Zusatzfelder und Interessengruppen. Das ist der harmlose Teil. Der eigentliche Datenbestand entsteht durch den Versand: Zustell- und Bounce-Status, Öffnungszeitpunkt, Öffnungshäufigkeit, angeklickte Links, verwendeter E-Mail-Client, IP-Adresse und daraus abgeleiteter ungefährer Standort, sowie — bei aktivierter Website-Anbindung — das Verhalten des Empfängers auf Ihrer Website und in einem angebundenen Shop, einschließlich abgebrochener Warenkörbe.

Aus dieser Kombination entsteht ein Profil, das über die reine Kontaktverwaltung hinausgeht: Wer öffnet montags, wer klickt auf Preisthemen, wer hat seit einem Jahr nicht mehr reagiert. Genau deshalb ist die pauschale Bewertung „nur ein Newsletter-Tool" falsch. Betroffene sind Abonnenten, Kunden und Interessenten — überwiegend Verbraucher, was das Risiko für die Rechte und Freiheiten der Betroffenen erhöht. Besondere Kategorien nach Art. 9 DSGVO gehören nicht hinein; Vorsicht ist geboten, wenn die Segmentierung selbst sensibel ist — ein Verteiler „Patienten Diabetesberatung" ist eine Verarbeitung von Gesundheitsdaten, unabhängig davon, welche Felder gefüllt sind.

2. Der AV-Vertrag nach Art. 28 DSGVO

Der Anbieter stellt einen Data Processing Addendum über seine Rechtsdokumentation bereit, der als Bestandteil der Nutzungsbedingungen einbezogen wird und in der Regel keine gesonderte Unterschrift verlangt. Laden Sie die geltende Fassung herunter und archivieren Sie sie mit Abrufdatum — bei einem Werkzeug, das häufig ohne Beteiligung der IT im Marketing beschafft wird, fehlt dieser Schritt besonders oft. Prüfen Sie ihn gegen die Pflichtangaben des Art. 28 Abs. 3: Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe nach Vertragsende, Prüfrechte. Die Systematik erklärt unser Beitrag zur Auftragsverarbeitung nach DSGVO, eine Vergleichsvorlage bietet das AVV-Muster.

Ein Punkt verdient besondere Aufmerksamkeit: die Abgrenzung, für welche Verarbeitungen der Anbieter als Auftragsverarbeiter und für welche er in eigener Verantwortung handelt — etwa für Kontoverwaltung, Abrechnung, Missbrauchsbekämpfung und die Weiterentwicklung eigener Dienste. Diese Doppelrolle ist bei Marketingplattformen die Regel und gehört in Ihrer Dokumentation ausdrücklich abgebildet. Bei der Subunternehmerklausel gilt das Übliche: allgemeine Vorabgenehmigung, Ankündigung von Änderungen, Widerspruchsrecht mit Kündigungsfolge. Lesen Sie die Frist nach und legen Sie fest, wer die Benachrichtigungen bewertet.

3. Hosting, Drittlandtransfer und der BayLDA-Fall (Stand: Juli 2026)

Mailchimp ist ein US-amerikanischer Dienst und verarbeitet Daten in den Vereinigten Staaten; eine europäische Datenresidenz gehört nicht zu den Standardmerkmalen. Klären Sie den Speicherort für Ihren Vertrag schriftlich und dokumentieren Sie die Auskunft mit Datum, statt sie anzunehmen.

Der Fall, den jeder deutsche Datenschutzbeauftragte kennen sollte: Das Bayerische Landesamt für Datenschutzaufsicht hat im März 2021 den Einsatz von Mailchimp durch ein deutsches Unternehmen beanstandet. Der Vorwurf richtete sich nicht gegen das Produkt, sondern gegen die Vorgehensweise des Verantwortlichen — er hatte die nach Schrems II gebotene Prüfung, ob zu den Standardvertragsklauseln ergänzende Maßnahmen erforderlich sind, schlicht nicht durchgeführt. Das ist die dauerhafte Lehre aus dem Verfahren: Beanstandet wurde die fehlende Bewertung, nicht die Übermittlung als solche. Weitere Entscheidungen der Behörde ordnet unser Beitrag zum BayLDA ein.

Seither hat sich die Rechtslage verändert. Mit dem Angemessenheitsbeschluss der Kommission zum EU-US Data Privacy Framework vom Juli 2023 können Übermittlungen an zertifizierte US-Empfänger auf diesen Beschluss gestützt werden. Prüfen Sie deshalb konkret, ob die Gesellschaft, mit der Sie den Vertrag geschlossen haben, auf der offiziellen DPF-Liste geführt wird, und halten Sie das Prüfdatum fest; besteht keine Zertifizierung, bleiben die im Vertrag einbezogenen Standardvertragsklauseln nebst Transfer-Folgenabschätzung maßgeblich. In beiden Fällen gehört in die Akte: Vertragspartner, Transfergrundlage, Prüfdatum, ergänzende Maßnahmen. Die Methodik erklärt der Beitrag zur internationalen Datenübermittlung, die Besonderheiten US-amerikanischer Anbieter der Beitrag DSGVO und US-Unternehmen. Wer diesen Aufwand scheut, sollte die naheliegende Alternative offen prüfen: Für reinen Newsletter-Versand gibt es europäische Anbieter, bei denen die Transferbewertung entfällt.

4. Subprozessoren und Sicherheitsnachweise

Der Anbieter veröffentlicht eine Liste seiner Unterauftragsverarbeiter — typischerweise Infrastruktur-, Zustell-, Analyse- und Supportdienstleister — und kündigt Änderungen an. Abonnieren Sie die Benachrichtigung und legen Sie die interne Zuständigkeit fest; bei einem Anbieter mit US-Infrastruktur wirkt sich jeder neue Subunternehmer unmittelbar auf Ihre Transferbewertung aus.

Zu den Sicherheitsnachweisen: Fordern Sie die aktuell verfügbaren Prüfberichte und Zertifikate über das Sicherheits- beziehungsweise Trust-Portal des Anbieters an, statt sich auf Marketingaussagen zu stützen, und prüfen Sie Geltungsbereich und Berichtszeitraum. Halten Sie in Ihrer Dienstleisterprüfung fest, welche Nachweise Sie mit welchem Datum gesehen haben — bei einer späteren Prüfung ist genau das die Frage. Ihre eigenen Maßnahmen — Zwei-Faktor-Anmeldung für Kontozugänge, Beschränkung der Nutzerrechte, gesicherter Umgang mit Exportdateien — bemessen sich an Art. 32 DSGVO.

5. Konfigurations-Checkliste

1. Double Opt-in aktivieren. In Deutschland ist der Nachweis der Einwilligung praktisch nur über ein bestätigtes Anmeldeverfahren zu führen. Ohne Double Opt-in ist der Verteiler angreifbar.
2. Einwilligungsnachweis archivieren. Zeitpunkt, IP-Adresse, verwendeter Einwilligungstext und Bestätigungszeitpunkt gehören dokumentiert — und zwar in einer Form, die den Wechsel des Werkzeugs überlebt. Muster im Beitrag Einwilligung DSGVO Muster.
3. Anmeldeformular auf Datenminimierung prüfen. Für einen Newsletter ist die E-Mail-Adresse das Pflichtfeld; alles Weitere ist freiwillig zu kennzeichnen.
4. Kopplungsverbot beachten. Ein Gewinnspiel darf die Teilnahme nicht von der Newsletter-Anmeldung abhängig machen, wenn beides sachlich nichts miteinander zu tun hat.
5. Öffnungs- und Klick-Tracking bewusst entscheiden. Individuelles Tracking ist eine eigene Verarbeitung; wer es einsetzt, muss darüber informieren und die Rechtsgrundlage begründen — die Bestandsaufnahme dazu findet sich im Beitrag zum TTDSG und Cookie-Banner.
6. Website-Anbindung und Shop-Integration prüfen. Verhaltensdaten aus dem Shop sind keine Newsletter-Daten; sie brauchen eine eigene Grundlage und einen eigenen Verzeichniseintrag.
7. Abmeldelink in jeder Mail und sofortige, systemübergreifende Wirkung der Abmeldung.
8. Inaktive Empfänger löschen. Wer seit zwei Jahren nichts geöffnet hat, ist kein Empfänger mehr, sondern ein Risiko — Systematik im Löschkonzept.
9. Bestandskundenwerbung sauber trennen. Die Ausnahme des § 7 Abs. 3 UWG hat enge Voraussetzungen; führen Sie diese Empfänger als eigenes Segment mit eigener Begründung.
10. Kontozugriffe begrenzen. Nicht jeder in der Marketingabteilung braucht Exportrechte für den gesamten Verteiler.
11. Absenderdomäne authentifizieren — technisch geboten und zugleich eine Maßnahme gegen Missbrauch.

6. Was ins Verarbeitungsverzeichnis gehört

Legen Sie einen Eintrag „E-Mail-Marketing" an und, falls Sie die Website- oder Shop-Anbindung nutzen, einen zweiten für die verhaltensbasierte Personalisierung. Je Eintrag: Zweck, Rechtsgrundlage (regelmäßig Einwilligung nach Art. 6 Abs. 1 lit. a, für Bestandskundenwerbung gegebenenfalls berechtigtes Interesse in den Grenzen des § 7 Abs. 3 UWG — die Abwägung erklärt der Beitrag zum berechtigten Interesse), Datenkategorien einschließlich der Öffnungs- und Klickdaten, Betroffenenkategorien, Empfänger mit dem Anbieter als Auftragsverarbeiter und den relevanten Unterauftragnehmern, Drittlandtransfer mit Grundlage und Prüfdatum, Löschfristen für inaktive Empfänger und die technischen Maßnahmen. Struktur und Vorlage im Beitrag Verzeichnis von Verarbeitungstätigkeiten. Wenn Sie parallel ein CRM mit eigener Marketingfunktion betreiben, halten Sie die Abgrenzung fest — sonst existiert derselbe Kontakt in zwei Systemen mit zwei unterschiedlichen Abmeldeständen; zur Bewertung eines solchen Systems siehe unseren Leitfaden zu HubSpot. Wer die Verknüpfung von AV-Vertrag, Subprozessorliste und Verzeichniseintrag über viele Werkzeuge hinweg pflegt, nutzt dafür sinnvollerweise eine Datenschutzplattform wie Legiscope; der Marktüberblick steht im DSGVO-Software-Vergleich.

7. Wann eine DSFA nötig ist

Ein Newsletter an eingewilligte Empfänger ohne individuelles Tracking erreicht die Schwelle des Art. 35 DSGVO nicht. Sie wird erreicht, wenn Verhaltensdaten aus E-Mail und Website systematisch zu Profilen verbunden werden, wenn diese Profile für automatisierte Entscheidungen über Angebote oder Preise genutzt werden, wenn die Verarbeitung sehr große Empfängerzahlen umfasst, oder wenn die Segmentierung selbst sensible Rückschlüsse zulässt — Gesundheit, Weltanschauung, wirtschaftliche Lage. In diesen Fällen ist eine Datenschutz-Folgenabschätzung zu führen und mit der Muss-Liste Ihrer Aufsichtsbehörde abzugleichen. Der US-Bezug ist dabei kein eigenständiger Auslöser, verschärft aber die Risikobewertung.

FAQ

Ist Mailchimp DSGVO-konform?

Die Frage geht am Recht vorbei: Ein Produkt kann nicht konform sein. Mailchimp lässt sich rechtmäßig einsetzen, wenn ein AV-Vertrag besteht, die Transfergrundlage dokumentiert und geprüft ist, jeder Empfänger nachweislich eingewilligt hat und das Tracking auf eine eigene Grundlage gestellt ist. Fehlt einer dieser Punkte, ist die Verarbeitung angreifbar — unabhängig davon, was der Anbieter leistet.

Darf ich Mailchimp nach der BayLDA-Entscheidung noch nutzen?

Die Behörde hat Mailchimp nicht verboten. Beanstandet wurde, dass der Verantwortliche keine Prüfung ergänzender Maßnahmen vorgenommen hatte. Wer die Transferbewertung dokumentiert führt und den heutigen Transfermechanismus prüft, hat die dort beanstandete Lücke geschlossen.

Reicht ein einfaches Anmeldeformular als Einwilligung?

In Deutschland praktisch nicht. Sie tragen die Nachweislast, dass die konkrete Person eingewilligt hat; ohne bestätigtes Anmeldeverfahren lässt sich das nicht führen. Bewahren Sie Zeitpunkt, Einwilligungstext und Bestätigung dauerhaft auf.

Brauche ich für Öffnungs- und Klick-Tracking eine Einwilligung?

Individuelles Tracking des Leseverhaltens geht über den Versand hinaus und braucht eine eigene Rechtsgrundlage. Die aufsichtsbehördliche Linie verlangt hierfür regelmäßig eine gesonderte Einwilligung; wer sie nicht einholt, sollte auf personenbezogene Auswertung verzichten und mit aggregierten Werten arbeiten.

Fazit

Bei Mailchimp entscheiden zwei Dokumente über das Ergebnis einer Prüfung: die Transferbewertung und der Einwilligungsnachweis. Beide sind unspektakulär, beide werden regelmäßig nicht geführt, und beide sind genau das, wonach eine Aufsichtsbehörde zuerst fragt. Klären Sie den Vertragspartner und den aktuellen Transfermechanismus mit Datum, aktivieren Sie Double Opt-in, archivieren Sie die Einwilligungen in einer werkzeugunabhängigen Form, entscheiden Sie bewusst über das Tracking und räumen Sie inaktive Empfänger regelmäßig aus. Und prüfen Sie ehrlich, ob der US-Bezug für einen Newsletter den Aufwand wert ist.