Skip to content

Opt-In und Opt-Out für SMS- & RCS-Kampagnen: Ein DSGVO-konformer Leitfaden für B2C-Marken

Mobiles Messaging bleibt einer der effektivsten Kanäle, um Konsumenten zu erreichen – doch diese Reichweite bringt Verantwortung mit sich. Bevor auch nur eine einzige SMS oder RCS-Nachricht im Posteingang eines Kunden landet, müssen Marken die Einwilligung korrekt einholen, und sie müssen es Kunden genauso leicht machen, eine Liste zu verlassen, wie ihr beizutreten.

Für B2C-Unternehmen, die SMS- und RCS-Kampagnen auf europäischen Märkten durchführen, sind Opt-In und Opt-Out gesetzliche Pflichten gemäß der DSGVO und der ePrivacy-Richtlinie (umgesetzt in nationalen Gesetzen wie dem deutschen UWG oder dem französischen „Code des postes et des communications électroniques”). Werden diese Anforderungen missachtet, drohen Bußgelder, gesperrte Absender-IDs und Kunden, die den eigenen Nachrichten nicht mehr vertrauen.

Dieser Leitfaden zeigt, wie DSGVO-konformes Opt-In und Opt-Out für SMS- und RCS-Marketing tatsächlich aussehen und wie man beides von Anfang an in Kampagnen berücksichtigt.

Warum die Einwilligungsregeln gleichermaßen für SMS und RCS gelten 

Aus dem Blickwinkel des Datenschutzes wird RCS genauso behandelt wie SMS. Beide sind direkte Marketingkanäle, die Nachrichten an das Gerät einer identifizierbaren Person senden, weshalb beide unter folgende Regelwerke fallen:

  • Die ePrivacy-Richtlinie, die speziell unerwünschte elektronische Kommunikation regelt und in der Regel eine vorherige Einwilligung (Opt-In) für Marketingnachrichten an Konsumenten voraussetzt.
  • Die DSGVO, die regelt, wie personenbezogene Daten (Telefonnummer, Name, Präferenzen), die die Kampagne überhaupt erst ermöglichen, erhoben, gespeichert und verarbeitet werden.

Wenn Ihr Unternehmen neben SMS auch RCS nutzt, wäre es ein Fehler anzunehmen, dass das reichhaltigere Format die Einwilligungsschwelle verändert. Die umfangreicheren Funktionen und Daten von RCS (Lesebestätigungen, Interaktions-Tracking, verifizierte Absenderprofile) bedeuten, dass mehr personenbezogene Daten im Spiel sind. 

Was unter der DSGVO als gültige Einwilligung zählt 

Die DSGVO setzt hohe Anforderungen an die Einwilligung. Um für Marketingzwecke gültig zu sein, muss die Einwilligung:

  • Freiwillig erteilt sein – keine bereits angehakten Kästchen, keine Einwilligung, die in Allgemeine Geschäftsbedingungen eingebettet ist und nicht separat abgelehnt werden kann.
  • Spezifisch sein – die Einwilligung zum Erhalt von SMS-/RCS-Marketing sollte getrennt von der Einwilligung zum Erhalt von Bestellupdates oder zur Cookie-Nutzung erfolgen.
  • Informiert sein – Kunden müssen wissen, wer ihnen Nachrichten schickt, welche Art von Inhalten sie erwarten können, wie oft, und wie sie sich abmelden können.
  • Eindeutig sein – es ist eine aktive Handlung erforderlich (Ankreuzen eines Kästchens, Senden eines Kennworts per SMS, Absenden eines Anmeldeformulars); Schweigen oder Untätigkeit gilt niemals als Einwilligung.

In der Praxis setzen die meisten rechtskonformen Programme in Europa auf Double-Opt-In (auch wenn das unter der DSGVO nicht verpflichtend ist): Der Kunde übermittelt seine Nummer (z.B. über ein Webformular oder eine Anmeldung vor Ort) und bestätigt diese anschließend per Antwort-SMS oder RCS-Nachricht, bevor er zu einer Marketingliste hinzugefügt wird. Double-Opt-In erfüllt gleich zwei Zwecke: Es erfüllt die Anforderung der Eindeutigkeit und schützt gleichzeitig vor gefälschten oder falsch eingegebenen Nummern, was auch die Zustellraten verbessert, die in unserem Beitrag zu den wichtigsten KPIs im SMS- & RCS-Marketing behandelt werden. 

Was beim Opt-In erfasst werden sollte 

Für die DSGVO-Rechenschaftspflicht müssen Sie nachweisen können, dass eine Einwilligung erteilt wurde, nicht nur, dass sie existiert. Das bedeutet, für jeden Abonnenten Folgendes zu protokollieren:

  • Den genauen Wortlaut der dem Kunden angezeigten Anfrage zur Einwilligung
  • Zeitstempel und Kanal der Einwilligung (Webformular, Anmeldung vor Ort, Kennwort-Antwort usw.)
  • IP-Adresse oder andere Verifizierungsdaten, sofern zutreffend
  • Bestätigung, dass das Double-Opt-In abgeschlossen wurde, sofern zutreffend

Diese Dokumentation ist unbedingt notwendig, falls eine Aufsichtsbehörde oder ein Kunde jemals den Nachweis einer ordnungsgemäß eingeholten Einwilligung verlangt.

Opt-Out in jede Kampagne integrieren 

Gemäß DSGVO und ePrivacy-Bestimmungen müssen Kunden ihre Einwilligung jederzeit widerrufen können, und dies muss genauso einfach sein wie die Erteilung. Einige praktische Anforderungen:

  • Jede Marketingnachricht benötigt eine klare Abmeldeoption. Bei SMS ist dies typischerweise eine „Antwort mit STOP”-Anweisung. Bei RCS kann dies ein dedizierter Antwort-Button sein (z. B. „Abmelden”), der direkt in die Rich Card integriert ist. Das ist möglicherweise sogar besser für das Nutzererlebnis als das Eintippen eines Kennworts, da jegliche Unklarheit über die korrekte Formulierung entfällt.
  • Abmeldeanfragen müssen umgehend bearbeitet werden, und der Kunde sollte keine weiteren Marketingnachrichten mehr erhalten, sobald die Anfrage protokolliert wurde.
  • Das Opt-Out darf nicht mehr Aufwand erfordern als das Opt-In. Würde man jemanden zwingen, eine Support-Hotline anzurufen oder eine E-Mail zu schreiben, obwohl die Anmeldung mit einem einzigen Klick auf ein Webformular erfolgte, würde dies dem Standard „so leicht zu widerrufen wie zu erteilen” nicht gerecht.
  • Transaktions- und Servicenachrichten werden anders behandelt. Terminerinnerungen, Versandbenachrichtigungen und Sicherheitswarnungen zum Konto stützen sich in der Regel auf eine andere Rechtsgrundlage (Vertragserfüllung oder berechtigtes Interesse) als die Marketing-Einwilligung. Dennoch sollten Kunden auch hier eine Möglichkeit haben, ihre Präferenzen zu verwalten, und diese Nachrichten dürfen nicht als Hintertür für werbliche Inhalte genutzt werden.

Wenn Sie eine neue Kampagne aufsetzen, zeigt unsere schrittweise Anleitung zur Durchführung einer SMS-Kampagne genau, wo die Erfassung von Opt-Ins und die Handhabung von Opt-Outs im Lebenszyklus der Kampagne einzuordnen sind – von der Listenerstellung bis zur Segmentierung. 

Absenderidentität und Transparenz 

Die Transparenzpflichten der DSGVO bedeuten auch, dass Kunden immer wissen sollten, wer ihnen Nachrichten schickt. Hier bietet RCS einen klaren Vorteil: Verifizierte Absenderprofile zeigen den echten Namen Ihres Unternehmens, das Logo und (sofern aktiviert) ein Verifizierungssymbol an, was Verwirrung und Phishing-Risiken im Vergleich zu einem generischen Kurzcode reduziert. Bei SMS ist eine registrierte und einheitliche Absender-ID ebenso wichtig – ein Punkt, den Sie im Hinterkopf behalten sollten, wenn Sie in mehreren europäischen Märkten aktiv sind, da die Anforderungen an die Registrierung von Absender-IDs von Land zu Land variieren können. 

Datenminimierung und -aufbewahrung 

Über die reine Einwilligung hinaus verlangt die DSGVO, dass Sie nur die Daten erheben und aufbewahren, die Sie für die Kampagne tatsächlich benötigen:

  • Fragen Sie keine Datenpunkte (Alter, Einkommensklasse, genauer Standort) ab, die für Ihre Kampagne nicht unmittelbar erforderlich sind.
  • Definieren Sie eine Aufbewahrungsrichtlinie: Abonnentendaten sollten nicht länger aufbewahrt werden, als für den Zweck ihrer Erhebung erforderlich ist. Überprüfen Sie inaktive Abonnenten regelmäßig und erwägen Sie gegebenenfalls deren Entfernung oder eine erneute Einholung der Einwilligung.
  • Wenn Sie einen Messaging-Anbieter oder eine Plattform nutzen, stellen Sie sicher, dass dieser im Rahmen eines unterzeichneten Auftragsverarbeitungsvertrags (AVV) als DSGVO-Auftragsverarbeiter fungiert und dass für jegliche Datenübermittlung außerhalb der EU/des EWR angemessene Garantien bestehen.

Eine kurze Compliance-Checkliste 

Bevor Sie eine SMS- oder RCS-Kampagne für europäische Kunden starten, stellen Sie sicher, dass Sie Folgendes bestätigen können:

  • Die Einwilligung wurde durch eine aktive, spezifische Handlung erhoben (kein bereits angehaktes Kästchen).
  • Eine Double-Opt-In-Bestätigung ist vorhanden und wird mit Zeitstempel und Quelle protokolliert (sofern zutreffend).
  • Jede Marketingnachricht enthält eine funktionierende, einstufige Abmeldeoption.
  • Abmeldeanfragen werden schnell bearbeitet und unterdrücken zuverlässig zukünftige Nachrichten.
  • Ihre Absenderidentität ist klar, registriert und über alle Kanäle hinweg einheitlich.
  • Sie verfügen über eine dokumentierte Richtlinie zu Aufbewahrung und Datenminimierung.
  • Ihr Messaging-Anbieter ist vertraglich als DSGVO-Auftragsverarbeiter gebunden.

Fazit zu Opt-In und Opt-Out 

DSGVO-konformes Opt-In und Opt-Out sind die Grundlage dafür, dass effektives SMS- und RCS-Marketing langfristig funktioniert. Eine Liste mit klarer Datenschutz-Compliance konvertiert besser, führt zu weniger Beschwerden und übersteht eine mögliche regulatorische Prüfung. Mit dem wachsenden RCS-Einsatz in Europa werden jene Marken, die Einwilligung und einfaches Opt-Out von Anfang an in ihr Kampagnendesign einbauen, langfristiges Vertrauen bei ihren Kunden aufbauen und nicht nur kurzfristige Reichweite. 

Möchten Sie rechtskonforme SMS- oder RCS-Kampagnen auf europäischen Märkten starten? Kontaktieren Sie das iBASIS Business Messaging Team, um zu erfahren, wie unsere Plattform verifizierte Absenderprofile und eine sofortige, zuverlässige Opt-Out-Verarbeitung unterstützt.