DSGVO-konforme Newsletter-Tools mit Server in der EU

DSGVO-konform einsetzbar sind alle Newsletter-Tools, mit denen Sie einen Vertrag zur Auftragsverarbeitung schließen können und bei denen die Datenübermittlung sauber geregelt ist. Am einfachsten ist das bei Anbietern mit Servern in Deutschland oder der EU: rapidmail und Inxmail speichern in Deutschland, CleverReach, Brevo, MailerLite und Mailjet in der EU (Stand: 06.11.2026). Mailchimp, Kit und Shopify Email verarbeiten Daten außerhalb der EU. Das ist nicht verboten, bringt Ihnen aber zusätzliche Pflichten.

Dieser Text erklärt die Rechtslage allgemein und ersetzt keine Rechtsberatung. Für Ihren konkreten Fall fragen Sie Ihren Datenschutzbeauftragten oder eine Anwältin.

Welche Newsletter-Tools sind DSGVO-konform?

Quelle: Datenschutz- und Hilfeseiten der Anbieter, Stand: 06.11.2026.

Unsere Einordnung: rapidmail, Inxmail, CleverReach, Brevo, MailerLite und Mailjet halten wir für Firmen in Deutschland für unkompliziert, weil keine Daten die EU verlassen müssen. Bei GetResponse und Omnisend sitzt der Anbieter in der EU, einen Serverstandort nennen die geprüften Seiten aber nicht; bei GetResponse sind laut Datenschutzerklärung Übermittlungen in die USA, etwa an Google, möglich. ActiveCampaign kann Daten laut Datenschutzerklärung in die USA, nach Australien, Irland, Brasilien und Costa Rica übermitteln.

Was „DSGVO-konform“ bei einem Newsletter-Tool bedeutet

Ein Tool allein kann nicht DSGVO-konform sein. Es kann Ihnen nur ermöglichen, es zu sein. Drei Dinge muss der Anbieter liefern:

1. Einen Vertrag zur Auftragsverarbeitung (AVV). Der Newsletter-Anbieter verarbeitet die Adressen Ihrer Abonnenten in Ihrem Auftrag. Dafür verlangt Art. 28 DSGVO einen Vertrag, der regelt, was der Anbieter mit den Daten tun darf.
2. Eine geregelte Übermittlung, wenn Daten die EU verlassen. Die Art. 44 ff. DSGVO erlauben das nur unter Bedingungen, etwa auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission oder von Standardvertragsklauseln.
3. Technische Funktionen, die Ihre Pflichten unterstützen: Double-Opt-In, Abmeldelink, Export und Löschung von Kontakten.

Den Rest erledigen Sie selbst: Einwilligung einholen und nachweisen, Datenschutzerklärung anpassen, Abmeldungen beachten. Das gilt bei jedem Anbieter gleich, auch bei einem deutschen.

Brauche ich einen AV-Vertrag mit dem Newsletter-Anbieter?

Ja. Sobald ein externer Dienst personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie nach Art. 28 DSGVO einen solchen Vertrag. Bei Newsletter-Tools sind das mindestens E-Mail-Adressen, oft auch Namen, Öffnungen und Klicks.

Wie Sie ihn bekommen, ist unterschiedlich. Bei rapidmail und CleverReach schließen Sie ihn im Konto ab, bei Mailjet ist er sofort verfügbar. Bei Brevo und MailerLite ist er Teil der Nutzungsbedingungen, gilt also mit der Anmeldung. Inxmail stellt ihn als PDF bereit. Bewahren Sie in jedem Fall eine Kopie auf, damit Sie ihn bei einer Prüfung vorlegen können.

Darf ich Mailchimp in Deutschland noch nutzen?

Ja, wenn Sie es korrekt aufsetzen. Mailchimp speichert laut eigener DSGVO-Seite in den USA und stützt die Übermittlung auf das EU-US Data Privacy Framework, nach dem Mailchimp zertifiziert ist. Für zertifizierte US-Unternehmen gilt ein Angemessenheitsbeschluss der EU-Kommission aus dem Jahr 2023. Den Nachtrag zur Datenverarbeitung schließen Sie mit Mailchimp ab.

Was Sie zusätzlich tun müssen: die Übermittlung in die USA in Ihrer Datenschutzerklärung nennen. Wir halten es trotzdem für sinnvoll, über einen EU-Anbieter nachzudenken. Ein Angemessenheitsbeschluss kann geändert oder aufgehoben werden; bei einem Anbieter mit Servern in der EU stellt sich die Frage dann gar nicht. Alternativen mit Preisen stehen unter Mailchimp-Alternativen.

Spielt es eine Rolle, ob die Server in Deutschland oder in der EU stehen?

Rechtlich nicht. Die DSGVO gilt in der ganzen EU gleich, ein Server in Belgien ist datenschutzrechtlich so gut wie einer in Frankfurt. Praktisch kann ein deutscher Anbieter trotzdem einfacher sein: Vertrag, Support und Ansprechpartner auf Deutsch, deutsches Recht im Vertrag. Wer darauf Wert legt, findet das bei rapidmail ab 15 € im Monat oder bei Inxmail ab 200 €.

Wer EU-Hosting will und auf den Preis schaut, ist bei MailerLite (17 € bei 1.000 Abonnenten) oder bei großen Listen bei Mailjet (53 € bei 10.000 Kontakten) gut aufgehoben. MailerLite nennt ausdrücklich, dass auch alle Unterauftragsverarbeiter in der EU sitzen.

Checkliste vor der Buchung

• Serverstandort auf der Datenschutzseite des Anbieters nachlesen, nicht auf der Werbeseite.
• AV-Vertrag abschließen und als Datei ablegen.
• Liste der Unterauftragsverarbeiter ansehen: Sitzen die in der EU?
• Bei Anbietern außerhalb der EU: Rechtsgrundlage der Übermittlung klären (Data Privacy Framework, Standardvertragsklauseln) und in die Datenschutzerklärung schreiben.
• Prüfen, ob das Tool Double-Opt-In unterstützt und die Bestätigungen speichert.
• Anmeldeformular und Abmeldelink testen, bevor der erste Newsletter rausgeht.

Was im Newsletter selbst stehen muss, also Impressum, Abmeldelink und Absender, erklärt der Ratgeber Newsletter rechtssicher verschicken.

Häufige Fragen

Ist Brevo DSGVO-konform einsetzbar?

Ja. Laut Hilfecenter liegen alle Hosting-Server in der EU, bei OVH in Frankreich und Deutschland und bei Google Cloud in Belgien. Der AV-Vertrag ist Teil der Nutzungsbedingungen. Mehr unter Brevo im Überblick.

Gibt es deutsche Newsletter-Anbieter?

In unserem Vergleich drei: rapidmail und Inxmail aus Freiburg, beide mit Servern in Deutschland, und CleverReach mit Servern in der EU, deutscher Oberfläche und Support-Team in Deutschland. Mailjet hat eine deutsche Gesellschaft in Berlin, die Muttergesellschaft sitzt in Frankreich.

Reicht ein EU-Server, wenn der Anbieter aus den USA kommt?

Nicht automatisch. Klaviyo etwa bietet EU-Datenresidenz nur, wenn sie vertraglich vereinbart ist. Ohne Vereinbarung speichert Klaviyo laut DPA dort, wo das Unternehmen oder seine Unterauftragsverarbeiter Standorte haben. Fragen Sie bei US-Anbietern genau nach, welche Daten wo liegen.

Muss der Anbieter zertifiziert sein?

Nein, eine bestimmte Zertifizierung schreibt die DSGVO nicht vor. Art. 28 Abs. 1 DSGVO verlangt, dass der Auftragsverarbeiter hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bietet. Zertifikate können das belegen. Mailjet nennt ISO 27001 und ISO 27701, Inxmail hostet auf CSA-zertifizierten Servern. Bei den übrigen Anbietern sehen Sie sich die technischen und organisatorischen Maßnahmen an, die im AV-Vertrag beschrieben sein müssen.

Was ist mit dem Messen von Öffnungen und Klicks?

Newsletter-Tools werten in der Regel aus, wer eine Mail geöffnet und welchen Link er geklickt hat. Das ist eine Verarbeitung personenbezogener Daten. Nennen Sie sie in Ihrer Datenschutzerklärung und weisen Sie bei der Anmeldung darauf hin. Ob dafür eine eigene Einwilligung nötig ist, wird unterschiedlich beurteilt; klären Sie das mit Ihrem Datenschutzbeauftragten.