Wer E-Mail-Marketing in Österreich aufsetzt, hört oft nur zwei Schlagwörter: DSGVO und ECG. Genau diese Gegenüberstellung führt aber in der Praxis oft in die falsche Richtung.

Für einen sauberen Newsletter-Prozess sollten Sie drei Ebenen getrennt denken:

1. TKG 2021: Dürfen Sie diese Werbe-E-Mail überhaupt senden?
2. DSGVO: Dürfen Sie die personenbezogenen Daten dafür verarbeiten?
3. ECG-Liste der RTR: Gibt es zusätzlich einen operativen Ausschluss, den Sie vor dem Versand prüfen müssen?

Wenn diese drei Ebenen in einem Team sauber getrennt sind, werden Consent-Management, CRM-Prozesse und Versandfreigaben deutlich robuster.

1. Die Versandfrage liegt in Österreich primär im TKG 2021

Für Werbe-E-Mails ist in Österreich heute vor allem das Telekommunikationsgesetz 2021 (TKG 2021) entscheidend, insbesondere § 174 TKG 2021 zu unerbetenen Nachrichten.

Praktisch beantwortet diese Ebene Fragen wie:

• Liegt eine vorherige Einwilligung für Direktwerbung per E-Mail vor?
• Greift ausnahmsweise die Bestandskund:innen-Regel?
• Wurde eine Ablehnung oder Abmeldung wirksam berücksichtigt?
• Ist die konkrete Aussendung als Werbe-E-Mail zulässig?

Daneben bildet das TKG 2021 auch den telekommunikationsrechtlichen Datenschutzrahmen für elektronische Kommunikation, etwa in § 165 TKG 2021. Für Marketing-Teams ist der entscheidende operative Prüfpunkt vor einer Aussendung aber meist § 174 TKG 2021.

Die wichtigste Konsequenz im Alltag lautet: Nicht jede datenschutzrechtlich dokumentierte Adresse ist automatisch auch für Werbe-E-Mails versandfähig.

2. Die DSGVO ist die Datenebene, nicht die komplette Versandantwort

Die DSGVO bleibt selbstverständlich wichtig. Sie regelt den Umgang mit personenbezogenen Daten, also zum Beispiel:

• welche Daten Sie speichern
• auf welcher Rechtsgrundlage Sie diese verarbeiten
• wie Sie informieren
• wie lange Sie speichern
• wie Sie Löschung, Widerruf und Auskunft organisieren

Im Newsletter-Alltag betrifft das etwa Formulartexte, Double-Opt-In-Dokumentation, Empfängerhistorie, Auftragsverarbeitung mit Versandtools und interne Löschkonzepte.

Was die DSGVO aber nicht alleine beantwortet: ob eine konkrete Werbe-E-Mail in Österreich unter den Regeln für elektronische Direktwerbung tatsächlich geschickt werden darf.

Genau deshalb ist die Formulierung "DSGVO oder ECG?" zu kurz gegriffen. Für die Versand-Zulässigkeit landen Sie in der Praxis zuerst beim TKG 2021, nicht bei einer bloßen Gegenüberstellung von Datenschutzrecht und ECG.

3. Die ECG-Liste ist ein zusätzlicher Sperrlisten-Check, kein Ersatz für Consent

Die ECG-Liste der RTR wird gemäß § 7 ECG geführt. Dort können sich Personen und Unternehmen eintragen, die keine Werbe-E-Mails erhalten möchten.

Für Unternehmen ist diese Liste keine theoretische Randnotiz, sondern ein praktischer Compliance-Schritt vor dem Versand.

Wichtig ist aber die richtige Einordnung:

• Die ECG-Liste ersetzt keine Einwilligung.
• Eine Einwilligung ersetzt nicht automatisch den ECG-Listen-Check.
• Die ECG-Liste ist ein zusätzlicher Unterdrückungs- bzw. Sperrlisten-Mechanismus im operativen Versandprozess.

Gerade bei wiederkehrenden Kampagnen, Tool-Wechseln oder CRM-Importen ist das entscheidend. Ein Kontakt kann intern als "marketingfähig" markiert sein und trotzdem vor dem Versand noch an einem Unterdrückungs-Check scheitern.

4. Die Bestandskund:innen-Ausnahme gehört ebenfalls in die TKG-Prüfung

Viele Teams verkürzen den Prozess auf: "Wir haben ja schon Kund:innen, also dürfen wir schreiben." Genau das ist gefährlich.

Die Ausnahme für Bestandskund:innen ist kein Freifahrtschein. Praktisch müssen Sie sauber prüfen, ob die Voraussetzungen wirklich vorliegen, zum Beispiel:

• Die Adresse wurde im Zusammenhang mit einem Verkauf oder einer Dienstleistung erhoben.
• Geworben wird nur für eigene ähnliche Produkte oder Dienstleistungen.
• Auf die Widerspruchsmöglichkeit wurde klar hingewiesen.
• Die Nutzung wurde nicht abgelehnt, insbesondere nicht durch einen relevanten Sperrmechanismus.

Auch diese Prüfung gehört inhaltlich zur Versandentscheidung nach TKG 2021, nicht bloß in einen allgemeinen DSGVO-Ordner.

5. Ein praxistaugliches Modell: drei getrennte Prüfschritte

Für operative Teams funktioniert meist dieses Modell am besten:

Schritt 1: DSGVO-Prüfung

Fragen Sie:

• Woher kommt die Adresse?
• Welche Hinweise wurden bei der Erhebung gezeigt?
• Welche Rechtsgrundlage und welche Dokumentation liegen vor?
• Ist der Datensatz aktuell, nachvollziehbar und löschbar?

Schritt 2: TKG-2021-Prüfung

Fragen Sie:

• Gibt es eine tragfähige Einwilligung für E-Mail-Direktwerbung?
• Oder greift die Bestandskund:innen-Ausnahme tatsächlich?
• Wurde ein Widerspruch, Widerruf oder Opt-out wirksam berücksichtigt?
• Darf diese konkrete Kampagne an diesen Kontakt rausgehen?

Schritt 3: ECG-Listen-Check

Fragen Sie:

• Ist die Adresse oder Domain auf der ECG-Liste?
• Wurde der Abgleich unmittelbar vor dem Versand gemacht?
• Ist der Check im Tooling oder Prozess verlässlich dokumentiert?

Erst wenn alle drei Ebenen sauber sind, wird eine Versandfreigabe belastbar.

6. Die größten Risiken liegen selten im Formular, sondern in Altbeständen

Neue Newsletter-Anmeldungen sind meist nicht das eigentliche Problem. Kritisch sind eher:

• alte CRM-Listen
• Messekontakte
• Exporte aus früheren Tools
• Listen aus Agentur-Setups
• historisch gewachsene Segmente mit unklaren Textständen

Dort verschwimmen die Ebenen besonders schnell. Vielleicht gibt es irgendwo einen alten Consent-Vermerk, aber niemand weiß mehr, ob er für die aktuelle Nutzung trägt. Vielleicht ist die Adresse im CRM aktiv, aber der aktuelle Versandprozess prüft die ECG-Liste nicht. Vielleicht wurde ein altes Segment nie sauber auf Opt-outs bereinigt.

Die pragmatische Regel lautet deshalb: Je unklarer die Herkunft oder Historie, desto strenger sollte Ihre Versandfreigabe sein.

7. Ein sinnvoller Pre-Send-Workflow für Österreich

Wenn Sie E-Mail-Marketing in Österreich sauber aufsetzen wollen, hilft ein kurzer Vorab-Check vor jeder Kampagne:

1. Segment und Herkunft der Empfängerliste prüfen
2. unklare oder historische Datensätze aussortieren
3. DSGVO-Dokumentation stichprobenartig kontrollieren
4. TKG-2021-Versandlogik prüfen, inklusive Einwilligung oder Bestandskund:innen-Ausnahme
5. ECG-Liste der RTR abgleichen
6. erst danach die Kampagne freigeben

Für kleine Listen reicht oft die manuelle Abfrage der ECG-Liste. Für wiederkehrende Kampagnen ist ein automatisierter Check über die RTR-Entwickler-Schnittstelle meist deutlich robuster.

Gerade bei Übergaben an Mailchimp, Klaviyo, Shopify oder Zapier hilft diese Dreiteilung enorm. Mehr dazu lesen Sie in unseren Beiträgen zu Shopify-Newslettern in Österreich und zu Zapier-Workflows für Newsletter.

Fazit

Wer österreichisches E-Mail-Marketing nur als "DSGVO vs. ECG" versteht, greift zu kurz.

Praxistauglicher ist diese Einordnung:

• TKG 2021 regelt die Zulässigkeit der Werbe-Aussendung, insbesondere bei elektronischer Direktwerbung.
• DSGVO regelt die Verarbeitung der personenbezogenen Daten hinter dem Marketing-Prozess.
• Die ECG-Liste nach § 7 ECG ist ein zusätzlicher operativer Ausschluss- bzw. Suppression-Check vor dem Versand.

Genau diese Trennung macht Prozesse klarer, Audits einfacher und Fehler seltener.

Offizielle Quellen

• RIS: TKG 2021 § 174 - Unerbetene Nachrichten
• RIS: TKG 2021 § 165 - Datenschutz, Allgemeines
• RTR: ECG-Liste
• RTR: Abfragen der ECG-Liste
• RTR: Entwickler-Schnittstelle zur ECG-Liste
• DSGVO-Portal Österreich: Datenschutz-Grundverordnung