Newsletter-Software DSGVO: selbst hosten ohne US-Anbieter

Was bringt Selbsthosting für die DSGVO, kurz gesagt?

Selbsthosting entscheidet, wo Ihre Abonnentendaten liegen und wer sie verarbeitet. Steht der Server in einem deutschen oder anderen EU-Rechenzentrum und bleibt auch der Versand in der EU, gibt es keine Drittlandübermittlung an einen US-Newsletter-Anbieter. Das ist ein echter Vorteil.

Es löst aber nicht die Pflichten, die mit dem Newsletter selbst kommen:

• Einwilligung und Double-Opt-in-Nachweis brauchen Sie mit jeder Software.
• Hoster, SMTP-Relay und SMS-Gateway sind weiterhin Auftragsverarbeiter. Mit jedem schließen Sie einen AV-Vertrag.
• Löschkonzept, Informationspflichten und technische und organisatorische Maßnahmen (TOMs) liegen bei Ihnen. Beim Selbsthosting sogar mehr als bei SaaS, weil Sie auch Updates, Backups und Zugriffsschutz verantworten.

Software ist deshalb nie von sich aus „DSGVO-konform“, auch NetSendo nicht. Selbsthosting gibt Ihnen die Kontrolle über den Speicherort. Ob der Betrieb die DSGVO erfüllt, hängt davon ab, wie Sie ihn aufsetzen.

Kein Rechtsrat. Dieser Artikel erklärt die Rechtslage allgemein, mit Links auf Gesetzestexte, Gerichtsentscheidungen und die Orientierungshilfe der deutschen Aufsichtsbehörden (Stand: 17. Oktober 2026). Für Ihren konkreten Fall fragen Sie Ihre Datenschutzbeauftragte oder eine Anwältin bzw. einen Anwalt.

Was ändert sich, wenn Sie Newsletter-Software selbst hosten?

Drei Dinge verschieben sich: der Speicherort der Liste, die Liste Ihrer Auftragsverarbeiter und die Frage, ob Daten in ein Drittland gehen. Die Grafik zeigt die drei typischen Betriebsmodelle.

Wo die Abonnentenliste liegt und wer sie verarbeitet. Vereinfachte Darstellung; prüfen Sie im Einzelfall jeden Dienstleister.

Wo liegen die Daten?

Bei SaaS liegt die Liste beim Anbieter. Mailchimp schreibt selbst, dass seine Server in den USA stehen (Mailchimp GDPR). Deutsche Anbieter werben dagegen mit Standorten in der EU oder in Deutschland, dazu unten mehr.

Beim Selbsthosting liegt die Liste in der Datenbank auf Ihrem Server. Den Standort wählen Sie beim Hoster. Bei Cloud-Servern kann das je Projekt verschieden sein. Hetzner zum Beispiel betreibt Rechenzentren in Nürnberg und Falkenstein (Deutschland) und Helsinki (Finnland), bietet aber auch Standorte in Ashburn, Hillsboro und Singapur an (Hetzner Rechenzentren). Wer dort einen US-Standort wählt, überträgt die Serverdaten in die USA. Laut Hetzner geschieht das auf Grundlage Ihrer ausdrücklichen Einwilligung bei der Standortwahl (Hetzner Datenschutz-FAQ). Der Standort ist also eine bewusste Entscheidung, keine Voreinstellung, auf die Sie sich verlassen sollten.

Wer ist dann noch Auftragsverarbeiter?

Auftragsverarbeiter ist, wer personenbezogene Daten in Ihrem Auftrag verarbeitet (Art. 4 Nr. 8 DSGVO). Mit jedem brauchen Sie einen Vertrag, der die Punkte aus Art. 28 Abs. 3 DSGVO regelt: Gegenstand und Dauer, Art der Daten, Weisungsbindung, Vertraulichkeit, Maßnahmen nach Art. 32, Unterauftragsverarbeiter, Löschung oder Rückgabe am Ende.

Beim Selbsthosting fällt der Newsletter-Anbieter als Auftragsverarbeiter weg. Typisch bleiben:

Hetzner zum Beispiel schließt den AV-Vertrag nicht individuell ab, sondern bietet eine Vorlage, die Sie im Kundenkonto per Checkbox annehmen (Hetzner Datenschutz-FAQ). Genauso läuft es bei den meisten Versanddiensten: Der Vertrag existiert, Sie müssen ihn aber aktiv abschließen und ablegen.

Was ist mit der Drittlandübermittlung?

Daten dürfen nur dann in ein Land außerhalb der EU und des EWR gehen, wenn die Bedingungen der Art. 44 ff. DSGVO erfüllt sind. Praktisch heißt das: ein Angemessenheitsbeschluss der Kommission (Art. 45) oder geeignete Garantien wie Standarddatenschutzklauseln (Art. 46).

Für die USA ist das seit Jahren ein bewegliches Ziel:

• 16. Juli 2020: Der EuGH erklärt im Urteil Schrems II den EU-US-Datenschutzschild (Privacy Shield) für ungültig (C-311/18). Standardvertragsklauseln bleiben gültig, Aufsichtsbehörden können darauf gestützte Übermittlungen aber aussetzen, wenn der Schutz im Drittland nicht gewährleistet ist.
• 10. Juli 2023: Die Kommission erlässt den Angemessenheitsbeschluss zum Datenschutzrahmen EU-USA (Durchführungsbeschluss (EU) 2023/1795). Er gilt nur für US-Organisationen, die in der „Data Privacy Framework List“ des US-Handelsministeriums stehen.
• 3. September 2025: Das Gericht der EU weist die Klage auf Nichtigerklärung dieses Beschlusses ab (Pressemitteilung 106/25, T-553/23 Latombe). Es betont zugleich, dass die Kommission den Rahmen laufend überwachen und bei Änderungen des US-Rechts aussetzen, ändern oder aufheben kann.

Die Übermittlung an zertifizierte US-Anbieter ist derzeit also zulässig. Wer aber keine Lust hat, die Rechtsgrundlage für die Abonnentenliste von der nächsten Gerichtsentscheidung abhängig zu machen, hält die Liste in der EU. Das ist das stärkste sachliche Argument für EU-Hosting, egal ob selbst gehostet oder bei einem EU-Anbieter.

Achten Sie dabei auf den Versand: Ein US-Unternehmen bleibt ein US-Unternehmen, auch wenn Sie eine EU-Region nutzen. Amazon SES gibt es zum Beispiel in Frankfurt (eu-central-1) (AWS). Damit liegen die Versanddaten in Deutschland, Vertragspartner ist aber ein US-Konzern. Wie das im AV-Vertrag geregelt ist, prüfen Sie beim Anbieter.

Ist Mailchimp DSGVO-konform?

Pauschal lässt sich das weder für Mailchimp noch für ein anderes Tool sagen. Mailchimp beschreibt seine Lage selbst so (Mailchimp GDPR):

• Die Server stehen in den USA.
• Mailchimp ist nach dem EU-US Data Privacy Framework zertifiziert.
• Der Auftragsverarbeitungsvertrag (Data Processing Addendum) ist Teil der Nutzungsbedingungen und enthält die EU-Standardvertragsklauseln als zweite Grundlage, falls der Datenschutzrahmen fällt.

Nach geltendem Recht ist die Nutzung damit nicht verboten. Ob Ihr Einsatz die DSGVO erfüllt, hängt wie bei jedem Tool von Ihrer Einwilligungsstrecke, Ihrer Dokumentation und Ihren Informationspflichten ab. Der Unterschied zum Selbsthosting liegt darin, wie stark Sie von der Drittlandlage abhängen, nicht in einem Stempel „konform“ oder „nicht konform“.

Was löst Selbsthosting nicht?

Fast alles, was den Newsletter rechtlich trägt, ist unabhängig vom Speicherort. Diese Punkte bleiben Ihre Aufgabe.

Einwilligung nach § 7 UWG und DSGVO

Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung ist nach § 7 Abs. 2 Nr. 2 UWG eine unzumutbare Belästigung. Die einzige Ausnahme ist die Bestandskundenwerbung nach § 7 Abs. 3 UWG, und die greift nur, wenn alle vier Bedingungen erfüllt sind: Adresse aus einem Verkauf, Werbung für eigene ähnliche Waren oder Dienstleistungen, kein Widerspruch, und ein klarer Hinweis auf das Widerspruchsrecht bei der Erhebung und bei jeder Verwendung.

Datenschutzrechtlich gilt Art. 7 DSGVO: Sie müssen die Einwilligung nachweisen können (Abs. 1). Der Widerruf muss jederzeit möglich und so einfach wie die Erteilung sein (Abs. 3).

Double-Opt-in und der Nachweis

Die deutschen Aufsichtsbehörden halten für elektronische Einwilligungen das Double-Opt-in-Verfahren für geboten (DSK-Orientierungshilfe Direktwerbung, Ziff. 3.3). Bei der Protokollierung sind nach der DSK die Nachweisanforderungen des BGH-Urteils vom 10. Februar 2011 (I ZR 164/09) zu berücksichtigen. Konkret nennt die Orientierungshilfe:

• Das bloße Speichern einer IP-Adresse genügt nicht.
• Die Einwilligung muss vollständig nachweisbar sein, auch im Wortlaut. Die konkrete Erklärung jeder einzelnen Person ist zu dokumentieren und muss jederzeit ausgedruckt werden können.
• Bestätigungen per SMS-Code oder Anruf haben wegen leichter Fälschbarkeit in der Regel nur geringe Beweiskraft.

Ihre Software muss das unterstützen: Bestätigungslink, Zeitstempel von Anmeldung und Bestätigung, Formular und Einwilligungstext in der damaligen Fassung. Bei SaaS ist das meist fertig eingebaut. Beim Selbsthosting prüfen Sie, was das Tool protokolliert und wie Sie es exportieren.

Widerruf, Abmeldung und Löschkonzept

Jede Mail braucht einen einfachen Abmeldeweg, und der Hinweis auf das Widerspruchsrecht gehört nach der DSK am besten in jede Werbesendung (Art. 21 Abs. 4 DSGVO). Für das Löschen gilt der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Daten nur so lange, wie der Zweck es erfordert.

Eine Falle: Den Einwilligungsnachweis dürfen Sie nicht mit dem Abonnenten löschen. Nach der DSK muss der Nachweis auch nach einem Widerruf innerhalb der Regelverjährungsfristen möglich sein, die sie mit drei Jahren angibt (§ 31 Abs. 2 Nr. 1 OWiG, § 195 BGB). Ein Löschkonzept für einen Newsletter trennt deshalb mindestens:

1. aktive Abonnentendaten (solange die Einwilligung besteht),
2. unbestätigte Anmeldungen (nach kurzer Frist löschen),
3. den Einwilligungsnachweis (nach Widerruf noch für die Verjährungsfrist aufbewahren),
4. Backups (mit eigenem Rotationszyklus, damit gelöschte Daten nicht ewig in alten Sicherungen liegen).

TOMs, Verzeichnis und Informationspflichten

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, ausdrücklich etwa Verschlüsselung und Pseudonymisierung. Beim Selbsthosting gehören dazu ganz handfest: Sicherheitsupdates für Betriebssystem, Docker und Anwendung, TLS, verschlüsselte Backups, starke Zugänge mit wenigen Berechtigten, Firewall, Protokollierung von Admin-Zugriffen.

Dazu kommen das Verzeichnis von Verarbeitungstätigkeiten (Art. 30) und die Datenschutzhinweise am Anmeldeformular (Art. 13). Die schreibt Ihnen keine Software.

Welche Newsletter-Anbieter aus Deutschland gibt es?

Wenn Sie keinen eigenen Server betreiben wollen, sind EU-Anbieter oft der einfachere Weg. Die bekanntesten im deutschen Markt im Überblick. Preise stammen von den Seiten der Anbieter, abgerufen am 17. Oktober 2026, bei monatlicher Zahlung.

Stand 16./17. Oktober 2026. Brevo rechnet nach versendeten E-Mails; 40.000 E-Mails entsprechen 10.000 Kontakten bei vier Aussendungen im Monat. Bei rapidmail, KlickTipp und Brevo fanden wir auf den abgerufenen Seiten keinen ausdrücklichen MwSt.-Hinweis. Jahreszahlung ist bei allen günstiger. Preise ändern sich, prüfen Sie sie vor der Entscheidung.

Ein Hinweis zur Werbung der Anbieter: Formulierungen wie „100 % DSGVO-konform“ (rapidmail, KlickTipp) beschreiben das Angebot des Anbieters. Für Ihren Newsletter bleiben Einwilligung, Nachweis und Informationspflichten trotzdem Ihre Aufgabe, genau wie beim Selbsthosting.

Wann ein EU-Anbieter besser passt als Selbsthosting: bei kleinen Listen, wenn niemand im Team Server betreuen kann, oder wenn Sie Double-Opt-in, Protokollierung und Abmeldeverwaltung fertig haben wollen. Das ist eine völlig legitime Wahl.

Welche Newsletter-Software kann man selbst hosten?

Drei Optionen decken die meisten Anforderungen ab. Die Lizenz ist dabei ein echtes Unterscheidungsmerkmal.

Stand 17. Oktober 2026. In allen drei Fällen zahlen Sie Server und Versand selbst.

listmonk ist die schlanke Wahl für reine Newsletter: schnell, ausgereift, echte Open-Source-Lizenz. Wenn Sie nur Aussendungen brauchen, ist listmonk leichter zu betreiben als die beiden anderen.

Mautic ist das etablierte Open-Source-Paket für Marketing-Automatisierung mit Kampagnen und Lead-Scoring. Planen Sie mehr Einrichtungsaufwand ein, gerade beim Double-Opt-in-Nachweis.

NetSendo bündelt E-Mail, SMS, CRM mit Pipeline, Webinare, Automationen und einen MCP-Server für KI-Assistenten in einer selbst gehosteten Anwendung. Für die DSGVO-Frage relevant:

• Die Liste liegt in Ihrer MySQL-Datenbank auf Ihrem Server.
• Den Versand wählen Sie selbst: Amazon SES, Mailgun, SendGrid, Gmail API oder die eingebaute NMI-Infrastruktur mit eigenen IP-Adressen. Damit bestimmen Sie auch, wer als Versanddienst Auftragsverarbeiter wird.
• KI-Funktionen können mit lokalen Modellen über Ollama laufen statt bei einem Cloud-Anbieter.
• Die Lizenz ist eine EULA, keine Open-Source-Lizenz. Sie dürfen eine lizenzierte Instanz für Ihr eigenes Unternehmen betreiben, aber nicht weitergeben, unter eigener Marke anbieten oder als SaaS verkaufen. Laut README braucht der Betrieb eine aktive Lizenz.

Mehr zu Lizenzen und Funktionen im englischen Vergleich der besten selbst gehosteten E-Mail-Marketing-Software und in Is NetSendo open source?

Prüfen Sie bei jeder selbst gehosteten Software, welche Verbindungen die Instanz nach außen aufbaut: Lizenzprüfung, Update-Abfragen, KI-Anbieter, Tracking-Domains, eingebundene Schriften oder Bilder von Drittservern. Jede davon gehört in Ihre Dokumentation.

Worauf achten Sie beim Hosting in Deutschland?

Ein Rechenzentrum in Deutschland löst die Drittlandfrage für die Datenbank. Damit der Rest mitzieht, prüfen Sie diese Punkte. Hetzner dient hier als Beispiel, weil die Angaben öffentlich dokumentiert sind; andere deutsche Hoster funktionieren genauso.

• Standort pro Server festlegen. Hetzner nennt für Nicht-Cloud-Produkte eine Verarbeitung und Speicherung „ausschließlich innerhalb der EU“. Bei Cloud-Produkten hängt der Speicherort vom gewählten Standort ab (Hetzner Datenschutz-FAQ).
• AV-Vertrag abschließen und ablegen. Bei Hetzner im Kundenkonto, mit einer Anlage zu Datenarten und Betroffenengruppen.
• Unterauftragnehmer ansehen. Hetzner verweist auf eine eigene Liste der eingesetzten Dienstleister.
• Zertifizierung als Baustein, nicht als Freibrief. Hetzner gibt eine Zertifizierung nach DIN ISO/IEC 27001:2022 für alle Rechenzentrumsparks an (Hetzner). Das betrifft die Infrastruktur des Hosters, nicht Ihre Konfiguration auf dem Server.
• Verschlüsselung ist Ihre Sache. Hetzner weist darauf hin, dass Sie für die Daten auf Ihrem Server und deren Verschlüsselung verantwortlich sind.
• Backups ebenfalls in der EU. Ein externer Backup-Speicher in einer US-Region macht den EU-Server wertlos.

Ressourcen: NetSendo braucht laut Schnellstart Docker mit Compose v2, mindestens 2 GB RAM und 5 GB Speicher (empfohlen 4 GB RAM und 10 GB). Aktuelle Serverpreise finden Sie direkt beim Hoster. Die Preisseiten von Hetzner luden beim Abruf nur mit JavaScript, deshalb nennen wir hier keine Zahlen.

Selbst hosten oder EU-Anbieter: Was passt zu Ihnen?

Beide Wege können DSGVO-gerecht betrieben werden. Die Frage ist, wer welche Arbeit übernimmt.

Selbsthosting lohnt sich vor allem, wenn die Liste groß ist, wenn Sie Funktionen wie SMS, CRM oder Webinare ohne Aufpreis in einer Anwendung wollen, oder wenn Datenhoheit für Sie oder Ihre Kunden ein Kernargument ist. Für die Kostenseite siehe den englischen Leitfaden What it costs to email 10k, 50k and 100k contacts. Vor dem ersten Versand lohnt sich der Blick in den Deliverability-Leitfaden für Self-Hoster (Englisch).

Checkliste: Newsletter selbst hosten und DSGVO-gerecht betreiben

Infrastruktur

• Server-Standort in der EU gewählt und dokumentiert, auch für Backups.
• AV-Vertrag mit dem Hoster abgeschlossen und abgelegt.
• Versanddienst gewählt; AV-Vertrag, Region und Sitz geprüft.
• SMS-Gateway und KI-Anbieter (falls genutzt) mit AV-Vertrag, oder lokale Alternative.
• Ausgehende Verbindungen der Instanz geprüft (Lizenz, Updates, Tracking, Schriften).

Einwilligung

• Anmeldeformular mit klarem Einwilligungstext und Link zu den Datenschutzhinweisen (Art. 13).
• Double-Opt-in aktiv; unbestätigte Anmeldungen bekommen keine Werbung.
• Protokoll pro Person: Zeitpunkt der Anmeldung und Bestätigung, Formular, Einwilligungstext in der damaligen Fassung, exportierbar.
• Bestandskunden nur nach allen Bedingungen von § 7 Abs. 3 UWG anschreiben.

Laufender Betrieb

• Abmeldelink und Hinweis auf das Widerspruchsrecht in jeder Mail.
• Löschkonzept: unbestätigte Anmeldungen, Abmelder, Einwilligungsnachweise, Backups.
• Sicherheitsupdates, TLS, verschlüsselte Backups, minimale Admin-Zugänge.
• Eintrag im Verzeichnis von Verarbeitungstätigkeiten (Art. 30).
• Prozess für Auskunft, Berichtigung und Löschung auf Anfrage.

Nächste Schritte

• Wenn Sie selbst hosten wollen: Der Schnellstart bringt eine NetSendo-Testinstanz mit Docker zum Laufen. Lizenzdetails stehen auf der Preisseite.
• Wenn Sie nur Newsletter brauchen und eine Open-Source-Lizenz wollen, sehen Sie sich listmonk an.
• Wenn niemand Server betreuen kann, ist ein EU-Anbieter aus der Tabelle oben die ehrlichere Wahl.