A2P-SMS-Einwilligung und Opt-in-Konformität: Ein globaler Leitfaden zu DSGVO, TCPA und PDPL.

Ja – der rechtmäßige Versand von A2P-SMS erfordert eine dokumentierte Einwilligung, wobei die geltenden Standards vom Land des Empfängers abhängen. Die EU und Großbritannien verlangen gemäß DSGVO eine freiwillige, spezifische, informierte und eindeutige Einwilligung; die USA fordern gemäß TCPA eine vorherige ausdrückliche schriftliche Einwilligung für Marketing-SMS; und die Golfstaaten wie Saudi-Arabien und die Vereinigten Arabischen Emirate (mit ihrem PDPL) ergänzen diese durch eigene Regeln zur Einwilligung und zur Absenderidentifizierung.

Warum die Einwilligung die Grundlage für die Zustellbarkeit und Rechtmäßigkeit von A2P ist

Die Einwilligung ist keine bloße juristische Fußnote einer Kampagne – sie ist die Voraussetzung dafür, dass A2P-SMS rechtmäßig und zustellbar sind. Rechtlich gesehen können Datenschutz- und Telekommunikationsbehörden Absender mit Bußgeldern belegen und sie in manchen Ländern sogar zivilrechtlichen Klagen aussetzen, wenn sie Personen kontaktieren, die dem Empfang von Nachrichten nicht zugestimmt haben. Technisch gesehen fordern die SMS-Firewalls und Absenderkennungsregister der Mobilfunkanbieter zunehmend einen Nachweis der Einwilligung, bevor der Datenverkehr freigegeben wird. Beschwerden über unerwünschte Nachrichten führen zur Sperrung von Absenderkennungen. Die Einwilligung schützt also Ihre Zustellrate ebenso wie Ihre rechtliche Position. Auf unserer Produktseite A2P-SMS erfahren Sie, wie Registrierung und Einwilligungserfüllung zusammenwirken.

Ausdrückliche vs. stillschweigende Einwilligung

Jedes System unterscheidet zwei Arten von Einwilligung. Die ausdrückliche Einwilligung ist eine aktive, dokumentierte Zustimmung: Der Empfänger hat bewusst zugestimmt, Nachrichten eines bestimmten Typs zu erhalten – beispielsweise durch Ankreuzen eines Kästchens, Eingabe eines Stichworts oder Bestätigung eines Double-Opt-in-Verfahrens. Die stillschweigende Einwilligung wird aus einer bestehenden Beziehung abgeleitet, beispielsweise wenn ein Kunde ein Produkt gekauft und im Rahmen dieser Transaktion seine Telefonnummer angegeben hat. Soweit stillschweigende Einwilligung überhaupt anerkannt wird, ist sie eng gefasst: Sie umfasst typischerweise Service- und Transaktionsnachrichten an Bestandskunden über ähnliche Produkte und erstreckt sich selten auf allgemeines Marketing. Im Zweifelsfall ist für Marketing-Traffic eine ausdrückliche Zustimmung erforderlich.

Europäische Union und Vereinigtes Königreich: DSGVO und ePrivacy

In der EU legt die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) die Anforderungen an die Einwilligung fest: Sie muss freiwillig, spezifisch, informiert und unmissverständlich erfolgen und durch eine eindeutige bestätigende Handlung erteilt werden – vorausgewählte Kontrollkästchen und zusammengefasste Einwilligungen sind nicht ausreichend. SMS-Marketing unterliegt zudem der ePrivacy-Richtlinie, die grundsätzlich eine vorherige Einwilligung für unaufgeforderte elektronische Werbung vorschreibt. Für bestehende Kunden des Absenders gilt lediglich eine eingeschränkte Möglichkeit des „Soft Opt-in“. Entscheidend ist, dass der Verantwortliche die Einwilligung nachweisen kann; daher ist die Dokumentation der Einwilligung obligatorisch. In Großbritannien gelten ähnliche Regelungen durch die britische DSGVO und die Verordnung über Datenschutz und elektronische Kommunikation (PECR). Verstöße sind kostspielig: Die DSGVO-Strafen betragen gemäß Artikel 83 bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Informationen zur Kampagnengestaltung finden Sie in unserer Lösung für SMS-Marketing (SMS-Marketing).

Vereinigte Staaten: TCPA, CTIA-Richtlinien und 10DLC

SMS-Marketing in den USA unterliegt primär dem Telephone Consumer Protection Act (TCPA), der von der FCC durchgesetzt wird. Der Versand von Marketing- oder Werbe-SMS mit einem automatischen Wählgerät erfordert eine vorherige ausdrückliche schriftliche Einwilligung – eine unterzeichnete (auch elektronische) Vereinbarung, die Marketingnachrichten eindeutig autorisiert und nicht lediglich die Angabe einer Telefonnummer für einen anderen Zweck. Für rein informative oder transaktionsbezogene SMS gelten weniger strenge Anforderungen an die vorherige ausdrückliche Einwilligung. Das Gesetz sieht Schadensersatzansprüche von 500 US-Dollar pro Nachricht vor, die bei vorsätzlichen Verstößen auf bis zu 1.500 US-Dollar steigen können. Daher stellen Sammelklagen in den USA ein reales Risiko dar. Darüber hinaus gelten die CTIA Messaging Principles and Best Practices – der von Mobilfunkanbietern unterstützte Branchenkodex – und die 10DLC-Registrierung. Im Rahmen dieser Registrierung müssen Marken und Kampagnen über The Campaign Registry registriert werden, bevor A2P-Traffic in US-Netzen ausgeführt wird. Die Opt-in-Daten müssen bei der Registrierung angegeben werden. Der Umgang mit den Schlüsselwörtern STOP und HELP ist obligatorisch und nicht verhandelbar.

Der Golf: Saudi-Arabiens PDPL, das Regime der VAE und die Regulierungsbestimmungen

Der Golf-Kooperationsrat (GCC) hat schnell gehandelt und seine Regeln ergänzen die bestehenden Kontrollen der Telekommunikationsbehörden um Datenschutzgesetze – ein zweistufiges Modell, das Absender bestraft, die sich nur auf eine Ebene vorbereiten. In Saudi-Arabien schreibt das per königlichem Dekret erlassene und von der Saudi Data and AI Authority (SDAIA) verwaltete Gesetz zum Schutz personenbezogener Daten (PDPL) eine Rechtsgrundlage wie die Einwilligung zur Verarbeitung personenbezogener Daten vor und schränkt Direktmarketing ein. Die Kommunikations-, Raumfahrt- und Technologiekommission (CST) regelt separat A2P-Sender-IDs und -Nachrichten. In den Vereinigten Arabischen Emiraten (VAE) gilt neben der Telekommunikationsbehörde (TDRA) das Bundesgesetz Nr. 45 von 2021 zum Schutz personenbezogener Daten. Die TDRA regelt die Registrierung von A2P-Sender-IDs und verpflichtet Absender gemäß ihrer aktualisierten Marketing-SMS-Richtlinie vom Oktober 2025, einen Opt-in-Nachweis in einem Consent-Management-System zu speichern und vorzulegen. In der gesamten Golfregion gilt praktisch dieselbe Regel: Registrieren Sie Ihre Sender-ID bei der Behörde und bewahren Sie eine nachweisbare Einwilligung auf, da die Firewall des Betreibers beides durchsetzt. Unser Länder-Regulierungsportal deckt Saudi-Arabien, die Vereinigten Arabischen Emirate und Ägypten detailliert ab.

Vergleich der wichtigsten Regime

Die Standards basieren auf demselben Prinzip – protokollierte Einwilligung und einfacher Ausstieg – unterscheiden sich jedoch im Detail. Diese Tabelle fasst die wichtigsten Punkte zusammen; bitte überprüfen Sie den aktuellen Text der jeweiligen Regelung, da die Messaging-Regeln häufig aktualisiert werden.

Wie man in der Praxis die Vorschriften einhält

Die Vorgehensweisen unterscheiden sich, aber eine einheitliche operative Grundlage erfüllt alle Anforderungen. Richten Sie sich nach der strengsten Regel, die für Ihre Zielgruppe gilt, und der Rest ergibt sich von selbst.

1. 1Erfassen und protokollieren Sie die Einwilligung ausdrücklich. Halten Sie fest, wozu die Person zugestimmt hat, wann, wie (genauer Wortlaut und Kanal) und von welcher Nummer oder Kennung – ein rechtsgültiges Einwilligungsprotokoll dient Ihnen als Beweismittel, falls eine Aufsichtsbehörde oder ein Kläger danach fragt.
2. 2Beachten Sie die STOP-Anfrage und melden Sie sich sofort über alle Kanäle ab. Eine Abmeldung vom SMS-Versand sollte den Empfänger überall dort blockieren, wo Sie ihn erreichen können, und muss sofort wirksam werden, nicht erst im nächsten Kampagnenzyklus.
3. 3Unterstützen Sie die Schlüsselwörter STOP und HELP und bestätigen Sie diese. Antworten Sie auf STOP mit einer abschließenden Bestätigung und auf HELP mit Kontakt- und Programminformationen in der erwarteten Sprache des Empfängers.
4. 4Beachten Sie die Ruhezeiten und die Ortszeit. Versenden Sie Marketing nur innerhalb der für die Zeitzone des Empfängers akzeptablen Zeiten – viele Absender orientieren sich an dem in den USA geltenden Zeitfenster von 8:00 bis 21:00 Uhr für Telemarketing und an den lokalen Gepflogenheiten in anderen Ländern.
5. 5Transaktions- und Werbeströme sollten getrennt werden. OTPs und Servicebenachrichtigungen sollten auf Transaktions-Absender-IDs und mit Einwilligungserklärungen erfolgen, während Marketing ein separates Opt-in-Verfahren und, falls erforderlich (z. B. in den VAE), ein Werbe-Absender-ID-Präfix verwenden sollte.
6. 6Halten Sie die Absender-IDs registriert und aktuell. Nicht registrierte oder nicht übereinstimmende IDs werden unabhängig von der Einwilligung auf Netzwerkebene blockiert. Behandeln Sie Registrierung und Einwilligung daher als einen einzigen Arbeitsablauf.
7. 7Ermitteln Sie Ihre Verpflichtungen für jeden Markt und konsultieren Sie qualifizierte lokale Rechtsberater, bevor Sie regulierte oder grenzüberschreitende Kampagnen starten.

Unabhängig vom verwendeten Tool ist das Einwilligungsprotokoll das Dokument, das Aufsichtsbehörden und Gerichte tatsächlich verlangen. Es sollte mindestens Folgendes enthalten:

Häufig gestellte Fragen

Benötige ich eine Einwilligung zum Versenden von A2P-SMS?

Für A2P-SMS-Marketing ist eine ausdrückliche Einwilligung – im Prinzip überall – erforderlich. Die EU und Großbritannien verlangen eine freiwillige, spezifische, informierte und eindeutige Zustimmung (Opt-in); der US-amerikanische TCPA (Telephone Consumer Protection Act) verlangt eine vorherige ausdrückliche schriftliche Einwilligung für Marketing-SMS; und die Golfstaaten fordern neben der Einwilligung eine registrierte Absenderkennung. Rein transaktionsbezogene Nachrichten, wie beispielsweise ein vom Nutzer angefordertes Einmalpasswort (OTP), basieren auf einer engeren, impliziten oder dienstlichen Grundlage, wobei die dokumentierte Zustimmung jedoch als sichere Standardeinstellung gilt.

Ist SMS-Marketing DSGVO-konform?

SMS-Marketing ist vollständig DSGVO-konform, wenn die Einwilligung freiwillig, spezifisch, informiert und unmissverständlich durch eine eindeutige bestätigende Handlung erfolgt und Sie diese Einwilligung anhand von Aufzeichnungen nachweisen können. Sie müssen außerdem die ePrivacy-Regeln für elektronisches Marketing beachten, in jeder Nachricht eine einfache Abmeldemöglichkeit anbieten und nur die benötigten Daten verarbeiten. Vorausgewählte Kontrollkästchen und gebündelte Einwilligungen genügen diesen Anforderungen nicht.

Was sind die TCPA-Regeln zur SMS-Einwilligung?

Der TCPA verlangt die vorherige ausdrückliche schriftliche Einwilligung, bevor Marketing- oder Werbe-SMS mit einem automatischen Wählgerät versendet werden dürfen – eine eindeutige, unterzeichnete (auch elektronische) Zustimmung zum Erhalt von Marketing-SMS, nicht nur den Besitz einer Telefonnummer. Für Informations- oder Transaktions-SMS gelten weniger strenge Anforderungen an die vorherige ausdrückliche Einwilligung. Absender müssen außerdem die Schlüsselwörter STOP und HELP beachten und die Best Practices der CTIA sowie die 10DLC-Registrierung einhalten, um A2P-Verkehr in US-Netzen durchzuführen.

Wie gehe ich mit STOP/Opt-out korrekt um?

Behandeln Sie die Abmeldung als sofort und universell. Erkennen Sie STOP und seine gängigen Varianten, stoppen Sie den Versand sofort und nicht erst im nächsten Zyklus und antworten Sie mit einer einzigen Bestätigung. Sperren Sie den Empfänger auf allen Kanälen, mit denen Sie ihn erreichen können, nicht nur auf dem von ihm genutzten, und protokollieren Sie die Abmeldung nachvollziehbar. Ergänzen Sie die Hilfefunktion um Programm- und Kontaktinformationen.

Referenzen

• EU — Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) und Datenschutzrecht: europa.eu
• Vereinigte Staaten — FCC, Telephone Consumer Protection Act (TCPA): fcc.gov
• Saudi-Arabien – Gesetz zum Schutz personenbezogener Daten, Saudi-Arabische Behörde für Daten und Künstliche Intelligenz (SDAIA): sdaia.gov.sa
• VAE — Regulierungsbehörde für Telekommunikation und digitale Verwaltung (TDRA): tdra.gov.ae
• BroadNet — compliance Hub und Länder-regulations Leitfäden.