Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
GNU Mailman ist eine freie Open-Source-Software für Mailinglisten und Newsletter. Selbst gehostet vom Betreiber, verwaltet sie Anmeldungen, versendet Nachrichten und speichert Archive ohne Drittanbieter-Tracking.
GNU Mailman ist ein freier, quelloffener Mailinglisten-Manager, der vom GNU-Projekt entwickelt und unter der GNU GPL veröffentlicht wird. Er betreibt Diskussionslisten, Ankündigungslisten und Newsletter, indem er Anmeldungen, Moderation, Bounce-Verarbeitung und Web-Archive übernimmt. Da Mailman Software ist, die Sie selbst installieren und betreiben, ist die betreibende Organisation der Verantwortliche im Sinne der DSGVO: kein SaaS-Anbieter, keine integrierten Drittanbieter-Analysen, keine gemeinsame Abonnentendatenbank. Für einen EU-Betreiber gehört Mailman damit zu den datenschutzfreundlichsten Optionen für Newsletter, sofern Server, Hosting und Betriebspraktiken mit DSGVO und ePrivacy-Richtlinie in Einklang stehen.
Eine Mailman-Liste verarbeitet typischerweise E-Mail-Adressen der Abonnenten, optionale Anzeigenamen, Mitgliedschafts-Metadaten, Nachrichteninhalte, Moderationsentscheidungen und Bounce-Daten. Der Mailserver (Postfix, Exim) und die Weboberfläche (häufig über Apache oder Nginx) protokollieren zudem IP-Adressen, Zeitstempel und User-Agent-Strings. Für Newsletter und Marketing-Listen ist die einschlägige Rechtsgrundlage nach Art. 6 Abs. 1 lit. a DSGVO die freiwillige, spezifische, informierte und unmissverständliche Einwilligung des Abonnenten, ergänzt durch Art. 13 der ePrivacy-Richtlinie zu unaufgeforderten elektronischen Kommunikationen. Interne Verteiler für Beschäftigte können sich auf berechtigte Interessen oder den Vertrag stützen; Newsletter an die Öffentlichkeit erfordern jedoch eine Einwilligung.
Mailman aktiviert die E-Mail-Bestätigung standardmäßig - exakt das vom BfDI in Deutschland, der CNIL in Frankreich und der AEPD in Spanien empfohlene Double-Opt-In-Verfahren. Nach Absenden des Anmeldeformulars verschickt Mailman eine Bestätigungs-E-Mail mit einem eindeutigen Token; erst nach Klick auf den Link wird die Adresse in die Liste aufgenommen. Heben Sie das Bestätigungsprotokoll (Datum, IP und User-Agent des Klicks) als Nachweis der Einwilligung gemäß Art. 7 Abs. 1 DSGVO auf. Vorausgewählte Kästchen, gebündelte Einwilligungen und zu allgemeine Listenbeschreibungen sind zu vermeiden - sie würden die Einwilligung nach EDSA-Leitlinien unwirksam machen.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Die Mailman-Weboberfläche setzt eine kleine Anzahl unbedingt erforderlicher Cookies, um Moderatoren und Abonnenten während der Verwaltung ihrer Einstellungen eingeloggt zu halten. Diese Sitzungscookies sind nach Art. 5 Abs. 3 der ePrivacy-Richtlinie einwilligungsfrei, da sie für den vom Nutzer ausdrücklich angeforderten Dienst zwingend erforderlich sind. Mailman bindet ab Werk keine Drittanbieter-Schriften, Analytik, Pixel oder Social-Widgets ein, sodass eine reine Mailman-Installation kein Cookie-Banner auslöst. Achten Sie bei der Anpassung der Templates darauf, keine Tracker (etwa Google Fonts von Google geladen oder Matomo auf einer Drittdomain) einzuführen, ohne die Einwilligung neu zu bewerten.
Jede Mailman-Nachricht enthält einen Abmeldelink sowie einen List-Unsubscribe-Header und erfüllt damit das Recht auf jederzeitigen Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO). Abonnenten können ihre Mitgliedschaftseinstellungen einsehen und ändern, was die Rechte auf Auskunft und Berichtigung abdeckt. Für die Löschung muss der Betreiber die Adresse aus der aktiven Liste entfernen und eine Richtlinie für öffentliche Web-Archive festlegen: Deaktivierung, Beschränkung auf Mitglieder oder Anonymisierung auf Anfrage. Eine klare Aufbewahrungsrichtlinie (zum Beispiel Löschung inaktiver Adressen nach 24 Monaten und befristete Archive) hilft, Art. 5 Abs. 1 lit. e DSGVO (Speicherbegrenzung) einzuhalten.
Weil der Betreiber den Server kontrolliert, kann eine EU-Organisation Mailman vollständig im EWR betreiben und so die im Kapitel V DSGVO geregelten Fragen internationaler Datenübermittlungen vermeiden, die bei US-basierten Newsletter-SaaS aufkommen. Betreiben Sie den Dienst über HTTPS mit gültigem Zertifikat, aktivieren Sie SPF, DKIM und DMARC auf der Versanddomain, beschränken Sie Admin-URLs nach Möglichkeit per IP oder VPN und spielen Sie Sicherheitsupdates des Mailman-Projekts zeitnah ein. Zusammen mit Double-Opt-In und einer klaren Datenschutzerklärung ist eine selbst gehostete Mailman-Instanz eine belastbare, im niedrigen bis mittleren Risikobereich anzusiedelnde Wahl für den DSGVO-konformen Newsletter-Betrieb.
Websites using GNU Mailman must obtain user consent under GDPR regulations.
DPIA considerations
Mailman verarbeitet E-Mail-Adressen der Abonnenten, Listenmitgliedschaften, Nachrichteninhalte sowie IP-Adressen und User-Agents in den Mailserver-Protokollen. Eine DSFA ist für einen Standard-Newsletter in der Regel nicht zwingend, ein Eintrag im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) hingegen schon. Dokumentieren Sie Speicherfristen für Archive, Moderationsprotokolle und Bounce-Daten und beschränken Sie den Admin-Zugriff auf die Mailman-Weboberfläche.
Sample consent text
Ich willige ein, den Newsletter [Listenname] per E-Mail zu erhalten. Mir ist bekannt, dass meine E-Mail-Adresse von [Betreiber] mit GNU Mailman verarbeitet wird, dass ich mich jederzeit über den Link in jeder Nachricht abmelden und meine DSGVO-Rechte unter [Kontaktadresse] geltend machen kann.
Third-party domains contacted
list.example.orglists.example.orgmailman.example.orgpostorius.example.orgCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| sessionid | session | session | Strictly necessary session cookie set by the Mailman/Postorius web interface to keep moderators and subscribers logged in while they manage list settings and preferences. Exempt from prior consent under Article 5(3) of the ePrivacy Directive. |
| csrftoken | session | 1 year | Strictly necessary security cookie used by the Django-based Postorius web UI to protect form submissions against Cross-Site Request Forgery attacks. No tracking purpose; required for the secure operation of the management interface. |
| django_language | persistent | 1 year | Functional cookie that stores the language preference selected by the user in the Mailman/Postorius web interface, so the same locale is shown on the next visit. Considered strictly necessary for the requested service and exempt from cookie consent. |
| messages | session | session | Strictly necessary cookie used by the Postorius web UI to deliver one-shot notification messages (success, error, validation feedback) across redirects. Contains no personal identifiers and is required for the basic operation of the admin interface. |
GNU Mailman erhebt Analyse-Daten — Sie benötigen rechtlich ein Cookie-Banner. Testen Sie FlowConsent kostenlos.
Ja. Die Aufnahme einer Person in eine öffentliche Newsletter-Liste ist eine Marketing-Kommunikation und erfordert eine freiwillige, spezifische, informierte und unmissverständliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und Art. 13 der ePrivacy-Richtlinie. Der von Mailman standardmäßig genutzte Ablauf aus Anmeldung und Bestätigung (Double-Opt-In) ist der empfohlene Weg, diese Einwilligung einzuholen und zu dokumentieren.
Nein, nicht für Mailman allein. Die Mailman-Weboberfläche setzt ausschließlich unbedingt erforderliche Sitzungscookies für angemeldete Abonnenten und Administratoren. Nach Art. 5 Abs. 3 der ePrivacy-Richtlinie sind unbedingt erforderliche Cookies einwilligungsfrei. Ein Banner ist nur dann nötig, wenn Sie nicht erforderliche Drittanbieter-Tracker einbinden (Analytik, eingebettete Social-Widgets, extern gehostete Schriftarten).
Für einen in der EU ansässigen Betreiber ist der einfachste Weg, Mailman auf einem Server im EWR zu betreiben, vorzugsweise bei einem Infrastruktur-Anbieter, der nicht Zugriffsbefugnissen aus Drittstaaten unterliegt. Damit entfällt die Prüfung nach Kapitel V DSGVO für internationale Datenübermittlungen, und das Vorgehen entspricht den Empfehlungen des EDSA nach dem Schrems-II-Urteil.
Administratoren können einen Abonnenten über die Weboberfläche oder die Kommandozeile entfernen, womit dessen Adresse aus der aktiven Mitgliederdatenbank gelöscht wird. Für öffentliche Web-Archive ist zu entscheiden, ob die Archive deaktiviert, auf Mitglieder beschränkt oder historische Nachrichten auf Anfrage anonymisiert werden. Dokumentieren Sie die Aufbewahrungs- und Löschvorgänge im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO.
Von sich aus nicht. Mailman ist Software, kein Dienst: Die Datenflüsse hängen ausschließlich davon ab, wo der Server steht und welche SMTP-Relays verwendet werden. Wenn Sie im EWR hosten und über EU-Server versenden, findet keine Drittlandsübermittlung statt. Übermittlungen entstehen nur, wenn ein Smarthost, Log-Aggregator oder Backup-Anbieter außerhalb der EU eingesetzt wird.
Die DSGVO nennt keine feste Frist; nach Art. 5 Abs. 1 lit. e (Speicherbegrenzung) muss eine verhältnismäßige Aufbewahrungsfrist festgelegt und dokumentiert werden. Üblich ist: aktive Abonnenten so lange speichern wie sie abonniert bleiben, Hard-Bounces automatisch entfernen sowie inaktive Adressen nach einem definierten Zeitraum (häufig 24-36 Monate) neu bestätigen lassen oder löschen.
Nennen Sie den Verantwortlichen und dessen Kontaktdaten, die Kategorien der verarbeiteten Daten (E-Mail, Listenmitgliedschaft, IP und User-Agent in Logs), die Rechtsgrundlage (Einwilligung für Newsletter), die Zwecke, den Hosting-Standort, die Speicherfristen für aktive Listen und Archive, die Empfänger (nur Betreiber und ggf. Auftragsverarbeiter) sowie die Ausübung der DSGVO-Rechte einschließlich Widerruf der Einwilligung und Beschwerde bei einer Aufsichtsbehörde.
Technisch ja, rechtlich aber nur, wenn jede Adresse zuvor eine wirksame DSGVO-konforme Einwilligung für denselben Zweck gegeben hat und dies belegt werden kann. Das Importieren gescrapter, gekaufter oder anderweitig einwilligungsfreier Listen ist nicht zulässig. BfDI, CNIL und AEPD empfehlen bei Migrationen zwischen Systemen, die Einwilligung über einen neuen Double-Opt-In erneut zu bestätigen.