Wenn der Topf aber dieses Loch hat, dann gieß ihn aus.

[Regina Schaukrug]

Könnte teuer für mich werden, denn der User hat nie eingewilligt dass ich ihm irgendwelche Mails zuschicken darf.

Das könnte es auch so. Denn es fehlt dann an einem Zweck der Speicherung seiner Mailadresse sowie der Beschränkung auf das für die Zwecke der Verarbeitung notwendige Maß - und Du musst die Daten ohnehin löschen.

Art. 5 Absatz 1 Buchstabe c DSGVO

Im Übrigen wäre der Mailversand in diesem Fall "die erforderliche Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, der der Verantwortliche unterliegt;"

Art. 6 Absatz 1 Buchstabe c DSGVO

Du hast nämlich alles zumutbare zu tun um die Daten zu schützen. Dazu kannst Du auch die Mitwirkung einverlangen.