Ein Double-Opt-in-Nachweis muss die konkret erteilte Einwilligung belegen. Eine E-Mail-Adresse sowie Internetprotokoll-Adressen (IP-Adressen) und Zeitstempel für Anmeldung und Bestätigung reichen dafür allein nicht aus. Das Verwaltungsgericht (VG) Düsseldorf hat mit Urteil vom 27. Juli 2026, Aktenzeichen 29 K 9714/24, die Verwarnung eines Online-Marketing-Unternehmens bestätigt. Entscheidend war, dass das Unternehmen die behauptete Werbeeinwilligung nicht nachweisen konnte.
Beschwerden wegen unerwünschter Werbe-E-Mails
Ein Empfänger hatte sich wiederholt wegen unerwünschter Werbe-E-Mails bei der Datenschutzaufsicht beschwert. Er bestritt, dem Unternehmen seine E-Mail-Adresse für Werbung überlassen oder eine entsprechende Einwilligung erteilt zu haben.
Das Unternehmen berief sich dagegen auf eine Anmeldung über eines seiner Internetportale. Es habe bereits ein Double-Opt-in-Verfahren eingerichtet und dessen Ablauf gegenüber der Aufsichtsbehörde beschrieben. Die konkrete Bestätigungsmail konnte es jedoch nicht vorlegen. Die Behörde verwarnte das Unternehmen wegen rechtswidriger Verarbeitung personenbezogener Daten. Gegen diese Maßnahme richtete sich die erfolglose Klage.
Double-Opt-in-Nachweis nach Art. 7 DSGVO
Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Verantwortliche, die Rechtmäßigkeit ihrer Datenverarbeitung sicherzustellen und nachzuweisen. Im entschiedenen Fall kam nach Auffassung des Gerichts allein die vom Unternehmen behauptete Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO als Rechtsgrundlage infrage.
Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat. Gelingt der Nachweis der Werbeeinwilligung nicht, gilt diese als nicht oder nicht wirksam erteilt. Es treten dieselben Rechtsfolgen ein wie bei einer tatsächlich fehlenden Einwilligung. Zweifel an den Angaben des Empfängers ersetzen diesen Nachweis nicht.
Warum IP-Adressen und Zeitstempel nicht genügen
Das Unternehmen hatte die E-Mail-Adresse sowie jeweils eine IP-Adresse und einen Zeitstempel für die Anmeldung und die vermeintliche Bestätigung vorgelegt. Diese Angaben hielt das Gericht für ungeeignet.
Zum einen stellten sie keinen ausreichenden Bezug zum Beschwerdeführer her. Zwischen einer IP-Adresse und einer E-Mail-Adresse besteht nach der gerichtlichen Begründung kein notwendiger Zusammenhang. Welche Person zu einem bestimmten Zeitpunkt ein Gerät verwendet hat, lässt sich aus der IP-Adresse allein nicht erkennen.
Zum anderen fehlte der Inhalt der Erklärung. Auch eine zweite protokollierte Datenübertragung belegt nicht, dass tatsächlich eine Einwilligung erteilt wurde. Die technischen Angaben zeigen nicht, welchen Inhalt das übermittelte Datenpaket hatte.
Eine Verfahrensbeschreibung ersetzt keinen Nachweis
Besonders relevant war die Abweichung zwischen dem beschriebenen Verfahren und seiner tatsächlichen Umsetzung. Das Unternehmen hatte gegenüber der Aufsichtsbehörde erklärt, Bestätigungsmails zusätzlich an ein eigenes Postfach zu senden und dort zu speichern. Damit sollten sie bei späteren Nachfragen ausgedruckt werden können.
Gerade diese Mail fehlte jedoch. Nach Auffassung des Gerichts hätte das Unternehmen sie bei Einhaltung seines eigenen Verfahrens vorlegen können. Die Aufsichtsbehörde hatte außerdem ausdrücklich auf die notwendige vollständige Dokumentation der Einwilligungserklärung hingewiesen. Eine Abweichung von der Nachweispflicht hatte sie nicht genehmigt.
Was Unternehmen beim Einwilligungsnachweis beachten sollten
Für Unternehmen kommt es deshalb nicht nur darauf an, einen Anmeldeprozess technisch einzurichten. Die konkrete Einwilligung muss dokumentiert und im Bedarfsfall vorgelegt werden können.
Beschriebene Abläufe müssen außerdem tatsächlich eingehalten werden. Wer die Speicherung von Bestätigungsmails als Nachweis vorsieht, muss diese im Einzelfall auch wiederfinden können. Eine allgemeine Prozessbeschreibung oder eine Aufstellung technischer Verbindungsdaten ersetzt die fehlende Dokumentation nicht. Auch DataAgenda hebt hervor, dass dokumentierte Double-Opt-in-Prozesse mit der betrieblichen Praxis übereinstimmen müssen.
Fazit
Der Double-Opt-in-Nachweis darf sich nicht auf IP-Adressen und Zeitstempel beschränken. Entscheidend ist, ob das Unternehmen die konkrete Einwilligung belegen kann. Die bloße Behauptung eines ordnungsgemäßen Anmeldeverfahrens genügt dafür nicht.
Im Düsseldorfer Verfahren blieb deshalb die datenschutzrechtliche Verwarnung bestehen. Ein Bußgeld war nicht Gegenstand der Entscheidung.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
