Wer Newsletter oder andere Werbe-E-Mails versendet, muss nicht nur über eine datenschutzrechtliche Einwilligung verfügen. Er muss diese Einwilligung im Streitfall auch nachweisen können. Genau hier setzt das Urteil vom 27. Juli 2026 (Az. 29 K 9714/24) des Verwaltungsgerichts Düsseldorf an.
Das VG Düsseldorf stellt klar, dass die alleinige Dokumentation einer E-Mail-Adresse, einer IP-Adresse mit Zeitstempel sowie einer weiteren Double-Opt-In-IP-Adresse mit Zeitstempel nicht ausreicht, um die nach Art. 7 Abs. 1 DSGVO erforderliche Einwilligung nachzuweisen.
Welcher Sachverhalt lag zugrunde?
Ein Unternehmen versandte mehrere Werbe-E-Mails an die private E-Mail-Adresse eines Betroffenen, der bestritt, hierfür eine Einwilligung erteilt zu haben. Der Betroffene hatte bereits im Jahr 2020 und erneut im Februar 2024 Beschwerde gegen die unerwünschte Werbung eingelegt. Das Unternehmen berief sich auf eine Anmeldung über die eigene Website und ein Double-Opt-In-Verfahren, bei dem die Einwilligung durch einen Bestätigungslink per E-Mail nochmals bestätigt wird; konnte die konkrete Bestätigungsmail jedoch nicht mehr vorlegen.
Bereits im Rahmen des ersten Beschwerdeverfahrens hatte die Datenschutzaufsichtsbehörde auf die Anforderungen an die Dokumentation des Double-Opt-In-Verfahrens hingewiesen. Nachdem der Betroffene 2024 erneut eine unerwünschte Werbemail meldete, forderte die Behörde das Unternehmen auf, die Einwilligung nachzuweisen.
Zum zweiten Vorfall legte das Unternehmen allein folgenden Protokolldatensatz vor: E-Mail-Adresse, IP-Adresse nebst Zeitstempel sowie Double-Opt-In-IP-Adresse nebst Zeitstempel. Der Betroffene bestritt erneut jegliche Anmeldung und wies u. a. darauf hin, sich am fraglichen Tag in Dänemark aufgehalten zu haben. Daraufhin erließ die Aufsichtsbehörde am 24. Oktober 2024 eine datenschutzrechtliche Verwarnung. Hiergegen erhob das Unternehmen Klage und machte geltend, das von der Behörde akzeptierte Double-Opt-In-Verfahren ordnungsgemäß angewendet zu haben.
Die Entscheidung
Der zentrale Punkt der Entscheidung ist Art. 7 Abs. 1 DSGVO in Verbindung mit Art. 5 Abs. 2 DSGVO. Nach Auffassung des VG Düsseldorf muss der Verantwortliche, wenn eine Verarbeitung auf einer Einwilligung beruht, nachweisen können, dass die betroffene Person tatsächlich in diese Verarbeitung eingewilligt hat. Entscheidend ist damit nicht allein, ob sich ein technischer Anmeldevorgang nachvollziehen, sondern ob sich daraus auch die konkrete Abgabe der Einwilligung durch die betroffene Person belegen lässt. Kann dieser Nachweis nicht erbracht werden, ist die Einwilligung nach Auffassung des Gerichts als nicht bzw. nicht wirksam erteilt anzusehen.
Besonders relevant ist dabei die Frage, weshalb auch die Kombination aus E-Mail-Adresse und IP-Adresse nach Ansicht des Gerichts nicht ausreicht, um den erforderlichen Nachweis einer Einwilligung zu erbringen. Das Gericht begründet dies damit, dass eine IP-Adresse lediglich dokumentiert, dass zu einem bestimmten Zeitpunkt Daten über einen bestimmten technischen Anschluss übermittelt wurden. Sie lässt jedoch weder Rückschlüsse auf den Inhalt der Übermittlung noch auf die konkrete Person zu, die den Vorgang vorgenommen hat. Die IP-Adresse lässt allenfalls eine Zuordnung zum Anschlussinhaber zu.
Auch die Verknüpfung mit einer E-Mail-Adresse führt dieser Auffassung nach zu keinem anderen Ergebnis. Ein E-Mail-Account ist weder zwingend einer bestimmten Person noch einem bestimmten Gerät zugeordnet. Die zusätzliche Double-Opt-In-IP-Adresse belegt nur einen zweiten Datentransport. Die Kombination aus E-Mail-Adresse, IP-Adresse und Zeitstempel kann daher zwar einen technischen Anmeldevorgang dokumentieren, nicht aber den entscheidenden Nachweis erbringen, dass gerade der Betroffene die konkrete Einwilligungserklärung abgegeben hat.
Was bedeutet das für Sie?
Das Urteil sollte Anlass geben, die eigenen Newsletter- und Marketingprozesse kritisch zu überprüfen. Ein technisch ordnungsgemäß umgesetztes Double-Opt-in-Verfahren allein reicht nicht aus, ebenso wenig genügt die bloße Vorhaltung von Logdaten.
Wer sich auf eine Einwilligung als Rechtsgrundlage beruft, sollte daher sicherstellen, dass nachvollziehbar ist,
-
- wer die Einwilligung erteilt hat,
- wann sie erteilt wurde und
- worin konkret eingewilligt wurde.
Unternehmen sollten ihre Einwilligungs-Prozesse daher darauf überprüfen, ob die konkrete Einwilligungserklärung und der Ablauf des Double-Opt-In-Verfahrens dauerhaft und nachvollziehbar dokumentiert werden. Dazu gehört insbesondere, die Bestätigungsmail oder eine inhaltlich und personenbezogen eindeutig zuordenbare Dokumentation der Einwilligung revisionssicher und ausdruckbar aufzubewahren. Auch die Aufbewahrungsdauer sollte sich am konkreten Nachweisbedarf orientieren und im Löschkonzept sowie im Verarbeitungsverzeichnis entsprechend berücksichtigt werden. Schließlich sollten Unternehmen regelmäßig kontrollieren, ob die dokumentierten Double-Opt-In-Prozesse in der Praxis tatsächlich eingehalten werden, denn festgestellte Abweichungen können im Streitfall zulasten des Verantwortlichen gehen.
Wie kann KREMER LEGAL unterstützen?
Wir können Sie dabei unterstützen ihre Einwilligungs- und Double-Opt-In-Prozesse rechtssicher und praxisnah auszugestalten. Dabei prüfen wir bestehende (Dokumentations-)Prozesse und identifizieren mögliche Nachweislücken. Gemeinsam entwickeln wir mit Ihnen eine Lösung, um im Streitfall etwaige Einwilligungen nachvollziehbar belegen zu können. So helfen wir Ihnen nicht nur den datenschutzrechtlichen Anforderungen gerecht zu werden, sondern gestalten zugleich ihre Prozesse rechtssicher und effizient.