Double-Opt-In allein reicht nicht: Unternehmen müssen die Einwilligung nachweisen können

VG Düsseldorf, Urteil v. 27.07.2026, Az. 29 K 9714/24

Kurzzusammenfassung

Wer Werbe-E-Mails auf Grundlage einer Einwilligung versendet, muss diese Einwilligung im Streitfall nachweisen können. Das ist ein Thema, was wir in der Praxis immer wieder haben, da Anforderungen an die Beweissicherung deutlich über die Gewährleistung des Prozesses an sich hinausgehen. Das VG Düsseldorf stellt klar, dass hierfür die bloße Dokumentation einer E-Mail-Adresse, einer IP-Adresse mit Zeitstempel sowie einer weiteren IP-Adresse für die Double-Opt-In-Bestätigung nicht genügt. Entscheidend ist nicht nur, dass technisch ein Double-Opt-In-Verfahren durchgeführt wurde. Das Unternehmen muss auch nachvollziehbar dokumentieren können, welche Einwilligungserklärung abgegeben und anschließend bestätigt wurde. Kann der Verantwortliche diesen Nachweis nach Art. 7 Abs. 1 DSGVO nicht führen, wird die Einwilligung rechtlich so behandelt, als sei sie nicht wirksam erteilt worden. Die Datenschutzaufsichtsbehörde durfte das betroffene Unternehmen deshalb wegen der rechtswidrigen Datenverarbeitung verwarnen.

Worum ging es?

Die Klägerin betreibt unter anderem Internetportale und ist im Bereich Online-Marketing tätig. Ein Betroffener hatte sich bereits im Jahr 2020 bei der Datenschutzaufsichtsbehörde darüber beschwert, unerwünschte Werbe-E-Mails erhalten zu haben. Das Unternehmen berief sich darauf, dass der Betroffene zuvor auf einer von ihm betriebenen Internetseite eine Einwilligung in den Erhalt von Werbung erteilt habe. Die damals versandte Bestätigungsmail konnte das Unternehmen jedoch nicht mehr vorlegen. Im weiteren Verlauf erläuterte die Datenschutzaufsichtsbehörde, dass ein Double-Opt-In-Verfahren eine vollständige Dokumentation der Einwilligung ermöglichen müsse. Das Unternehmen erklärte daraufhin unter anderem, die versandten Double-Opt-In-Mails künftig zusätzlich zu speichern, damit sie bei Bedarf ausgedruckt und vorgelegt werden könnten.

Im Februar 2024 beschwerte sich derselbe Betroffene erneut über eine Werbe-E-Mail. Das Unternehmen berief sich wiederum auf eine Einwilligung und legte als Nachweis insbesondere folgende Daten vor:

• die E-Mail-Adresse,
• eine IP-Adresse nebst Zeitstempel der Anmeldung,
• eine Double-Opt-In-IP-Adresse und
• einen weiteren Zeitstempel.

Die eigentliche Bestätigungsmail konnte dagegen erneut nicht vorgelegt werden. Die Datenschutzaufsichtsbehörde verwarnte das Unternehmen daraufhin nach Art. 58 Abs. 2 Buchst. b DSGVO. Gegen diese Verwarnung erhob das Unternehmen Klage vor dem VG Düsseldorf. Das Gericht wies die Klage ab.

Entscheidungsgründe

Das VG Düsseldorf hielt die Verwarnung für rechtmäßig. Ausgangspunkt ist Art. 7 Abs. 1 DSGVO. Stützt ein Unternehmen die Verarbeitung personenbezogener Daten auf eine Einwilligung, muss es nachweisen können, dass die betroffene Person tatsächlich eingewilligt hat. Diesen Nachweis konnte die Klägerin nach Ansicht des Gerichts nicht führen. Insbesondere genügten die gespeicherten IP-Adressen und Zeitstempel nicht. Zwischen einer IP-Adresse und einer bestimmten natürlichen Person besteht nach Auffassung des Gerichts kein notwendiger Zusammenhang. Aus einer IP-Adresse lässt sich insbesondere nicht ableiten, welche Person zu einem bestimmten Zeitpunkt tatsächlich ein bestimmtes Gerät verwendet hat.

Aus den gespeicherten IP-Adressen und Zeitstempeln lässt sich auch nicht erkennen, welcher Inhalt bestätigt wurde. Die Protokolldaten belegten daher allenfalls technische Kommunikationsvorgänge. Sie belegten nicht, dass gerade die erforderliche Einwilligungserklärung abgegeben und bestätigt worden war. Kann der Verantwortliche die Rechtmäßigkeit der Verarbeitung nicht nachweisen, gilt die Einwilligung als nicht beziehungsweise nicht wirksam erteilt. Es treten dieselben Rechtsfolgen ein wie bei einer tatsächlich fehlenden Einwilligung.

Auch die vom Unternehmen vorgelegte Beschreibung seines Double-Opt-In-Verfahrens half nicht. Nach der eigenen Verfahrensbeschreibung hätten die Double-Opt-In-Mails gespeichert werden müssen. Wäre das beschriebene Verfahren tatsächlich eingehalten worden, hätte die entsprechende Bestätigungsmail nach Auffassung des Gerichts vorgelegt werden können. Auch die Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO war nach Auffassung des Gerichts verhältnismäßig. Sie sei das mildeste Abhilfeinstrument im Maßnahmenkatalog der Datenschutzaufsichtsbehörde und angesichts der Vorgeschichte nicht zu beanstanden.

Anmerkungen zum Urteil

Die Entscheidung betrifft ein in der Praxis häufig missverstandenes Problem des Double-Opt-In-Verfahrens. Das Double-Opt-In ist zunächst einmal nur ein Verfahren, mit dem insbesondere verhindert werden soll, dass beliebige Dritte fremde E-Mail-Adressen für Newsletter oder andere Werbemaßnahmen anmelden. Daraus folgt aber noch nicht automatisch, dass ein Unternehmen später auch den nach Art. 7 Abs. 1 DSGVO erforderlichen Nachweis einer konkreten Einwilligung führen kann.

Ein technischer Protokolleintrag nach dem Muster „E-Mail-Adresse – IP-Adresse – Datum – Bestätigungs-IP – Datum“ belegt nicht ohne Weiteres, was der Betroffene bestätigt hat. Für die Beweisführung muss vielmehr nachvollziehbar bleiben, welche konkrete Einwilligungserklärung dem Betroffenen im Zeitpunkt der Anmeldung angezeigt wurde und welche Erklärung durch die anschließende Bestätigung aktiviert worden ist.

Das Urteil liegt damit im Grundsatz auf der Linie der bisherigen Rechtsprechung zur Nachweislast des Verantwortlichen. Das Gericht verweist selbst unter anderem auf den Beschluss des OVG des Saarlandes vom 16. Februar 2021 – 2 A 355/19. Auch dort wurde hervorgehoben, dass der fehlende Nachweis einer Einwilligung rechtlich dieselben Konsequenzen haben kann wie eine tatsächlich nicht erteilte Einwilligung.

Neu oder jedenfalls für die Praxis besonders deutlich ist die Konsequenz, die das VG Düsseldorf für die konkrete technische Dokumentation zieht: IP-Adressen und Zeitstempel allein sind keine ausreichende Einwilligungsdokumentation.

Unternehmen sollten das Urteil allerdings nicht dahingehend missverstehen, dass zwingend jede einzelne Bestätigungsmail dauerhaft als E-Mail archiviert werden müsse. Entscheidend ist Art. 7 Abs. 1 DSGVO: Das eingesetzte System muss einen belastbaren Nachweis ermöglichen, aus dem insbesondere hervorgeht, welche Erklärung wann abgegeben und bestätigt wurde. Im konkreten Fall war die fehlende Bestätigungsmail allerdings besonders problematisch, weil das Unternehmen gegenüber der Behörde selbst erklärt hatte, gerade diese E-Mails zu Nachweiszwecken zu speichern.

Gibt es hier Handlungsbedarf?

Für Unternehmen, die Newsletter oder sonstige Werbe-E-Mails auf Grundlage einer Einwilligung versenden, besteht erheblicher Prüfungsbedarf, wenn man alles richtig machen möchte.

Die folgenden Punkte sollten insbesondere kontrolliert werden:

• Einwilligungstext dokumentieren: Es muss nachvollziehbar bleiben, welchen konkreten Text der Nutzer bei der Anmeldung gesehen und bestätigt hat.
• Versionen archivieren: Werden Einwilligungstexte oder Anmeldeformulare geändert, sollte dokumentiert werden, welche Version zu welchem Zeitpunkt verwendet wurde.
• Zeitpunkt der Anmeldung speichern: Datum und Uhrzeit der erstmaligen Anmeldung sollten nachvollziehbar protokolliert werden.
• Double-Opt-In-Bestätigung dokumentieren: Datum und Uhrzeit der Bestätigung sowie der zugrunde liegende Vorgang sollten beweissicher gespeichert werden.
• Bestätigung dem konkreten Einwilligungstext zuordnen: Ein technisches „confirmed = true“ genügt im Streitfall möglicherweise nicht, wenn sich nicht mehr feststellen lässt, welche Erklärung bestätigt wurde.
• Bestätigungsmail bzw. deren Inhalt nachweisbar machen: Unternehmen sollten sicherstellen, dass Inhalt und Versand der DOI-Nachricht später nachvollzogen werden können.
• IP-Adressen nicht als alleinigen Nachweis betrachten: IP-Adressen und Zeitstempel können ergänzende Indizien sein. Sie ersetzen nach dem VG Düsseldorf aber nicht den Nachweis der eigentlichen Einwilligung.
• Newsletter- und CRM-Systeme überprüfen: Gerade bei externen Newsletterdiensten sollte geklärt werden, welche Nachweisdaten tatsächlich gespeichert werden und wie diese im Streitfall exportiert werden können.
• Löschkonzepte abstimmen: Datenschutzrechtliche Speicherbegrenzung und die Pflicht zum Einwilligungsnachweis müssen miteinander in Einklang gebracht werden. Daten sollten nicht vorschnell gelöscht werden, solange sie für den Nachweis einer fortbestehenden Einwilligung benötigt werden.
• Altdatenbestände prüfen: Bei älteren Newsletterverteilern sollte überprüft werden, ob für sämtliche Empfänger noch ein belastbarer Nachweis der jeweiligen Einwilligung vorhanden ist.
• Widerrufe und Abmeldungen dokumentieren: Neben der Erteilung der Einwilligung sollte auch deren Widerruf beziehungsweise die Abmeldung zuverlässig verarbeitet und dokumentiert werden.
• Sicherstellen, dass das Verfahren in der Datenschutzerklärung oder in den Datenschutzinformationen ausreichend beschrieben ist, dass kann auch eine gewisse Hygienefunktion gegen Abmahnungen haben.

Besonders Unternehmen mit größeren Newsletter- oder Lead-Datenbanken sollten nicht nur prüfen, ob ein Double-Opt-In technisch eingerichtet ist, sondern vor allem, welche Beweise das eingesetzte System im Streitfall tatsächlich liefern kann.

Unsere Kanzlei steht Unternehmen gerne bei der Prüfung bestehender Newsletter- und Double-Opt-In-Prozesse, der Gestaltung von Einwilligungserklärungen sowie bei Auseinandersetzungen mit Datenschutzaufsichtsbehörden zur Verfügung.

Ebenfalls für diese Fragen könnte interessant sein:

• Direktwerbung nach Vertragsende: Wann ehemalige Kunden nicht mehr postalisch angeschrieben werden dürfen
• Einwilligung Erhalt von Arbeitgeber-E-Mails auf das private Postfach
• Cookies: Hinweise zu Anforderungen an Consent-Layer

Eine interessante Frage ist aber noch nicht beantwortet worden.

Warum klagt man gegen eine Verwarnung?

Aus dem Urteil lässt sich ziemlich klar ableiten, dass die Verwarnung selbst nicht mit einem Bußgeld oder einer sonstigen unmittelbaren Geldzahlung verbunden war. Das VG Düsseldorf hebt ausdrücklich hervor, dass die Verwarnung das mildeste Abhilfeinstrument nach Art. 58 Abs. 2 DSGVO sei und für die Klägerin „insbesondere keine unmittelbaren finanziellen Nachteile“ mit sich bringe.

Warum also trotzdem klagen? Das Urteil nennt die Motivation nicht ausdrücklich; man kann sie aber aus den Rechtswirkungen und der Vorgeschichte plausibel ableiten. Die Verwarnung war nämlich kein unverbindlicher Hinweis, sondern ein belastender Verwaltungsakt. Sie enthält eine verbindliche behördliche Feststellung, dass die Klägerin gegen die DSGVO verstoßen hat. Genau deshalb war eine Anfechtungsklage überhaupt zulässig.

Für die Klägerin dürfte deshalb vor allem Folgendes relevant gewesen sein:

• Beseitigung der festgestellten Datenschutzverletzung: Die Klägerin wollte verhindern, dass bestandskräftig festgestellt wird, ihr Double-Opt-In-Nachweis genüge Art. 7 Abs. 1 DSGVO nicht.
• Bedeutung für das Geschäftsmodell: Sie betreibt Internetportale und Online-Marketing. Wenn das von ihr verwendete Verfahren zur Generierung und Dokumentation von Werbeeinwilligungen rechtlich nicht trägt, betrifft das möglicherweise nicht nur einen einzelnen Beschwerdeführer, sondern einen größeren Bestand an Werbeadressen.
• Risiko zukünftiger Maßnahmen: Besonders wichtig dürfte die Vorgeschichte gewesen sein. Bereits 2020 hatte sich derselbe Betroffene beschwert; anschließend hatte die Aufsichtsbehörde Anforderungen an das DOI-Verfahren gestellt. Die aktuelle Verwarnung erfolgte ausdrücklich „in Anbetracht der Historie“. Eine bestandskräftige Verwarnung könnte daher bei einem späteren gleichartigen Verstoß eine ungünstige Ausgangslage für strengere aufsichtsbehördliche Maßnahmen schaffen.
• Klärung der eigenen Dokumentationspraxis: Die Klägerin vertrat ausdrücklich die Auffassung, ihre Anmeldung sei entsprechend der bei der Behörde hinterlegten Verfahrensbeschreibung erfolgt und die Behörde habe diese Vorgehensweise jedenfalls zunächst akzeptiert. Mit der Klage wollte sie offenbar auch diese Rechtsauffassung gerichtlich überprüfen lassen.