Das Verwaltungsgericht Düsseldorf hat die Anforderungen an den Nachweis einer Einwilligung in den Versand von Werbe-E-Mails konkretisiert. Unternehmen müssen im Streitfall belegen können, dass der Empfänger tatsächlich in die Verarbeitung seiner E-Mail-Adresse und den Erhalt der Werbung eingewilligt hat. Allein gespeicherte E-Mail- und IP-Adressen sowie Zeitstempel eines Double-Opt-In-Verfahrens reichen dafür nicht aus. Das geht aus einem Urteil des Verwaltungsgerichts Düsseldorf vom 27. Juli 2026 hervor (Aktenzeichen 29 K 9714/24). Das Gericht wies die Klage eines Unternehmens gegen eine datenschutzrechtliche Verwarnung ab.
Empfänger bestritt Einwilligung in Werbemails
Ausgangspunkt des Rechtsstreits waren unerwünschte Werbe‑E‑Mails, umgangssprachlich Spam. Ein Verbraucher hatte sich bereits im Jahr 2020 bei der zuständigen Datenschutzaufsichtsbehörde darüber beschwert, Werbung auf seiner privaten E-Mail-Adresse erhalten zu haben. Nach seinen Angaben hatte er dem Unternehmen seine Adresse nicht zur Verfügung gestellt.
Das Unternehmen erklärte dagegen, der Betroffene habe sich auf einer von ihm betriebenen Internetseite angemeldet und dort sein Einverständnis zum Erhalt von Werbemails erklärt. Eine entsprechende Bestätigungsmail konnte das Unternehmen allerdings nicht mehr vorlegen.
Im Februar 2024 wandte sich der Verbraucher erneut an die Datenschutzbehörde, nachdem er wieder eine Werbemail erhalten hatte. Er bestritt abermals, sich angemeldet oder eine Einwilligung erteilt zu haben. Daraufhin verwarnte die Aufsichtsbehörde das Unternehmen im Oktober 2024 wegen einer rechtswidrigen Verarbeitung personenbezogener Daten. Gegen diese Verwarnung zog das Unternehmen vor Gericht.
Unternehmen müssen die Einwilligung beweisen
Das Verwaltungsgericht bestätigte die Entscheidung der Datenschutzbehörde. Entscheidend ist nach Auffassung der Richter nicht, ob der Empfänger überzeugend darlegen kann, dass er sich nicht angemeldet hat. Die Beweislast liegt vielmehr beim Unternehmen.
Nach Artikel 7 Absatz 1 DSGVO muss ein Verantwortlicher nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, wenn die Verarbeitung auf einer Einwilligung beruht. Kann dieser Nachweis nicht erbracht werden, gilt die Einwilligung rechtlich als nicht beziehungsweise nicht wirksam erteilt. Die Folgen sind damit dieselben wie bei einer tatsächlich fehlenden Einwilligung.
IP-Adresse und Zeitstempel genügen nicht
Besonders relevant ist das Urteil für Betreiber von Newslettern und anderen E-Mail-Marketing-Angeboten. Das Unternehmen hatte als Nachweis unter anderem die verwendete E-Mail-Adresse, eine IP-Adresse mit Zeitstempel sowie eine weitere IP-Adresse und einen Zeitstempel für das Double-Opt-In vorgelegt. Das genügte dem Verwaltungsgericht nicht.
Eine IP-Adresse belegt nach Auffassung der Richter nicht, welche konkrete Person zu einem bestimmten Zeitpunkt ein Gerät genutzt hat. Zudem besteht kein zwingender Zusammenhang zwischen einer bestimmten IP-Adresse und einem E-Mail-Konto. Auch ein gespeicherter Double-Opt-In-Zeitstempel dokumentiert lediglich einen technischen Vorgang, nicht aber den Inhalt der übermittelten Erklärung. Damit lässt sich allein anhand solcher Datensätze nicht beweisen, dass der Inhaber der E-Mail-Adresse tatsächlich einer bestimmten Datenverarbeitung oder dem Empfang von Werbemails zugestimmt hat.
Bestätigungsmail hätte gespeichert werden müssen
Für das betroffene Unternehmen kam erschwerend hinzu, dass es gegenüber der Datenschutzbehörde zuvor selbst ein Verfahren beschrieben hatte, bei dem sämtliche Double-Opt-In-Mails zusätzlich an ein eigenes Postfach geschickt und dort gespeichert werden sollten. Auf diese Weise sollten sie bei späteren Nachfragen ausgedruckt und als Nachweis vorgelegt werden können.
Genau eine solche Bestätigungsmail konnte das Unternehmen im konkreten Fall jedoch nicht vorlegen. Für das Gericht sprach dies dafür, dass das selbst beschriebene Verfahren nicht eingehalten worden war. Die Datenschutzbehörde hatte zudem bereits 2022 ausdrücklich darauf hingewiesen, dass ein wirksames Double-Opt-In-Verfahren eine vollständige Dokumentation der Einwilligung erfordert.
Folgen für Newsletter-Betreiber
Das Urteil bedeutet nicht, dass das Double-Opt-In-Verfahren grundsätzlich ungeeignet wäre. Im Gegenteil: Für Unternehmen kommt es darauf an, den gesamten Vorgang so zu dokumentieren, dass sich später nicht lediglich die technische Betätigung eines Links, sondern auch die konkrete Einwilligung nachvollziehen lässt.
Wer Newsletter oder andere Werbemails verschickt, sollte daher insbesondere dokumentieren, wann eine Anmeldung erfolgt ist, welche Einwilligungserklärung zu diesem Zeitpunkt angezeigt und wann der Bestätigungslink des Double-Opt-In-Verfahrens betätigt wurde. Entscheidend ist, dass sich im Streitfall auch der Inhalt der abgegebenen Erklärung nachvollziehen lässt. Eine reine Datenbankzeile nach dem Muster „E-Mail-Adresse – IP-Adresse – Datum – DOI-IP – DOI-Datum“ genügt nach dem Düsseldorfer Urteil jedenfalls nicht.
Verwarnung war verhältnismäßig
Auch die von der Datenschutzbehörde ausgesprochene Verwarnung beanstandete das Verwaltungsgericht nicht. Die Behörde habe ihr Ermessen ordnungsgemäß ausgeübt. Eine Verwarnung sei das mildeste Abhilfeinstrument aus dem Maßnahmenkatalog des Artikels 58 Absatz 2 DSGVO und mit keinen unmittelbaren finanziellen Nachteilen für das Unternehmen verbunden.
Die Klage wurde daher abgewiesen. Die Kosten des Verfahrens muss das Unternehmen tragen. Der Streitwert wurde auf 5.000 Euro festgesetzt. Gegen das Urteil kann die Zulassung der Berufung beim Oberverwaltungsgericht Nordrhein-Westfalen beantragt werden.
Hinterlasse jetzt einen Kommentar