VG Düsseldorf: Nachweispflichten beim Double-Opt-In-Verfahren

Für das Versenden von Newslettern ist eine ausdrückliche und informierte Einwilligung des Empfängers notwendig. Das VG Düsseldorf (Urt. v. 27.7.2026 – 29 K 9714/24) entschied nun, dass die bloße Speicherung von E-Mail-Adresse, IP-Adresse und Zeitstempeln nicht ausreiche, um eine Einwilligung nach Art. 7 Abs. 1 DSGVO nachzuweisen. Könne der Verantwortliche den Nachweis nicht führen, gelte die Einwilligung als nicht erteilt.

Die Klägerin betreibt unter anderem Online-Portale und Online-Marketing. Ein Verbraucher beschwerte sich bei der zuständigen Datenschutzaufsichtsbehörde über den Erhalt unerwünschter Werbe-E-Mails. Bereits im Jahr 2020 hatte derselbe Beschwerdeführer geltend gemacht, nie in den Bezug von Werbemails eingewilligt zu haben.

Die Klägerin berief sich auf eine angeblich über ihre Webseite erteilte Einwilligung im Double-Opt-In-Verfahren. Nach einer weiteren Beschwerde im Jahr 2024 forderte die Aufsichtsbehörde erneut Nachweise an. Die Klägerin konnte lediglich die E-Mail-Adresse, die verwendete IP-Adresse sowie die sogenannte DOI-IP-Adresse mit jeweiligen Zeitstempeln vorlegen. Daraufhin sprach die Behörde eine Verwarnung nach Art. 58 Abs. 2 lit. b DSGVO aus. Hiergegen richtet sich die Klage.

Das VG Düsseldorf entschied, dass ein Verantwortlicher eine im Double-Opt-In-Verfahren eingeholte Einwilligung nach Art. 7 Abs. 1 DSGVO konkret nachweisen können müsse und sich hierfür nicht auf die bloße Speicherung von E-Mail-Adresse, IP-Adresse und Zeitstempeln beschränken dürfe. Könne dieser Nachweis nicht geführt werden, werde die Einwilligung rechtlich so behandelt, als sei sie nie wirksam erteilt worden.

Nachweispflicht für Einwilligungen liegt beim Verantwortlichen

Das Gericht stellt zunächst klar, dass Art. 7 Abs. 1 DSGVO dem Verantwortlichen die Nachweispflicht für das Vorliegen einer Einwilligung auferlege. Entscheidend sei daher nicht, ob der Betroffene plausibel darlegen könne, keine Einwilligung erteilt zu haben, sondern ob das Unternehmen deren Erteilung beweisen könne.

Für die Rechtmäßigkeit der Verarbeitung genüge daher nicht die Behauptung, eine Einwilligung sei erteilt worden. Vielmehr müsse deren Vorliegen nachvollziehbar dokumentiert und belegbar sein.

Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, wenn die Verarbeitung auf einer Einwilligung beruht. Diesen Nachweis hat die Klägerin [...] nicht erbracht. Einen Ausdruck der Bestätigungsmail, die unter der E-Mail-Adresse des Beschwerdeführers abgesandt wurde, hat die Klägerin nicht vorgelegt.

IP-Adressen und Zeitstempel ersetzen keine Dokumentation der Einwilligung

Nach Auffassung des VG Düsseldorf lassen sich aus der bloßen Speicherung einer E-Mail-Adresse, einer IP-Adresse und einer DOI-IP-Adresse mit Zeitstempeln weder die Identität des Einwilligenden noch der Inhalt der abgegebenen Erklärung sicher ableiten.

Die Angabe der verarbeiteten Daten im Schriftsatz des Prozessbevollmächtigten der Klägerin vom 8. Mai 2024 ‚E-Mail: P.@web.de, IP 00.000.00.000, Datum: 2023-06-29 17:22:20, DOI IP: 00.000.00.000, DOI Datum: 2023-06-29 17:27:41‘ ist zum Nachweis der erteilten Einwilligung ungeeignet.

Die Angaben beweisen schon keine Beziehung zum Beschwerdeführer. Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang. Eine IP-Adresse ist eine Adresse in Computernetzen, die - wie das Internet - auf dem Internetprotokoll (IP) basieren. Sie wird Geräten zugewiesen, die an das Netz angebunden sind, macht die Geräte so adressierbar und damit erreichbar. […]

Der E-Mail-Account ist nicht an ein bestimmtes Gerät gebunden.

Auch der Umstand, dass sowohl eine IP- als auch eine DOI IP-Adresse erfasst wurden, stellt keinerlei Bezug zum Beschwerdeführer her. Die Angabe der IP-Adresse mit Zeitstempel dokumentiert, dass Daten zu diesem Zeitpunkt von einem Computer mit dieser IP-Adresse an einen Empfänger (hier: ein Gerät der Klägerin) transportiert wurden. Da es sich bei der IP-Adresse um die Adresse eines technischen Geräts handelt, kann damit der Anschlussinhaber ermittelt werden. Welche Person zum fraglichen Zeitpunkt auf dem Gerät aktiv war, lässt sich hingegen nicht feststellen, weil die IP-Adresse keinem bestimmten Nutzer zugeordnet ist. Für die angegebene DOI-IP-Adresse mit Zeitstempel gilt nichts anderes. Sie besagt nur, dass ein zweites Mal Daten von dieser IP-Adresse an ein Gerät der Klägerin transportiert wurden.

Auch der Inhalt der Einwilligung muss dokumentiert sein

Es genüge nicht, dass nachvollzogen werden könne, dass ein Datentransfer stattgefunden hat. Erforderlich sei vielmehr ein Nachweis darüber, welche Erklärung abgegeben wurde. Könne der Verantwortliche eine rechtmäßige Verarbeitung nicht nachweisen, gelten die gleichen Rechtsfolgen wie bei einer nicht erteilten Einwilligung

Ungeachtet dessen ist den Angaben nicht zu entnehmen, dass überhaupt eine Einwilligung erteilt wurde. Ebenso wenig wie die IP-Adresse lässt die DOI IP-Adresse den Inhalt des übersendeten Datenpakets erkennen.

Fehlender Nachweis steht einer fehlenden Einwilligung gleich

Das Gericht äußert sich auch zu den Folgen eines fehlenden Nachweises – eine nicht belegbare Einwilligung sei rechtlich genauso wie eine tatsächlich nie erteilte Einwilligung zu behandeln.

Kann der Verantwortliche den Nachweis der Rechtmäßigkeit der Verarbeitung nicht führen, so gilt die Einwilligung als nicht bzw. nicht wirksam erteilt. Es treten dieselben Rechtsfolgen ein wie bei tatsächlich fehlender wirksamer Einwilligung.

Double-Opt-In allein genügt nicht

Die Klägerin hatte gegenüber der Aufsichtsbehörde zuvor erklärt, sämtliche DOI-Bestätigungsmails zu archivieren, um sie bei Nachfragen vorlegen zu können. Die betreffende Bestätigungsmail konnte sie jedoch nicht präsentieren. Zudem verweist das Gericht darauf, dass die Aufsichtsbehörde die Klägerin bereits im Jahr 2022 ausdrücklich darauf hingewiesen hatte, dass ein wirksames Double-Opt-In-Verfahren eine vollständige Dokumentation der Einwilligung einschließlich Speicherung und Ausdrucksmöglichkeit erfordere.

Die im Verwaltungsverfahren vorgelegte Verfahrensbeschreibung ändert an der Erforderlichkeit des Nachweises einer Einwilligung schon deshalb nichts, weil die Klägerin ihr eigenes Verfahren nicht einhält. Hierzu hat sie gegenüber der Beklagten mit Schriftsatz ihres Prozessbevollmächtigten vom 5. Juli 2022 vorgetragen: „Zusätzlich werden alle DOI-Mails, also die Mails, die nach einem Eintrag der E-Mailadresse bei der Newsletterbestellung an die eingetragene Mailadresse versendet werden und in denen der Bestätigungslink angeklickt werden muss, in bcc an eine eigens dafür eingerichtete Mailadresse unserer Mandantin geschickt und dort gespeichert, um sie in Zukunft bei Nachfragen Ihrerseits ausdrucken zu können.“ Bei Beachtung dieses Verfahrens hätte die Klägerin die Bestätigungsmail des Beschwerdeführers vorlegen können. Dass sie dies nicht getan hat, lässt nur den Schluss zu, dass es keine Bestätigungsmail gibt. Ungeachtet dessen hat die Beklagte keineswegs, wie die Klägerin suggeriert, ein Abweichen von Art. 7 DSGVO genehmigt. Vielmehr hat sie unter dem 25. Oktober 2022 ausdrücklich darauf hingewiesen, dass ein wirksames Double-Opt-In (DOI)-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere.

Fazit

Fehlerhafter Newsletterversand ist häufig ein Grund für Abmahnungen. Für den Versand von Newslettern ist gem. § 7 Abs. 2 Nr. 3 UWG die vorherige ausdrückliche Einwilligung des Empfängers erforderlich. Das VG Düsseldorf unterstreicht noch einmal die strengen Anforderungen an den Nachweis von Einwilligungen im E-Mail-Marketing. Für Unternehmen im E-Commerce reicht es nicht aus, lediglich E-Mail-Adresse, IP-Adresse und Zeitstempel eines Double-Opt-In-Prozesses zu speichern. Erforderlich ist vielmehr eine nachvollziehbare Dokumentation der konkreten Einwilligungserklärung und des Bestätigungsvorgangs.