Das Double-Opt-in-Verfahren ist beim Versand von Newslettern und Werbe-E-Mails seit Jahren Standard. Ein aktuelles Urteil des Verwaltungsgerichts Düsseldorf zeigt: Ein rein technischer Datensatz reicht nicht aus, um die Newsletter-Einwilligung nachweisen zu können. Unternehmen, die den Versand auf eine Einwilligung stützen, müssen nach Art. 7 Abs. 1 DSGVO nachweisen können, dass die betroffene Person eingewilligt hat. Der Nachweis muss sich auch auf den Inhalt der Einwilligung beziehen. Das VG Düsseldorf bestätigte mit Urteil vom 27. Juli 2026 eine datenschutzrechtliche Verwarnung gegen ein Unternehmen, das diesen Nachweis nicht führen konnte (Az. 29 K 9714/24).
Der Fall vor dem VG Düsseldorf
Ein Betroffener beschwerte sich bereits 2020 bei der Aufsichtsbehörde. Er hatte auf seine private E-Mail-Adresse eine Werbemail des Unternehmens erhalten, das damals noch unter einer anderen Firma auftrat. Das Unternehmen berief sich schon damals auf eine Einwilligung, konnte die Bestätigungsmail aber nicht vorlegen, da es diese aus Datenschutzgründen nicht gespeichert habe. Die Klage gegen den damaligen aufsichtsbehördlichen Hinweis nahm es 2022 zurück.
Die Behörde forderte das Unternehmen daraufhin auf, ein Double-Opt-in-Verfahren einzuführen und schriftlich zu beschreiben. Im Oktober 2022 wies sie ausdrücklich darauf hin, dass ein wirksames Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und die Möglichkeit zum Ausdrucken voraussetzt.
2024 beschwerte sich derselbe Betroffene erneut. Er habe die Website des Unternehmens weder am angeblichen Anmeldetag noch sonst besucht und sei an diesem Tag nachweislich in Dänemark gewesen, während die protokollierte IP-Adresse einem deutschen Anschluss zuzuordnen war. Das Unternehmen stützte sich auf sein Double-Opt-in-Verfahren. Als Nachweis legte es einen Datensatz vor: E-Mail-Adresse, IP-Adresse und Zeitstempel der Anmeldung, dazu eine weitere IP-Adresse und einen Zeitstempel für die Double-Opt-in-Bestätigung. Der Aufsichtsbehörde genügte das nicht. Sie verwarnte das Unternehmen wegen einer rechtswidrigen Verarbeitung personenbezogener Daten nach Art. 58 Abs. 2 lit. b DSGVO. Das VG Düsseldorf bestätigte die Verwarnung.
Warum das Gericht den Nachweis für unzureichend hielt
Maßgeblich war Art. 7 Abs. 1 DSGVO: Ein Verantwortlicher, der eine Verarbeitung auf eine Einwilligung stützt, muss nachweisen können, dass die betroffene Person eingewilligt hat. Diesen Nachweis sah das Gericht als nicht erbracht an. Die gespeicherten IP-Adressen und Zeitstempel dokumentierten nach Auffassung des Gerichts nur technische Vorgänge. Zwischen einer IP-Adresse und einer E-Mail-Adresse besteht schon kein notwendiger Zusammenhang, da eine IP-Adresse nur ein Gerät im Netz adressierbar macht, nicht den einzelnen Nutzer. Wer zu einem bestimmten Zeitpunkt an diesem Gerät gehandelt hat, lässt sich daraus ebenfalls nicht ableiten.
Entscheidender war ein zweiter Punkt: Aus den protokollierten Daten ließ sich nicht erkennen, welchen Inhalt die angeblich erteilte Einwilligung hatte. Weder die IP-Adresse noch die DOI-IP-Adresse zeigen, welche Erklärung die betroffene Person abgegeben hat oder welche Informationen sie dabei angezeigt bekam.
Kann der Verantwortliche den Nachweis der Rechtmäßigkeit nicht führen, gilt die Einwilligung als nicht oder nicht wirksam erteilt – mit denselben Folgen wie eine tatsächlich fehlende Einwilligung. Für das Unternehmen kam hinzu, dass es der Behörde 2022 selbst ein Verfahren beschrieben hatte, nach dem es sämtliche Double-Opt-in-Mails per Blindkopie an eine eigens eingerichtete Adresse speichern und bei Bedarf ausdrucken wollte. Die konkrete Bestätigungsmail des Betroffenen konnte es später dennoch nicht vorlegen. Das Gericht wertete dies als Beleg dafür, dass das Unternehmen sein eigenes Verfahren nicht eingehalten hatte.
Was das Urteil für die Praxis bedeutet
Keine neue Rechtslage
Das Urteil selbst bringt keine neue Rechtserkenntnis. Es wendet die seit Langem geltenden Grundsätze zur Beweislast nach Art. 7 Abs. 1 DSGVO lediglich auf den konkreten Fall an. Der eigentliche Knackpunkt lag im Sachverhalt: Das Unternehmen konnte weder die Einwilligungserklärung noch die zugehörigen Bestätigungsmails vorlegen. Das Urteil lässt das Double-Opt-in-Verfahren als solches unangetastet. Unternehmen müssen aber zwischen dem technischen Ablauf des Verfahrens und dem später erforderlichen Einwilligungsnachweis unterscheiden.
Warum die Versionierung der Einwilligungstexte entscheidend ist
Ein Datensatz mit E-Mail-Adresse, Anmeldezeitpunkt, IP-Adresse und DOI-Bestätigungszeitpunkt kann belegen, dass bestimmte technische Vorgänge stattgefunden haben. Der Inhalt der Bestätigung bleibt damit oft ungeklärt. Für einen belastbaren Nachweis muss später nachvollziehbar sein, welche Einwilligungserklärung zum Zeitpunkt der Anmeldung verwendet wurde und welchen Inhalt und Umfang sie hatte. In der Praxis kommt es vor allem auf die Versionierung an. Werden Einwilligungstexte oder Datenschutzhinweise verändert, reicht es nicht, nur den jeweils aktuellen Text vorzuhalten. Andernfalls können Unternehmen Jahre später zwar noch feststellen, dass eine Einwilligung registriert wurde. Der Text, der damals Grundlage der Erklärung war, bleibt dann offen.
Welche Nachweisform ausreicht
Aus dem Urteil folgt allerdings nicht zwingend, dass Unternehmen jede einzelne DOI-Mail dauerhaft als E-Mail archivieren müssen. Art. 7 Abs. 1 DSGVO schreibt keine bestimmte Form des Nachweises vor. Entscheidend ist, dass Unternehmen den konkreten Einwilligungsvorgang später nachvollziehbar rekonstruieren können. Das gelingt auch über eine technische Protokollierung, sofern das System den gespeicherten Datensatz eindeutig mit der damals verwendeten Einwilligungserklärung und deren Version verknüpft. Beim Versand elektronischer Werbung müssen Unternehmen daneben weiterhin die wettbewerbsrechtlichen Anforderungen des § 7 UWG beachten.
Checkliste: So können Sie die Newsletter-Einwilligung nachweisen
Unternehmen sollten überprüfen, welche Informationen ihr Newsletter- oder Marketing-System zu einer Einwilligung tatsächlich speichert.
Ein belastbarer Nachweis sollte jedenfalls erkennen lassen,
- welche E-Mail-Adresse sich angemeldet hat,
- wann Anmeldung und Bestätigung erfolgt sind,
- welche Einwilligungserklärung zu diesem Zeitpunkt galt,
- welchen Inhalt und Umfang die Einwilligung hatte, und
- wie die Bestätigung im Double-Opt-in-Verfahren abgelaufen ist.
Ändern sich Einwilligungstexte, Zwecke oder Hinweise, sollten Unternehmen frühere Versionen aufbewahren und sie eindeutig den jeweiligen Einwilligungsvorgängen zuordnen. Eine einfache Prüfung hilft dabei: Unternehmen sollten für jeden Newsletter-Empfänger auch Jahre später darlegen können, wann, wie und mit welchem konkreten Inhalt die Einwilligung erteilt und bestätigt wurde. Liefert das eingesetzte System diese Informationen nicht, sollten Unternehmen die Dokumentation des Einwilligungsprozesses überprüfen.
