Newsletter-Einwilligung: IP-Adresse und Zeitstempel reichen als Nachweis nicht
Wer Newsletter auf Grundlage einer Einwilligung versendet, muss diese im Streitfall nachweisen können. Das VG Düsseldorf hat entschieden: E-Mail-Adresse, IP-Adressen und Zeitstempel allein reichen hierfür nicht.
Das Wichtigste in Kürze:
- Wer sich auf eine Einwilligung in E-Mail-Werbung beruft, muss diese nach Art. 7 Abs. 1 DSGVO nachweisen können.
- E-Mail-Adresse, IP-Adresse und Zeitstempel des Anmelde- und Double-Opt-In-Vorgangs genügen hierfür allein nicht.
- Aus der Dokumentation muss sich auch ergeben, welche Einwilligung konkret erteilt wurde.
- Kann der Nachweis nicht geführt werden, gilt die Einwilligung als nicht bzw. nicht wirksam erteilt.
Worum ging es?
Eine Betreiberin von Internetportalen hatte Werbe-E-Mails an die private E-Mail-Adresse eines Empfängers versandt. Dieser bestritt, jemals eingewilligt zu haben.
Der Fall hatte bereits eine Vorgeschichte. Derselbe Empfänger hatte sich schon 2020 über unerwünschte Werbung des damals noch unter anderem Namen firmierenden Unternehmens beschwert. Es folgten ein aufsichtsbehördlicher Hinweis und ein Klageverfahren, das das Unternehmen später selbst zurücknahm. 2022 wurde es außerdem zur Implementierung eines Double-Opt-In-Verfahrens angehört.
Als der Empfänger 2024 erneut eine Werbe-E-Mail erhielt, wandte er sich wieder an die Datenschutzaufsichtsbehörde. Die Betreiberin berief sich auf eine Einwilligung und legte als Nachweis lediglich E-Mail-Adresse, IP-Adresse und Zeitstempel sowie eine Double-Opt-In-IP-Adresse mit Zeitstempel vor. Eine Bestätigungsmail fehlte.
Die Datenschutzaufsichtsbehörde verwarnte die Betreiberin daraufhin gemäß Art. 58 Abs. 2 lit. b DSGVO. Gegen diese Verwarnung erhob sie Klage.
Was entschied das VG Düsseldorf?
Das VG Düsseldorf, Urteil vom 27.07.2026, Az. 29 K 9714/24 bestätigte die Verwarnung.
Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche die Einwilligung nachweisen können. Daneben muss er nach Art. 5 Abs. 2 i. V. m. Art. 5 Abs. 1 lit. a DSGVO die Rechtmäßigkeit der Verarbeitung nachweisen können.
Nach den Umständen des Falls hielt das Gericht es für „praktisch ausgeschlossen“, dass der Empfänger tatsächlich eingewilligt hatte. Für die Entscheidung musste diese Frage jedoch nicht abschließend geklärt werden, weil die Betreiberin den erforderlichen Nachweis ohnehin nicht führen konnte.
Die bereits geschilderte Vorgeschichte spielte auch für die Verwarnung eine Rolle. Die Behörde hatte diese ausdrücklich „in Anbetracht der Historie“ ausgesprochen. Das Gericht hielt die Maßnahme gerade mit Blick auf die früheren Vorgänge für verhältnismäßig und verwies darauf, dass die Verwarnung das mildeste Abhilfeinstrument nach Art. 58 Abs. 2 DSGVO darstellt.
Warum reichten IP-Adresse und Zeitstempel nicht?
Nach Ansicht des Gerichts besteht zwischen einer IP-Adresse und einer E-Mail-Adresse kein notwendiger Zusammenhang. Anhand einer IP-Adresse lasse sich außerdem nicht feststellen, welche Person ein Gerät zu einem bestimmten Zeitpunkt genutzt hat.
Hinzu kam, dass die gespeicherten Daten keinen Aufschluss darüber gaben, ob und mit welchem Inhalt eine Einwilligung erteilt wurde. Die vorgelegten technischen Daten belegten daher keine konkrete Einwilligung des Empfängers.
Warum half das Double-Opt-In-Verfahren nicht?
Das Urteil stellt das Double-Opt-In-Verfahren selbst nicht infrage. Die Aufsichtsbehörde hatte dessen Implementierung zuvor sogar verlangt.
Bereits im Juli 2022 hatte die Betreiberin gegenüber der Behörde erklärt, sämtliche Double-Opt-In-Mails zusätzlich per BCC an eine eigens eingerichtete E-Mail-Adresse zu senden und dort zu speichern, damit sie bei Nachfragen ausgedruckt werden könnten.
Im Oktober 2022 wies die Behörde darauf hin, dass ein wirksames Double-Opt-In-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und die Möglichkeit zum Ausdrucken erfordere. Das Gericht griff diesen Punkt auf und stellte klar, dass die Behörde damit kein Abweichen von den Anforderungen des Art. 7 DSGVO genehmigt hatte.
Im konkreten Fall konnte die Betreiberin die betreffende Bestätigungsmail nicht vorlegen. Hätte sie das von ihr selbst beschriebene BCC-Verfahren eingehalten, hätte sie die Mail nach Auffassung des Gerichts vorlegen können. Ihr Fehlen ließ für das Gericht deshalb „nur den Schluss zu, dass es keine Bestätigungsmail gibt“.
Wie lässt sich die Einwilligung rechtssicher dokumentieren?
Händler sollten beim Double-Opt-In die konkrete Einwilligung und deren Bestätigung so dokumentieren, dass sie später vollständig nachgewiesen werden können.
Festgehalten werden sollten insbesondere
- die betroffene E-Mail-Adresse,
- Zeitpunkt und Wortlaut der Einwilligung,
- Inhalt und Versand der Double-Opt-In-Mail sowie
- die anschließende Bestätigung.
Die entsprechenden Nachweise sollten so gespeichert werden, dass sie im Streitfall vorgelegt und ausgedruckt werden können.
IP-Adressen und Zeitstempel können Teil der Dokumentation sein. Für sich allein reichen sie nach dem VG Düsseldorf jedoch nicht aus, um die konkrete Einwilligung nachzuweisen.
Fazit
E-Mail-Adresse, IP-Adressen und Zeitstempel reichen nach dem VG Düsseldorf nicht aus, um eine Newsletter-Einwilligung nachzuweisen. Händler sollten deshalb auch den Inhalt der Einwilligung und deren Bestätigung dokumentieren und die entsprechenden Nachweise so aufbewahren, dass sie im Streitfall vorgelegt werden können.
Fragen zum Beitrag? Diskutieren Sie hierzu gerne mit uns in der Unternehmergruppe der IT-Recht Kanzlei auf Facebook.
Link kopieren
Als PDF exportieren
Per E-Mail verschicken
Zum Facebook-Account der Kanzlei
Zum Instagram-Account der Kanzlei
0 Kommentare