Die Entscheidung im Überblick

Der Fall ist deshalb lehrreich, weil er eine im Marketing weit verbreitete Annahme zerlegt: dass ein technisch sauber implementiertes Double-Opt-in-Verfahren die Rechtmäßigkeit der Verarbeitung belegt. Das Verwaltungsgericht Düsseldorf sagt klar, dass es das nicht tut — jedenfalls dann nicht, wenn am Ende nur Protokollzeilen vorliegen.

Der Sachverhalt. Ein Betroffener beschwerte sich im Juni 2020 bei der nordrhein-westfälischen Aufsichtsbehörde über Werbemails, die er an seine private Adresse erhalten hatte, ohne diese je herausgegeben zu haben. Der Verantwortliche — eine Betreiberin von Internetportalen und Online-Marketing-Dienstleisterin — erklärte, der Betroffene habe am 29. Juni 2019 auf einer ihrer Seiten seine E-Mail-Adresse eingetragen und eine Einverständniserklärung angeklickt. Die Bestätigungsmail könne sie nicht mehr vorlegen, „da sie diese aus Datenschutzgründen nicht speichere”. Das Verfahren zog sich: Die Behörde forderte 2022 eine Verfahrensbeschreibung, wies im Oktober 2022 ausdrücklich darauf hin, dass ein wirksames Double-Opt-in-Verfahren „eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere” — und im Februar 2024 meldete derselbe Betroffene erneut eine Werbemail desselben Absenders.

Diesmal war die Datenlage besonders ungünstig für den Verantwortlichen. Als Beleg legte er im Mai 2024 eine Protokollzeile vor: „E-Mail: […]@web.de, IP […], Datum: 2023-06-29 17:22:20, DOI IP: […], DOI Datum: 2023-06-29 17:27:41”. Der Betroffene wies dagegen nach, dass er am 29. Juni 2023 in Dänemark war, während die protokollierte IP-Adresse in den Adressbereich der Deutschen Telekom in Deutschland fiel. Im Oktober 2024 verwarnte die Behörde nach Art. 58 Abs. 2 Buchst. b DSGVO; dagegen richtete sich die Klage.

Warum die Klage scheiterte. Die Kammer stellt zunächst klar, dass eine Verwarnung ein belastender, feststellender Verwaltungsakt ist und deshalb angefochten werden kann — es entstehen zwar keine Handlungspflichten, aber „eine verbindliche, missbilligende Feststellung zu einem konkreten Datenschutzverstoß”. Materiell trägt die Entscheidung eine bemerkenswerte Weichenstellung.

Das Gericht hält fest, es könne „nach der Vorgeschichte und den vom Beschwerdeführer im Verwaltungsverfahren beigebrachten Nachweisen praktisch ausgeschlossen werden, dass dieser eine Einwilligung tatsächlich erteilt hat” — und fügt dann den entscheidenden Satz an: „Das ist aber nicht entscheidungserheblich.” Auf die materielle Wahrheit kommt es nicht an. Maßgeblich ist allein, ob der Verantwortliche den Nachweis nach Art. 7 Abs. 1 DSGVO führen kann. Kann er es nicht, ist die Verarbeitung rechtswidrig, weil keine der Bedingungen des Art. 6 Abs. 1 DSGVO erfüllt ist. Der fehlende Nachweis wird also wie eine fehlende Einwilligung behandelt.

Warum die Protokollzeile nicht genügt. Die Kammer begründet das technisch präzise. Die vorgelegten Angaben „beweisen schon keine Beziehung zum Beschwerdeführer. Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang.” Eine IP-Adresse wird einem Gerät im Netz zugewiesen und macht dieses adressierbar — sie sagt nichts darüber, welche Person davor saß und welche Adresse diese Person eingetragen hat. Damit fehlt der Protokollzeile beides: der Personenbezug und der Inhalt der bestätigten Erklärung.

Besonders nachteilig wirkte sich aus, dass der Verantwortliche gegenüber der Behörde selbst erklärt hatte, Bestätigungsmails zu archivieren, die konkrete Mail aber nicht vorlegen konnte. Der Ausdruck der Bestätigungsmail, die unter der Adresse des Betroffenen abgesandt wurde, hätte den Nachweis führen können; er fehlte.

Hintergrund und Einordnung

Die Entscheidung schließt eine Lücke zwischen zwei Rechtsgebieten, die im Alltag oft vermischt werden. Im Wettbewerbsrecht hat die Rechtsprechung das Double-Opt-in-Verfahren seit langem als geeignetes Mittel anerkannt, um die Einwilligung in Werbe-E-Mails nach § 7 Abs. 2 UWG zu dokumentieren — dort mit dem Erfordernis, den konkreten Anmeldevorgang vollständig zu protokollieren. Datenschutzrechtlich gilt derselbe Maßstab über Art. 7 Abs. 1 DSGVO, und das Gericht macht deutlich, dass „Verfahren” und „Nachweis” zwei verschiedene Dinge sind: Ein Unternehmen kann ein einwandfreies Double-Opt-in betreiben und trotzdem den Nachweis schuldig bleiben, wenn es die Bestätigung anschließend nicht aufbewahrt.

Bemerkenswert ist die Rolle der Datensparsamkeit im Fall. Der Verantwortliche berief sich darauf, die Bestätigungsmails „aus Datenschutzgründen” nicht zu speichern. Das Gericht folgt dem nicht — und die Behörde hatte bereits 2022 schriftlich darauf hingewiesen, dass die Speicherung erforderlich ist. Der scheinbare Konflikt löst sich über die Zweckbestimmung: Die Aufbewahrung des Einwilligungsnachweises ist zur Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erforderlich und damit selbst rechtmäßig. Wer sie unterlässt, spart keine Daten, sondern seine eigene Beweisgrundlage weg.

Für die Praxis bedeutet das eine konkrete Anforderungsliste an jedes Newsletter- und Marketing-Verfahren. Zu speichern ist nicht das Ereignis, sondern der Inhalt: die versendete Bestätigungsmail im Wortlaut, adressiert an die konkrete Adresse, mit Zeitstempel und dem vollständigen Text der Einwilligungserklärung in der Fassung, die zum Anmeldezeitpunkt galt. Dazu gehört die Fassung des Anmeldeformulars und der Einwilligungstexte selbst, versioniert — sonst lässt sich Jahre später nicht mehr belegen, worin genau eingewilligt wurde. Die Protokollierung von IP-Adresse und Zeitstempel bleibt sinnvoll als ergänzendes Indiz, trägt den Nachweis aber nicht allein. Und der Nachweis muss so lange verfügbar bleiben, wie die Verarbeitung läuft, plus Verjährungsfrist — eine Löschroutine, die Bestätigungsmails nach wenigen Monaten entfernt, macht jede Altbestandsadresse angreifbar.

Eigene Einordnung: Das Urteil betrifft eine Verwarnung, nicht ein Bußgeld — die wirtschaftliche Folge war hier gering. Die dogmatische Aussage wiegt schwerer: Wer den Nachweis nicht führen kann, steht datenschutzrechtlich da wie jemand ohne Einwilligung, unabhängig davon, was tatsächlich geschah. Für Bestandslisten, die über Jahre gewachsen sind und deren Herkunft nicht belegbar ist, folgt daraus ein handfestes Risiko: Jede einzelne Beschwerde kann eine Aufsichtsmaßnahme auslösen, und die übliche Verteidigung „wir nutzen doch Double Opt-in” trägt nicht. Der Fall zeigt außerdem, wie eine Aufsichtsbehörde Historie aufbaut — die Behörde übte ihr Ermessen ausdrücklich „in Anbetracht der Historie” aus, nachdem sie dieselbe Firma zuvor bereits zweimal auf denselben Mangel hingewiesen hatte. Als erstinstanzliche Entscheidung ist das Urteil nicht rechtskräftig gefestigt; die Argumentation stützt sich jedoch unmittelbar auf den Wortlaut von Art. 7 Abs. 1 DSGVO und die Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO.

Originalurteil

Der vollständige Urteilstext ist über die folgende Quelle abrufbar:

https://nrwe.justiz.nrw.de/ovgs/vg_duesseldorf/j2026/29_K_9714_24_Urteil_20260727.html