Als Profi ist Ihnen bestimmt geläufig: Will Ihr Unternehmen einen E-Mail-Newsletter verschicken, bedarf es grundsätzlich der vorherigen ausdrücklichen Einwilligung des Inhabers der E-Mail-Adresse. Oft kommt hier das Double-Opt-in-Verfahren (DOI-Verfahren) zum Einsatz. Und dennoch muss hier einiges bedacht werden, wie ein Urteil des Verwaltungsgerichts (VG) Düsseldorf vom 27.7.2026 (Az. 29 K 9714/24) zeigt.
Das war passiert
Ein Mann meldete sich bei der Datenschutzaufsichtsbehörde in Nordrhein-Westfalen. Er beschwerte sich, dass er am 12.4.2020 unerwünschte Werbe-E-Mails eines Unternehmens auf seine private E-Mail-Adresse erhalten habe. Seine E-Mail-Adresse hätte er hierfür nie bereitgestellt. Die Aufsichtsbehörde, die spätere Beklagte, nahm Kontakt zum werbenden Unternehmen, dem späteren Kläger, auf. Die Behörde stellte Fragen zum konkreten Fall.
Der Anwalt des Klägers beantwortete die Fragen der Aufsichtsbehörde. Der Mann hätte die Webseite am 29.6.2019 besucht und seine E-Mail-Adresse für den Erhalt von Werbe-E-Mails angegeben. Zudem hätte er die Einverständniserklärung angeklickt. Die Bestätigungs-E-Mail könne man aber nicht vorlegen, weil man diese aus Datenschutzgründen nicht speichere.
Aufsichtsbehörde fordert DOI-Verfahren
Im Juni 2022 hörte die Aufsicht den Kläger zum beabsichtigten Erlass einer Anweisung an. Die Behörde wollte den Kläger verpflichten, ein DOI-Verfahren einzusetzen, das Verfahren schriftlich zu beschreiben und der Aufsicht vorzulegen. Der Anwalt des Klägers antwortete hierzu, dass man bereits ein solches DOI-Verfahren implementiert hätte, und legte eine Prozessbeschreibung vor. Ende Oktober 2022 machte die Behörde deutlich, dass ein wirksames DOI-Verfahren eine vollständige Dokumentation der Einwilligung, deren Speicherung und eine Möglichkeit zum Ausdrucken umfasse.
Mann erhält erneut Werbung
Mitte Februar 2024 passierte dann Folgendes: Der Mann, der sich schon einmal bei der Aufsicht wegen E-Mail-Werbung beschwerte, erhielt erneut Werbung vom Kläger. Also wandte er sich mit einer neuen Beschwerde an die Aufsichtsbehörde. Er hätte nie die Webseite des Klägers besucht und auch keine Einwilligung erteilt. Die Aufsichtsbehörde forderte den Kläger zur erneuten Stellungnahme und Beantwortung von Fragen auf. Der Kläger teilte der Behörde mit, dass eine Einwilligung des Mannes vorliege.
Behörde spricht Verwarnung aus
Nach den Antworten des Klägers entschloss sich die Aufsicht zu einer Verwarnung. Aus ihrer Sicht konnte der Kläger keine Einwilligung als Grundlage für die Verarbeitung personenbezogener Daten nachweisen. Das werbende Unternehmen wollte das nicht akzeptieren und klagte vor dem VG Düsseldorf gegen den Bescheid.
So entschied das VG
Der Bescheid ist rechtmäßig ergangen. Es bestehen weder formelle Bedenken, noch fehlt es an der materiellen Rechtmäßigkeit. Der Kläger ist nicht in seinen Rechten verletzt.
Die Voraussetzungen für eine Verwarnung sind gegeben. Der Kläger konnte nicht die Einwilligung des Beschwerdeführers in die Verarbeitung seiner personenbezogenen Daten nachweisen. Art. 7 Abs. 1 Datenschutz-Grundverordnung (DSGVO) macht zur Vorgabe, dass ein Verantwortlicher erteilte Einwilligungen nachweisen können muss. Ein solcher Nachweis wurde aber nicht erbracht. Insbesondere wurde kein Ausdruck einer Bestätigungs-E-Mail vorgelegt, welcher das Absenden dieser E-Mail aus dem E-Mail-Konto des Beschwerdeführers belegt.
In diesem Zusammenhang reicht es nicht aus, wenn E-Mail-Adresse, IP-Adresse und Zeitstempel festgehalten werden. Diese Informationen eignen sich nicht als Nachweis. Gerade eine IP-Adresse ist nicht einem bestimmten Nutzer zugeordnet. Vielmehr handelt es sich nur um die Adresse eines Geräts, über das sich ein Anschlussinhaber ermitteln lässt. Das muss nicht der Nutzer sein. Auch lassen Datenpakete keine Einwilligung erkennen..
Kein Nachweis, keine Einwilligung
Eine Einwilligung gilt als nicht bzw. nicht wirksam erteilt, wenn ein Verantwortlicher diese nicht nachweisen kann. Es kommt zu den gleichen Rechtsfolgen wie bei einer tatsächlich fehlenden Einwilligung. Es fehlt an der Rechtmäßigkeit der Verarbeitung. Die Beweislast liegt beim Verantwortlichen, sodass dieser sich nicht auf entgegenstehende Umstände beim Betroffenen berufen kann.
Verwarnung war verhältnismäßig
Die Verwarnung ist als Rechtsfolge nicht zu beanstanden. Die Aufsichtsbehörde hat ihr Ermessen fehlerfrei ausgeübt und die mildeste Abhilfemaßnahme nach Art. 58 Abs. 2 DSGVO gewählt.
