VG Düsseldorf, Urteil vom 27.07.2026 – 29 K 9714/24
Datum: 25.08.2026
Der Fall
Ein Online-Marketing-Unternehmen versandte Werbe-E-Mails und berief sich auf eine per Double-Opt-In (DOI) erteilte Einwilligung. Als Nachweis legte es der Aufsichtsbehörde einen Datenbankeintrag vor: E-Mail-Adresse, IP-Adresse mit Zeitstempel der Anmeldung, zweite IP-Adresse mit Zeitstempel der Bestätigung. Die Bestätigungsmail selbst konnte es nicht vorlegen.
Die Aufsichtsbehörde verwarnte das Unternehmen (Art. 58 Abs. 2 lit. b DSGVO); die Klage dagegen wies das VG Düsseldorf ab.
Zum Hintergrund: Derselbe Beschwerdeführer hatte sich bereits 2020 beschwert, die Behörde hatte 2022 ausdrücklich auf die Dokumentationspflicht hingewiesen, und das Unternehmen hatte ihr schriftlich erklärt, alle DOI-Mails per BCC zu archivieren. Der Beschwerdeführer konnte zudem darlegen, sich am angeblichen Anmeldetag im Ausland aufgehalten zu haben.
Was das Gericht entschieden hat
Die Beweislast liegt beim Verantwortlichen. Nach Art. 7 Abs. 1 DSGVO muss nachweisen können, wer sich auf eine Einwilligung beruft. Gelingt das nicht, gilt die Einwilligung als nicht erteilt – mit denselben Rechtsfolgen, als hätte es sie nie gegeben.
IP-Adresse und Zeitstempel tragen diesen Nachweis nicht, aus zwei unabhängigen Gründen:
- Kein Personenbezug: Eine IP-Adresse adressiert ein Gerät, ein E-Mail-Konto ist nicht an ein Gerät gebunden.
- Kein Erklärungsinhalt: Aus IP und Zeitstempel ergibt sich nicht, was erklärt wurde – welchem Text, für welchen Zweck, auf welcher Formularfassung.
Eine Verfahrensbeschreibung ersetzt den Einzelnachweis nicht. Da die selbst zugesagte BCC-Kopie fehlte, schloss das Gericht, dass es die Bestätigungsmail nie gegeben hat.
Wie verbindlich ist das?
Formal begrenzt: erstinstanzliches Verwaltungsgericht, Bindung nur zwischen den Beteiligten, Berufung nicht zugelassen, Rechtskraft nicht dokumentiert. Weder andere Gerichte noch andere Aufsichtsbehörden sind gebunden.
Inhaltlich dennoch relevant: Das Gericht erfindet keine neue Pflicht. Die Beweislast folgt direkt aus Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO; die Zivilgerichte verlangen die vollständige Dokumentation der konkreten Einwilligung seit 2011 (BGH, I ZR 164/09). Verbindlich ist nicht das Urteil, sondern das, was es anwendet.
Was aus dem Urteil nicht folgt:
- Das Double-Opt-In wurde nicht beanstandet – nur dessen Dokumentation.
- Es besteht keine Pflicht, Bestätigungsmails zu archivieren. Das Gericht schreibt keine Speicherform vor, sondern verwirft nur das konkret vorgelegte Beweismittel.
- IP-Protokollierung bleibt ein sinnvoller Baustein; sie trägt den Nachweis nur nicht allein.
- Der Fall war stark einzelfallgeprägt: Wiederholungsfall, vorheriger Behördenhinweis, Widerspruch zur eigenen Verfahrensbeschreibung, substantiierter Gegenvortrag des Betroffenen.
Was technisch erreichbar ist – und was nicht
Ein lückenloser Identitätsnachweis ist bei E-Mail-Werbung strukturell unmöglich. Der Absender kann nicht prüfen, wer Zugriff auf ein Postfach hat. Auch eine archivierte Bestätigungsmail beweist nur, dass eine Mail mit bestimmtem Inhalt an eine bestimmte Adresse ging – nicht, wer den Link geklickt hat.
Erreichbar ist eine Nachweiskette, die den Anschein trägt und den Betroffenen im Bestreitensfall zu substantiiertem Gegenvortrag zwingt. Genau das ist der Maßstab, den auch der BGH anlegt: Nach dokumentierter Bestätigung muss der Empfänger darlegen, dass sie nicht von ihm stammt.
Zwei praktische Baustellen:
Automatisierte Klicks. Sicherheitsgateways (Safe Links, URL Defense, Mimecast u. a.) rufen Links vor der Zustellung auf. Ein reiner Link-Aufruf ist deshalb ein schwaches Beweismittel. Abhilfe: Die Bestätigung erfolgt nicht durch den Aufruf, sondern durch eine zweite Aktion auf der Zielseite – technisch ein POST mit Einmal-Token, dem Scanner in aller Regel nicht folgen. Als negativer Indikator zusätzlich protokollieren: Zeitabstand zum Versand (unter wenigen Sekunden praktisch immer maschinell), Server-User-Agents, Rechenzentrums-IP-Bereiche.
Inhalt der Erklärung. Auf der Bestätigungsseite wird der Einwilligungstext erneut angezeigt. Damit deckt ein Ereignis beide Anforderungen des Urteils ab: Zuordnung zum Postfach über den Token und Inhalt der Erklärung über die protokollierte Textfassung.
Statt einer BCC-Archivierung aller Mails empfiehlt sich ein strukturierter Consent-Log-Eintrag: Token-ID, Template-Version, gerenderter Einwilligungstext oder dessen Hash, Zeitstempel für Versand, Aufruf und Bestätigung, Zielpostfach. Gleicher Beweiswert, deutlich weniger Datenbestand (Art. 5 Abs. 1 lit. c DSGVO), im Streitfall ausdruckbar.
Hinweis: Die zweistufige Bestätigung kostet erfahrungsgemäß 5–15 % Konversion. Bei Bestandskunden-Newslettern unkritisch, bei Lead-Generierung eine Abwägungsfrage.
Prüfliste
Die Frage lautet nicht „Haben wir ein Double-Opt-In?“, sondern:
Könnten wir für einen einzelnen Empfänger belegen, wer wann welchem konkreten Text zugestimmt hat?
| # | Prüfpunkt |
| 1 | Wird der Wortlaut der Einwilligung zum Anmeldezeitpunkt gespeichert – nicht nur ein Verweis auf die aktuelle Fassung? |
| 2 | Sind Einwilligungstext und Formular versioniert, sodass Änderungen Altnachweise nicht überschreiben? |
| 3 | Wird der Inhalt der DOI-Mail protokolliert, nicht nur der Versandzeitpunkt? |
| 4 | Ist der Bestätigungsvorgang über einen individuellen Einmal-Token eindeutig dem Postfach zugeordnet? |
| 5 | Erfolgt die Bestätigung als eigene Aktion auf der Zielseite statt allein durch Link-Aufruf? |
| 6 | Sind Widerruf und Abmeldung ebenso nachvollziehbar erfasst? |
| 7 | Regelt das Löschkonzept, wie lange Nachweise aufbewahrt werden – und aus welchem Grund? |
| 8 | Hält der Dienstleister (Newsletter-Tool, Lead-Lieferant) diese Daten vor und gibt sie heraus? Ist das im AV-Vertrag geregelt? |
| 9 | Stimmt das gelebte Verfahren mit der dokumentierten Verfahrensbeschreibung überein? |
Zu Punkt 9: Der Klägerin wurde genau diese Abweichung zum Verhängnis. Eine Verfahrensbeschreibung, die nicht eingehalten wird, ist schlechter als keine.
Zu Punkt 7: Die Einlassung „aus Datenschutzgründen gelöscht“ hat nicht entlastet. Der Zielkonflikt zwischen Speicherbegrenzung (Art. 5 Abs. 1 lit. e) und Rechenschaftspflicht (Art. 5 Abs. 2, Art. 7 Abs. 1) gehört ins Löschkonzept – nicht in eine spontane Begründung gegenüber der Aufsicht. Umgekehrt rechtfertigt die Nachweispflicht kein Vollarchiv.
Nicht vergessen: das UWG
Das Urteil betrifft nur die datenschutzrechtliche Seite. Daneben gilt § 7 UWG unverändert: vorherige ausdrückliche Einwilligung, enge Ausnahme für Bestandskundenwerbung nach § 7 Abs. 3 UWG mit kumulativen Voraussetzungen. Beide Prüfungen ersetzen einander nicht.
Fazit
Ein erstinstanzliches Urteil mit begrenzter Reichweite, das aber eine unbequeme Lücke sichtbar macht: Viele Consent-Datenbanken speichern, dass etwas passiert ist – nicht, was erklärt wurde und von wem. Im Regelbetrieb genügt das; im Beschwerdefall nicht.
Der Aufwand für eine Nachbesserung ist überschaubar, wenn er im Anmeldeprozess ansetzt. Rückwirkend lässt sich eine fehlende Dokumentation nicht herstellen.
Gerne prüfen wir Ihr Einwilligungsmanagement gemeinsam durch.
Stand der Information zum Zeitpunkt der Erstellung; allgemeine Orientierung, keine Rechtsberatung im Einzelfall. Fundstelle: Rechtsprechungsdatenbank NRWE, Az. 29 K 9714/24.
