Marketing-Einwilligung und Double Opt-in: Rechtsprechung macht Vorgaben zur Nachweisbarkeit

Warum Double-Opt-in allein nicht genügt: Ein neues Gerichtsurteil bekräftigt die Vorgaben an die Nachweisbarkeit von elektronisch erteilten Einwilligungen

Unternehmen investieren erhebliche Ressourcen in Newsletter, Leadgenerierung und digitale Vertriebsprozesse. Wer etwas verkaufen möchte, ist auf diese Instrumente angewiesen. Damit Kunden und Interessenten kontaktiert werden dürfen, muss in der Regel deren Einwilligung vorliegen. Soweit diese elektronisch, also z. B. über ein Web-Formular, eingeholt wird, ist in Deutschland das Double-Opt-in-Verfahren einzuhalten. Der Empfänger muss, etwa mittels eines Klicks, seine E-Mail-Adresse oder Telefonnummer noch einmal bestätigen. Dies dient dazu, sicherzustellen, dass dieser auch tatsächlich der Inhaber dieser Empfangsvorrichtungen ist. Soweit die ständige Rechtsprechung, welche mittlerweile von den allermeisten Unternehmen beachtet wird.

Rechtlich entscheidend ist jedoch nicht nur, ob eine Marketing-Einwilligung irgendwann technisch eingeholt wurde. Entscheidend ist, ob das Unternehmen die konkrete Einwilligung später auch gegenüber einer Aufsichtsbehörde, einem Gericht oder einem betroffenen Empfänger vollständig und nachvollziehbar nachweisen kann. Und dies dürfte so manches Unternehmen schwitzen lassen.

Das Verwaltungsgericht Düsseldorf hat mit Urteil vom 27. Juli 2026, Az. 29 K 9714/24, die Anforderungen an diesen Nachweis deutlich herausgearbeitet. Eine bloße Dokumentation aus E-Mail-Adresse, IP-Adresse, Datum und Double-Opt-in-IP-Adresse genügt danach nicht. Das Gericht wies die Klage eines Unternehmens gegen eine aufsichtsbehördliche Verwarnung wegen unerlaubter E-Mail-Werbung ab. Im Grunde ist dies weder neu noch überraschend, aber ein guter Anlass, dieses potentielle Compliance-Risiko im eigenen Unternehmen zu identifizieren und zu eliminieren.

Die Kernaussage des Urteils zur Marketing-Einwilligung

Das Verwaltungsgericht Düsseldorf formuliert zwei zentrale Leitsätze:

• Kann der Verantwortliche die Rechtmäßigkeit der Verarbeitung nach Art. 7 Abs. 1 (DSGVO) nicht nachweisen, gilt die Einwilligung als nicht, beziehungsweise nicht wirksam, erteilt.

• Die bloße Speicherung einer E-Mail-Adresse, einer IP-Adresse mit Datum sowie einer Double-Opt-in-IP-Adresse mit Datum ist zum Nachweis der Einwilligung ungeeignet.

Im konkreten Fall hatte ein Unternehmen den Versand von Werbe-E-Mails auf eine angebliche Einwilligung gestützt. Es konnte jedoch weder die konkrete Anmeldung noch die versandte Bestätigungsmail vorlegen. Stattdessen verwies es im Wesentlichen auf gespeicherte Datensätze mit E-Mail-Adresse, IP-Adressen und Zeitstempeln.

Die Klage gegen die Verwarnung blieb erfolglos. Das Gericht stellte klar: Nicht die abstrakte Funktionsweise des Einwilligungsprozesses ist entscheidend, sondern der konkrete Nachweis der Einwilligung des konkreten Empfängers.

Warum viele Unternehmen eine Einwilligung nicht beweisen können

In der Praxis speichern Unternehmen häufig nur einen technischen Datensatz. Dieser enthält etwa:

• die E-Mail-Adresse,
• den Zeitpunkt der Anmeldung,
• die IP-Adresse bei der Anmeldung,
• den Zeitpunkt der Bestätigung,
• die IP-Adresse bei der Bestätigung,
• einen Status wie „confirmed“ oder „subscribed“.

Ein solcher Datensatz kann belegen, dass ein technischer Vorgang stattgefunden hat. Er belegt aber nicht zwingend, welcher Einwilligungstext angezeigt wurde, ob dieser Text wirksam war und ob tatsächlich die betroffene Person selbst eingewilligt hat.

Eine Einwilligung bezieht sich nicht abstrakt auf „Werbung“, sondern auf einen bestimmten Zweck, einen bestimmten Umfang und gegebenenfalls bestimmte werbende Unternehmen oder Produktgruppen. Wird der Einwilligungstext später geändert, lässt sich aus einem aktuellen Screenshot oder einem Musterformular nicht mehr zuverlässig ablesen, welche Erklärung im Zeitpunkt der Anmeldung tatsächlich abgegeben wurde. Das VG Düsseldorf beanstandete gerade, dass das Unternehmen keine konkrete Bestätigungsmail vorlegen konnte. Nach der eigenen Verfahrensbeschreibung hätte es die Double-Opt-in-Mails speichern und bei Bedarf ausdrucken können. Weil dies nicht geschah, durfte die Behörde daraus schließen, dass eine solche Bestätigungsmail nicht vorhanden war.

IP-Adresse und E-Mail-Adresse beweisen keine Identität

Eine IP-Adresse stellt grundsätzlich einen technischen Bezug zu einem Gerät oder Anschluss her. Sie beweist aber nicht, welche Person das Gerät zu einem bestimmten Zeitpunkt bedient hat. Ebenso ist ein E-Mail-Konto nicht zwingend an eine bestimmte Person oder ein bestimmtes Endgerät gebunden.

Das VG Düsseldorf stellte deshalb fest, dass die Kombination aus E-Mail-Adresse und IP-Adresse keine notwendige Beziehung zur betroffenen Person herstellt. Auch die Double-Opt-in-IP-Adresse belegt lediglich einen weiteren technischen Datentransport, nicht aber den Inhalt der übertragenen Erklärung und nicht automatisch deren Urheber. Entsprechend mag dies die Zugriffsberechtigung auf eine Mailbox im Sinne des Double-Opt-In nachweisen, nicht aber die Identität des (vermeintlichen) Bestellers.

Ein Muster ist kein Einzelnachweis

Viele Unternehmen können zwar beschreiben, wie ihr Newsletter-System grundsätzlich funktioniert. Sie legen dann etwa einen Muster-Screenshot des Anmeldeformulars, eine allgemeine Prozessbeschreibung oder eine Test-Bestätigungsmail vor. Das reicht im Streitfall regelmäßig nicht aus. Nach der Rechtsprechung müssen Unternehmen die konkrete Einverständniserklärung des einzelnen Empfängers vollständig dokumentieren. Ein Muster zeigt nur, wie der Prozess hätte funktionieren können. Es beweist nicht, dass der konkrete Empfänger ihn tatsächlich durchlaufen hat.

Besonders problematisch sind Einwilligungen, die über externe Leadgeneratoren, Gewinnspielanbieter, Agenturen oder Newsletter-Dienstleister erhoben wurden. Das werbende Unternehmen muss sich grundsätzlich darauf verlassen können, dass der Dienstleister:

• den konkreten Einwilligungstext speichert,
• die Version des Formulars dokumentiert,
• die Einwilligung dem konkreten Empfänger zuordnet,
• die Bestätigungsmail archiviert,
• Widerrufe und Abmeldungen korrekt verarbeitet und
• die Nachweise auch nach einer Systemmigration noch verfügbar hält.

Eine bloße vertragliche Zusicherung des Dienstleisters oder ein Export aus dessen CRM-System ersetzt den konkreten Einwilligungsnachweis nicht. Auch die Rechtsprechung verlangt von Unternehmen, ihren Datenlieferanten konkrete Dokumentations- und Kontrollvorgaben zu machen.

Welche Nachweise Unternehmen speichern sollten

Unternehmen sollten für jede Marketing-Einwilligung ein revisionssicheres Einwilligungsprotokoll vorhalten. Dieses sollte mindestens die folgenden Informationen enthalten:

• die konkrete E-Mail-Adresse oder sonstige Kontaktadresse,
• Datum und Uhrzeit der Anmeldung,
• Datum und Uhrzeit der Bestätigung,
• den vollständigen Einwilligungstext,
• die konkrete Version des Einwilligungsformulars,
• die URL oder das konkrete Erhebungsmedium,
• die Auswahl der einzelnen Werbekategorien,
• den Namen des werbenden Unternehmens,
• die betroffenen Produkte, Dienstleistungen oder Produktgruppen,
• die IP-Adresse, soweit sie für den dokumentierten Prozess erforderlich und datenschutzrechtlich vertretbar gespeichert wird,
• den Inhalt der versandten Double-Opt-in-Mail,
• den Bestätigungszeitpunkt,
• eine nachvollziehbare Protokollierung von Änderungen,
• Widerrufe, Abmeldungen und Sperrvermerke.

Der wichtigste Punkt ist die Speicherung des konkreten Inhalts. Es genügt nicht, nur auf eine dynamische Datenschutzerklärung oder eine später veränderbare Website zu verweisen. Das Unternehmen muss später rekonstruieren können, was die betroffene Person im Zeitpunkt der Einwilligung tatsächlich gesehen und bestätigt hat. Es ist unseres Erachtens nicht unmöglich, dies zu erreichen, indem Prozess und Versionierungen nachvollziehbar dokumentiert werden. Verzichtet man aber auf eine Archivierung der konkreten Nachweise, besteht deutlich weniger Rechtssicherheit.

Wie ein belastbarer Einwilligungsprozess aussehen kann

Ein rechtssicherer Prozess sollte technisch und organisatorisch darauf ausgelegt sein, im Streitfall einen vollständigen Datensatz zu erzeugen.

Eindeutiges Anmeldeformular

Das Formular sollte die Einwilligung klar von anderen Erklärungen trennen. Ein vorangekreuztes Feld oder eine pauschale Erklärung wie „Ich akzeptiere die Bedingungen“ ist für Marketingzwecke regelmäßig problematisch. Die Einwilligung sollte durch eine aktive, eindeutige Handlung erfolgen. Der Text muss außerdem verständlich beschreiben, worin eingewilligt wird. Unklare Sammelbegriffe wie „Informationen von Partnern“ oder „Angebote aus verschiedenen Bereichen“ können zu weit und damit intransparent sein. Je umfangreicher die geplante Werbung, desto genauer müssen die werbenden Unternehmen und die Produkt- oder Dienstleistungsbereiche beschrieben werden.

Archivierung der vollständigen Anmeldung

Das System sollte nicht nur speichern, dass ein Kontrollkästchen aktiviert wurde. Es sollte den vollständigen Formularinhalt einschließlich der damals gültigen Version des Einwilligungstextes archivieren.

Bewährt haben sich etwa:

• unveränderbare PDF- oder HTML-Versionen,
• Versionsnummern,
• Zeitstempel,
• kryptografische Prüfsummen,
• revisionssichere Protokolle,
• eine Zuordnung zum konkreten CRM-Datensatz.
• Speicherung der Bestätigungsmail

Die versandte Double-Opt-in-Mail sollte zusammen mit dem Bestätigungslink, dem Zeitpunkt des Versands und dem Zeitpunkt der Bestätigung gespeichert werden. Auch der konkrete Inhalt dieser Mail kann im Streitfall relevant sein. Das VG Düsseldorf maß diesem Punkt erhebliche Bedeutung bei. Weil die Klägerin die Bestätigungsmail trotz eigener gegenteiliger Verfahrensbeschreibung nicht vorlegen konnte, wertete das Gericht dies zu ihren Lasten.

Nachweis der Systemfunktion

Ein Unternehmen sollte zusätzlich dokumentieren können, wie der Einwilligungsprozess technisch funktioniert. Dazu gehören etwa:

• Prozessbeschreibung,
• Systemkonfiguration,
• Änderungen am Formular,
• Prüfungen der Datenübertragung,
• regelmäßige Test- und Kontrollnachweise.

Eine solche Prozessbeschreibung ersetzt nicht den individuellen Einwilligungsnachweis. Sie kann aber zeigen, dass der Prozess grundsätzlich geeignet war und ordnungsgemäß betrieben wurde.

Kontrolle externer Anbieter

Wer Einwilligungen von Dritten übernimmt, sollte diese nicht ungeprüft in die eigene Versanddatenbank importieren. Vor einer Nutzung sollte überprüft werden, ob der Anbieter tatsächlich die vorgenannten Nachweise liefern kann. Fehlt ein solcher Nachweis, sollte die Adresse nicht für Marketingzwecke verwendet werden. Verfahren sind ungeeignet sind, wenn unklar bleibt, ob die Erklärung tatsächlich vom Inhaber der adressierten E-Mail-Adresse stammt.

Was bei fehlendem Nachweis droht

Kann ein Unternehmen die Einwilligung nicht nachweisen, steht die Verarbeitung nicht nur unter einem Beweisproblem. Die behauptete Rechtsgrundlage kann vollständig entfallen. Das VG Düsseldorf stellt ausdrücklich klar, dass bei fehlendem Nachweis dieselben Rechtsfolgen eintreten wie bei einer tatsächlich fehlenden wirksamen Einwilligung.

Mögliche Folgen sind insbesondere:

• aufsichtsbehördliche Verwarnungen oder Bußgelder,
• Anordnungen zur Änderung des Einwilligungsprozesses,
• Untersagungen der weiteren Nutzung,
• Löschungsanordnungen,
• wettbewerbsrechtliche Abmahnungen,
• Unterlassungsansprüche,
• Beschwerden betroffener Personen,
• Schadensersatzforderungen,
• Reputationsschäden und der Verlust von Verteidigungsmöglichkeiten.

Die Datenschutzaufsicht kann dabei nicht nur fragen, ob ein Unternehmen theoretisch ein Double-Opt-in-Verfahren nutzt. Sie kann verlangen, dass der Verantwortliche den konkreten Nachweis für die konkrete betroffene Person vorlegt.

Benötigen Sie Unterstützung bei der Prüfung und Optimierung Ihrer Prozesse? Kontaktieren Sie uns.