Wer Newsletter oder andere Werbe-E-Mails versendet, muss die zugrunde liegende Einwilligung im Einzelfall nachvollziehbar nachweisen können. Ein Datensatz mit E-Mail-Adresse, IP-Adressen und Zeitstempeln des Anmelde- und Bestätigungsprozesses reicht dafür nicht aus. Das hat das Verwaltungsgericht Düsseldorf mit Urteil vom 27. Juli 2026 entschieden.
Urteil kompakt zusammengefasst
Ein Double-Opt-In-Verfahren bleibt sinnvoll. Es schützt jedoch nur dann zuverlässig, wenn Unternehmen den konkreten Einwilligungsvorgang vollständig und später lesbar dokumentieren können.
Worum ging es vor dem VG Düsseldorf?
Ein Unternehmen hatte Werbe-E-Mails versendet und sich auf eine Einwilligung des Empfängers berufen. Als Nachweis legte es die E-Mail-Adresse, eine IP-Adresse mit Zeitpunkt der Anmeldung sowie eine weitere IP-Adresse mit Zeitpunkt der Bestätigung vor. Einen Ausdruck der versendeten Bestätigungsmail konnte das Unternehmen nicht vorlegen.
Das Gericht wies die Klage gegen die datenschutzrechtliche Verwarnung ab. Die Angaben belegten weder, welche Person die Erklärung abgegeben hatte, noch welchen konkreten Inhalt die Einwilligung hatte. Eine IP-Adresse dokumentiert nach Auffassung des Gerichts lediglich einen technischen Übertragungsvorgang. Sie lässt keinen sicheren Schluss darauf zu, wer das Gerät genutzt oder welche Erklärung bestätigt hat.
Was bedeutet das für Newsletter und E-Mail-Werbung?
Das Urteil verwirft das Double-Opt-In nicht. Entscheidend ist die Dokumentation rund um den Bestätigungslink. Wer die Verarbeitung einer E-Mail-Adresse auf eine Einwilligung stützt, muss später zeigen können, dass genau diese Adresse genau der damals verwendeten Erklärung zugestimmt hat. Kann dieser Nachweis nicht geführt werden, behandelt das Gericht die Einwilligung wie nicht oder nicht wirksam erteilt.
Für Unternehmen ist das eine klare Kontrollfrage: Reicht ein Blick in den Datensatz aus, damit eine sachkundige dritte Person den gesamten Einwilligungsvorgang versteht? Wenn nicht, besteht Handlungsbedarf.
Diese Informationen sollten Unternehmen speichern
Ein belastbarer Einwilligungsnachweis muss nicht kompliziert sein. Für jede bestätigte Adresse sollte ein Vorgang eindeutig zusammengeführt werden. Dazu gehören insbesondere:
- die E-Mail-Adresse und eine eindeutige Vorgangs- oder Token-ID,
- Datum und Uhrzeit der Anmeldung,
- der konkrete Einwilligungstext einschließlich Versionsstand,
- die bei der Anmeldung angezeigten wesentlichen Informationen,
- der Inhalt der tatsächlich versendeten Double-Opt-In-Mail oder ein unveränderbarer, lesbarer Export,
- Datum und Uhrzeit der Bestätigung sowie der Bestätigungsstatus,
- die nachvollziehbare Zuordnung aller Informationen zu derselben Anmeldung.
IP-Adressen und technische Zeitstempel können den Vorgang ergänzen. Sie ersetzen den Nachweis des Einwilligungstextes und der versendeten Bestätigungsmail aber nicht.
So setzen Sie die Anforderungen pragmatisch um
Versionieren Sie Einwilligungstexte zentral und verknüpfen Sie jede Anmeldung dauerhaft mit der damals gültigen Fassung. Überschreiben Sie alte Texte nicht. Archivieren Sie außerdem die relevante Double-Opt-In-Mail so, dass sie dem jeweiligen Vorgang zugeordnet, lesbar vorgelegt und ausgedruckt werden kann.
Prüfen Sie technisch, dass nur bestätigte Adressen in den Werbeverteiler gelangen. Nicht bestätigte Anmeldungen sollten nach einem angemessenen Zeitraum gelöscht oder anonymisiert werden, soweit keine andere Rechtsgrundlage für eine Speicherung besteht. Widerrufe und Abmeldungen müssen im Versandbestand unmittelbar berücksichtigt werden (Art. 7 Abs. 3 DSGVO).
Besondere Aufmerksamkeit verdienen Altbestände und externe Newsletter- oder CRM-Systeme. Vor einer Übernahme in neue Verteiler sollte geprüft werden, ob der jeweilige Einwilligungsvorgang vollständig rekonstruierbar ist. Nutzen Sie Dienstleister, muss vertraglich und technisch sichergestellt sein, dass die erforderlichen Nachweise exportiert und bei einer Prüfung bereitgestellt werden können (Art. 28 DSGVO).
