Ein Urteil des Verwaltungsgerichts (VG) Düsseldorf erschwert den Nachweis einer gültigen Einwilligung für Werbemails. Unternehmen, die E‑Mail‑Marketing betreiben, müssen ihre Prozesse prüfen, um den verschärften Nachweisanforderungen zu genügen. Das Gericht entschied, dass die bloße technische Protokollierung von E‑Mail‑ und IP‑Adressen mit Zeitstempeln nicht ausreicht, um eine Einwilligung nach den Maßstäben der Datenschutz‑Grundverordnung (DSGVO) zu belegen.

Die Entscheidung hat weitreichende praktische Bedeutung für Unternehmen im digitalen Marketing.

Schärfere Anforderungen an den Einwilligungsnachweis

Das VG Düsseldorf klärte in seinem Urteil vom 27. Juli 2026 (Az. 29 K 9714/24), dass die Speicherung einer E‑Mail‑Adresse, einer IP‑Adresse mit Zeitstempel sowie einer Double‑Opt‑In‑IP‑Adresse mit weiterem Zeitstempel nicht genügt. Diese Daten reichen demnach nicht aus, um eine wirksame Einwilligung für Werbemails nachzuweisen.

Dies betrifft Unternehmen, die ihre Datenverarbeitung auf die Zustimmung des Empfängers stützen.

Das Gericht beruft sich auf Artikel 7 Absatz 1 DSGVO. Dieser besagt, dass der Verantwortliche die erteilte Einwilligung nachweisen muss. Kann der Verantwortliche den Nachweis nicht erbringen, gilt die Einwilligung nach den vom VG Düsseldorf zugrunde gelegten Maßstäben als nicht oder nicht wirksam erteilt.

Es treten dieselben Rechtsfolgen ein wie bei einer tatsächlich fehlenden wirksamen Einwilligung.

Der Fall: Streit um das Double Opt‑in

Auslöser des Verfahrens war die Klage einer Betreiberin von Internetportalen im Online‑Marketing. Sie wehrte sich gegen eine Verwarnung der Datenschutzaufsichtsbehörde. Ein Empfänger hatte sich wiederholt über unerwünschte Werbe‑E‑Mails beschwert. Erstmals reichte der Empfänger im Jahr 2020 eine Beschwerde ein.

Eine erneute Beschwerde folgte im Februar 2024. Die Klägerin behauptete, der Betroffene habe am 29. Juni 2023 auf einer ihrer Internetseiten dem Erhalt von Werbe‑E‑Mails zugestimmt.

Die Klägerin stützte ihre Behauptung auf vorgelegte technische Daten: die verwendete E‑Mail‑Adresse, eine IP‑Adresse mit Zeitstempel sowie eine Double‑Opt‑In‑IP‑Adresse mit weiterem Zeitstempel. Eine Bestätigungsmail für eine frühere Anmeldung konnte die Klägerin nicht mehr vorlegen. Auch für die Anmeldung vom 29. Juni 2023 fehlte eine konkrete Bestätigungsmail.

Die Klägerin hatte zwar ein Double‑Opt‑In‑Verfahren eingerichtet, bei dem versandte Double‑Opt‑In‑Mails gespeichert werden sollten. Die konkreten Bestätigungsnachweise konnte sie in diesem Fall jedoch nicht vorweisen. Der Beschwerdeführer bestritt, die fragliche Internetseite besucht oder eine Einwilligung erteilt zu haben.

Er gab an, sich am fraglichen Anmeldetag in Dänemark aufgehalten zu haben. Die vom Unternehmen protokollierte IP‑Adresse war indes einem deutschen Telekom‑Adressbereich zugeordnet.

Gerichtliche Bewertung: Unzureichende Protokollierung

Das VG Düsseldorf sah in den vorgelegten technischen Daten keinen ausreichenden Nachweis. Das Gericht stellte fest: „Aus IP‑Adresse und Zeitstempel ergibt sich nicht, welche Erklärung der Nutzer abgegeben hat.“ Weiter heißt es: „Entscheidend ist vielmehr, ob sich später nachvollziehbar belegen lässt, welche Einwilligung tatsächlich erklärt und bestätigt wurde.“

Das Gericht führte aus, dass eine E‑Mail‑Adresse nicht an ein bestimmtes Gerät gebunden ist. Aus IP‑Adresse und Zeitstempel geht demnach nicht hervor, welche konkrete Erklärung der Nutzer abgegeben hat und welchem Text er zugestimmt hat. Die reine Speicherung von IP‑Adressen und Zeitstempeln reicht deshalb nicht aus, um den Inhalt der Einwilligungserklärung und die Identität des Einwilligenden zweifelsfrei zu belegen.

Auswirkungen auf das E‑Mail‑Marketing

Das Urteil des VG Düsseldorf verschärft die Anforderungen an die Beweissicherung im E‑Mail‑Marketing erheblich. Unternehmen müssen über die reine technische Protokollierung hinaus sicherstellen, dass sich nachvollziehbar belegen lässt, welche Einwilligung erklärt und bestätigt wurde. Insbesondere geht es um die Dokumentation des konkreten Inhalts der Einwilligung und um Nachweise zur Zuordnung zu einer Person.

Welche konkreten Unterlagen oder technischen Aufzeichnungen das VG Düsseldorf als ausreichend angesehen hätte, führt das Gericht nicht explizit aus. Unternehmen werden ihre Consent‑Management‑Systeme prüfen und gegebenenfalls anpassen müssen. Können die geforderten Nachweise nicht erbracht werden, treten nach den vom Gericht zugrunde gelegten Maßstäben dieselben Rechtsfolgen ein wie bei einer fehlenden wirksamen Einwilligung.

Dies kann Verfahren gegenüber Datenschutzaufsichtsbehörden nach sich ziehen. Die Entscheidung des VG Düsseldorf gibt damit wichtige Hinweise darauf, welche Nachweisanforderungen Gerichte an die Dokumentation von Einwilligungen im digitalen Marketing stellen. Marktexperten erwarten, dass dies zu einer verstärkten Investition in transparente und manipulationssichere Consent-Systeme führen wird.