Einwilligung nachweisen: Was in ein Double-Opt-in-Protokoll gehört

Was heißt es, eine Einwilligung nachzuweisen?

Wer Werbung auf eine Einwilligung stützt, muss nach Art. 7 Abs. 1 DSGVO nachweisen können, dass die Person eingewilligt hat. Das gilt auch für E-Mail-Werbung. Laut den Erläuterungen in der DSGVO-Textausgabe der BfDI ist eine elektronisch erteilte Einwilligung zu protokollieren. Die Pflicht gilt nicht nur vor Gericht, sondern auch gegenüber der Aufsichtsbehörde.

„DOI-Protokoll“ ist ein Praxisbegriff für die Dokumentation eines Double-Opt-in (DOI). Eine bestimmte Methode schreibt die DSGVO nicht vor. Für Werbeanrufe bei Verbrauchern verlangt § 7a UWG zusätzlich, die Einwilligung schon bei ihrer Erteilung „in angemessener Form“ zu dokumentieren. Den Rechtsrahmen erklärt der Ratgeber Double-Opt-in: Was für E-Mail- und Telefonwerbung gilt, die Regeln für Anrufe der Beitrag zur Einwilligung in Telefonwerbung.

Die genauesten Vorgaben stehen in den Auslegungshinweisen der Bundesnetzagentur zu § 7a UWG (Stand 7. Juli 2022). Dazu kommt die Orientierungshilfe Direktwerbung der Datenschutzkonferenz (DSK) (Stand Februar 2022). Beide geben die Sicht der Behörden wieder, Gesetze oder Urteile sind sie nicht. Die Bundesnetzagentur beschreibt nach eigener Aussage Mindestanforderungen und lässt die technische Umsetzung grundsätzlich offen.

Wer muss im Streit was beweisen?

Nach dem Urteil des BGH vom 10. Februar 2011, I ZR 164/09, trägt das werbende Unternehmen die Darlegungs- und Beweislast. Der Europäische Datenschutzausschuss (EDSA) sieht das für die DSGVO ebenso.

Laut Bundesnetzagentur gehen Zweifel zulasten des Verantwortlichen. Die Richtigkeit der Daten muss gesichert erscheinen, nicht bloß möglich.

Bei E-Mail-Werbung muss laut BGH die Person darlegen, dass jemand anderes bestätigt hat, wenn sie das behauptet. Eine Prüfliste für den Nachweis bei Newsletter-Anmeldungen bietet dialogradar.de.

Was gehört in ein Double-Opt-in-Protokoll?

Die genaueste Feldliste hat die Bundesnetzagentur für Telefonwerbung aufgestellt. Für E-Mail gibt es keine eigene Liste, die DSK verlangt aber allgemein einen vollständigen Nachweis samt Wortlaut. Die Tabelle zeigt, was Behörden in einem Nachweis erwarten; ein geprüftes Muster ist sie nicht.

Feld	Was festgehalten wird	Quelle
Wer: einwilligende Person	Vor- und Zuname, Wohnanschrift, die Abgabe der Einwilligung selbst, gegebenenfalls die Rufnummer für Werbung. Das Geburtsdatum ist nicht nötig.	Bundesnetzagentur
Wer: einholendes Unternehmen	Firma, Firmensitz, ladungsfähige Anschrift; beteiligte Beschäftigte nur pseudonymisiert, etwa mit internem Kürzel	Bundesnetzagentur
Was: Reichweite	Wer die Einwilligung nutzen darf und für welche Produkte, konkret benannt („Gas/Strom“ statt „Energielieferverträge“); eine vereinbarte Geltungsdauer	Bundesnetzagentur
Was: Sponsorenliste	Bei mehreren Werbenden die Liste originalgetreu in Text, Gestaltung und Linkstruktur	Bundesnetzagentur
Was: Text und Version	Vollständiger Wortlaut und welche Informationen die Person wann erhielt, etwa über revisionsfest abgelegte Texte mit Versionsnummer	Bundesnetzagentur, DSK
Wann: Zeitpunkt	Datum, bei elektronischer Einholung mit genauer Uhrzeit (Zeitstempel). Über die Uhrzeit lässt sich die Angabe durch Befragung überprüfen.	Bundesnetzagentur
Wie: Kontext	Weg und Informationsstand, etwa Vertragsschluss, Gewinnspiel oder Rückrufbitte; Gestaltung und Einbindung der Klausel originalgetreu	Bundesnetzagentur
Wie: Online-Formular	Verwendete URL, Einbettung in soziale Netzwerke, Gestaltungsnachweis wie ein Screenshot, Hinweise zum Widerruf	Bundesnetzagentur
Wie: Verifizierung	Beleg, dass die genannte Person die Erklärung selbst abgegeben hat, und zwar für den Kanal, über den geworben wird	Bundesnetzagentur, DSK
Danach: Widerruf	Wer widerrufen hat, gegenüber wem, ganz oder teilweise, wann	Bundesnetzagentur
Danach: Verwendung (Telefon)	Letzter Werbeanruf mit Auftraggeber, Callcenter, vollem Namen, Datum, verwendeter und angerufener Rufnummer	Bundesnetzagentur

Reichweite und Sponsorenliste gehören ins Protokoll, weil die Person laut BGH wissen muss, für welche Werbung und welche Unternehmen sie einwilligt. So entschied er am 25. Oktober 2012 (I ZR 169/10) und am 28. Mai 2020 (I ZR 7/16).

Laut Bundesnetzagentur erfasst die Dokumentationspflicht keine höchstpersönlichen Angaben ohne Bedeutung für die Einwilligung, etwa Gesundheitsdaten oder Passwörter. Der EDSA mahnt, für den Nachweis nicht mehr Daten zu erheben als nötig.

Die Angaben sollen laut Bundesnetzagentur vollständig, für Dritte nachvollziehbar, wahrheitsgemäß, aktuell und nach dem Stand der Technik gegen Manipulation geschützt sein. Korrekturen müssen erkennbar sein, die ursprüngliche Aufzeichnung bleibt sichtbar. Die Daten sind vor vorzeitiger Löschung zu schützen, die Speicherformate müssen auslesbar bleiben.

Was genügt als Nachweis nicht?

• Eine gespeicherte IP-Adresse: Im BGH-Fall ließ sie sich den Angerufenen nicht zuordnen. Die DSK sieht das ebenso.
• Eine Klausel mit angehängter Teilnehmertabelle (Bundesnetzagentur). Belegt werden muss, dass die Person die Website besucht und die Erklärung von dort abgeschickt hat.
• Der Hinweis, die Website sei korrekt eingerichtet (EDSA).
• Ein Zeuge, der das Verfahren beschreibt (BGH).
• Ein Gesprächsvermerk statt einer Aufzeichnung (Bundesnetzagentur).
• Ein Protokoll ohne den späteren Widerruf. Die Bundesnetzagentur nennt das eine irreführende Teilwahrheit.
• Eine Bestätigungsmail als Beleg für eine Telefonnummer (BGH, Bundesnetzagentur, DSK).

Welcher Beleg passt zu welchem Kanal?

Warum ein E-Mail-Double-Opt-in laut BGH und Behörden die Telefonnummer nicht belegt, erklärt der Ratgeber zum Double-Opt-in. Im Feld „Verifizierung“ steht deshalb ein Beleg für genau den Kanal, über den geworben wird, wie ihn die DSK verlangt. Zur SMS als Beleg äußern sich beide Behörden:

• Bundesnetzagentur: Sie nennt technikoffen Beispiele, darunter die „aktive Rücksendung einer Authentifizierungs-SMS durch den Erklärenden“. Ob eine Methode genügt, sei im Einzelfall zu prüfen.
• DSK: Bei Codes per SMS oder Anruf sei „wegen der leichten Fälschbarkeit in der Regel die Beweiskraft solcher Verfahren als gering anzusehen“. Die Bundesnetzagentur zitiert diese Passage selbst.

Welche Verfahren es zur Verifizierung von Telefonnummern gibt, zeigt die Übersicht zum Marktstand.

Telefonisch erteilte Einwilligungen hält man laut Bundesnetzagentur mit einer Aufzeichnung des gesamten Gesprächsabschnitts fest. Darin nennt das Callcenter Datum, Firma, Name und Anschrift der Person sowie Inhalt und Umfang der Einwilligung. Gespeichert wird so, dass die Aufnahme vor Fristablauf weder verändert noch gelöscht werden kann. Aufgezeichnet werden darf nur, wenn beide Gesprächspartner zustimmen.

Wie lange muss der Nachweis aufbewahrt werden?

	E-Mail-Werbung	Telefonwerbung an Verbraucher
Pflicht	Nachweis nach Art. 7 Abs. 1 DSGVO	Zusätzlich Dokumentation nach § 7a UWG
Frist (Stand November 2026)	Keine gesetzliche Spezialfrist; die DSK nennt die Regelverjährung von drei Jahren als Maßstab	Fünf Jahre ab Erteilung, nach jeder Verwendung neu
Grenze	Laut EDSA nur so lange, wie für eine rechtliche Verpflichtung oder für Rechtsansprüche unbedingt nötig	Nach Fristende entfällt die Pflicht; meist folgt eine Löschpflicht

Bei Telefonwerbung läuft die erste Frist ab Erteilung, auch wenn die Einwilligung nie genutzt wird. Als Verwendung zählt laut Bundesnetzagentur nur ein zustande gekommenes Werbegespräch. Anrufversuche, Anrufmaschinen, Rückrufe der Person oder eine andere Person am Anschluss zählen nicht.

Laut Bundesnetzagentur besteht während der Frist grundsätzlich kein Löschanspruch nach Art. 17 DSGVO; vertragliche Löschpflichten heben die gesetzliche Aufbewahrungspflicht nicht auf. Ist der Nachweis gelöscht, braucht es für weitere Anrufe nach ihrer Auffassung eine neue Einwilligung.

Für E-Mail-Werbung beruft sich die DSK auf die Verjährung nach § 31 Abs. 2 Nr. 1 OWiG und § 195 BGB. Einen Fristbeginn nennt sie nicht. Nach dem Grundsatz der Speicherbegrenzung sollen Verantwortliche Löschfristen oder regelmäßige Überprüfungen festlegen.

Ein Widerruf ist jederzeit möglich und muss so einfach sein wie die Einwilligung. Laut DSK muss der Nachweis danach weiter möglich sein, auch wenn die Daten aus der Werbedatenbank gelöscht sind. Darauf ist schon bei der Erhebung hinzuweisen. Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. c oder f DSGVO.

Wer dokumentiert bei Callcentern und gekauften Adressen?

Laut Bundesnetzagentur sind Callcenter und Auftraggeber beide verpflichtet, gleich wie ihr Vertrag aussieht. Verantwortlich ist die Geschäftsleitung; delegieren geht, die Verantwortung bleibt. Ein Widerruf muss nur einmal erklärt werden, der Auftraggeber sorgt dafür, dass alle Callcenter unverzüglich davon erfahren.

Für zugekaufte Einwilligungen gilt laut Bundesnetzagentur: Die eigene Pflicht beginnt spätestens mit dem Erhalt der Daten, vor dem ersten Anruf. Der Dritte muss seine Dokumentation schon bei Erteilung angelegt haben. Wer sie übernimmt, muss sie prüfen, auch nach Wortlaut und Gestaltung des Einwilligungstextes. Eine ungenügende Dokumentation trotzdem zu nutzen, ist laut Bundesnetzagentur ein eigener Verstoß gegen § 7a UWG.

Was passiert, wenn die Bundesnetzagentur den Nachweis verlangt?

Der Nachweis ist der Bundesnetzagentur auf Verlangen unverzüglich vorzulegen. Laut ihren Auslegungshinweisen kann sie ihn grundsätzlich ohne Begründung verlangen, wegen der Pflicht ab Erteilung auch vor Anrufen, etwa in einer laufenden Kampagne. In der Regel genügt ihr eine gegen Veränderung gesicherte Kopie in einem gängigen Datenformat.

Für Verstöße gegen Dokumentations- und Aufbewahrungspflicht sind nach § 20 UWG Bußgelder bis 50.000 € möglich (Stand November 2026). Mehr dazu im Beitrag zur Einwilligung in Telefonwerbung.

Fehlt für ältere Einwilligungen eine ausreichende Dokumentation, muss sie laut Bundesnetzagentur vor dem nächsten darauf gestützten Anruf nachgeholt werden.

Dieser Leitfaden erklärt Behördenpapiere und Urteile. Eine Prüfung im Einzelfall ersetzt er nicht.