VG Düsseldorf 29 K 9714/24: IP-Adresse und Zeitstempel sind kein Double-Opt-in-Nachweis

Was entschieden wurde

Wer als Double-Opt-in-Nachweis nur E-Mail-Adresse, IP-Adresse und Zeitstempel vorlegt, kann damit keine Einwilligung in Werbemails belegen. So hat es das Verwaltungsgericht (VG) Düsseldorf am 27. Juli 2026 entschieden (29 K 9714/24). Ein Leitsatz, also ein der Entscheidung vorangestellter Kernsatz, nennt solche Daten „zum Nachweis der erteilten Einwilligung ungeeignet“.

Geklagt hatte ein Unternehmen, das Internetportale betreibt, gegen eine Verwarnung der Datenschutzaufsicht. Das VG wies die Klage ab.

Das VG hat die Berufung nicht zugelassen. Das Unternehmen konnte beantragen, dass das Oberverwaltungsgericht NRW sie zulässt. Ob das Urteil rechtskräftig ist, ist offen. Die Datenbank NRWE enthält keinen Rechtskraftvermerk, und ob die Zulassung beantragt wurde, ist nicht bekannt (Stand November 2026).

2020 beschwerte sich ein Mann bei der Aufsicht über unerwünschte E-Mails des Unternehmens an seine private Adresse. Das Unternehmen ließ erklären, es könne die Bestätigungsmail nicht vorlegen, weil es sie „aus Datenschutzgründen“ nicht speichere.

2022 beschrieb das Unternehmen der Aufsicht sein Verfahren. Nach eigener Darstellung gingen alle Mails mit Bestätigungslink in Blindkopie an eine eigene Adresse und wurden dort zum Ausdrucken gespeichert. Die Aufsicht antwortete, ein wirksames Double-Opt-in (DOI) erfordere eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und die Möglichkeit, sie auszudrucken.

Im Februar 2024 beschwerte sich derselbe Mann erneut über eine Werbemail. Er habe nicht eingewilligt und sei am vom Unternehmen genannten Einwilligungstag, dem 29. Juni 2023, in Dänemark gewesen. Das Unternehmen legte E-Mail-Adresse, IP-Adresse und eine zweite „DOI IP“ vor, jeweils mit Zeitstempel, aber keine Bestätigungsmail. Die Aufsicht verwarnte es; das Unternehmen klagte und trug vor, sein Verfahren sei von der Aufsicht genehmigt gewesen.

Wie das Gericht begründet

Nach Art. 58 Abs. 2 lit. b DSGVO darf die Aufsicht einen Verantwortlichen verwarnen, der mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat. Der Verstoß: Das Unternehmen hat die Einwilligung, hier die einzige in Betracht kommende Rechtsgrundlage, nicht nach Art. 7 Abs. 1 DSGVO nachgewiesen.

Dass der Mann eingewilligt hatte, hielt das Gericht für „praktisch ausgeschlossen“, stützte die Entscheidung aber ausdrücklich nicht darauf. Weil die Beweislast beim Unternehmen als Verantwortlichem liegt, half es ihm nicht, die Angaben des Mannes zu Dänemark anzuzweifeln. Gelingt der Nachweis nicht, gilt die Einwilligung als nicht wirksam erteilt, mit denselben Folgen wie bei tatsächlich fehlender Einwilligung.

Zwischen IP-Adresse und E-Mail-Adresse gibt es laut Urteil „keinen notwendigen Zusammenhang“; ein E-Mail-Konto ist nicht an ein Gerät gebunden. Eine IP-Adresse mit Zeitstempel zeigt nur, dass zu dieser Zeit Daten von einem Gerät mit dieser Adresse übertragen wurden. Darüber lässt sich der Anschlussinhaber ermitteln, nicht aber, wer am Gerät saß.

Für die zweite, als „DOI IP“ angegebene Adresse gilt dasselbe. Unabhängig davon zeigt keine der IP-Adressen, was übertragen wurde, also auch nicht, dass überhaupt eingewilligt wurde.

Auch die Verfahrensbeschreibung half nicht, weil das Unternehmen sein eigenes Verfahren nicht einhielt. Mit der beschriebenen Ablage hätte es die Bestätigungsmail vorlegen können. Dass es das nicht tat, „lässt nur den Schluss zu, dass es keine Bestätigungsmail gibt“.

Ein Abweichen von Art. 7 DSGVO hatte die Aufsicht nicht genehmigt. Einen Verstoß gegen die Verhältnismäßigkeit sah das Gericht gerade wegen der Vorgeschichte nicht.

Bedeutung für die Praxis

Der BGH-Fall zum Double-Opt-in-Verfahren von 2011 war eine Zivilklage einer Verbraucherzentrale wegen Telefonwerbung. Hier geht es um E-Mail-Werbung, eine Datenschutzaufsicht und ein Verwaltungsgericht. Folge war kein Bußgeld, sondern eine Verwarnung, laut Gericht das mildeste Abhilfeinstrument nach Art. 58 Abs. 2 DSGVO.

Welche Dokumentation genügt hätte, entschied das Gericht nicht; das beschriebene Verfahren prüfte es nicht, weil das Unternehmen es nicht eingehalten hatte.

Was Behörden in einem Double-Opt-in-Protokoll erwarten, zeigt der Ratgeber Einwilligung nachweisen. Den Rechtsrahmen für E-Mail- und Telefonwerbung erklärt der Ratgeber zum Double-Opt-in.