Was das VG Düsseldorf entschieden hat
Das VG Düsseldorf hat mit Urteil vom 27.07.2026 (Az. 29 K 9714/24) eine Verwarnung der Aufsichtsbehörde gegen ein Unternehmen bestätigt, das für seinen Einwilligungsnachweis lediglich eine Datenbankzeile mit E-Mail-Adresse, IP-Adresse und Zeitstempel vorlegen konnte. Das Gericht sah darin keinen ausreichenden Beleg dafür, dass die betroffene Person tatsächlich und wirksam eingewilligt hat.
Damit reicht die bloße technische Protokollierung eines Anmeldevorgangs nicht aus. Entscheidend ist, dass der gesamte Anmeldeprozess nachvollziehbar dokumentiert wird.
Warum die Beweislast beim Unternehmen liegt
Wer Werbe-E-Mails versendet, muss im Streitfall nachweisen, dass eine wirksame Einwilligung vorliegt. Das gilt gegenüber Beschwerdeführern, gegenüber Wettbewerbern in einem Abmahnverfahren und gegenüber der Aufsichtsbehörde.
Fehlt der Nachweis oder ist er lückenhaft, geht das zulasten des werbenden Unternehmens. Die Entscheidung des VG Düsseldorf macht deutlich, welcher Dokumentationsstandard dafür erwartet wird.
Was ein belastbarer Nachweis enthalten muss
Ein tragfähiger Einwilligungsnachweis besteht aus mehreren Bausteinen, die zusammen ein vollständiges Bild des Anmeldevorgangs ergeben.
| Baustein | Zweck |
|---|---|
| Wortlaut der Einwilligung mit Versionskennung | Zeigt, welcher Text zum Anmeldezeitpunkt galt |
| Abbild der Anmeldeseite | Belegt Gestaltung und Kontext der Abfrage |
| Zeitpunkt, IP-Adresse, Endgerät | Dokumentiert den technischen Vorgang |
| DOI-Bestätigungsmail und Klick auf Bestätigungslink | Belegt die Double-Opt-in-Bestätigung durch den Nutzer |
| Schutz gegen nachträgliche Veränderung | Macht die Unverändertheit der Daten überprüfbar |
Der oft fehlende fünfte Baustein
Die ersten vier Punkte sind in vielen Unternehmen bereits Standard. Der fünfte Punkt fehlt in der Praxis häufig: der Schutz gegen nachträgliche Veränderung.
Eine klassische Datenbank lässt sich nachträglich bearbeiten, ohne dass dies erkennbar ist. Eine SHA-256-Hash-Kette über die gespeicherten Einwilligungsdaten in Verbindung mit einem qualifizierten Zeitstempel einer Vertrauensstelle macht nachträgliche Änderungen sichtbar und erhöht damit die Beweiskraft erheblich.
Prüfliste für Ihre Anmeldestrecke
- Ist der genaue Wortlaut jeder Einwilligungsformulierung mit Versionskennung archiviert?
- Wird die Anmeldeseite zum Zeitpunkt der Einwilligung als Abbild gesichert?
- Werden Zeitpunkt, IP-Adresse und Endgerät zur Anmeldung protokolliert?
- Liegt der Nachweis über den Klick auf den DOI-Bestätigungslink vor, nicht nur der Versand der Mail?
- Sind die gespeicherten Nachweisdaten durch eine Hash-Kette oder einen qualifizierten Zeitstempel gegen nachträgliche Veränderung geschützt?
Häufige Fragen
Reicht eine Datenbankzeile mit E-Mail, IP-Adresse und Zeitstempel als Einwilligungsnachweis aus?
Nein. Das VG Düsseldorf hat entschieden, dass dies allein nicht genügt, weil der eigentliche Anmeldevorgang damit nicht nachvollziehbar belegt wird.
Wer muss die Einwilligung im Streitfall nachweisen?
Das werbende Unternehmen trägt die Beweislast, sowohl gegenüber Beschwerdeführern und Wettbewerbern als auch gegenüber der Aufsichtsbehörde.
Warum reicht eine normale Datenbank als Nachweis nicht aus?
Einträge in einer Datenbank lassen sich nachträglich ändern, ohne dass dies erkennbar ist. Ein zusätzlicher Schutz wie eine Hash-Kette mit qualifiziertem Zeitstempel macht Veränderungen sichtbar.
Muss ich bestehende Einwilligungsdaten jetzt nachträglich absichern?
Eine Prüfung im Einzelfall ist sinnvoll, insbesondere wenn bislang nur Rohdaten ohne Versionskennung und Manipulationsschutz gespeichert wurden.
Gilt diese Dokumentationspflicht auch für Bestandskunden-Mailings ohne Einwilligung?
Für Mailings auf Basis der Bestandskundenausnahme gelten andere Nachweispflichten, etwa zu Hinweis und Widerspruchsmöglichkeit. Die hier beschriebenen Anforderungen betreffen die auf Einwilligung gestützte Werbung.
Quellen
- Newsletter-Einwilligung: Nachweis per IP-Adresse und Zeitstempel nicht genug www.it-recht-kanzlei.de