Double-Opt-In allein reicht nicht: So erfüllen Sie Ihre Nachweispflichten
Wer Newsletter versendet oder Interessenten per E-Mail werblich anspricht, setzt in der Regel auf das bewährte Double-Opt-In-Verfahren. Viele Unternehmen gehen dabei davon aus, dass die technische Umsetzung allein ausreicht, um die Anforderungen der DSGVO zu erfüllen. Ein aktuelles Urteil des Verwaltungsgerichts Düsseldorf zeigt jedoch, dass dies ein gefährlicher Irrtum sein kann.
Mit Urteil vom 27.07.2026 (Az. 29 K 9714/24) stellte das Gericht klar: Wer sich auf eine Einwilligung beruft, muss diese auch nachweisen können. Gelingt dieser Nachweis nicht, gilt die Einwilligung datenschutzrechtlich als nicht beziehungsweise nicht wirksam erteilt.
Der Fall: Double-Opt-In vorhanden, Nachweis dennoch gescheitert
Auslöser des Verfahrens war eine Beschwerde eines Empfängers, der wiederholt Werbe-E-Mails erhalten hatte und bestritt, jemals eine Einwilligung erteilt zu haben. Das werbende Unternehmen verwies auf ein eingesetztes Double-Opt-In-Verfahren und legte entsprechende Protokolldaten vor. Dokumentiert waren lediglich:
- die E-Mail-Adresse,
- eine IP-Adresse mit Zeitstempel der Anmeldung,
- eine weitere IP-Adresse mit Zeitstempel des Bestätigungsklicks im Double-Opt-In-Verfahren.
Die eigentliche Bestätigungsmail konnte das Unternehmen jedoch nicht mehr vorlegen. Nach eigenen Angaben wurde diese nicht gespeichert.
Für das Gericht war das zu wenig.
Warum die gespeicherten Daten nicht ausreichten
Nach Art. 7 Abs. 1 DSGVO trägt der Verantwortliche die Beweislast für das Vorliegen einer wirksamen Einwilligung. Das Gericht stellte fest, dass die vorgelegten Daten keinen ausreichenden Nachweis dafür erbringen, dass die betroffene Person selbst die Einwilligung abgegeben hat.
Eine IP-Adresse identifiziert lediglich einen Internetanschluss oder ein Gerät. Sie weist jedoch nicht nach, welche konkrete Person gehandelt hat. Gleiches gilt für die bloße Angabe einer E-Mail-Adresse. Auch die Kombination aus E-Mail-Adresse, IP-Adresse und Zeitstempeln genügte den Richtern nicht, um die tatsächliche Einwilligungserklärung einer bestimmten Person nachzuweisen.
Besonders deutlich formulierte das Gericht seine Leitsätze:
Kann der Verantwortliche den Nachweis der Rechtmäßigkeit der Verarbeitung gemäß Art. 7 DSGVO nicht führen, so gilt die Einwilligung als nicht bzw. nicht wirksam erteilt.“
Die eigentliche Botschaft des Urteils
Das Urteil bedeutet nicht, dass das Double-Opt-In-Verfahren ungeeignet wäre. Im Gegenteil: Das Double-Opt-In bleibt weiterhin der anerkannte Standard zur Einholung von Einwilligungen im E-Mail-Marketing.
Neu ist vielmehr die Klarheit, mit der das Gericht die Anforderungen an die Dokumentation und Nachweisbarkeit herausarbeitet. Entscheidend ist nicht allein, dass ein Double-Opt-In durchgeführt wurde. Entscheidend ist, dass das Unternehmen dessen Durchführung und den Inhalt der Einwilligung auch Jahre später noch nachvollziehbar belegen kann.
Was Unternehmen dokumentieren sollten
Wer sich im Streitfall absichern möchte, sollte deutlich mehr speichern als lediglich IP-Adressen und Zeitstempel.
Empfehlenswert sind insbesondere:
- Inhalt der Einwilligungserklärung zum Zeitpunkt der Anmeldung,
- Version des Anmeldeformulars,
- Zeitpunkt der Einwilligung,
- Zeitpunkt der Bestätigung im Double-Opt-In,
- Versand der Bestätigungsmail,
- Inhalt der Bestätigungsmail,
- technische Protokolle der einzelnen Verfahrensschritte,
- Nachweise über mögliche Änderungen des Einwilligungstextes im Zeitverlauf.
Dadurch lässt sich nicht nur belegen, dass ein Double-Opt-In stattgefunden hat, sondern auch, worin die betroffene Person konkret eingewilligt haben soll.
Der Grundsatz der Rechenschaftspflicht
Das Urteil ist letztlich auch eine Erinnerung an einen zentralen Grundsatz der DSGVO: die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Danach genügt es nicht, datenschutzkonform zu handeln. Unternehmen müssen ihre Datenschutz-Compliance auch nachweisen können.
Gerade beim Newsletter-Marketing zeigt sich häufig ein typisches Problem: Die technische Umsetzung wird sauber eingerichtet, während die Dokumentation vernachlässigt wird. Solange niemand die Einwilligung bestreitet, bleibt dies unbemerkt. Kommt es jedoch zu einer Beschwerde oder Prüfung durch die Aufsichtsbehörde, kann genau dieser fehlende Nachweis zum Risiko werden.
Fazit
Das Urteil des VG Düsseldorf macht deutlich: Ein Double-Opt-In-Verfahren allein ist kein Freibrief für den Versand von Werbe-E-Mails. Unternehmen müssen jederzeit nachweisen können, dass die betroffene Person tatsächlich eingewilligt hat und welchen Inhalt diese Einwilligung hatte. Die bloße Speicherung von E-Mail-Adresse, IP-Adresse und Zeitstempeln genügt hierfür nicht.
Für die Praxis bedeutet das: Wer Newsletter oder andere werbliche E-Mails versendet, sollte seine Dokumentations- und Archivierungskonzepte überprüfen. Denn im Datenschutz gilt mehr denn je: Nicht nur die Einwilligung zählt, sondern vor allem der belastbare Nachweis der Einwilligung.
