Werbemails: Gericht verlangt belastbaren Einwilligungsnachweis

Unternehmen müssen Einwilligungen für Werbemails im Streitfall konkret nachweisen können. Eine gespeicherte E-Mail-Adresse, IP-Adressen und Zeitstempel reichen dafür nicht automatisch aus. Das hat das Verwaltungsgericht Düsseldorf mit Urteil vom 27. Juli 2026 entschieden.

Für Marketing und IT liegt die entscheidende Frage deshalb nicht nur beim Double-Opt-In. Unternehmen müssen auch prüfen, welche Informationen ihr Newsletter-System tatsächlich speichert und später wiedergeben kann.

Was hat das VG Düsseldorf entschieden?

Im Verfahren mit dem Aktenzeichen 29 K 9714/24 ging es um wiederholt verschickte Werbemails. Der Empfänger erklärte gegenüber der Datenschutzaufsicht, dass er dem Versand nicht zugestimmt habe. Das verantwortliche Unternehmen berief sich dagegen auf eine frühere Anmeldung per Double-Opt-In.

Als Beleg legte es die E-Mail-Adresse, IP-Adressen sowie Zeitstempel für Anmeldung und Bestätigung vor. Die eigentliche Bestätigungs-E-Mail fehlte jedoch. Nach der eigenen Beschreibung des Unternehmens hätte das System solche Nachrichten speichern sollen.

Das VG Düsseldorf bestätigte die Verwarnung der Datenschutzbehörde. Wer sich auf eine Einwilligung stützt, trägt auch das Risiko, wenn sich diese später nicht ausreichend nachweisen lässt.

Die Grundlage dafür liefert Artikel 7 Absatz 1 DSGVO. Danach muss der Verantwortliche nachweisen können, dass die betreffende Person in die Verarbeitung eingewilligt hat.

Warum reicht eine IP-Adresse nicht als Nachweis?

Das Gericht sah keinen notwendigen Zusammenhang zwischen einer gespeicherten IP-Adresse und dem konkreten Empfänger. Eine IP-Adresse adressiert zunächst ein technisches Gerät beziehungsweise einen Internetanschluss. Daraus ergibt sich nicht zuverlässig, welche Person zum betreffenden Zeitpunkt gehandelt hat.

Noch wichtiger ist ein zweiter Punkt: Ein Zeitstempel zeigt nicht, was ein Nutzer bestätigt hat. Für einen belastbaren Double-Opt-In Nachweis muss deshalb nachvollziehbar bleiben, auf welche Einwilligung sich die Bestätigung bezog.

Genau hier entsteht eine technische Aufgabe für Unternehmen. Newsletter-, CRM- und Marketing-Systeme sollten Einwilligungen nicht nur als Statusfeld behandeln. Sie brauchen einen nachvollziehbaren Datensatz zum jeweiligen Vorgang.

Ist Double-Opt-In damit nicht mehr ausreichend?

Nein. Das Urteil erklärt Double-Opt-In weder für unwirksam noch für überholt. Es betrifft den Nachweis einer konkreten Einwilligung.

Ein Unternehmen kann einen technisch sauberen Double-Opt-In-Prozess einsetzen und trotzdem ein Problem bekommen, wenn später entscheidende Informationen fehlen. Der Prozess und seine Dokumentation gehören deshalb zusammen.

Für die Praxis bedeutet das: Unternehmen sollten nachvollziehen können, welche E-Mail-Adresse sich angemeldet hat, wann die Bestätigung erfolgte und welcher Einwilligungstext zu diesem Zeitpunkt galt. Auch die Zuordnung des Vorgangs muss später verständlich bleiben.

Wer solche Nachweise längerfristig außerhalb des Newsletter-Systems aufbewahrt, sollte zugleich Löschfristen, Zugriffsrechte und Änderungen kontrollieren. Grundprinzipien zu Audit-Trails und nachvollziehbarer Ablage behandelt unser Überblick zum Dokumentenmanagementsystem.

Was sollten Unternehmen jetzt prüfen?

IT, Datenschutz und Marketing sollten gemeinsam prüfen, was ihr eingesetztes System tatsächlich dokumentiert. Ein grüner Haken bei „Double-Opt-In bestätigt“ beantwortet diese Frage noch nicht.

Relevant sind insbesondere vier Punkte:

• Welche Einwilligungserklärung wurde angezeigt?
• Welche E-Mail-Adresse hat die Bestätigung erhalten?
• Wann erfolgten Anmeldung und Bestätigung?
• Kann das Unternehmen den Vorgang später vollständig rekonstruieren?

Dabei gilt weiterhin der Grundsatz der Datenminimierung. Das Urteil schafft keinen Freibrief, beliebig viele Daten auf unbegrenzte Zeit zu speichern. Unternehmen müssen Nachweisbarkeit und Datenschutz gemeinsam gestalten.

Auch § 7 UWG bleibt relevant. Wer Werbung per elektronischer Post verschickt, benötigt grundsätzlich eine vorherige ausdrückliche Einwilligung. Für bestimmte Bestandskundenfälle enthält das Gesetz eine Ausnahme.

Was bedeutet das Urteil für B2B-Werbemails?

Das Thema betrifft nicht nur Newsletter für Verbraucher. Auch eine geschäftliche E-Mail-Adresse kann personenbezogen sein, wenn sie einer konkreten Person zugeordnet ist.

Der Hamburgische Datenschutzbeauftragte weist ausdrücklich darauf hin, dass ein vermutetes Interesse eines geschäftlichen Empfängers für Werbemails nicht automatisch ausreicht. Das betrifft beispielsweise personalisierte Kaltakquise an Führungskräfte und andere Ansprechpartner in Unternehmen.

Für IT-Entscheider ergibt sich daraus ein klarer Prüfauftrag. Wer Newsletter, Lead-Management oder Marketing-Automation betreibt, sollte nicht nur fragen, ob Double-Opt-In aktiviert ist. Entscheidend ist, ob das Unternehmen den Double-Opt-In Nachweis im Streitfall tatsächlich liefern kann.

Das Urteil aus Düsseldorf macht damit vor allem eine alte DSGVO-Anforderung praktisch sichtbar: Einwilligungen müssen nicht nur eingeholt werden. Sie müssen auch belegbar bleiben.

Bei stärker personalisierten Ansätzen wie dem Account Based Marketing wird diese Abgrenzung besonders wichtig: Sobald konkrete Ansprechpartner adressiert werden, müssen Datenschutz und Kampagnenlogik zusammen gedacht werden.

Sie wollen wichtige Entwicklungen zu Datenschutz, Software und Unternehmens-IT im Blick behalten? Der IT-Dock Newsletter fasst die wichtigsten IT-News wöchentlich zusammen.