IP-Protokolle belegen keine wirksame Einwilligung
Beim Double-Opt-In bestätigt der Empfänger eine Anmeldung über einen Link in einer separaten E-Mail. Viele Newsletter-Systeme dokumentieren diesen Vorgang lediglich mit E-Mail-Adresse, IP-Adressen, Zeitstempeln und einem Statusfeld.
Das Verwaltungsgericht Düsseldorf hält diese Protokolldaten im entschiedenen Fall nicht für ausreichend. Es wies die Klage eines Online-Marketing- und Reiseunternehmens gegen eine Verwarnung der Datenschutzbehörde ab. Das Verfahren trägt das Aktenzeichen 29 K 9714/24.
Eine IP-Adresse belegt nach Auffassung des Gerichts nur eine technische Verbindung. Sie weist weder die handelnde Person noch den Inhalt der versendeten Bestätigungsnachricht nach.
Unternehmen konnte die Bestätigungs-E-Mail nicht vorlegen
Ausgangspunkt war die Beschwerde eines Betroffenen über unerwünschte Werbe-E-Mails. Er erklärte, die betreffende Website nie besucht zu haben. Zum angeblichen Anmeldezeitpunkt habe er sich außerdem im Ausland befunden.
| Zeitpunkt | Vorgang |
|---|---|
| 2020 | Erste Beschwerde des Betroffenen über Werbe-E-Mails |
| Anfang 2024 | Erneuter Erhalt entsprechender Nachrichten und Einschaltung der Datenschutzaufsicht |
| Gerichtsverfahren | Abweisung der Klage gegen die behördliche Verwarnung |
Das Unternehmen berief sich auf ein Double-Opt-In-Verfahren. Als Nachweis legte es die E-Mail-Adresse, eine IP-Adresse mit Zeitstempel für die Anmeldung sowie eine zweite IP-Adresse mit Zeitstempel für die Bestätigung vor. Eine Kopie oder einen Ausdruck der tatsächlich versendeten Bestätigungs-E-Mail konnte es jedoch nicht präsentieren.
Das wog besonders schwer, weil das Unternehmen zuvor ein eigenes Sicherungsverfahren beschrieben hatte. Danach sollten Kopien sämtlicher Bestätigungsmails an eine interne Adresse geschickt und dort archiviert werden. Für den konkreten Vorgang ließ sich diese Archivierung nicht nachweisen.
Artikel 7 DSGVO legt die Beweislast beim Versender ab
Nach Artikel 7 DSGVO muss der Verantwortliche nachweisen können, dass eine wirksame Einwilligung vorliegt. Kann ein Werbeversender diesen Nachweis nicht führen, wird die Verarbeitung nicht durch die behauptete Einwilligung gedeckt.
Zwei protokollierte IP-Adressen ändern daran nach Ansicht des Gerichts nichts. Sie dokumentieren lediglich den Austausch von Datenpaketen. Eine IP-Adresse identifiziert einen Anschluss oder ein Gerät, aber nicht zwangsläufig die Person vor dem Bildschirm.
Die Datenschutzbehörde durfte deshalb eine förmliche Verwarnung aussprechen. Mit dieser Verwarnung war im konkreten Verfahren keine Geldbuße verbunden. Welche anderen technischen Nachweisformen neben einer vollständigen E-Mail-Kopie ausgereicht hätten, geht aus den belegten Angaben nicht hervor. Auch ist bislang nicht bestätigt, ob das Urteil rechtskräftig ist oder eine weitere Instanz folgt.
Newsletter-Systeme müssen mehr als Statusfelder speichern
Für Unternehmen in Deutschland und im EU-DSGVO-Raum entsteht daraus ein konkreter Prüfauftrag. Ein Datenbankeintrag wie „confirmed“, ergänzt um IP-Adresse und Zeitstempel, kann im Streitfall zu wenig sein. Entscheidend ist, ob der gesamte Ablauf nachvollziehbar dokumentiert werden kann.
| Prüfpunkt | Praktische Bedeutung |
|---|---|
| Inhalt der Bestätigungs-E-Mail | Die tatsächlich versendete Nachricht sollte dem Vorgang eindeutig zugeordnet werden können. |
| Versandnachweis | Versandzeitpunkt, Empfängeradresse und verwendete Vorlage müssen nachvollziehbar bleiben. |
| Bestätigungsvorgang | Zeitpunkt und technischer Ablauf der Linkbestätigung sollten mit der versendeten Nachricht verknüpft sein. |
| Archivierung | Nachweise müssen auffindbar und gegen unbemerkte Änderungen geschützt sein. |
| Löschkonzept | Aufbewahrung und Datenminimierung müssen gemeinsam geplant werden. |
Gerade der letzte Punkt verlangt eine bewusste Abwägung. Datenschutz bedeutet nicht, sämtliche Daten möglichst schnell zu löschen. Bestimmte Informationen können für Rechenschafts- und Nachweispflichten erforderlich sein. Vergleichbare Zielkonflikte zwischen Speicherung und Löschung zeigen sich auch bei Zero Data Retention für KI-Modelle.
SaaS, Open Source und Eigenentwicklung prüfen
Viele Newsletter- und Marketing-SaaS-Produkte speichern standardmäßig vor allem Statuswerte, IP-Adressen und Zeitstempel. Unternehmen sollten deshalb nicht davon ausgehen, dass ein gebuchtes Datenschutzpaket automatisch einen belastbaren Einwilligungsnachweis liefert. Maßgeblich sind die tatsächlich exportierbaren und archivierten Daten.
Die gleiche Prüfung gilt für Open-Source-Werkzeuge wie Listmonk oder Mailcoach sowie für Eigenentwicklungen. Beim Self-Hosting lässt sich die Archivierung gezielt an interne Anforderungen anpassen. Dafür trägt das Unternehmen aber selbst die Verantwortung für Speicherfristen, Zugriffsschutz, Unveränderbarkeit und Löschprozesse.
Bei SaaS-Angeboten kommen Abhängigkeiten von Funktionen, Exportformaten und Aufbewahrungsfristen des Anbieters hinzu. Fehlt eine revisionssichere Archivierung, hilft auch ein langjähriges Abonnement im Streitfall wenig. Datenschutzrechtliche Risiken entstehen schließlich nicht durch das Betriebsmodell, sondern durch lückenhafte Prozesse und fehlende Nachweise. Welche finanziellen Folgen solche Defizite erreichen können, zeigt das Verfahren um das DSGVO-Bußgeld gegen Uber.
Der operative Prüfauftrag
IT und Marketing sollten den Double-Opt-In-Prozess gemeinsam testen. Dazu gehört ein vollständiger Durchlauf von der Anmeldung über den Mailversand bis zum späteren Abruf des Nachweises. Kann die konkrete Bestätigungsnachricht für einen einzelnen Datensatz nicht mehr rekonstruiert werden, besteht eine relevante Dokumentationslücke.
Das Düsseldorfer Urteil macht vor allem eines deutlich: Technische Logs sind nicht automatisch ein Beweis für eine persönliche Willenserklärung. Ein belastbarer Prozess muss Inhalt, Versand und Bestätigung miteinander verbinden, statt nur zwei IP-Adressen in einer Datenbank abzulegen.