Double-Opt-In-Nachweis anhand von IP-Adressen nicht ausreichend
Das Verwaltungsgericht Düsseldorf hat mit Urteil vom 27.07.2026 (Az. 29 K 9714/24) die Anforderungen an den Einwilligungsnachweis nach Art. 7 Abs. 1 DS-GVO konkretisiert und die Klage eines Online-Marketing-Unternehmens gegen eine datenschutzrechtliche Verwarnung abgewiesen.
Sachverhalt
Ein Beschwerdeführer hatte sich mehrfach, zuletzt 2024, bei der zuständigen Aufsichtsbehörde gemeldet, weil er unerwünschte Werbe-E-Mails der klagenden Gesellschaft erhielt, ohne jemals eine Einwilligung erteilt zu haben. Zum Nachweis der behaupteten Einwilligung legte die Klägerin lediglich die E-Mail-Adresse, eine IP-Adresse nebst Zeitstempel sowie eine Double-Opt-In-IP-Adresse nebst Zeitstempel vor. Die eigentliche Bestätigungsmail konnte sie nicht vorlegen, obwohl ihr eigenes, der Behörde gegenüber beschriebenes, Verfahren gerade die Speicherung solcher Bestätigungsmails vorsah. Die Aufsichtsbehörde sprach daraufhin eine Verwarnung nach Art. 58 Abs. 2 lit. b DS-GVO aus.
Entscheidung des Gerichts
Das Gericht bestätigte die Rechtmäßigkeit der Verwarnung in vollem Umfang. Zentral ist die Beweislastregel des Art. 7 Abs. 1 DS-GVO: Beruft sich der Verantwortliche auf eine Einwilligung als Rechtsgrundlage, muss er deren Erteilung nachweisen können. Gelingt dieser Nachweis nicht, gilt die Einwilligung als nicht bzw. nicht wirksam erteilt – mit denselben Rechtsfolgen wie bei tatsächlich fehlender Einwilligung.
In der Sache stellte das Gericht klar, dass IP-Adressen für einen solchen Nachweis strukturell ungeeignet sind: Da eine IP-Adresse einem Gerät und nicht einer bestimmten Person zugeordnet ist und zwischen E-Mail-Adresse und IP-Adresse kein notwendiger Zusammenhang besteht, lässt sich daraus weder die Identität des Einwilligenden noch der Inhalt der übermittelten Erklärung ableiten. Dies gilt nach Auffassung des Gerichts gleichermaßen für die beim Double-Opt-In-Verfahren erfasste zweite (Bestätigungs-)IP-Adresse.
Für einen tragfähigen Einwilligungsnachweis reicht die bloße Protokollierung von IP-Adressen und Zeitstempeln nicht aus. Erforderlich ist regelmäßig die tatsächliche Speicherung und Vorlagefähigkeit der Bestätigungserklärung selbst. Unternehmen sollten zudem sicherstellen, dass ihre dokumentierten Double-Opt-In-Prozesse in der betrieblichen Praxis auch tatsächlich eingehalten werden, da Abweichungen (wie hier das Nichtvorhalten der Bestätigungsmail) zu Lasten des Verantwortlichen gewertet werden.
(Foto: AliFuat stock.adobe.com)
Das könnte Sie auch interessieren
-
Kennzeichnung KI-generierter Werbeinhalte
Die Wettbewerbszentrale hat einen Leitfaden zu den Kennzeichnungspflichten für KI-generierte Inhalte in der Werbung vorgelegt, der die seit dem 2. August 2026 geltenden Transparenzvorschriften der KI-Verordnung (Art. 50 KI-VO) mit dem lauterkeitsrechtlichen Rahmen des UWG verzahnt. Deepfakes bei Bild, Ton und Video Nach Art. 50 Abs. 4 KI-VO müssen Betreiber – definiert als jede Person
Mehr erfahren -
Kein Anspruch auf vollständige Kopie eines Compliance-Berichts
Das Bundesarbeitsgericht hat mit Urteil vom 16.04.2026 (8 AZR 169/25) klargestellt, dass sich das datenschutzrechtliche Auskunftsrecht nach Art. 15 Abs. 1 i.V.m. Abs. 3 S. 1 DS-GVO grundsätzlich nur auf die in einem Dokument enthaltenen personenbezogenen Daten bezieht und nicht auf das Dokument als Ganzes. Sachverhalt Eine leitende Angestellte war Gegenstand einer arbeitgeberseitig beauftragten Compliance-Untersuchung
Mehr erfahren -
Praxisleitfaden zu KI-Systemen mit geringem Risiko
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI MV) hat im Juli 2026 einen praxisorientierten Leitfaden zum datenschutzkonformen und digital-souveränen Einsatz Künstlicher Intelligenz vorgelegt. Adressiert werden explizit Verantwortliche in kleineren Verwaltungen sowie KMU, die KI-Systeme mit begrenztem oder minimalem Risiko im Sinne der KI-VO einsetzen – etwa interne Chatbots oder Text-Zusammenfassungstools. Damit schließt der LfDI
Mehr erfahren
