Double-Opt-In-Nachweis anhand von IP-Adressen nicht ausreichend

Das Verwaltungsgericht Düsseldorf hat mit Urteil vom 27.07.2026 (Az. 29 K 9714/24) die Anforderungen an den Einwilligungsnachweis nach Art. 7 Abs. 1 DS-GVO konkretisiert und die Klage eines Online-Marketing-Unternehmens gegen eine datenschutzrechtliche Verwarnung abgewiesen.

Sachverhalt

Ein Beschwerdeführer hatte sich mehrfach, zuletzt 2024, bei der zuständigen Aufsichtsbehörde gemeldet, weil er unerwünschte Werbe-E-Mails der klagenden Gesellschaft erhielt, ohne jemals eine Einwilligung erteilt zu haben. Zum Nachweis der behaupteten Einwilligung legte die Klägerin lediglich die E-Mail-Adresse, eine IP-Adresse nebst Zeitstempel sowie eine Double-Opt-In-IP-Adresse nebst Zeitstempel vor. Die eigentliche Bestätigungsmail konnte sie nicht vorlegen, obwohl ihr eigenes, der Behörde gegenüber beschriebenes,  Verfahren gerade die Speicherung solcher Bestätigungsmails vorsah. Die Aufsichtsbehörde sprach daraufhin eine Verwarnung nach Art. 58 Abs. 2 lit. b DS-GVO aus.

Entscheidung des Gerichts

Das Gericht bestätigte die Rechtmäßigkeit der Verwarnung in vollem Umfang. Zentral ist die Beweislastregel des Art. 7 Abs. 1 DS-GVO: Beruft sich der Verantwortliche auf eine Einwilligung als Rechtsgrundlage, muss er deren Erteilung nachweisen können. Gelingt dieser Nachweis nicht, gilt die Einwilligung als nicht bzw. nicht wirksam erteilt – mit denselben Rechtsfolgen wie bei tatsächlich fehlender Einwilligung.

In der Sache stellte das Gericht klar, dass IP-Adressen für einen solchen Nachweis strukturell ungeeignet sind: Da eine IP-Adresse einem Gerät und nicht einer bestimmten Person zugeordnet ist und zwischen E-Mail-Adresse und IP-Adresse kein notwendiger Zusammenhang besteht, lässt sich daraus weder die Identität des Einwilligenden noch der Inhalt der übermittelten Erklärung ableiten. Dies gilt nach Auffassung des Gerichts gleichermaßen für die beim Double-Opt-In-Verfahren erfasste zweite (Bestätigungs-)IP-Adresse.

Für einen tragfähigen Einwilligungsnachweis reicht die bloße Protokollierung von IP-Adressen und Zeitstempeln nicht aus. Erforderlich ist regelmäßig die tatsächliche Speicherung und Vorlagefähigkeit der Bestätigungserklärung selbst. Unternehmen sollten zudem sicherstellen, dass ihre dokumentierten Double-Opt-In-Prozesse in der betrieblichen Praxis auch tatsächlich eingehalten werden, da Abweichungen  (wie hier das Nichtvorhalten der Bestätigungsmail) zu Lasten des Verantwortlichen gewertet werden.

(Foto: AliFuat  stock.adobe.com)