Anforderungen an die Einwilligung bezüglich der Zusendung von Werbe-E-Mails

Die bloße Angabe einer E-Mail-Adresse, einer IP-Adresse nebst Datum sowie einer Double-Opt-In-IP-Adresse nebst Datum ist zum Nachweis der erteilten Einwilligung ungeeignet.

Sachverhalt

Gegenstand der Klage ist eine datenschutzrechtliche Verwarnung der beklagten Aufsichtsbehörde im Zusammenhang mit unerwünschter E-Mail-Werbung. Die Klägerin betreibt Internetportale, die Durchführung von Online-Marketingtätigkeiten, die Planung und Vermittlung von Reisen aller Art und die Vermittlung von Dienstleistungen auf Provisionsbasis.

Herr Z. E. (im Folgenden: Beschwerdeführer) hatte sich mit einer Beschwerde an die Beklagte gewandt, wonach er auf seine private E-Mail-Adresse unerwünschte E-Mails erhalten habe. Er habe dieser seine private E-Mail-Adresse in keiner Form zukommen lassen. Ausweislich der von der Beklagten eingeholten Stellungnahme soll der Beschwerdeführer die von ihr betriebene Internetseite am 29. Juni 2019 besucht und dort durch Angabe seiner E-Mail-Adresse und Anklicken einer Einverständniserklärung sein Einverständnis zum Erhalt von Werbemails erteilt haben. Die Bestätigungsmail könne nicht mehr vorgelegt werden, da sie diese aus Datenschutzgründen nicht speichere. Die Klage gegen den aufsichtsbehördlichen Hinweis hat die Beklagte zurückgenommen.

Die Beklagte hatte die Klägerin zum Erlass einer Anweisung angewiesen, mit der die Klägerin ein Double-Opt-In-Verfahren zu implementieren, das Verfahren schriftlich zu beschreiben und diese Verfahrensbeschreibung vorzulegen hatte. Im Rahmen ihrer Stellungnahme teilte die Klägerin unter Beschreibung der einzelnen Schritte mit, sie habe bereits ein solches Verfahren bei sich implementiert. Die Beklagte wies darauf hin, dass ein wirksames Double-Opt-In-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere.

Mit E-Mail vom 21. Februar 2024 meldete der Beschwerdeführer der Beklagten, dass er auf seine private E-Mail-Adresse erneut eine Werbemail der Klägerin erhalten habe. Er habe die Webseite der Klägerin weder besucht noch habe er seine Einwilligung erteilt. Die IP-Adresse gehöre zum Adressbereich der Deutschen Telekom. Am betreffenden Tag sei er aber in Dänemark gewesen.

Daraufhin forderte die beklagte Datenschutzaufsichtsbehörde die Klägerin im Hinblick auf die neuerliche Beschwerde zur Stellungnahme und Beantwortung bestimmter Fragen auf. Insbesondere sollte die Klägerin mitteilen, aus welchen Quellen sie die Daten bezogen habe. Die Klägerin teilte hierauf u. a. mit, die Datenverarbeitung sei aufgrund einer Einwilligung erfolgt. Sie habe die Daten durch einen Eintrag auf ihrer Webseite erhalten.

Die Beklagte verwarnte die Klägerin wegen rechtswidriger Verarbeitung personenbezogener Daten. Zur Begründung führte sie aus: Die Klägerin habe die personenbezogenen Daten des Beschwerdeführers erhoben und verarbeitet, ohne eine Einwilligung nachweisen zu können. In Anbetracht der Historie übe sie ihr Ermessen dahingehend aus, die Klägerin zu verwarnen.

Hiergegen hat die Klägerin Klage erhoben, mit der sie geltend macht: Sie habe die Adresse des Beschwerdeführers durch eine Anmeldung gemäß der bei der Beklagten hinterlegten und von dieser genehmigten Verfahrensbeschreibung zur Generierung von Einwilligungen erhalten. Die Mitteilung der Beklagten, dass die Verfahrensbeschreibung zwar technisch einwandfrei sei, aber datenschutzrechtlich nicht, sei zeitlich erst nach der Anmeldung erfolgt. Die Behauptung, dass der Beschwerdeführer substantiiert begründet habe, keine Einwilligung erteilt zu haben, sei falsch.

Aus den Entscheidungsgründen

Das Verwaltungsgericht Düsseldorf hat die Klage abgewiesen. Der Bescheid der Beklagten ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten, vgl. § 113 Abs. 1 Satz 1 VwGO.

Die datenschutzrechtliche Verwarnung der Beklagten findet ihre Rechtsgrundlage in Art. 58 Abs. 2 Buchst. b der Datenschutz-Grundverordnung (DSGVO). Formelle Bedenken bestehen nicht. Insbesondere wurde die Klägerin vor Erlass der Verwarnung gemäß § 28 Abs. 1 Verwaltungsverfahrensgesetz für das Land Nordrhein-Westfalen (Verwaltungsverfahrensgesetz NRW – VwVfG NRW) angehört. Der angefochtene Bescheid ist auch materiell rechtmäßig.

Nach Art. 58 Abs. 2 Buchst. b DSGVO verfügt jede Aufsichtsbehörde über die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat. Die tatbestandlichen Voraussetzungen für die ausgesprochene Verwarnung liegen vor. Die Klägerin hat gegen die Datenschutz-Grundverordnung verstoßen, weil sie die Einwilligung des Beschwerdeführers in die Verarbeitung seiner personenbezogenen Daten nicht nachgewiesen hat.

Die Klägerin ist Verantwortliche im Sinne von Art. 58 Abs. 2 b , Art. 4 Nr. 7 Halbsatz 1 DSGVO. Sie hat die E-Mail-Adresse des Beschwerdeführers erhoben und durch das Versenden von Werbe-E-Mails verwendet. Als Verantwortliche muss die Klägerin nach Art. 5 Abs. 2 DSGVO i. V. m. Art. 5 Abs. 1 Buchst. a DSGVO sicherstellen, dass die Verarbeitung der personenbezogenen Daten auf rechtmäßige Weise erfolgt.

Die Verarbeitung gemäß Art. 6 Abs. 1 DSGVO ist nur rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 Satz 1 DSGVO aufgeführten Bedingungen erfüllt ist. Danach war die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die Klägerin rechtswidrig, weil keine der in Art. 6 Abs. 1 Satz 1 DSGVO genannten Bedingungen erfüllt war. Es fehlt an der vorliegend allein in Betracht kommenden und von der Klägerin behaupteten Einwilligung nach Art. 6 Abs. 1 UAbs. 1 Buchst. a DSGVO.

Es kann nach der Vorgeschichte und den vom Beschwerdeführer im Verwaltungsverfahren beigebrachten Nachweisen praktisch ausgeschlossen werden, dass dieser eine Einwilligung tatsächlich erteilt hat. Das ist aber nicht entscheidungserheblich. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, wenn die Verarbeitung auf einer Einwilligung beruht. Diesen Nachweis hat die Klägerin nicht erbracht. Einen Ausdruck der Bestätigungsmail, die unter der E-Mail-Adresse des Beschwerdeführers abgesandt wurde, hat die Klägerin nicht vorgelegt.

Die Angaben beweisen schon keine Beziehung zum Beschwerdeführer. Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang. Eine IP-Adresse ist eine Adresse in Computernetzen, die – wie das Internet – auf dem Internetprotokoll (IP) basieren. Sie wird Geräten zugewiesen, die an das Netz angebunden sind, macht die Geräte so adressierbar und damit erreichbar. Der E-Mail-Account ist nicht an ein bestimmtes Gerät gebunden.

Auch der Umstand, dass sowohl eine IP- als auch eine IP-Adresse erfasst wurden, stellt keinerlei Bezug zum Beschwerdeführer her. Die Angabe der IP-Adresse mit Zeitstempel dokumentiert, dass Daten zu diesem Zeitpunkt von einem Computer mit dieser IP-Adresse an einen Empfänger (hier: ein Gerät der Klägerin) transportiert wurden. Da es sich bei der IP-Adresse um die Adresse eines technischen Geräts handelt, kann damit der Anschlussinhaber ermittelt werden. Welche Person zum fraglichen Zeitpunkt auf dem Gerät aktiv war, lässt sich hingegen nicht feststellen, weil die IP-Adresse keinem bestimmten Nutzer zugeordnet ist. Für die angegebene IP-Adresse mit Zeitstempel gilt nichts anderes. Sie besagt nur, dass ein zweites Mal Daten von dieser IP-Adresse an ein Gerät der Klägerin transportiert wurden. 

Ungeachtet dessen ist den Angaben nicht zu entnehmen, dass überhaupt eine Einwilligung erteilt wurde. Ebenso wenig lässt die IP-Adresse den Inhalt des übersendeten Datenpakets erkennen. 

Kann der Verantwortliche den Nachweis der Rechtmäßigkeit der Verarbeitung nicht führen, so gilt die Einwilligung als nicht bzw. nicht wirksam erteilt. Es treten dieselben Rechtsfolgen ein wie bei tatsächlich fehlender wirksamer Einwilligung.

Der Versuch der Klägerin, die Einlassungen des Beschwerdeführers zu seinem Aufenthaltsort in Zweifel zu ziehen, geht angesichts der die Klägerin als Verantwortliche treffende Beweislast für das Vorliegen einer wirksamen Einwilligung nach Art. 7 Abs. 1 DSGVO ins Leere. 

Die im Verwaltungsverfahren vorgelegte Verfahrensbeschreibung ändert an der Erforderlichkeit des Nachweises einer Einwilligung schon deshalb nichts, weil die Klägerin ihr eigenes Verfahren nicht einhält. Hierzu hat sie gegenüber der Beklagten vorgetragen: „Zusätzlich werden alle DOI-Mails, also die Mails, die nach einem Eintrag der E-Mailadresse bei der Newsletterbestellung an die eingetragene Mailadresse versendet werden und in denen der Bestätigungslink angeklickt werden muss, in bcc an eine eigens dafür eingerichtete Mailadresse unserer Mandantin geschickt und dort gespeichert, um sie in Zukunft bei Nachfragen Ihrerseits ausdrucken zu können.“ Bei Beachtung dieses Verfahrens hätte die Klägerin die Bestätigungsmail des Beschwerdeführers vorlegen können. Dass sie dies nicht getan hat, lässt nur den Schluss zu, dass es keine Bestätigungsmail gibt. Ungeachtet dessen hat die Beklagte keineswegs, wie die Klägerin suggeriert, ein Abweichen von Art. 7 DSGVO genehmigt. Vielmehr hat sie unter dem 25. Oktober 2022 ausdrücklich darauf hingewiesen, dass ein wirksames Double-Opt-In (DOI)-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere.

Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen rechtlichen Bedenken. Die Beklagte hat das ihr nach Art. 58 Abs. 2 DSGVO eingeräumte Ermessen fehlerfrei ausgeübt (§ 114 Satz 1 VwGO). Gerade im Hinblick auf die Vorgeschichte ist ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, der bei der Auswahl der nach Art. 58 Abs. 2 DSGVO zur Verfügung stehenden Maßnahmen zu beachten ist, nicht zu erkennen. Die Verwarnung dient dem Zweck der Datenschutz-Grundverordnung, eine einheitliche Überwachung und Durchsetzung der Verordnung in der gesamten Union sicherzustellen (vgl. Erwägungsgrund 129 Satz 1 DSGVO). Durch die ihr zukommende Warnfunktion ist sie auch geeignet, datenschutzkonforme Zustände herzustellen. Sie ist des Weiteren auch erforderlich. Mit der Verwarnung hat die Beklagte das mildeste Abhilfeinstrument im Maßnahmenkatalog des Art. 58 Abs. 2 DSGVO gewählt. Die Anordnung ist schließlich auch angemessen, d. h. verhältnismäßig im engeren Sinn. Die Verwarnung stellt sich als geringfügiger Eingriff in die Rechte der Klägerin dar, da mit ihr insbesondere keine unmittelbaren finanziellen Nachteile verbunden sind.

Fazit

Kann der Verantwortliche den Nachweis der Rechtmäßigkeit der Verarbeitung gemäß Art 7 DSGVO nicht führen, so gilt die Einwilligung als nicht bzw. nicht wirksam erteilt.

Fundstelle: 

Urteil des Verwaltungsgerichts Düsseldorf vom 27.07.2026 (Az. 29 K 9714/24) – abrufbar im Internet unter https://nrwe.justiz.nrw.de/ovgs/vg_duesseldorf/j2026/29_K_9714_24_Urteil_20260727.html