Keine wirksame DSGVO-Einwilligung: Double-Opt-in ohne Dokumentation (VG Düsseldorf)
Aktualisiert: vor 4 Tagen
Das VG Düsseldorf hat am 27.07.2026 (Az. 29 K 9714/24) bei der Entscheidung über eine Verwarnung klargestellt, worauf es beim Einwilligungsnachweis wirklich ankommt.
Kernaussage: Ein Double-Opt-in-Verfahren genügt als solches nicht. Der Verantwortliche muss nach Art. 7 Abs. 1 DSGVO die konkrete Einwilligung der betroffenen Person beweisen können. Für diesen Beweis nicht ausreichend sind:
die E-Mail-Adresse
die Anmelde-IP nebst Zeitstempel
die DOI-IP nebst Zeitstempel
Begründung des Gerichts: Eine IP-Adresse adressiert ein Gerät, keine Person. Sie belegt weder, wer gehandelt hat, noch welchen Inhalt die bestätigte Erklärung hatte.
Gelingt der Nachweis nicht, gilt die Einwilligung als nicht wirksam erteilt. Konsequenz: Wie bei einer völlig fehlenden Einwilligung.
Besonders misslich im entschiedenen Fall: Das Unternehmen hatte gegenüber der Aufsichtsbehörde zwar erklärt, sämtliche DOI-Mails per bcc zu archivieren und ausdrucken zu können. Es hat also ein eigentlich taugliches Verfahren behauptet. Allerdings hat das Unternehmen dieses Verfahren nicht eingehalten. Die konkrete Bestätigungsmail der betroffenen Person, die eine Beschwerde eingereicht hatte (Beschwerdeführer) konnte es aber trotz dieser vollmundigen Aussage nicht vorlegen. Das Gericht schloss daraus, dass das Unternehmen nicht vorlegen konnte.
Praxishinweis für E-Mail-Marketing: Das eingerichtete Verfahren muss gelebt und jede einzelne Bestätigungserklärung revisionssicher gespeichert und reproduzierbar sein. Wer stattdessen nur Log-Daten vorhält, trägt das volle Beweisrisiko – und zwar er selbst und eben gerade nicht die betroffene Person (i.S.d. Art 4 Nr. 1 DSGVO).
