VG Düsseldorf: Werbe-E-Mails und die unterschätzte Beweislast

Im Kern ging es um eine Konstellation, die vielen bekannt vorkommen dürfte: Ein Empfänger erhielt Werbe-E-Mails und wandte sich mit einer Beschwerde über, seiner Ansicht nach, unverlangt zugesendeter Werbung an die Datenschutzaufsichtsbehörde. Die Behörde sprach daraufhin gegenüber dem werbenden Unternehmen eine datenschutzrechtliche Verwarnung aus. Gegen diese Verwarnung klagte das Unternehmen vor dem Verwaltungsgericht — ohne Erfolg. Das VG Düsseldorf bestätigte die aufsichtsbehördliche Maßnahme. https://nrwe.justiz.nrw.de/ovgs/vg_duesseldorf/j2026/29_K_9714_24_Urteil_20260727.html

Das Gericht stellte zunächst klar, dass der Versand von Werbe-E-Mails nicht nur wettbewerbsrechtlich relevant ist. Auch datenschutzrechtlich liegt eine Verarbeitung personenbezogener Daten vor. Denn das Unternehmen hatte die E-Mail-Adresse des Beschwerdeführers erhoben und für den Versand von Werbung verwendet. Für diese Verarbeitung benötigte es eine tragfähige Rechtsgrundlage, im konkreten Fall also insbesondere eine wirksame Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Genau hier lag das Problem. Der Empfänger bestritt, jemals in den Erhalt der Werbe-E-Mails eingewilligt zu haben. Das Unternehmen berief sich demgegenüber auf ein Double-Opt-In-Verfahren. Es legte hierzu jedoch lediglich einen Datensatz vor, der die E-Mail-Adresse, eine IP-Adresse mit Zeitstempel für die Anmeldung sowie eine weitere IP-Adresse mit Zeitstempel für die Bestätigung enthielt. Nach Auffassung des Gerichts genügte dies nicht, um eine wirksame Einwilligung nachzuweisen.

Die Datenschutzaufsichtsbehörde hatte das Unternehmen nach Art. 58 Abs. 2 lit. b DSGVO verwarnt. Das VG Düsseldorf bestätigte, dass eine solche Verwarnung ein zulässiges aufsichtsbehördliches Instrument ist, wenn ein Verantwortlicher mit Verarbeitungsvorgängen gegen die DSGVO verstoßen hat. Auch wenn eine Verwarnung keine unmittelbare Geldbuße ist, handelt es sich um eine belastende behördliche Maßnahme. Sie enthält eine verbindliche Missbilligung eines konkreten Datenschutzverstoßes und kann deshalb gerichtlich angegriffen werden. Genau das hatte das Unternehmen getan. Die Klage blieb jedoch erfolglos.

Besonders relevant ist die Begründung des Gerichts: Wer sich auf eine Einwilligung stützt, muss deren Vorliegen nach Art. 7 Abs. 1 DSGVO nachweisen können. Die bloße Behauptung, ein Double-Opt-In-Verfahren sei durchlaufen worden, reicht nicht. Ebenso wenig genügt es, nur technische Protokolldaten vorzulegen, wenn daraus nicht ersichtlich wird, welchen konkreten Erklärungsinhalt die betroffene Person bestätigt haben soll. Eine IP-Adresse mit Zeitstempel dokumentiert einen technischen Vorgang, aber nicht zwingend eine wirksame, informierte und bestimmte Einwilligung.

Die Entscheidung zeigt sehr deutlich: Risiken bei werblicher Kommunikation liegen häufig nicht im großen Grundsatz, sondern im Detail. Viele Unternehmen wissen, dass Newsletter und werbliche E-Mails grundsätzlich eine Einwilligung benötigen. In der operativen Umsetzung wird aber oft unterschätzt, welche Beweisanforderungen an die Abgabe der Einwilligung im Streitfall gestellt werden.

Entscheidend ist nicht nur, dass irgendein Opt-In dokumentiert wird. Entscheidend ist, ob nachvollzogen werden kann, wer wann über welches Formular in welche konkrete werbliche Kommunikation eingewilligt hat. Dazu gehört insbesondere der konkrete Einwilligungstext, die Version des Formulars, der Zeitpunkt der Anmeldung, der Zeitpunkt der Bestätigung, der Inhalt der Bestätigungs-E-Mail und der Umfang der Einwilligung. Erfasst die Einwilligung nur einen Newsletter oder auch sonstige Werbe-E-Mails? Bezieht sie sich auf bestimmte Produkte, bestimmte Unternehmen oder auch auf Partnerangebote? Wurde klar über die Widerrufsmöglichkeit informiert?

Gerade diese scheinbar kleinen Punkte entscheiden im Konfliktfall über die Rechtmäßigkeit der gesamten Verarbeitung. Ein Unternehmen kann ein technisch funktionierendes Double-Opt-In-Verfahren einsetzen und trotzdem datenschutzrechtlich scheitern, wenn es den Nachweis nicht belastbar führen kann.

Unternehmen sollten ihre Newsletter- und Werbeprozesse kritisch prüfen. Es reicht nicht aus, sagen zu können: „Wir nutzen Double-Opt-In.“ Die entscheidende Frage lautet: Können wir im Beschwerdefall vollständig nachweisen, was die betroffene Person konkret bestätigt hat?

Das VG Düsseldorf macht klar: Das Beweisrisiko liegt beim Verantwortlichen. Kann die Einwilligung nicht nachgewiesen werden, wird sie rechtlich behandelt, als läge sie nicht vor. Für werbliche Kommunikation ist das eine klare Botschaft: Dokumentation ist keine Nebensache. Sie ist die Grundlage der Rechtmäßigkeit.

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.