Double-Opt-In: IP-Adressen als Beleg reicht nicht aus

Das Verwaltungsgericht Düsseldorf hat mit Urteil vom 27.07.2026 (Az.29 K 9714/24) die Anforderungen an den Einwilligungsnachweis nach Art. 7 Abs. 1 DS-GVO konkretisiert und die Klage eines Onlinemarketing-Unternehmens gegen eine datenschutzrechtliche Verwarnung abgewiesen.

Sachverhalt
Ein Beschwerdeführer hatte sich mehrfach, zuletzt im Jahr 2024, bei der zuständigen Aufsichtsbehörde gemeldet, weil er unerwünschte WerbeE-Mails von der klagenden Gesellschaft erhielt, ohne jemals eine Einwilligung dazu erteilt zu haben. Zum Nachweis der behaupteten Einwilligung legte die Klägerin lediglich die E-Mail-Adresse, eine IP-Adresse nebst Zeitstempel sowie eine Double-Opt-In-IP-Adresse nebst Zeitstempel vor. Die eigentliche Bestätigungs-E-Mail konnte sie nicht vorlegen, obwohl ihr eigenes, der Behörde gegenüber beschriebenes, Verfahren gerade die Speicherung solcher Bestätigungs-E-Mails vorsah. Die Aufsichtsbehörde sprach daraufhin eine Verwarnung nach Art. 58 Abs. 2 lit. b DS-GVO aus.

Entscheidung des Gerichts
Das Gericht bestätigte die Rechtmäßigkeit der Verwarnung in vollem Umfang. Zentral ist die Beweislastregel des Art. 7 Abs. 1 DS-GVO: Beruft sich der Verantwortliche auf eine Einwilligung als Rechtsgrundlage, muss er deren Erteilung nachweisen können. Gelingt dieser Nachweis nicht, gilt die Einwilligung als nicht bzw. nicht wirksam erteilt – mit denselben Rechtsfolgen wie bei einer tatsächlich fehlenden Einwilligung.

In der Sache stellte das Gericht klar, dass IP-Adressen für einen solchen Nachweis strukturell ungeeignet sind. Da eine IP-Adresse einem Gerät und nicht einer bestimmten Person zugeordnet ist und zwischen E-Mail-Adresse und IP-Adresse kein notwendiger Zusammenhang besteht, lassen sich daraus weder die Identität des Einwilligenden noch der Inhalt der übermittelten Erklärung ableiten. Dies gelte nach Auffassung des Gerichts gleichermaßen für die beim Double-Opt-In-Verfahren erfasste zweite (Bestätigungs-)IP-Adresse.

Für einen tragfähigen Einwilligungsnachweis reicht die bloße Protokollierung von IP-Adressen und Zeitstempeln nicht aus. Erforderlich ist regelmäßig die tatsächliche Speicherung und Vorlagefähigkeit der Bestätigungserklärung selbst. Unternehmen sollten zudem sicherstellen, dass ihre dokumentierten Double-Opt-In-Prozesse in der betrieblichen Praxis auch tatsächlich eingehalten werden, da Abweichungen – wie hier das Nichtvorhalten der Bestätigungs-E-Mai – zulasten des Verantwortlichen gewertet werden