Newsletter-Einwilligung: IP-Adresse ist kein Nachweis

Wer einen Newsletter verschickt, muss belegen können, dass jeder einzelne Empfänger zugestimmt hat. Ein aktuelles Urteil des Verwaltungsgerichts Düsseldorf zeigt: Die Protokolldaten, die viele Newsletter-Tools standardmäßig speichern, reichen dafür nicht aus.

Worum es in dem Urteil ging

Das Verwaltungsgericht Düsseldorf hat mit Urteil vom 27. Juli 2026 (Az. 29 K 9714/24) die Verwarnung einer Aufsichtsbehörde gegen ein Online-Marketing-Unternehmen bestätigt. Das Unternehmen hatte Werbe-E-Mails versendet und sich dabei auf ein Double-Opt-In-Verfahren berufen. Als sich ein Empfänger beschwerte und bestritt, sich jemals angemeldet zu haben, konnte das Unternehmen nur drei Angaben vorlegen: die E-Mail-Adresse, einen Zeitstempel und die IP-Adresse der Anmeldung.

Das Gericht war deutlich: Diese Angaben genügen nicht zum Nachweis der Einwilligung nach Art. 7 Abs. 1 DSGVO. Die Nachweispflicht liegt vollständig beim Unternehmen – und wer sie nicht erfüllt, hat rechtlich keine wirksame Einwilligung.

Warum die IP-Adresse als Nachweis nicht genügt

Die Begründung ist für die Praxis wichtiger als das Ergebnis. Zwischen einer IP-Adresse und einer E-Mail-Adresse besteht nach Auffassung des Gerichts kein notwendiger Zusammenhang. Eine IP-Adresse führt allenfalls zum Anschlussinhaber, nicht zu der Person, die tatsächlich am Gerät gesessen hat. In Büros, Hotels oder öffentlichen Netzen teilen sich viele Menschen dieselbe Adresse. Wer eine fremde E-Mail-Adresse in ein Anmeldeformular einträgt, hinterlässt genau dieselbe Protokollzeile wie der rechtmäßige Inhaber.

Entscheidend ist deshalb der zweite Schritt des Double-Opt-In: die Bestätigungs-E-Mail. Nur sie belegt, dass der Inhaber des Postfachs die Anmeldung selbst bestätigt hat. Wer diesen Schritt nicht dokumentiert, riskiert ein Bußgeld nach Art. 83 Abs. 5 lit. a DSGVO – und zwar unabhängig davon, ob die Anmeldung tatsächlich echt war.

Was Sie jetzt konkret dokumentieren sollten

• Die Anmeldung selbst: Welches Formular wurde genutzt, welcher Einwilligungstext stand darüber, welche Zwecke wurden genannt? Der Wortlaut zählt, nicht nur das Häkchen.
• Den Versand der Bestätigungsmail: Datum, Uhrzeit und Empfängeradresse, idealerweise mit dem versendeten Text.
• Den Klick auf den Bestätigungslink: mit eigenem Zeitstempel. Das ist der eigentliche Nachweis – und genau der fehlte im Düsseldorfer Fall.
• Die Aufbewahrung: so lange, wie der Empfänger den Newsletter erhält, nicht nur ein paar Monate.
• Abmeldungen: ebenfalls protokollieren, damit ein Widerruf belegbar umgesetzt wurde.

Prüfen Sie außerdem, ob Ihr Newsletter-Tool diese Daten überhaupt exportieren kann. Viele Systeme zeigen den Opt-in-Status zwar im Dashboard an, liefern im Beschwerdefall aber keinen belastbaren Auszug. Wer den Versand ausgelagert hat, sollte den Punkt im Auftragsverarbeitungsvertrag ausdrücklich regeln.

Fazit

Das Urteil verlangt nichts Neues, es macht nur ernst mit einer Pflicht, die seit 2018 gilt. Die praktische Konsequenz für kleine und mittlere Unternehmen ist überschaubar: Legen Sie einen Testdatensatz an, exportieren Sie ihn und schauen Sie nach, ob die Bestätigungsmail darin auftaucht. Das dauert eine halbe Stunde und erspart Ihnen im Ernstfall eine unangenehme Diskussion mit der Aufsichtsbehörde. Wie streng Gerichte Einwilligungen inzwischen prüfen, zeigte zuletzt auch das Urteil des LG Berlin zu den WhatsApp-Klauseln sowie die Rechtsprechung zu Cookie-Bannern.

Ihre Einwilligungen und Verarbeitungstätigkeiten sauber dokumentiert an einem Ort haben Sie mit dem DSGVO-Manager.

Sie benötigen Unterstützung beim Datenschutz? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.