VG Düsseldorf: Bloße Angabe von E-Mail- und IP-Adresse mit Zeitstempel genügt nicht als Nachweis einer Einwilligung nach Art. 7 Abs. 1 DSGVO
VG Düsseldorf
Urteil vom 27.07.2026
29 K 9714/24
Das VG Düsseldorf hat entschieden, dass die bloße Angabe von E-Mail- und IP-Adresse mit Zeitstempel nicht als Nachweis einer Einwilligung nach Art. 7 Abs. 1 DSGVO genügt.
Aus den Entscheidungsgründen:
Die Klage hat keinen Erfolg.
Sie ist zulässig. Insbesondere ist sie als Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 Verwaltungsgerichtsordnung (VwGO) statthaft. Bei der Verwarnung im Sinne von Art. 58 Abs. 2 Buchst. b DSGVO handelt es sich um einen belastenden Verwaltungsakt.
Vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 25.
Für den Adressaten entstehen zwar keine Handlungspflichten, allerdings wird eine verbindliche, missbilligende Feststellung zu einem konkreten Datenschutzverstoß getroffen, die als feststellender Verwaltungsakt zu qualifizieren ist.
Vgl. Polenz, in: Simitis/Hornung/Spiecker, Datenschutzrecht, DSGVO, 2. Aufl. 2025, Art. 58 Rn. 8.
Die Klage ist jedoch unbegründet.
Der Bescheid der Beklagten vom 24. Oktober 2024 ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten, vgl. § 113 Abs. 1 Satz 1 VwGO.
Die datenschutzrechtliche Verwarnung der Beklagten findet ihre Rechtsgrundlage in Art. 58 Abs. 2 Buchst. b der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO).
Formelle Bedenken bestehen nicht. Insbesondere wurde die Klägerin vor Erlass der Verwarnung gemäß § 28 Abs. 1 Verwaltungsverfahrensgesetz für das Land Nordrhein-Westfalen (Verwaltungsverfahrensgesetz NRW - VwVfG NRW) angehört.
Der angefochtene Bescheid ist auch materiell rechtmäßig.
Nach Art. 58 Abs. 2 Buchst. b DSGVO verfügt jede Aufsichtsbehörde über die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat.
Die tatbestandlichen Voraussetzungen für die ausgesprochene Verwarnung liegen vor. Die Klägerin hat gegen die Datenschutz-Grundverordnung verstoßen, weil sie die Einwilligung des Beschwerdeführers in die Verarbeitung seiner personenbezogenen Daten nicht nachgewiesen hat.
Die Klägerin ist Verantwortliche im Sinne von Art. 58 Abs. 2 b, Art. 4 Nr. 7 Halbsatz 1 DSGVO. Sie hat die E-Mail-Adresse des Beschwerdeführers erhoben und durch das Versenden von Werbe-E-Mails verwendet.
Als Verantwortliche muss die Klägerin nach Art. 5 Abs. 2 DS-GVO iVm Art. 5 Abs. 1 lit. a DS-GVO sicherstellen, dass die Verarbeitung der personenbezogenen Daten auf rechtmäßige Weise erfolgt.
Vgl. EuGH, Urteil vom 4. Mai 2023 - C-60/22 -, ZD 2023,606, Rn. 54.
Die Verarbeitung gemäß Art. 6 Abs. 1 DSGVO ist nur rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 Satz 1 DSGVO aufgeführten Bedingungen erfüllt ist.
Danach war die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die Klägerin rechtswidrig, weil keine der in Art. 6 Abs. 1 Satz 1 DSGVO genannten Bedingungen erfüllt war. Es fehlt an der vorliegend allein in Betracht kommenden und von der Klägerin behaupteten Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a) DSGVO.
Es kann nach der Vorgeschichte und den vom Beschwerdeführer im Verwaltungsverfahren beigebrachten Nachweisen praktisch ausgeschlossen werden, dass dieser eine Einwilligung tatsächlich erteilt hat. Das ist aber nicht entscheidungserheblich. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, wenn die Verarbeitung auf einer Einwilligung beruht. Diesen Nachweis hat die Klägerin - wie bereits im vorangegangenen Verfahren gegen die „T.“ - nicht erbracht. Einen Ausdruck der Bestätigungsmail, die unter der E-Mail-Adresse des Beschwerdeführers abgesandt wurde, hat die Klägerin nicht vorgelegt.
Die Angabe der verarbeiteten Daten im Schriftsatz des Prozessbevollmächtigten der Klägerin vom 8. Mai 2024 „E-Mail: P.@web.de, IP 00.000.00.000, Datum: 2023-06-29 17:22:20, DOI IP: 00.000.00.000, DOI Datum: 2023-06-29 17:27:41“ ist zum Nachweis der erteilten Einwilligung ungeeignet.
Die Angaben beweisen schon keine Beziehung zum Beschwerdeführer. Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang. Eine IP-Adresse ist eine Adresse in Computernetzen, die - wie das Internet - auf dem Internetprotokoll (IP) basieren. Sie wird Geräten zugewiesen, die an das Netz angebunden sind, macht die Geräte so adressierbar und damit erreichbar.
https://de.wikipedia.org/wiki/IP-Adresse
Der E-Mail-Account ist nicht an ein bestimmtes Gerät gebunden.
Auch der Umstand, dass sowohl eine IP- als auch eine DOI IP-Adresse erfasst wurden, stellt keinerlei Bezug zum Beschwerdeführer her. Die Angabe der IP-Adresse mit Zeitstempel dokumentiert, dass Daten zu diesem Zeitpunkt von einem Computer mit dieser IP-Adresse an einen Empfänger (hier: ein Gerät der Klägerin) transportiert wurden. Da es sich bei der IP-Adresse um die Adresse eines technischen Geräts handelt, kann damit der Anschlussinhaber ermittelt werden. Welche Person zum fraglichen Zeitpunkt auf dem Gerät aktiv war, lässt sich hingegen nicht feststellen, weil die IP-Adresse keinem bestimmten Nutzer zugeordnet ist. Für die angegebene DOI-IP-Adresse mit Zeitstempel gilt nichts anderes. Sie besagt nur, dass ein zweites Mal Daten von dieser IP-Adresse an ein Gerät der Klägerin transportiert wurden.
Ungeachtet dessen ist den Angaben nicht zu entnehmen, dass überhaupt eine Einwilligung erteilt wurde. Ebenso wenig wie die IP-Adresse lässt die DOI IP-Adresse den Inhalt des übersendeten Datenpakets erkennen.
Kann der Verantwortliche den Nachweis der Rechtmäßigkeit der Verarbeitung nicht führen, so gilt die Einwilligung als nicht bzw. nicht wirksam erteilt. Es treten dieselben Rechtsfolgen ein wie bei tatsächlich fehlender wirksamer Einwilligung.
Vgl. Oberverwaltungsgericht des Saarlandes, Beschluss vom 16. Februar 2021 - 2 A 355/19 -, juris Rn. 28; Stemmer, in: BeckOK Datenschutzrecht, 56. Edition, Stand: 01.11.2025, Art. 7 DSGVO, Rn. 89 m.w.N.
Der Versuch der Klägerin, die Einlassungen des Beschwerdeführers zu seinem Aufenthaltsort am 29. Juni 2023 in Zweifel zu ziehen, geht angesichts der die Klägerin als Verantwortliche treffende Beweislast für das Vorliegen einer wirksamen Einwilligung nach Art. 7 Abs. 1 DSGVO ins Leere.
Die im Verwaltungsverfahren vorgelegte Verfahrensbeschreibung ändert an der Erforderlichkeit des Nachweises einer Einwilligung schon deshalb nichts, weil die Klägerin ihr eigenes Verfahren nicht einhält. Hierzu hat sie gegenüber der Beklagten mit Schriftsatz ihres Prozessbevollmächtigten vom 5. Juli 2022 vorgetragen: „Zusätzlich werden alle DOI-Mails, also die Mails, die nach einem Eintrag der E-Mailadresse bei der Newsletterbestellung an die eingetragene Mailadresse versendet werden und in denen der Bestätigungslink angeklickt werden muss, in bcc an eine eigens dafür eingerichtete Mailadresse unserer Mandantin geschickt und dort gespeichert, um sie in Zukunft bei Nachfragen Ihrerseits ausdrucken zu können.“ Bei Beachtung dieses Verfahrens hätte die Klägerin die Bestätigungsmail des Beschwerdeführers vorlegen können. Dass sie dies nicht getan hat, lässt nur den Schluss zu, dass es keine Bestätigungsmail gibt. Ungeachtet dessen hat die Beklagte keineswegs, wie die Klägerin suggeriert, ein Abweichen von Art. 7 DSGVO genehmigt. Vielmehr hat sie unter dem 25. Oktober 2022 ausdrücklich darauf hingewiesen, dass ein wirksames Double-Opt-In (DOI)-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere.
Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen rechtlichen Bedenken. Die Beklagte hat das ihr nach Art. 58 Abs. 2 DSGVO eingeräumte Ermessen fehlerfrei ausgeübt (§ 114 Satz 1 VwGO). Gerade im Hinblick auf die Vorgeschichte ist ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, der bei der Auswahl der nach Art. 58 Abs. 2 DSGVO zur Verfügung stehenden Maßnahmen zu beachten ist,
vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 147,
nicht zu erkennen. Die Verwarnung dient dem Zweck der Datenschutz-Grundverordnung, eine einheitliche Überwachung und Durchsetzung der Verordnung in der gesamten Union sicherzustellen (vgl. Erwägungsgrund 129 Satz 1 DSGVO). Durch die ihr zukommende Warnfunktion ist sie auch geeignet, datenschutzkonforme Zustände herzustellen. Sie ist des Weiteren auch erforderlich. Mit der Verwarnung hat die Beklagte das mildeste Abhilfeinstrument im Maßnahmenkatalog des Art. 58 Abs. 2 DSGVO gewählt. Die Anordnung ist schließlich auch angemessen, d. h. verhältnismäßig im engeren Sinn. Die Verwarnung stellt sich als geringfügiger Eingriff in die Rechte der Klägerin dar, da mit ihr insbesondere keine unmittelbaren finanziellen Nachteile verbunden sind.
Den Volltext der Entscheidung finden Sie hier:
Urteil vom 27.07.2026
29 K 9714/24
Das VG Düsseldorf hat entschieden, dass die bloße Angabe von E-Mail- und IP-Adresse mit Zeitstempel nicht als Nachweis einer Einwilligung nach Art. 7 Abs. 1 DSGVO genügt.
Aus den Entscheidungsgründen:
Die Klage hat keinen Erfolg.
Sie ist zulässig. Insbesondere ist sie als Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 Verwaltungsgerichtsordnung (VwGO) statthaft. Bei der Verwarnung im Sinne von Art. 58 Abs. 2 Buchst. b DSGVO handelt es sich um einen belastenden Verwaltungsakt.
Vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 25.
Für den Adressaten entstehen zwar keine Handlungspflichten, allerdings wird eine verbindliche, missbilligende Feststellung zu einem konkreten Datenschutzverstoß getroffen, die als feststellender Verwaltungsakt zu qualifizieren ist.
Vgl. Polenz, in: Simitis/Hornung/Spiecker, Datenschutzrecht, DSGVO, 2. Aufl. 2025, Art. 58 Rn. 8.
Die Klage ist jedoch unbegründet.
Der Bescheid der Beklagten vom 24. Oktober 2024 ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten, vgl. § 113 Abs. 1 Satz 1 VwGO.
Die datenschutzrechtliche Verwarnung der Beklagten findet ihre Rechtsgrundlage in Art. 58 Abs. 2 Buchst. b der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO).
Formelle Bedenken bestehen nicht. Insbesondere wurde die Klägerin vor Erlass der Verwarnung gemäß § 28 Abs. 1 Verwaltungsverfahrensgesetz für das Land Nordrhein-Westfalen (Verwaltungsverfahrensgesetz NRW - VwVfG NRW) angehört.
Der angefochtene Bescheid ist auch materiell rechtmäßig.
Nach Art. 58 Abs. 2 Buchst. b DSGVO verfügt jede Aufsichtsbehörde über die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat.
Die tatbestandlichen Voraussetzungen für die ausgesprochene Verwarnung liegen vor. Die Klägerin hat gegen die Datenschutz-Grundverordnung verstoßen, weil sie die Einwilligung des Beschwerdeführers in die Verarbeitung seiner personenbezogenen Daten nicht nachgewiesen hat.
Die Klägerin ist Verantwortliche im Sinne von Art. 58 Abs. 2 b, Art. 4 Nr. 7 Halbsatz 1 DSGVO. Sie hat die E-Mail-Adresse des Beschwerdeführers erhoben und durch das Versenden von Werbe-E-Mails verwendet.
Als Verantwortliche muss die Klägerin nach Art. 5 Abs. 2 DS-GVO iVm Art. 5 Abs. 1 lit. a DS-GVO sicherstellen, dass die Verarbeitung der personenbezogenen Daten auf rechtmäßige Weise erfolgt.
Vgl. EuGH, Urteil vom 4. Mai 2023 - C-60/22 -, ZD 2023,606, Rn. 54.
Die Verarbeitung gemäß Art. 6 Abs. 1 DSGVO ist nur rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 Satz 1 DSGVO aufgeführten Bedingungen erfüllt ist.
Danach war die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die Klägerin rechtswidrig, weil keine der in Art. 6 Abs. 1 Satz 1 DSGVO genannten Bedingungen erfüllt war. Es fehlt an der vorliegend allein in Betracht kommenden und von der Klägerin behaupteten Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a) DSGVO.
Es kann nach der Vorgeschichte und den vom Beschwerdeführer im Verwaltungsverfahren beigebrachten Nachweisen praktisch ausgeschlossen werden, dass dieser eine Einwilligung tatsächlich erteilt hat. Das ist aber nicht entscheidungserheblich. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, wenn die Verarbeitung auf einer Einwilligung beruht. Diesen Nachweis hat die Klägerin - wie bereits im vorangegangenen Verfahren gegen die „T.“ - nicht erbracht. Einen Ausdruck der Bestätigungsmail, die unter der E-Mail-Adresse des Beschwerdeführers abgesandt wurde, hat die Klägerin nicht vorgelegt.
Die Angabe der verarbeiteten Daten im Schriftsatz des Prozessbevollmächtigten der Klägerin vom 8. Mai 2024 „E-Mail: P.@web.de, IP 00.000.00.000, Datum: 2023-06-29 17:22:20, DOI IP: 00.000.00.000, DOI Datum: 2023-06-29 17:27:41“ ist zum Nachweis der erteilten Einwilligung ungeeignet.
Die Angaben beweisen schon keine Beziehung zum Beschwerdeführer. Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang. Eine IP-Adresse ist eine Adresse in Computernetzen, die - wie das Internet - auf dem Internetprotokoll (IP) basieren. Sie wird Geräten zugewiesen, die an das Netz angebunden sind, macht die Geräte so adressierbar und damit erreichbar.
https://de.wikipedia.org/wiki/IP-Adresse
Der E-Mail-Account ist nicht an ein bestimmtes Gerät gebunden.
Auch der Umstand, dass sowohl eine IP- als auch eine DOI IP-Adresse erfasst wurden, stellt keinerlei Bezug zum Beschwerdeführer her. Die Angabe der IP-Adresse mit Zeitstempel dokumentiert, dass Daten zu diesem Zeitpunkt von einem Computer mit dieser IP-Adresse an einen Empfänger (hier: ein Gerät der Klägerin) transportiert wurden. Da es sich bei der IP-Adresse um die Adresse eines technischen Geräts handelt, kann damit der Anschlussinhaber ermittelt werden. Welche Person zum fraglichen Zeitpunkt auf dem Gerät aktiv war, lässt sich hingegen nicht feststellen, weil die IP-Adresse keinem bestimmten Nutzer zugeordnet ist. Für die angegebene DOI-IP-Adresse mit Zeitstempel gilt nichts anderes. Sie besagt nur, dass ein zweites Mal Daten von dieser IP-Adresse an ein Gerät der Klägerin transportiert wurden.
Ungeachtet dessen ist den Angaben nicht zu entnehmen, dass überhaupt eine Einwilligung erteilt wurde. Ebenso wenig wie die IP-Adresse lässt die DOI IP-Adresse den Inhalt des übersendeten Datenpakets erkennen.
Kann der Verantwortliche den Nachweis der Rechtmäßigkeit der Verarbeitung nicht führen, so gilt die Einwilligung als nicht bzw. nicht wirksam erteilt. Es treten dieselben Rechtsfolgen ein wie bei tatsächlich fehlender wirksamer Einwilligung.
Vgl. Oberverwaltungsgericht des Saarlandes, Beschluss vom 16. Februar 2021 - 2 A 355/19 -, juris Rn. 28; Stemmer, in: BeckOK Datenschutzrecht, 56. Edition, Stand: 01.11.2025, Art. 7 DSGVO, Rn. 89 m.w.N.
Der Versuch der Klägerin, die Einlassungen des Beschwerdeführers zu seinem Aufenthaltsort am 29. Juni 2023 in Zweifel zu ziehen, geht angesichts der die Klägerin als Verantwortliche treffende Beweislast für das Vorliegen einer wirksamen Einwilligung nach Art. 7 Abs. 1 DSGVO ins Leere.
Die im Verwaltungsverfahren vorgelegte Verfahrensbeschreibung ändert an der Erforderlichkeit des Nachweises einer Einwilligung schon deshalb nichts, weil die Klägerin ihr eigenes Verfahren nicht einhält. Hierzu hat sie gegenüber der Beklagten mit Schriftsatz ihres Prozessbevollmächtigten vom 5. Juli 2022 vorgetragen: „Zusätzlich werden alle DOI-Mails, also die Mails, die nach einem Eintrag der E-Mailadresse bei der Newsletterbestellung an die eingetragene Mailadresse versendet werden und in denen der Bestätigungslink angeklickt werden muss, in bcc an eine eigens dafür eingerichtete Mailadresse unserer Mandantin geschickt und dort gespeichert, um sie in Zukunft bei Nachfragen Ihrerseits ausdrucken zu können.“ Bei Beachtung dieses Verfahrens hätte die Klägerin die Bestätigungsmail des Beschwerdeführers vorlegen können. Dass sie dies nicht getan hat, lässt nur den Schluss zu, dass es keine Bestätigungsmail gibt. Ungeachtet dessen hat die Beklagte keineswegs, wie die Klägerin suggeriert, ein Abweichen von Art. 7 DSGVO genehmigt. Vielmehr hat sie unter dem 25. Oktober 2022 ausdrücklich darauf hingewiesen, dass ein wirksames Double-Opt-In (DOI)-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere.
Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen rechtlichen Bedenken. Die Beklagte hat das ihr nach Art. 58 Abs. 2 DSGVO eingeräumte Ermessen fehlerfrei ausgeübt (§ 114 Satz 1 VwGO). Gerade im Hinblick auf die Vorgeschichte ist ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, der bei der Auswahl der nach Art. 58 Abs. 2 DSGVO zur Verfügung stehenden Maßnahmen zu beachten ist,
vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 147,
nicht zu erkennen. Die Verwarnung dient dem Zweck der Datenschutz-Grundverordnung, eine einheitliche Überwachung und Durchsetzung der Verordnung in der gesamten Union sicherzustellen (vgl. Erwägungsgrund 129 Satz 1 DSGVO). Durch die ihr zukommende Warnfunktion ist sie auch geeignet, datenschutzkonforme Zustände herzustellen. Sie ist des Weiteren auch erforderlich. Mit der Verwarnung hat die Beklagte das mildeste Abhilfeinstrument im Maßnahmenkatalog des Art. 58 Abs. 2 DSGVO gewählt. Die Anordnung ist schließlich auch angemessen, d. h. verhältnismäßig im engeren Sinn. Die Verwarnung stellt sich als geringfügiger Eingriff in die Rechte der Klägerin dar, da mit ihr insbesondere keine unmittelbaren finanziellen Nachteile verbunden sind.
Den Volltext der Entscheidung finden Sie hier: