Zur Verarbeitung von personenbezogenen Daten eines Betroffenen durch einen Verantwortlichen bedarf es, wenn keine Gründe gemäß Art. 6 Abs. 1 S. 1 lit. b-f DSGVO vorliegen, einer Einwilligung des Betroffenen, Art. 6 Abs. 1 S. 1 lit. a DSGVO. Sollte es streitig sein, ob diese Einwilligung erteilt wurde, so liegt die Beweislast gemäß Art. 7 Abs. 1 DSGVO bei dem für die Verarbeitung der personenbezogenen Daten Verantwortlichen.
Den Umfang der Beweiserbringung hat nun das Verwaltungsgericht (VG) Düsseldorf in einem aktuellen Urteil vom 27.07.2026 (Az. 29 K 9714/24) präzisiert.
In dem vorliegenden Fall ging es um ein Unternehmen (im Folgenden: Klägerin), das dem Beschwerdeführer im Jahr 2020 unerwünschte Werbung an seine private Mailadresse schickte. Der Beschwerdeführer bestritt, dass er der Klägerin eine Einwilligung zur Verarbeitung seiner personenbezogenen Daten erteilt habe. In dem darauffolgenden Beschwerdeverfahren bei der zuständigen Aufsichtsbehörde (im Folgenden: Beklagte) war es der Klägerin nicht gelungen, die Einwilligung des Beschwerdeführers vorzulegen, da sie nach eigenen Angaben diese aus Datenschutzgründen nicht speicherte. Im Jahr 2022 erließ die Beklagte sodann eine Anweisung an die Klägerin, wonach diese ein Double-Opt-In-Verfahren implementieren sollte, in dem die Einwilligungserklärung vollständig dokumentiert, gespeichert und nach Bedarf ausgedruckt werden könnten. Nachdem die Klägerin im Jahr 2024 erneut eine Werbemail an die private E-Mail-Adresse des Beschwerdeführers versandt hatte und die Klägerin weiterhin die zur Verarbeitung der personenbezogenen Daten erforderlich Einwilligungserklärung des Beschwerdeführers nicht nachweisen konnte, verwarnte die Beklagte die Klägerin wegen der rechtswidrigen Verarbeitung personenbezogener Daten gemäß Art. 58 Abs. 2 b DSGVO.
Gegen diese Verwarnung ging die Klägerin gerichtlich vor und erhob Klage vor dem VG Düsseldorf.
Die Verwarnung wurde durch das VG Düsseldorf indes bestätigt und die Klage abgewiesen.
Das Gericht entschied, dass die Beklagte als zuständige Aufsichtsbehörde gemäß Art. 58 Abs. 2 b DSGVO berechtigt ist, eine Verwarnung gegen den datenschutzrechtlichen Verantwortlichen auszusprechen, wenn Verarbeitungsvorgänge gegen die DSGVO verstoßen. Nach Ansicht des Gerichts war Art. 6 Abs. 1 S. 1 lit. a DSGVO vorliegend die einzige in Betracht kommende Rechtsgrundlage zur Verarbeitung der personenbezogenen Daten des Beschwerdeführers. Um das Vorliegen des Rechtfertigungsgrundes nachzuweisen, müsse die Klägerin die Einwilligungserklärung vorlegen können, wie es Art. 7 Abs. 1 DSGVO erfordert. Das Gericht führt aus, dass die von der Klägerin vorgelegte E-Mail-Adresse i.V.m. der IP-Adresse nicht aussagekräftig sei, da die IP-Adresse sich auf ein Gerät bezieht, während die E-Mail-Adresse an einen Nutzer gebunden ist. Der notwendige Zusammenhang zwischen beiden Adressen (E-Mail-Adresse / IP-Adresse) fehle. Darüber hinaus stellt das Gericht klar, dass durch die Erfassung von IP- und Double-Opt-in IP-Adressen nur die Übermittlung von Daten bewiesen werden könne. Über den konkreten Inhalt und die eigentliche Abgabe einer Einwilligungserklärung sagten diese indes nichts aus. Das Gericht wies die Klägerin auch darauf hin, dass die Beklagte, die Klägerin im Jahr 2022 ausdrücklich darauf hingewiesen habe, dass ein wirksames Double-Opt-In-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere.
Das Gericht stellt schließlich fest, dass die Verwarnung verhältnismäßig war. Die Beklagte könne als Aufsichtsbehörde mit der Warnfunktion einer Verwarnung darauf hinwirken, dass datenschutzkonforme Zustände hergestellt werden. Ferner, so das Gericht, stellt die Verwarnung das mildeste Abhilfeinstrument des Art. 58 Abs. 2 DSGVO dar und führt zu keinen unmittelbaren finanziellen Nachteilen auf Seiten der Klägerin.
Einordnung des Urteils:
Für Unternehmen ist die Entscheidung insbesondere deshalb relevant, weil sie die Anforderungen an den Nachweis einer Einwilligung nach Art. 7 Abs. 1 DSGVO konkretisiert. Verantwortliche sollten jede Einwilligung so dokumentieren, dass sowohl der konkrete Inhalt der Einwilligungserklärung als auch die hierzu erklärte Zustimmung des Betroffenen zuverlässig nachvollzogen werden können. Nur so lässt sich in einem etwaigen behördlichen oder gerichtlichen Verfahren substantiiert darlegen und beweisen, dass eine wirksame Einwilligung tatsächlich erteilt wurde.
