close notice
It was translated with technical assistance and editorially reviewed before publication.
Ein Urteil des Verwaltungsgerichts Düsseldorf schränkt die gängige Praxis bei der Nachweisführung für Werbe-E-Mails stark ein. Demnach reichte es in der konkreten Auseinandersetzung nicht, im Streitfall lediglich IP-Adressen, Zeitstempel und E-Mail-Adressen vorzulegen. Werbeversender müssen im Zweifel vielmehr lückenlos belegen können, dass eine Einwilligung tatsächlich von der betroffenen Person erteilt wurde (Az.: 29 K 9714/24). Andernfalls drohen rechtliche Konsequenzen durch die Datenschutzaufsicht.
Weiterlesen nach der Anzeige
Dem Verfahren lag die Klage eines Unternehmens zugrunde, das Internetportale betreibt und im Bereich des Online-Marketings sowie der Reisevermittlung tätig ist. Gegen die Gesellschaft hatte die zuständige Datenschutzbehörde eine förmliche Verwarnung ausgesprochen, nachdem sich ein Bürger wiederholt über den Erhalt unerwünschter Werbe-E-Mails beschwert hatte.
Der Betroffene gab an, seine private E-Mail-Adresse niemals für den Empfang von Werbenachrichten freigegeben zu haben. Bereits im Jahr 2020 war er erstmals gegen den Versender vorgegangen. Anfang 2024 erhielt er erneut ähnlichen Spam auf seine Adresse und schaltete die Aufsichtsbehörde ein. Der Beschwerdeführer versicherte, die entsprechende Webseite weder zum angeblichen Anmeldezeitpunkt noch sonst irgendwann besucht zu haben. Er verwies auch darauf, dass er sich zum Zeitpunkt der angeblichen Registrierung im Ausland befunden habe.
Reine Protokolldaten sind zu wenig vor Gericht
Das Marketingunternehmen hielt dagegen, die Daten seien rechtmäßig über ein Double-Opt-In-Verfahren erhoben worden. Zum Nachweis legte die Klägerin vor Gericht und gegenüber der Behörde einen Datensatz vor, der die E-Mail-Adresse, eine IP-Adresse mit Zeitstempel für die Erstanmeldung sowie eine weitere IP-Adresse nebst Zeitstempel für die Bestätigung des Links umfasste. Eine Kopie oder einen Ausdruck der tatsächlichen Bestätigungs-E-Mail konnte die Firma aber nicht vorlegen.
Die Düsseldorfer Richter wiesen die Klage gegen die behördliche Verwarnung vollumfänglich ab. Sie stellen klar, dass der Versender gemäß Artikel 7 der Datenschutz-Grundverordnung (DSGVO) die vollen Nachweispflichten für das Vorliegen einer wirksamen Einwilligung trägt. Kann dieser Beleg nicht zweifelsfrei erbracht werden, gilt die Einwilligung rechtlich als nicht erteilt.
IP-Adressen lassen keinen Schluss auf Personen zu
In der Begründung führt die Kammer aus, dass reine technische Daten wie IP-Adressen ungeeignet seien, eine konkrete Person mit einer Einwilligung in Verbindung zu bringen. Eine IP-Adresse identifiziere nur ein netzwerkfähiges Gerät oder einen Internetanschluss, nicht jedoch die handelnde Person vor dem Bildschirm. Zudem sei ein E-Mail-Konto nicht an ein festes Gerät gebunden. Auch das Zusammenspiel aus zwei registrierten IP-Adressen beim Double-Opt-In belege lediglich, dass Datenpakete zwischen Geräten ausgetauscht worden seien. Das offenbare indes weder den eigentlichen Inhalt der Nachricht noch die Identität des Absenders.
Weiterlesen nach der Anzeige
Besonders schwer wog für das Gericht, dass die Firma ihr eigenes, gegenüber der Behörde zuvor beschriebenes Verfahren nicht eingehalten hatte. Das Unternehmen hatte zugesagt, alle Bestätigungsmails in Kopie an eine interne Adresse zu leiten und dort zu archivieren, um sie bei Prüfungen ausdrucken zu können. Dass der Betrieb eine solche Mail im Verfahren nun trotzdem nicht vorweisen konnte, ließ für das Gericht nur den Schluss zu, dass ein solches Schreiben im konkreten Fall gar nicht existierte.
Die ausgesprochene datenschutzrechtliche Verwarnung stufte das Verwaltungsgericht als rechtmäßigen und verhältnismäßigen Verwaltungsakt ein. Eine Geldbuße war damit zwar nicht verknüpft. Es handelte sich aber um eine verbindliche und missbilligende Feststellung des Datenschutzverstoßes. Das Urteil zeigt so, dass Firmen beim E-Mail-Marketing nicht auf reine Protokolldaten vertrauen dürfen. Sie müssen die Nachweisbarkeit der eigentlichen Bestätigungsnachricht sicherstellen.
Lesen Sie auchMehr anzeigenWeniger anzeigen
(nie)
Dieser Link ist leider nicht mehr gültig.
Links zu verschenkten Artikeln werden ungültig,
wenn diese älter als 7 Tage sind oder zu oft aufgerufen wurden.
Sie benötigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen – ohne Verpflichtung!