Newsletter rechtssicher versenden: Einwilligungen richtig nachweisen
Ein aktuelles Urteil rückt den Nachweis von Newsletter-Einwilligungen in den Fokus. Ein Double-Opt-in allein genügt nicht, wenn sich der Inhalt der Einwilligung später nicht mehr nachvollziehen lässt. Unternehmen sollten deshalb Website, Newsletter-System und CRM als durchgängigen Prozess betrachten.
Ein aktuelles Urteil macht die Nachweispflicht deutlich
Mit Urteil vom 27. Juli 2026 hat das Verwaltungsgericht Düsseldorf die Anforderungen an den Nachweis von Newsletter-Einwilligungen noch einmal deutlich gemacht. Im konkreten Fall bestritt ein Empfänger, sich für Werbe-E-Mails angemeldet zu haben. Das Unternehmen verwies auf ein durchlaufenes Double-Opt-in und legte E-Mail-Adresse, IP-Adressen sowie Zeitstempel von Anmeldung und Bestätigung vor.
Das Problem: Es konnte nicht nachweisen, welcher konkrete Einwilligungstext bestätigt worden war. Auch die zugehörige Bestätigungs-E-Mail lag nicht mehr vor. Damit war zwar der technische Ablauf dokumentiert, nicht aber die eigentliche Zustimmung zu Werbemails.
Nach Artikel 7 Absatz 1 DSGVO müssen Unternehmen im Streitfall belegen können, dass eine wirksame Einwilligung vorlag. IP-Adressen und Zeitstempel allein schließen diese Lücke nicht.
Das Urteil ändert die Rechtslage nicht grundlegend, macht die praktische Nachweispflicht aber deutlich. Dieser Beitrag bietet eine allgemeine technische Orientierung und ersetzt keine rechtliche Einzelfallprüfung.
Double-Opt-in bleibt die richtige Grundlage
Das Gericht stellt das Double-Opt-in nicht infrage. Das Verfahren schützt weiterhin davor, fremde E-Mail-Adressen ohne Zugriff auf das zugehörige Postfach anzumelden. Der protokollierte Bestätigungslink dokumentiert jedoch nicht automatisch, welche Erklärung ihm zugrunde lag.
Die DSGVO schreibt kein bestimmtes Speicherformat vor. Der Nachweis sollte aber verständlich abrufbar sein und erkennen lassen, wie und wann die Einwilligung erteilt wurde und welche Informationen dabei angezeigt wurden.
„Ein Klick allein ist noch kein vollständiger Nachweis. Entscheidend ist, was bestätigt wurde.“
Drei Maßnahmen für belastbare Einwilligungsnachweise
Unternehmen benötigen kein möglichst umfangreiches Datenarchiv. Entscheidend ist ein nachvollziehbarer Zusammenhang zwischen Anmeldung, Einwilligungsinhalt und Bestätigung.
-
Einwilligungstext und Version
Zu jedem Kontakt sollte die damals angezeigte Erklärung nachvollziehbar bleiben. Werden Formulierungen, Newsletter-Themen oder Datenschutzhinweise geändert, verbindet eine Versionskennung den Datensatz mit dem früheren Text. -
Anmeldung und Bestätigung
Zeitpunkt und Quelle der Anmeldung, Empfängeradresse, Versand der Bestätigungsnachricht und Betätigung des Links müssen zusammengehören. Zusätzlich sollte erkennbar sein, welche Version der Nachricht und Einwilligung verwendet wurde. Ob dafür die tatsächliche E-Mail oder eine unveränderbar gespeicherte Vorlage archiviert wird, hängt vom eingesetzten System und Datenschutzkonzept ab.
Mehr IP-Daten zu speichern, verbessert den Nachweis dagegen nicht, wenn Inhalt und Zuordnung weiterhin fehlen. -
Widerruf und Abmeldung
Ein Widerruf muss nach Artikel 7 Absatz 3 DSGVO so einfach möglich sein wie die Einwilligung. Eine Abmeldung darf deshalb nicht nur im Newsletter-System ankommen, sondern muss auch im CRM und in angeschlossenen Anwendungen berücksichtigt werden. Welche Nachweise anschließend noch benötigt werden, gehört in das betriebliche Löschkonzept.
Website, Newsletter-System und CRM verbinden
Eine Anmeldung beginnt meist auf der Website, wird über das Mailing-System bestätigt und anschließend im CRM gespeichert. An diesen Übergängen gehen Informationen häufig verloren. Ein Feld wie „Newsletter: Ja“ zeigt weder den Zeitpunkt noch den damals gültigen Text.
Ein durchgängiger Prozess übermittelt deshalb die Textversion von der Website, dokumentiert Versand und Bestätigung und führt die Angaben beim Kontakt zusammen. Diese Verbindung muss auch bei einem Relaunch, einer Datenmigration oder einem Anbieterwechsel erhalten bleiben.
Das integrierte E-Mailing-Modul in unserem eigens entwickelten bpCRM kann Kontaktdaten, Versand und individuelle Dokumentationsabläufe in einer gemeinsamen Umgebung verbinden. Welche Informationen gespeichert werden müssen, sollte mit den Datenschutzverantwortlichen oder juristischen Beratern festgelegt werden.
Bestehende Newsletter-Verteiler gezielt prüfen
Ein Stichprobentest zeigt schnell, ob aktive Kontakte nachvollziehbar dokumentiert sind: Sind Anmeldeweg, Zeitpunkt, Einwilligungstext und Bestätigung gemeinsam abrufbar? Fehlen Angaben, sollten die betroffenen Bestände nach Herkunft und Rechtsgrundlage getrennt bewertet werden. Eine pauschale Bitte um erneute Bestätigung kann selbst rechtlich problematisch sein und sollte nicht ungeprüft versendet werden.
Nicht jeder Versand benötigt eine gesonderte Einwilligung. § 7 Absatz 3 UWG enthält eine eng begrenzte Ausnahme für Werbung an Bestandskunden. Auch dann sollte pro Kontakt dokumentiert sein, warum die Voraussetzungen erfüllt sind.
Fazit: Nachweisbarkeit gehört zum Newsletter-Prozess
Das Urteil macht Double-Opt-in nicht unbrauchbar. Es zeigt, dass E-Mail-Adresse, IP-Adresse und Zeitstempel allein keinen belastbaren Einwilligungsnachweis ergeben.
Entscheidend ist die Verbindung zwischen Kontakt, damals gültigem Einwilligungstext und Bestätigung. Unternehmen sollten deshalb prüfen, ob ihre Systeme diesen Zusammenhang verständlich ausgeben können und ob er bei technischen Änderungen erhalten bleibt.
