Tatbestand

Gegenstand der Klage ist eine datenschutzrechtliche Verwarnung der beklagten Aufsichtsbehörde im Zusammenhang mit unerwünschter E-Mail-Werbung.

Die Klägerin betreibt Internetportale, die Durchführung von Online-Marketingtätigkeiten, die Planung und Vermittlung von Reisen aller Art und die Vermittlung von Dienstleistungen auf Provisionsbasis. Bis zum entsprechenden Gesellschafterbeschluss vom 5. Dezember 2023 firmierte die Klägerin unter „T.“ .

Unter dem 9. Juni 2020 hatte sich Herr Z. E. (im Folgenden: Beschwerdeführer) mit einer Beschwerde an die Beklagte gewandt, wonach er am 12. April 2020 auf seine private E-Mail-Adresse unerwünschte E-Mails der „T.“ erhalten habe. Er habe dieser seine private E-Mail-Adresse in keiner Form zukommen lassen. Ausweislich der von der Beklagten eingeholten Stellungnahme des Prozessbevollmächtigten der Klägerin soll der Beschwerdeführer die von ihr betriebene Internetseite www.T1.de am 29. Juni 2019 besucht und dort durch Angabe seiner E-Mail-Adresse und Anklicken einer Einverständniserklärung sein Einverständnis zum Erhalt von Werbemails erteilt haben. Die Bestätigungsmail könne nicht mehr vorgelegt werden, da sie diese aus Datenschutzgründen nicht speichere. Die Klage gegen den aufsichtsbehördlichen Hinweis vom 12. Januar 2021 hat die „T.“ am 29. Mai 2022 zurückgenommen (29 K 891/21).

Unter dem 21. Juni 2022 hörte die Beklagte die Klägerin unter ihrer früheren Firma zum Erlass einer Anweisung an, mit der die Klägerin ein Double-Opt-In-Verfahren zu implementieren, das Verfahren schriftlich zu beschreiben und diese Verfahrensbeschreibung vorzulegen hatte. Im Rahmen ihrer Stellungnahme teilte die Klägerin unter Beschreibung der einzelnen Schritte mit, sie habe bereits ein solches Verfahren bei sich implementiert.

Mit Schreiben vom 25. Oktober 2022 wies die Beklagte darauf hin, dass ein wirksames Double-Opt-In-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere.

Mit E-Mail vom 21. Februar 2024 meldete der Beschwerdeführer der Beklagten, dass er auf seine private E-Mail-Adresse erneut eine Werbemail der „T.“ erhalten habe. Er habe die Webseite www.T1.de weder am 29. Juni 2023 noch sonst wann besucht, noch habe er seine Einwilligung erteilt. Die IP-Adresse gehöre zum Adressbereich der Deutschen Telekom in Q.. Am 29. Juni 2023 sei er aber in Dänemark gewesen.

Mit Schreiben vom 27. März 2024 führte die Beklagte weiter zur Verfahrensbeschreibung aus und forderte die Klägerin zudem im Hinblick auf die neuerliche Beschwerde zur Stellungnahme und Beantwortung bestimmter Fragen auf. Insbesondere sollte die Klägerin mitteilen, aus welchen Quellen sie die Daten bezogen habe.

Die Klägerin teilte hierauf unter dem 8. Mai 2024 u.a. mit, die Datenverarbeitung sei aufgrund einer Einwilligung erfolgt. Sie habe die Daten durch einen Eintrag auf www.T1.de erhalten.

Mit Schreiben vom 30. August 2024 hörte die Beklagte die Klägerin vor dem Erlass einer Verwarnung an.

Mit Bescheid vom 24. Oktober 2024 verwarnte die Beklagte die Klägerin wegen rechtswidriger Verarbeitung personenbezogener Daten. Zur Begründung führte sie aus: Die Klägerin habe die personenbezogenen Daten des Beschwerdeführers erhoben und verarbeitet, ohne eine Einwilligung nachweisen zu können. In Anbetracht der Historie übe sie ihr Ermessen dahingehend aus, die Klägerin zu verwarnen.

Hiergegen hat die Klägerin am 18. November 2024 Klage erhoben, mit der sie geltend macht: Sie habe die Adresse des Beschwerdeführers durch eine Anmeldung gemäß der bei der Beklagten hinterlegten und von dieser genehmigten Verfahrensbeschreibung zur Generierung von Einwilligungen erhalten. Die Mitteilung der Beklagten, dass die Verfahrensbeschreibung zwar technisch einwandfrei sei, aber datenschutzrechtlich nicht, sei zeitlich erst nach der Anmeldung am 29. Juni 2023 erfolgt. Die Behauptung, dass der Beschwerdeführer substantiiert begründet habe, keine Einwilligung erteilt zu haben, sei falsch.

Die Klägerin beantragt,

den Bescheid der Beklagten vom 24. Oktober 2024 aufzuheben.

Die Beklagte beantragt,

die Klage abzuweisen.

Wegen der weiteren Einzelheiten des Sach- und Streitstandes wird auf den Inhalt der Gerichtsakte sowie des beigezogenen Verwaltungsvorgangs Bezug genommen.

Entscheidungsgründe

Die Klage hat keinen Erfolg.

Sie ist zulässig. Insbesondere ist sie als Anfechtungsklage gemäß § 42 Abs. 1 Alt. 1 Verwaltungsgerichtsordnung (VwGO) statthaft. Bei der Verwarnung im Sinne von Art. 58 Abs. 2 Buchst. b DSGVO handelt es sich um einen belastenden Verwaltungsakt.

Vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 25.

Für den Adressaten entstehen zwar keine Handlungspflichten, allerdings wird eine verbindliche, missbilligende Feststellung zu einem konkreten Datenschutzverstoß getroffen, die als feststellender Verwaltungsakt zu qualifizieren ist.

Vgl. Polenz, in: Simitis/Hornung/Spiecker, Datenschutzrecht, DSGVO, 2. Aufl. 2025, Art. 58 Rn. 8.

Die Klage ist jedoch unbegründet.

Der Bescheid der Beklagten vom 24. Oktober 2024 ist rechtmäßig und verletzt die Klägerin nicht in ihren Rechten, vgl. § 113 Abs. 1 Satz 1 VwGO.

Die datenschutzrechtliche Verwarnung der Beklagten findet ihre Rechtsgrundlage in Art. 58 Abs. 2 Buchst. b der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung - DSGVO).

Formelle Bedenken bestehen nicht. Insbesondere wurde die Klägerin vor Erlass der Verwarnung gemäß § 28 Abs. 1 Verwaltungsverfahrensgesetz für das Land Nordrhein-Westfalen (Verwaltungsverfahrensgesetz NRW - VwVfG NRW) angehört.

Der angefochtene Bescheid ist auch materiell rechtmäßig.

Nach Art. 58 Abs. 2 Buchst. b DSGVO verfügt jede Aufsichtsbehörde über die Befugnis, einen Verantwortlichen zu verwarnen, wenn er mit Verarbeitungsvorgängen gegen die Datenschutz-Grundverordnung verstoßen hat.

Die tatbestandlichen Voraussetzungen für die ausgesprochene Verwarnung liegen vor. Die Klägerin hat gegen die Datenschutz-Grundverordnung verstoßen, weil sie die Einwilligung des Beschwerdeführers in die Verarbeitung seiner personenbezogenen Daten nicht nachgewiesen hat.

Die Klägerin ist Verantwortliche im Sinne von Art. 58 Abs. 2 b, Art. 4 Nr. 7 Halbsatz 1 DSGVO. Sie hat die E-Mail-Adresse des Beschwerdeführers erhoben und durch das Versenden von Werbe-E-Mails verwendet.

Als Verantwortliche muss die Klägerin nach Art. 5 Abs. 2 DS-GVO iVm Art. 5 Abs. 1 lit. a DS-GVO sicherstellen, dass die Verarbeitung der personenbezogenen Daten auf rechtmäßige Weise erfolgt.

Vgl. EuGH, Urteil vom 4. Mai 2023 - C-60/22 -, ZD 2023,606, Rn. 54.

Die Verarbeitung gemäß Art. 6 Abs. 1 DSGVO ist nur rechtmäßig, wenn mindestens eine der in Art. 6 Abs. 1 Satz 1 DSGVO aufgeführten Bedingungen erfüllt ist.

Danach war die Verarbeitung der personenbezogenen Daten des Beschwerdeführers durch die Klägerin rechtswidrig, weil keine der in Art. 6 Abs. 1 Satz 1 DSGVO genannten Bedingungen erfüllt war. Es fehlt an der vorliegend allein in Betracht kommenden und von der Klägerin behaupteten Einwilligung nach Art. 6 Abs. 1 UAbs. 1 lit. a) DSGVO.

Es kann nach der Vorgeschichte und den vom Beschwerdeführer im Verwaltungsverfahren beigebrachten Nachweisen praktisch ausgeschlossen werden, dass dieser eine Einwilligung tatsächlich erteilt hat. Das ist aber nicht entscheidungserheblich. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat, wenn die Verarbeitung auf einer Einwilligung beruht. Diesen Nachweis hat die Klägerin - wie bereits im vorangegangenen Verfahren gegen die „T.“ - nicht erbracht. Einen Ausdruck der Bestätigungsmail, die unter der E-Mail-Adresse des Beschwerdeführers abgesandt wurde, hat die Klägerin nicht vorgelegt.

Die Angabe der verarbeiteten Daten im Schriftsatz des Prozessbevollmächtigten der Klägerin vom 8. Mai 2024 „E-Mail: P.@web.de, IP 00.000.00.000, Datum: 2023-06-29 17:22:20, DOI IP: 00.000.00.000, DOI Datum: 2023-06-29 17:27:41“ ist zum Nachweis der erteilten Einwilligung ungeeignet.

Die Angaben beweisen schon keine Beziehung zum Beschwerdeführer. Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang. Eine IP-Adresse ist eine Adresse in Computernetzen, die - wie das Internet - auf dem Internetprotokoll (IP) basieren. Sie wird Geräten zugewiesen, die an das Netz angebunden sind, macht die Geräte so adressierbar und damit erreichbar.

https://de.wikipedia.org/wiki/IP-Adresse

Der E-Mail-Account ist nicht an ein bestimmtes Gerät gebunden.

Auch der Umstand, dass sowohl eine IP- als auch eine DOI IP-Adresse erfasst wurden, stellt keinerlei Bezug zum Beschwerdeführer her. Die Angabe der IP-Adresse mit Zeitstempel dokumentiert, dass Daten zu diesem Zeitpunkt von einem Computer mit dieser IP-Adresse an einen Empfänger (hier: ein Gerät der Klägerin) transportiert wurden. Da es sich bei der IP-Adresse um die Adresse eines technischen Geräts handelt, kann damit der Anschlussinhaber ermittelt werden. Welche Person zum fraglichen Zeitpunkt auf dem Gerät aktiv war, lässt sich hingegen nicht feststellen, weil die IP-Adresse keinem bestimmten Nutzer zugeordnet ist. Für die angegebene DOI-IP-Adresse mit Zeitstempel gilt nichts anderes. Sie besagt nur, dass ein zweites Mal Daten von dieser IP-Adresse an ein Gerät der Klägerin transportiert wurden.

Ungeachtet dessen ist den Angaben nicht zu entnehmen, dass überhaupt eine Einwilligung erteilt wurde. Ebenso wenig wie die IP-Adresse lässt die DOI IP-Adresse den Inhalt des übersendeten Datenpakets erkennen.

Kann der Verantwortliche den Nachweis der Rechtmäßigkeit der Verarbeitung nicht führen, so gilt die Einwilligung als nicht bzw. nicht wirksam erteilt. Es treten dieselben Rechtsfolgen ein wie bei tatsächlich fehlender wirksamer Einwilligung.

Vgl. Oberverwaltungsgericht des Saarlandes, Beschluss vom 16. Februar 2021 - 2 A 355/19 -, juris Rn. 28; Stemmer, in: BeckOK Datenschutzrecht, 56. Edition, Stand: 01.11.2025, Art. 7 DSGVO, Rn. 89 m.w.N.

Der Versuch der Klägerin, die Einlassungen des Beschwerdeführers zu seinem Aufenthaltsort am 29. Juni 2023 in Zweifel zu ziehen, geht angesichts der die Klägerin als Verantwortliche treffende Beweislast für das Vorliegen einer wirksamen Einwilligung nach Art. 7 Abs. 1 DSGVO ins Leere.

Die im Verwaltungsverfahren vorgelegte Verfahrensbeschreibung ändert an der Erforderlichkeit des Nachweises einer Einwilligung schon deshalb nichts, weil die Klägerin ihr eigenes Verfahren nicht einhält. Hierzu hat sie gegenüber der Beklagten mit Schriftsatz ihres Prozessbevollmächtigten vom 5. Juli 2022 vorgetragen: „Zusätzlich werden alle DOI-Mails, also die Mails, die nach einem Eintrag der E-Mailadresse bei der Newsletterbestellung an die eingetragene Mailadresse versendet werden und in denen der Bestätigungslink angeklickt werden muss, in bcc an eine eigens dafür eingerichtete Mailadresse unserer Mandantin geschickt und dort gespeichert, um sie in Zukunft bei Nachfragen Ihrerseits ausdrucken zu können.“ Bei Beachtung dieses Verfahrens hätte die Klägerin die Bestätigungsmail des Beschwerdeführers vorlegen können. Dass sie dies nicht getan hat, lässt nur den Schluss zu, dass es keine Bestätigungsmail gibt. Ungeachtet dessen hat die Beklagte keineswegs, wie die Klägerin suggeriert, ein Abweichen von Art. 7 DSGVO genehmigt. Vielmehr hat sie unter dem 25. Oktober 2022 ausdrücklich darauf hingewiesen, dass ein wirksames Double-Opt-In (DOI)-Verfahren eine vollständige Dokumentation der Einwilligungserklärung durch Speicherung und Möglichkeit zum Ausdrucken erfordere.

Die Verwarnung begegnet auch auf der Rechtsfolgenseite keinen rechtlichen Bedenken. Die Beklagte hat das ihr nach Art. 58 Abs. 2 DSGVO eingeräumte Ermessen fehlerfrei ausgeübt (§ 114 Satz 1 VwGO). Gerade im Hinblick auf die Vorgeschichte ist ein Verstoß gegen den Grundsatz der Verhältnismäßigkeit, der bei der Auswahl der nach Art. 58 Abs. 2 DSGVO zur Verfügung stehenden Maßnahmen zu beachten ist,

vgl. OVG NRW, Urteil vom 15. Juni 2022 - 16 A 857/21 -, juris Rn. 147,

nicht zu erkennen. Die Verwarnung dient dem Zweck der Datenschutz-Grundverordnung, eine einheitliche Überwachung und Durchsetzung der Verordnung in der gesamten Union sicherzustellen (vgl. Erwägungsgrund 129 Satz 1 DSGVO). Durch die ihr zukommende Warnfunktion ist sie auch geeignet, datenschutzkonforme Zustände herzustellen. Sie ist des Weiteren auch erforderlich. Mit der Verwarnung hat die Beklagte das mildeste Abhilfeinstrument im Maßnahmenkatalog des Art. 58 Abs. 2 DSGVO gewählt. Die Anordnung ist schließlich auch angemessen, d. h. verhältnismäßig im engeren Sinn. Die Verwarnung stellt sich als geringfügiger Eingriff in die Rechte der Klägerin dar, da mit ihr insbesondere keine unmittelbaren finanziellen Nachteile verbunden sind.

Die Kostenentscheidung beruht auf § 154 Abs. 1 VwGO.

Die Entscheidung über die vorläufige Vollstreckbarkeit folgt aus § 167 VwGO i.V.m. § 708 Nr. 11, 711, 709 Satz 2 ZPO.

Rechtsmittelbelehrung

Innerhalb eines Monats nach Zustellung dieses Urteils kann bei dem Verwaltungs­gericht Düsseldorf schriftlich beantragt werden, dass das Ober­verwaltungsgericht für das Land Nord­rhein-West­falen in Münster die Berufung zulässt. Der Antrag muss das angefoch­tene Urteil be­zeichnen.

Innerhalb von zwei Monaten nach Zustellung des Urteils sind die Gründe darzulegen, aus denen die Berufung zuzulassen ist. Die Begründung ist, soweit sie nicht bereits mit dem Antrag vorgelegt worden ist, bei dem Oberverwaltungs­gericht für das Land Nordrhein-Westfalen in Münster schriftlich einzurei­chen.

Der Antrag ist zu stellen und zu begründen durch einen Rechtsanwalt oder einen Rechtslehrer an einer staatlichen oder staatlich anerkannten Hochschule eines Mit­gliedstaates der Europäischen Union, eines anderen Vertragsstaates des Abkom­mens über den Europäischen Wirtschaftsraum oder der Schweiz, der die Befähigung zum Richteramt besitzt, oder eine diesen gleichgestellte Person als Bevollmächtig­ten. Behörden und juristische Personen des öffentlichen Rechts ein­schließlich der von ihnen zur Erfüllung öffentlicher Aufgaben gebildeten Zusammen­schlüsse können sich auch durch eigene Beschäftigte mit Befähigung zum Richter­amt oder durch Be­schäftigte mit Befähigung zum Richteramt anderer Behörden oder juristischer Per­sonen des öffentlichen Rechts einschließlich der von ihnen zur Erfül­lung ihrer öffent­lichen Aufgaben gebildeten Zusammenschlüsse vertreten lassen. Auf die besonde­ren Regelungen in § 67 Abs. 4 Sätze 7 und 8 VwGO wird hingewiesen.

Beschluss

Der Wert des Streitgegenstandes wird auf

5.000,- Euro

festgesetzt.

Gründe

Die Festsetzung des Streitwerts beruht auf § 52 Abs. 2 GKG. Der festgesetzte Wert entspricht dem Auffangstreitwert.

Rechtsmittelbelehrung

Gegen die Festsetzung des Streitwerts kann innerhalb von sechs Monaten, nachdem die Ent­scheidung in der Hauptsache Rechtskraft erlangt oder das Verfahren sich anderwei­tig erledigt hat, bei dem Verwaltungsgericht Düsseldorf schriftlich oder zur Niederschrift des Urkunds­beamten der Geschäftsstelle Beschwerde eingelegt werden, über die das Oberver­waltungsgericht für das Land Nordrhein-Westfalen in Münster entscheidet, falls das Verwaltungsgericht ihr nicht abhilft. Ist der Streitwert später als einen Monat vor Ab­lauf der genannten Frist festgesetzt worden, kann die Beschwerde innerhalb eines Monats nach Zustellung oder formloser Mitteilung des Festsetzungs­beschlusses ein­gelegt werden. Die Beschwerde ist nur zulässig, wenn der Wert des Beschwerdegegenstandes in Rechtsstreitigkeiten, die vor dem 1. Januar 2026 anhängig geworden sind, zweihundert Euro übersteigt und in Rechtsstreitigkeiten, die ab dem 1. Januar 2026 anhängig geworden sind, dreihundert Euro übersteigt. Die Beschwerde findet auch statt, wenn sie das Gericht, das die Entscheidung erlassen hat, wegen der grundsätzlichen Bedeu­tung der zur Entscheidung stehenden Frage zulässt.