Im vorliegenden Fall ging es um ein Unternehmen, das Onlinedating-Portale betreibt. Der Beschwerdeführer erhielt Sex-Spams von diesem Unternehmen,
obwohl er sich nicht bei dessen Onlinedating-Portalen angemeldet hatte. Die DSB entschied für den Beschwerdeführer und sprach aus, dass das Unternehmen den Beschwerdeführer wegen fehlender Datensicherheitsmaßnahmen – konkret wegen eines fehlenden „Double-Opt-In-Verfahrens“ – in seinem Recht
auf Geheimhaltung gemäß § 1 Absatz 1 DSG verletzt hat.
Beim „Double-Opt-In-Verfahren“ gibt ein User die Zustimmung zur Verwendung seiner personenbezogenen Daten doppelt („double“): Zunächst meldet sich
der User auf der Website des Unternehmens, dessen Services er nutzen will, mit seiner E-Mail-Adresse an. Danach schickt ihm das Unternehmen auf die angegebene E-Mail-Adresse ein Bestätigungs-E-Mail. Erst wenn der User seine Anmeldung – etwa durch Anklicken eines Aktivierungslinks im Bestätigungs-E-Mail nochmals bestätigt, hat das Unternehmen eine DSGVO-konforme Zustimmung zur Verwendung der personenbezogenen Daten des Users erlangt.
Im vorliegenden Fall reichte die Bekanntgabe einer beliebigen E-Mail-Adresse, um sich bei den Onlinedating-Portalen des Unternehmens anzumelden. Das
Unternehmen schickte dem User zwar ein Bestätigungs-E-Mail an die angegebene E-Mail-Adresse, wartete aber nicht darauf, dass der User seine Anmeldung
nochmals durch Anklicken eines Aktivierungslinks im Bestätigungs-E-Mail bestätigte. Das Unternehmen verwendete also kein „Double-Opt-In-Verfahren“, vielmehr erlaubte es dem User, der sich auf der Website des Unternehmens anmeldete, sofort – das heißt mit Bekanntgabe der E-Mail-Adresse – die Nutzung seiner Onlinedating-Portale. Das führte – wie im vorliegenden Beschwerdefall – dazu, dass eine fremde Person die E-Mail-Adresse des Beschwerdeführers dazu nutzte, sich für die Onlinedating-Portale des Unternehmens anzumelden, sodass diese fremde Person sofort die Onlinedating-Portale des Unternehmens selbst nutzen konnte und der Beschwerdeführer auf seine E-Mail-Adresse Sex-Spams erhielt, ohne sich jemals auf dessen Onlinedating-Portalen angemeldet zu haben.
Der Bescheid ist rechtskräftig.