Allgemeine Datenschutzverordnung (GDPR/DSGVO)
Am 25. Mai tritt die Datenschutz-Grundverordnung (DSGVO) in Kraft. Mit der Einführung der DSGVO gewinnt der Schutz personenbezogener Daten zunehmend an Bedeutung. Unternehmen müssen strengere Datenschutzbestimmungen beachten. Die DSGVO wirft jedoch verschiedene Fragen auf. Für Unternehmen ist es unter Umständen unklar, welche Daten als personenbezogene Daten gelten und somit unter den Anwendungsbereich der DSGVO fallen. Dies gilt beispielsweise für E-Mail-Adressen: Sind E-Mail-Adressen personenbezogene Daten? Unterliegen Unternehmen, die E-Mail-Adressen verwenden, der DSGVO? Diese Fragen werden in diesem Artikel beantwortet.
Persönliche Daten
Um die Frage zu beantworten, ob eine E-Mail-Adresse als personenbezogene Daten anzusehen ist, muss der Begriff personenbezogener Daten definiert werden. Dieser Begriff wird in der DSGVO erklärt. Personenbezogene Daten sind gemäß Art. 4 lit. a DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine identifizierbare natürliche Person ist eine Person, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten oder zu einer Online-Kennung identifiziert werden kann. Personenbezogene Daten beziehen sich auf natürliche Personen. Informationen über verstorbene Personen oder juristische Personen gelten daher nicht als personenbezogene Daten.
E-Mail-Adresse
Nachdem die Definition personenbezogener Daten festgelegt wurde, muss geprüft werden, ob eine E-Mail-Adresse als personenbezogene Daten gilt. Die niederländische Rechtsprechung deutet darauf hin, dass E-Mail-Adressen unter Umständen personenbezogene Daten darstellen können, dies aber nicht immer der Fall ist. Es kommt darauf an, ob eine natürliche Person anhand der E-Mail-Adresse identifiziert oder identifizierbar ist.[1] Die Art und Weise, wie Personen ihre E-Mail-Adressen strukturiert haben, muss berücksichtigt werden, um zu bestimmen, ob die E-Mail-Adresse als personenbezogene Daten anzusehen ist oder nicht.
Viele Privatpersonen gestalten ihre E-Mail-Adresse so, dass sie als personenbezogene Daten gilt. Dies ist beispielsweise der Fall, wenn eine E-Mail-Adresse wie folgt aufgebaut ist: [email protected] . Diese E-Mail-Adresse gibt den Vor- und Nachnamen der Person preis, die sie nutzt.
Daher kann diese Person anhand dieser E-Mail-Adresse identifiziert werden. Auch geschäftlich genutzte E-Mail-Adressen können personenbezogene Daten enthalten. Dies ist beispielsweise der Fall, wenn eine E-Mail-Adresse wie folgt aufgebaut ist: [email protected] . Aus dieser E-Mail-Adresse lassen sich die Initialen, der Nachname und der Arbeitgeber des Nutzers ableiten. Somit ist die Person, die diese E-Mail-Adresse nutzt, anhand ihrer E-Mail-Adresse identifizierbar.
Eine E-Mail-Adresse gilt nicht als personenbezogenes Datum, wenn keine natürliche Person anhand dieser Adresse identifiziert werden kann. Dies ist beispielsweise der Fall, wenn die folgende E-Mail-Adresse verwendet wird: [email protected] . Diese E-Mail-Adresse enthält keine Daten, anhand derer eine natürliche Person identifiziert werden kann. Auch allgemeine E-Mail-Adressen, die von Unternehmen verwendet werden, wie z. B. [email protected] , gelten nicht als personenbezogene Daten.
Diese E-Mail-Adresse enthält keine personenbezogenen Daten, anhand derer eine natürliche Person identifiziert werden kann. Darüber hinaus wird die E-Mail-Adresse nicht von einer natürlichen Person, sondern von einer juristischen Person verwendet. Daher gilt sie nicht als personenbezogene Daten. Aus der niederländischen Rechtsprechung lässt sich schließen, dass E-Mail-Adressen personenbezogene Daten sein können, dies ist jedoch nicht immer der Fall; es hängt von der Struktur der E-Mail-Adresse ab.
Es besteht eine große Wahrscheinlichkeit, dass natürliche Personen anhand der von ihnen verwendeten E-Mail-Adresse identifiziert werden können, was E-Mail-Adressen zu personenbezogenen Daten macht. Um E-Mail-Adressen als personenbezogene Daten einzustufen, ist es unerheblich, ob das Unternehmen die E-Mail-Adressen tatsächlich verwendet, um die Benutzer zu identifizieren. Selbst wenn ein Unternehmen die E-Mail-Adressen nicht zum Zweck der Identifizierung natürlicher Personen verwendet, gelten die E-Mail-Adressen, anhand derer natürliche Personen identifiziert werden können, dennoch als personenbezogene Daten.
Nicht jede technische oder zufällige Verbindung zwischen einer Person und Daten genügt, um die Daten als personenbezogene Daten zu benennen. Besteht jedoch die Möglichkeit, dass die E-Mail-Adressen dazu genutzt werden können, die Nutzer zu identifizieren, etwa um Betrugsfälle aufzudecken, gelten die E-Mail-Adressen als personenbezogene Daten. Dabei spielt es keine Rolle, ob das Unternehmen die E-Mail-Adressen zu diesem Zweck nutzen wollte oder nicht. Das Gesetz spricht von personenbezogenen Daten, wenn die Möglichkeit besteht, dass die Daten zu einem Zweck genutzt werden können, der eine natürliche Person identifiziert.[2]
Besondere personenbezogene Daten
E-Mail-Adressen gelten zwar in den meisten Fällen als personenbezogene Daten, zählen aber nicht zu den besonderen Kategorien personenbezogener Daten. Besondere Kategorien personenbezogener Daten sind Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Zugehörigkeit zu einer Berufsvereinigung hervorgehen, sowie genetische oder biometrische Daten. Dies ergibt sich aus Artikel 9 DSGVO. Zudem enthält eine E-Mail-Adresse weniger öffentliche Informationen als beispielsweise eine Wohnadresse.
Es ist schwieriger, die E-Mail-Adresse einer Person herauszufinden als ihre Privatadresse, und es hängt in hohem Maße vom Benutzer der E-Mail-Adresse ab, ob diese öffentlich gemacht wird oder nicht. Darüber hinaus hat die Entdeckung einer E-Mail-Adresse, die verborgen hätte bleiben sollen, weniger schwerwiegende Folgen als die Entdeckung einer Privatadresse, die verborgen hätte bleiben sollen. Es ist einfacher, eine E-Mail-Adresse zu ändern als eine Privatadresse, und die Entdeckung einer E-Mail-Adresse könnte zu digitalem Kontakt führen, während die Entdeckung einer Privatadresse zu persönlichem Kontakt führen könnte.[3]
Verarbeitung personenbezogener Daten
Wir haben festgestellt, dass E-Mail-Adressen in den meisten Fällen als personenbezogene Daten gelten. Die DSGVO gilt jedoch nur für Unternehmen, die personenbezogene Daten verarbeiten. Die Verarbeitung personenbezogener Daten umfasst jede Handlung mit personenbezogenen Daten. Dies ist in der DSGVO näher definiert. Verarbeitung personenbezogener Daten gemäß Art. 4 Abs. 2 DSGVO ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten. Beispiele sind das Erheben, Erfassen, Organisieren, Strukturieren, Speichern und Verwenden von personenbezogenen Daten. Wenn Unternehmen die oben genannten Aktivitäten in Bezug auf E-Mail-Adressen durchführen, verarbeiten sie personenbezogene Daten. In diesem Fall unterliegen sie der DSGVO.
Fazit
Nicht jede E-Mail-Adresse ist ein personenbezogenes Datum. E-Mail-Adressen sind jedoch dann personenbezogene Daten, wenn sie Informationen über eine natürliche Person enthalten, die identifiziert werden können. Viele E-Mail-Adressen sind so aufgebaut, dass die natürliche Person, die die E-Mail-Adresse verwendet, identifiziert werden kann. Dies ist beispielsweise der Fall, wenn die E-Mail-Adresse den Namen oder den Arbeitsplatz einer natürlichen Person enthält. Daher sind viele E-Mail-Adressen personenbezogene Daten.
Für Unternehmen ist es schwierig, zwischen E-Mail-Adressen, die als personenbezogene Daten gelten, und solchen, die es nicht sind, zu unterscheiden, da dies vollständig von der Struktur der E-Mail-Adresse abhängt. Daher kann man davon ausgehen, dass Unternehmen, die personenbezogene Daten verarbeiten, auf E-Mail-Adressen stoßen werden, die als personenbezogene Daten gelten. Dies bedeutet, dass diese Unternehmen der DSGVO unterliegen und eine DSGVO- konforme Datenschutzerklärung implementieren müssen.
[1] ECLI:NL:GHAMS:2002:AE5514.
[2] Kamerstukken II 1979/80, 25 892, 3 (MvT).
[3] ECLI:NL:GHAMS:2002:AE5514.
