E-Mail-Datenschutz gemäß DSGVO: Was Sie wissen sollten

Eine E-Mail-Adresse gilt gemäß DSGVO als personenbezogenes Datum, wenn sie eine natürliche Person identifiziert, beispielsweise vorname.nachname@firma.com. Eine generische Adresse wie info@firma.com ist in der Regel nicht personenbezogene Daten, da sie auf eine Organisation und nicht auf eine Einzelperson verweist. Ob die DSGVO auf Ihre E-Mail-Adressen Anwendung findet, hängt daher von deren Aufbau ab, und die meisten Adressbücher enthalten personenbezogene Daten.

Was sind personenbezogene Daten im Sinne der DSGVO?

Personenbezogene Daten sind gemäß Artikel 4 Absatz 1 der Datenschutz-Grundverordnung (DSGVO, in den Niederlanden AVG) alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine Person ist direkt oder indirekt identifizierbar, insbesondere mittels Zuordnung zu einer Kennung wie Name, Kennnummer, Standortdaten oder Online-Kennung. Eine IP-Adresse oder eine Geräte-ID kann ebenso wie eine E-Mail-Adresse als Online-Kennung gelten. Die Definition umfasst nur lebende Personen: Informationen über eine verstorbene Person oder über ein Unternehmen als solche sind keine personenbezogenen Daten, auch wenn Daten über die für dieses Unternehmen tätigen Personen personenbezogene Daten sein können.

Die DSGVO gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten, einschließlich der Niederlande, und ersetzt ältere nationale Datenschutzgesetze wie das niederländische „Wet bescherming persoonsgegevens“. Sie bedarf keines gesonderten Umsetzungsgesetzes und gilt für jede Organisation, die personenbezogene Daten von Personen in der EU verarbeitet, unabhängig von ihrem Sitz.

Wann gilt eine E-Mail-Adresse als personenbezogenes Datum?

Es gibt keinen separaten Artikel der DSGVO, der E-Mail-Adressen namentlich auflistet. Stattdessen wird der allgemeine Identifizierbarkeitstest aus Artikel 4 Absatz 1 DSGVO auf die jeweilige Adresse angewendet: Lässt sie sich allein oder in Kombination mit anderen vorhandenen Informationen auf eine identifizierbare Person zurückführen? Dadurch ist die Bewertung vom jeweiligen Format abhängig und folgt keiner festen Regel. Dies erklärt, warum zwei ähnlich aussehende E-Mail-Adressen unterschiedlich behandelt werden können.

Die niederländische Rechtsprechung bestätigt, dass eine E-Mail-Adresse personenbezogene Daten sein kann, jedoch nicht automatisch: Es kommt darauf an, ob die Adresse eine natürliche Person direkt oder indirekt identifiziert.

Viele Menschen gestalten ihre E-Mail-Adresse so, dass sie identifiziert werden können, zum Beispiel vorname.nachname@gmail.com. Diese Adresse zeigt den Vor- und Nachnamen des Nutzers, sodass die Person allein anhand der Adresse identifizierbar ist.

Eine geschäftliche Adresse wie beispielsweise Initialen.Nachname@Firma.com kann auch zur Identifizierung einer Person dienen: Sie zeigt deren Initialen, ihren Nachnamen und ihren Arbeitgeber an, was in der Regel ausreicht, um die Person zu identifizieren.

Eine Adresse wie puppy12@hotmail.com ist anders: Sie gibt für sich genommen keine Informationen preis, die eine natürliche Person identifizieren, auch wenn sie technisch mit einem bestimmten Benutzer verknüpft ist.

Generische Adressen wie info@company.com sind ebenfalls keine personenbezogenen Daten. Sie sind nicht mit einer einzelnen Person, sondern mit der Organisation als solcher verknüpft, und mehrere Personen können dasselbe Postfach nutzen.

Es spielt keine Rolle, ob Sie die Adresse tatsächlich zur Identifizierung einer Person verwenden. Wenn eine E-Mail-Adresse eine natürliche Person identifizieren kann, handelt es sich um personenbezogene Daten, unabhängig davon, ob Sie sie zu diesem Zweck verwenden oder aus anderen Gründen verarbeiten.

Selbst eine zufällige technische Verbindung zwischen einer Adresse und einer Person reicht nicht automatisch aus. Wenn die Adresse jedoch realistischerweise zur Identifizierung einer Person verwendet werden könnte, beispielsweise zur Untersuchung eines Betrugsverdachts oder zur Beantwortung einer Supportanfrage, gilt sie als personenbezogene Daten. Das Gesetz betrachtet die Möglichkeit der Identifizierung, nicht Ihre Absicht oder die tatsächliche Nutzung.

Handelt es sich bei einer E-Mail-Adresse um Daten besonderer Kategorie?

Nein. Eine E-Mail-Adresse kann zwar ein personenbezogenes Datum sein, zählt aber nicht zu den besonderen Kategorien personenbezogener Daten. Artikel 9 DSGVO behält diese Bezeichnung Daten vor, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten, Gesundheitsdaten und Daten über das Sexualleben oder die sexuelle Orientierung einer Person. Die Verarbeitung besonderer Kategorien personenbezogener Daten unterliegt strengeren Regeln als die Verarbeitung gewöhnlicher personenbezogener Daten. Eine E-Mail-Adresse gibt an sich keine dieser Informationen preis und enthüllt in der Regel weniger als eine Wohnadresse.

Eine E-Mail-Adresse ist in der Regel schwerer zu finden als eine Wohnadresse, und es liegt weitgehend im Ermessen des Nutzers, ob sie überhaupt öffentlich wird. Sollte sie doch einmal durchsickern, sind die Folgen meist weniger gravierend: Eine E-Mail-Adresse lässt sich leicht ändern, und die Veröffentlichung führt höchstens zu unerwünschten digitalen Kontakten, anstatt dass jemand unangekündigt vor der Tür steht. Das bedeutet nicht, dass eine E-Mail-Adresse keinen Schutz verdient, sondern lediglich, dass die DSGVO sie als gewöhnliches personenbezogenes Daten und nicht als besondere Kategorie behandelt.

Wann findet die DSGVO auf Ihre Nutzung von E-Mail-Adressen Anwendung?

Die DSGVO greift, sobald Sie personenbezogene Daten verarbeiten. Der Begriff „Verarbeitung“ ist dabei weit gefasst. Gemäß Artikel 4 Absatz 2 DSGVO ist die Verarbeitung jeder mit personenbezogenen Daten ausgeführte Vorgang, ob automatisiert oder nicht, einschließlich des Erhebens, des Erfassens, der Organisation, des Ordnens, der Speicherung, der Anpassung, des Abrufs, der Verwendung, der Offenlegung oder des Löschens. Sobald Sie E-Mail-Adressen erfassen oder speichern, die als personenbezogene Daten gelten, verarbeiten Sie personenbezogene Daten, und die DSGVO findet auf diese Verarbeitung Anwendung. Dies umfasst auch Ihre Pflicht, gemäß Artikel 6 DSGVO eine gültige Rechtsgrundlage dafür zu haben, wie beispielsweise eine Einwilligung, einen Vertrag mit der betroffenen Person oder Ihr berechtigtes Interesse.

Was dies für Ihre Organisation bedeutet

Bei den meisten E-Mail-Adressen, die Sie speichern, handelt es sich um personenbezogene Daten, da die meisten Menschen ihre Adresse um ihren eigenen Namen oder ihren Arbeitsplatz herum aufbauen, sei es eine Kundenliste, eine Newsletter-Datenbank oder ein internes Mitarbeiterverzeichnis.

Da dies vom Format jeder einzelnen Adresse abhängt, lässt sich keine klare Grenze für eine gesamte Liste ziehen. Verarbeitet Ihr Unternehmen E-Mail-Adressen in größerem Umfang, sollten Sie davon ausgehen, dass zumindest ein Teil dieser Liste personenbezogene Daten enthält. Sie benötigen daher eine Datenschutzerklärung, die dies berücksichtigt und für jede Verwendung der Adressen eine Rechtsgrundlage festlegt. Das bedeutet auch, dass Ihr Datenverarbeitungsregister, Ihre Aufbewahrungsfristen und Ihre Sicherheitsmaßnahmen Ihre E-Mail-Listen genauso abdecken sollten wie alle anderen personenbezogenen Daten, die Sie speichern, und nicht etwa eine Adressliste als Ausnahme behandeln dürfen.

Häufig gestellte Fragen

Handelt es sich bei einem gemeinsamen Postfach wie beispielsweise sales@company.com um personenbezogene Daten? Im Allgemeinen nicht, da es einer Funktion oder Abteilung zugeordnet ist und nicht einer einzelnen Person. Sobald eine solche Adresse ausschließlich von einer namentlich genannten Person genutzt wird, ändert sich die Sachlage.

Darf ich E-Mail-Adressen weiterhin für Marketingzwecke verwenden? Ja, vorausgesetzt, Sie verfügen über eine gültige Rechtsgrundlage und halten die zusätzlichen Marketingregeln ein, die über die DSGVO hinaus gelten, einschließlich der Pflicht, eine einfache Möglichkeit zum Abmelden von jeder Nachricht anzubieten.

Spielt es eine Rolle, ob die E-Mail-Adresse auch in einer öffentlichen Quelle, wie beispielsweise einer Unternehmenswebsite, erscheint? Nein. Eine E-Mail-Adresse verliert ihren Status als personenbezogene Daten nicht allein dadurch, dass sie öffentlich zugänglich ist; die Veröffentlichung kann Einfluss darauf haben, welche Rechtsgrundlage angemessen ist, nicht aber darauf, ob die DSGVO überhaupt Anwendung findet.

Zusammengefasst

• Eine E-Mail-Adresse ist ein personenbezogenes Datum, wenn sie eine natürliche Person direkt oder indirekt identifiziert.
• Adressen, die aus einem Namen gebildet werden (Vorname.Nachname@, Initialen.Nachname@), sind in der Regel zulässig; Adressen wie puppy12@ oder generische Adressen wie info@ sind in der Regel nicht zulässig.
• Eine E-Mail-Adresse ist keine besondere Kategorie von Daten im Sinne von Artikel 9 DSGVO.
• Das Sammeln, Speichern oder Verwenden von E-Mail-Adressen, die als personenbezogene Daten gelten, ist eine „Verarbeitung“ im Sinne von Artikel 4(2) DSGVO, wodurch Sie in den Anwendungsbereich der DSGVO fallen und eine Rechtsgrundlage gemäß Artikel 6 DSGVO erfordern.
• Da dies davon abhängt, wie jede einzelne Adresse aufgebaut ist, behandeln Sie Ihre E-Mail-Listen als personenbezogene Daten, es sei denn, Sie können das Gegenteil nachweisen, und untermauern Sie dies mit einer Datenschutzerklärung.

[1] Gerechtshof Amsterdam 18. Juli 2002, ECLI:NL:GHAMS:2002:AE5514.

[2] Kamerstukken II 1997/98, 25 892, Nr. 3 (memorie van toelichting).

[3] Gerechtshof Amsterdam 18. Juli 2002, ECLI:NL:GHAMS:2002:AE5514.

Sie sind sich unsicher, wie Ihre Situation aussieht? Schildern Sie uns Ihre Lage. Wir informieren Sie innerhalb eines Werktages über Ihre Möglichkeiten.

Wie Law & More Wie wir Ihnen dabei helfen können, wird auf unserer Website erklärt. IT-Anwalt