Bei Unternehmen wie Privatpersonen ist es eine der gängigsten Datenschutzpannen – die offene Empfängerliste. Wenn Mails an Personen via CC versendet werden, kann jeder dieser Empfänger auch die anderen Empfänger-Mailadressen sowie den Verlauf einsehen. Dies kann problematisch werden – insbesondere, wenn Empfänger die Mailadressen der anderen nicht kennen sollen oder personenbezogene Informationen aus dem Verlauf erkennbar sind. In der Regel gelten E-Mailadressen als personenbezogene Daten nach Art. 4 Nr. 1 DS-GVO, da sie sich meist aus dem Vor- und Nachnamen einer Person zusammensetzen. Als personenbezogene Daten dürfen E-Mailadressen also nur mit Einwilligung oder aufgrund einer gesetzlichen Grundlage an Dritte weitergegeben werden.

Der Verantwortliche hat im Falle einer solchen Panne gemäß Art. 33 DS-GVO sofort, möglichst binnen 72 Stunden, Meldung an die zuständige Aufsichtsbehörde zu machen. Diese Pflicht entfällt, wenn es nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen natürlichen Personen kommt. Das muss dann entsprechend dokumentiert werden. Um dies zu beurteilen, können die folgenden Kriterien herangezogen werden:

• die Art der betroffenen personenbezogenen Daten – besonders sensibel sind Gesundheits- oder Kontodaten,
• die Zahl der betroffenen Personen,
• die Schwere des möglichen Schadens.

Der Verantwortliche muss den Verstoß allerdings nicht nur gegenüber der Aufsicht, sondern auch gegenüber den betroffenen Personen anzeigen, falls sich ein hohes Risiko ergibt. Wenn der Verantwortliche dafür gesorgt hat, dass entsprechende technische und organisatorische Maßnahmen eingesetzt werden oder sonstige Sicherheitsvorkehrungen getroffen hat, sodass ein Risiko für die Rechte der Betroffenen unwahrscheinlich ist, entfällt die Pflicht zur Benachrichtigung der Betroffenen. Auch hier ist, wie immer im Datenschutz, die Dokumentation wichtig.

Nicht nur für Datenschutzverletzungen, sondern auch für Verstöße gegen die Informationspflichten drohen hohe Bußgelder, welche sich am Jahresumsatz orientieren können.

Verstöße lassen sich aber durch etwas Sorgfalt vermeiden. Sensibilisieren Sie Ihre Mitarbeiter beim E-Mailversand hinsichtlich der verschiedenen Adressfeldoptionen. Im CC gelistete Empfänger sind für alle sichtbar und sollten nur dann eingesetzt werden, wenn explizit erwünscht ist, dass die Mailadresse sichtbar ist bzw. eine Einwilligung oder eine andere gesetzliche Grundlage vorliegt. Besser ist die BCC-Option. Hier wird die Übertragung der Mailadressen verdeckt und keiner der Empfänger sieht, an wen die Mail noch gegangen ist. Diese Option eignet sich vor allem bei der Versendung von Mails an einen größeren Personenkreis, wie z.B. für Newsletter.

Der Versand von Mails an einen größeren Empfängerkreis ohne die BCC-Funktion, bei dem sich die Empfänger untereinander nicht kennen, stellt eine meldepflichtige Datenpanne dar. Hier können die Empfänger anhand der Mailadressen die Identitäten der anderen E-Mail-Empfänger feststellen.

Achten Sie also im geschäftlichen als auch im privaten Rahmen stets auf eine datenschutzkonforme E-Mailversendung und entsprechende Nutzung von Verteilerlisten. Eine derartige Datenschutzpanne und ein damit einhergehendes hohes Bußgeld lässt sich mit etwas Sorgfalt und gegebenfalls Arbeit im Vier-Augen-Prinzip leicht vermeiden.