Was sich geändert hat
- Die CNIL hat die Rekonstruktion beruflicher E-Mail-Adressen definiert und die Anwendbarkeit der DSGVO unabhängig von der öffentlichen Verfügbarkeit von Daten bestätigt.
- Die CNIL hat notwendige Schutzmassnahmen für die Rekonstruktion von E-Mails detailliert beschrieben, wenn Einzelpersonen ihre Kontaktdaten verbergen oder schützen.
- Die CNIL hat Konformitätsanforderungen für Transparenz, den Umgang mit Widersprüchen, die Erfüllung von Rechten auf Auskunft/Löschung und die Eskalation an die CNIL nach einem Monat dargelegt.
Die Commission Nationale de l'Informatique et des Libertés (CNIL), die französische Datenschutzbehörde, hat eine Aufsichtsleitlinie veröffentlicht, die den rechtlichen Rahmen und die individuellen Rechte bezüglich der Rekonstruktion beruflicher E-Mail-Adressen klärt. Im modernen digitalen Marketing und bei der geschäftlichen Kontaktaufnahme sammeln Organisationen routinemässig Online-Daten, um die geschäftlichen E-Mail-Adressen von Einzelpersonen für kommerzielle Akquise oder institutionelle Kommunikation abzuleiten oder zu erschliessen. Die CNIL betont, dass, obwohl persönliche Daten oder Organisationszugehörigkeiten im Internet öffentlich zugänglich sein können, Verarbeitungstätigkeiten zur Rekonstruktion beruflicher E-Mail-Adressen strikt der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union und spezifischen Regeln für die kommerzielle Akquise entsprechen müssen.
### Verständnis der Rekonstruktion beruflicher E-Mail-Adressen
Die Rekonstruktion beruflicher E-Mail-Adressen bezieht sich auf den Prozess des Ableitens oder Erratens der beruflichen E-Mail-Adresse einer Einzelperson aus online verfügbaren Informationen. Beispielsweise kennt eine Organisation möglicherweise den Vor- und Nachnamen sowie den Arbeitgeber einer Person. Wenn die Organisation weiss, dass E-Mail-Adressen bei diesem Arbeitgeber nach einem Standardmuster strukturiert sind — wie etwa [email protected] —, kann sie die spezifische E-Mail-Adresse der Person ableiten, selbst wenn diese E-Mail-Adresse nie im Internet veröffentlicht wurde.
Laut CNIL wird diese Praxis überwiegend für zwei verschiedene Zwecke genutzt:
1. Aufbau von Listen beruflicher Kontakte, insbesondere zum Versenden von Nachrichten zur kommerziellen Akquise;
2. Einmalige Kontaktaufnahme mit Einzelpersonen im Rahmen institutioneller Beziehungen.
Die CNIL hebt hervor, dass die blosse Verfügbarkeit zugrundeliegender Daten im Internet nicht bedeutet, dass Organisationen E-Mail-Adressen ohne Einschränkungen sammeln und rekonstruieren dürfen. Organisationen müssen die DSGVO und, wenn es um kommerzielle Akquise geht, spezifische gesetzliche Bestimmungen für kommerzielles Marketing beachten.
### Anforderungen an eine rechtmässige Rekonstruktion
Eine Organisation kann unter bestimmten Umständen eine berufliche E-Mail-Adresse ohne vorherige Veröffentlichung durch die betroffene Person ableiten. Liegt keine ausdrückliche Einwilligung vor, muss die Organisation mehrere Faktoren bewerten, um die Konformität festzustellen:
- Das von der Organisation verfolgte Ziel;
- Die Art und Weise, wie die Informationen der Einzelperson online zugänglich sind;
- Was die Einzelperson hinsichtlich der Nutzung ihrer Informationen vernünftigerweise erwarten kann.
Die CNIL zieht eine klare Grenze hinsichtlich der Erwartungen von Einzelpersonen und ihrer Online-Datenschutzhaltung:
- Wenn eine Einzelperson keine identifizierbare Online-Präsenz hat oder wenn sie ihre Kontaktdaten aktiv verbirgt oder schützt, kann sie vernünftigerweise nicht erwarten, dass ihre berufliche E-Mail-Adresse rekonstruiert wird.
- In solchen Fällen ist die Rekonstruktion unzulässig, es sei denn, die Organisation setzt spezifische Schutzmassnahmen zum Schutz der Rechte der Einzelperson um.
### Von der CNIL geforderte Schutzmassnahmen
Um die Rechte von Einzelpersonen bei der Rekonstruktion von E-Mail-Adressen zu schützen, legt die CNIL konkrete technische und organisatorische Schutzmassnahmen dar, die Organisationen umsetzen können, darunter:
1. Speicherung der rekonstruierten beruflichen E-Mail-Adresse nur dann, wenn erfolgreich ein effektiver Erstkontakt mit der Einzelperson hergestellt wird;
2. Sicherstellung, dass der Widerspruch einer Einzelperson zum unmittelbaren Ausschluss ihrer Daten von jeglicher nachfolgenden Verarbeitung zur Rekonstruktion von E-Mail-Adressen führt, ohne dass die Einzelperson eine Begründung liefern muss.
### Transparenz und Ausübung der Rechte der betroffenen Person
Organisationen, die berufliche E-Mail-Adressen rekonstruieren, unterliegen strengen Transparenzpflichten. Sie müssen betroffene Personen so schnell wie möglich und in klarer Weise informieren über:
- Die spezifischen Ziele, die mit der Datenverarbeitung verfolgt werden (z. B. kommerzielle Akquise);
- Wie die E-Mail-Adresse beschafft oder abgeleitet wurde;
- Die der Einzelperson zustehenden Rechte und Anweisungen zu deren Ausübung.
Zusätzlich müssen Organisationen die folgenden betrieblichen Anforderungen erfüllen:
- Die rekonstruierte E-Mail-Adresse nicht verwenden, wenn die betroffene Person widerspricht oder ihre Einwilligung widerruft, und die Adresse aus jeglicher Kontaktdatenbank entfernen;
- Anträge zur Ausübung der Rechte auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung unter Einhaltung der in der DSGVO und dem anwendbaren französischen Recht festgelegten Fristen und Bedingungen bearbeiten.
Einzelpersonen können ihre Datenschutzrechte direkt gegenüber dem Verantwortlichen oder dem Datenschutzbeauftragten (DSB) der Organisation ausüben, sofern ein solcher benannt wurde. Wenn die Organisation nicht innerhalb eines Monats nach Eingang des Antrags antwortet oder die gegebene Antwort unzureichend ist, hat die Einzelperson das Recht, eine Beschwerde direkt bei der CNIL einzureichen.
### Häufig gestellte Fragen
**Frage 1: Kann eine Organisation meine geschäftliche E-Mail-Adresse rekonstruieren, wenn ich sie nicht online veröffentlich habe?**
Antwort: Ja, in bestimmten Situationen kann eine Organisation eine geschäftliche E-Mail-Adresse ableiten, selbst wenn diese nicht online veröffentlicht wurde. Liegt keine Einwilligung vor, muss die Organisation ihr Ziel, die Zugänglichkeit der Online-Informationen und angemessene Erwartungen berücksichtigen. Wenn eine Einzelperson ihre Kontaktdaten aktiv verbirgt oder schützt, ist eine Rekonstruktion nur zulässig, wenn spezifische Schutzmassnahmen getroffen wurden.
**Frage 2: Welche Schutzmassnahmen können Organisationen implementieren, um die Rechte von Einzelpersonen zu schützen?**
Antwort: Beispiele für Schutzmassnahmen sind die Speicherung der E-Mail-Adresse erst nach einer effektiven Erstkontaktaufnahme sowie die Sicherstellung, dass ein Widerspruch ohne Angabe von Gründen zum sofortigen Ausschluss von künftigen Rekonstruktionsverarbeitungen führt.
**Frage 3: Welche Informationen muss eine Organisation bereitstellen, wenn sie eine Einzelperson unter Verwendung einer rekonstruierten E-Mail-Adresse kontaktiert?**
Antwort: Die Organisation muss die Einzelperson so schnell wie möglich klar über den Zweck der Verarbeitung (wie z. B. Akquise), die Art der Erlangung der Adresse und ihre Rechte sowie deren Ausübung informieren.
**Frage 4: Welche Schritte kann eine Einzelperson unternehmen, wenn eine Organisation nicht innerhalb eines Monats auf einen Antrag bezüglich Datenschutzrechten antwortet?**
Antwort: Wenn eine Organisation nicht innerhalb eines Monats nach dem Antrag antwortet oder die Antwort unzureichend ist, kann die Einzelperson eine Beschwerde bei der CNIL einreichen.
Wer betroffen sein kann
Organisationen, die im B2B-Direktmarketing, beim Aufbau von Kontaktlisten oder bei der Rekonstruktion geschäftlicher E-Mail-Adressen tätig sind, sowie Erwerbstätige, deren E-Mail-Adressen aus öffentlichen Daten abgeleitet werden.
Grenzüberschreitender Kontext
Gilt gemäss EU-DSGVO in der von der französischen CNIL umgesetzten und durchgesetzten Fassung und betrifft jede Organisation, die Personen in Frankreich über rekonstruierte geschäftliche E-Mail-Adressen anspricht oder kontaktiert.
Was als Nächstes zu prüfen ist
- Aufsichtsrechtliche Aktualisierungen der CNIL zu Regeln für die kommerzielle B2B-Akquise und Durchsetzungsmassnahmen verfolgen.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.