Was sich geändert hat
- Die CNIL stellte klar, dass die Berufung auf berechtigte Interessen (Artikel 6 DSGVO) für die Rekonstruktion geschäftlicher E-Mail-Adressen eine strenge Interessenabwägung erfordert.
- Personen ohne Online-Präsenz oder solche, die Einstellungen zum Schutz der Privatsphäre nutzen, können eine Rekonstruktion ihrer E-Mail-Adresse vernünftigerweise nicht erwarten, wodurch berechtigte Interessen in solchen Fällen nicht als Rechtsgrundlage herangezogen werden können.
- Zu den empfohlenen Schutzmassnahmen gehören die strikte Beschränkung der Speicherdauer auf erfolgreiche Kontaktaufnahmen sowie die unverzügliche Berücksichtigung von Widersprüchen über alle Verarbeitungsschritte hinweg, ohne dass eine besondere Begründung erforderlich ist.
### Hintergrund und Zweck der Rekonstruktion geschäftlicher E-Mail-Adressen
Die Praxis der Rekonstruktion geschäftlicher E-Mail-Adressen umfasst das Ableiten oder Erraten der geschäftlichen E-Mail-Adresse einer Person auf der Grundlage online veröffentlichter Informationen wie Vorname, Nachname und Arbeitgeber. Diese Technik basiert in der Regel auf der Identifizierung des von einer Organisation verwendeten Standard-E-Mail-Formats (zum Beispiel [email protected]). Organisationen nutzen diese Praxis häufig für verschiedene betriebliche Anforderungen, einschliesslich des Aufbaus interner Kontaktdatenbanken für die kommerzielle B2B-Akquise sowie für die gezielte Kontaktaufnahme im Rahmen institutioneller Beziehungen.
Ein weit verbreiteter Irrtum ist, dass die Wiederverwendung personenbezogener Daten uneingeschränkt zulässig sei, nur weil sie im Internet zugänglich sind. Die Commission Nationale de l'Informatique et des Libertés (CNIL), die französische Datenschutzbehörde, betont, dass die öffentliche Verfügbarkeit auf Online-Plattformen Organisationen nicht von der Einhaltung der geltenden Datenschutzbestimmungen entbindet. Jede Verarbeitung geschäftlicher E-Mail-Adressen durch Rekonstruktion muss der Datenschutz-Grundverordnung (DSGVO) und gegebenenfalls spezifischen gesetzlichen Bestimmungen für die kommerzielle Akquise entsprechen.
### Rechtlicher Rahmen: Berechtigtes Interesse und öffentliche Aufgaben
Gemäss Artikel 6 der DSGVO können sich Organisationen unter bestimmten Umständen auf berechtigte Interessen als Rechtsgrundlage für die Rekonstruktion geschäftlicher E-Mail-Adressen berufen. Diese Grundlage gestattet die Verarbeitung ohne vorherige Einwilligung, sofern strenge rechtliche Anforderungen erfüllt sind.
Um sich auf berechtigte Interessen zu berufen, muss eine Organisation erstens ein echtes und berechtigtes geschäftliches oder betriebliches Interesse nachweisen, wie etwa die Erleichterung der beruflichen Kommunikation oder die Entwicklung geschäftlicher Aktivitäten. Zweitens darf die Verarbeitung die Grundrechte und Interessen der betroffenen Personen nicht unverhältnismässig beeinträchtigen. Organisationen sind verpflichtet, im Einzelfall zu prüfen, ob betroffene Personen vernünftigerweise erwarten können, dass ihre Daten auf diese Weise verarbeitet werden, und spezifische Massnahmen zu ergreifen, um die Eingriffsintensität zu verringern.
Für den Austausch zwischen öffentlichen Verwaltungen und öffentlichen Stellen, die im Rahmen ihrer öffentlichen Aufgaben handeln, ist die anwendbare Rechtsgrundlage die Wahrnehmung einer Aufgabe, die im öffentlichen Interesse liegt (Art. 6 Abs. 1 lit. e DSGVO). Dennoch empfiehlt die CNIL öffentlichen Stellen, dieselben Schutzmassnahmen wie private Akteure umzusetzen.
### Von der CNIL festgelegte zentrale Beurteilungskriterien
Bei der Beurteilung, ob berechtigte Interessen als Rechtsgrundlage dienen können, empfiehlt die CNIL die Bewertung von drei zentralen Elementen:
1. **Zweck und Eingriffsintensität**: Die Rekonstruktion einer E-Mail-Adresse ist selten eine isolierte Massnahme; sie dient in der Regel als technischer Schritt zu einem von Anfang an festgelegten, weiter gefassten Ziel (wie einer B2B-Vertriebskampagne oder einer gezielten institutionellen Kommunikation). Wenn der Gesamtzweck der Verarbeitung klar definiert ist und rechtmässig auf berechtigten Interessen beruht, kann sich der technische Schritt der Rekonstruktion im Allgemeinen auf dieselbe Rechtsgrundlage stützen. Die CNIL weist jedoch darauf hin, dass diese Übereinstimmung weder automatisch noch systematisch gegeben ist.
2. **Grad der Datenvisibilität und individuelle Kontrolle**: Organisationen müssen den Kontext prüfen, in dem die zugrundeliegenden Informationen online zugänglich gemacht wurden. Zu den Schlüsselfaktoren gehören der Grad der Sichtbarkeit, die von der Einzelperson gewählten Privatsphäre-Einstellungen und das Ausmass der Kontrolle über die eigenen personenbezogenen Daten. So zeigen beispielsweise Personen ohne identifizierbare Online-Präsenz (etwa in beruflichen Netzwerken oder auf offiziellen Websites) ein starkes Anzeichen dafür, dass sie über diese Kanäle nicht ohne Weiteres kontaktierbar sein möchten. Ebenso bekunden Personen, die erweiterte Privatsphäre-Einstellungen, beschränkte Zugangsparameter oder Kontaktformulare anstelle direkter E-Mail-Adressen nutzen, den klaren Willen, ihre Erreichbarkeit einzuschränken. Solche Personen können vernünftigerweise nicht erwarten, dass ihre geschäftlichen E-Mail-Adressen rekonstruiert werden.
3. **Umsetzung von Schutzmassnahmen**: Organisationen müssen konkrete Schutzmassnahmen ergreifen, um ein ausgewogenes Verhältnis zwischen den Verarbeitungsaktivitäten und den individuellen Schutzrechten herzustellen.
### Zwingende Schutzmassnahmen und alternative Rechtsgrundlagen
Die CNIL hebt zentrale Schutzmassnahmen hervor, die Organisationen in ihre Abläufe integrieren sollten:
- **Strikte Aufbewahrungsfristen**: Rekonstruierte E-Mail-Adressen sollten nur dann gespeichert werden, wenn innerhalb eines angemessenen Zeitrahmens ein erfolgreicher Erstkontakt mit der Person zustande kommt.
- **Unbedingter Ausschluss bei Widerspruch**: Übt eine Person ihr Widerspruchsrecht aus, müssen ihre Daten unverzüglich von jeder nachfolgenden Verarbeitung zur Rekonstruktion von E-Mail-Adressen ausgeschlossen werden. Organisationen müssen diesen Widerspruch respektieren, ohne dass die Person ihre besondere persönliche Situation begründen muss – selbst wenn die Verarbeitung über die kommerzielle Akquise hinausgeht.
Kann eine Organisation diese strengen Abwägungsbedingungen und Schutzmassnahmen nicht erfüllen, muss sie von der Rekonstruktion geschäftlicher E-Mail-Adressen absehen, es sei denn, sie holt gemäss den CNIL-Leitlinien für Datenweiterverwender die vorherige Einwilligung der betroffenen Person ein. Darüber hinaus müssen alle damit zusammenhängenden Verarbeitungen den allgemeinen DSGVO-Grundsätzen entsprechen, einschliesslich der Pflichten zur Transparenz und Informationsbereitstellung, der Speicherdauer, der Datensicherheit und der Betroffenenrechte.
### Häufig gestellte Fragen
**Frage: Bedeutet die öffentliche Verfügbarkeit im Internet, dass eine E-Mail-Adresse frei rekonstruiert werden darf?**
Nein. Die Tatsache, dass der Name und das Unternehmen einer Person online zugänglich sind, entbindet Organisationen nicht von der Einhaltung der DSGVO. Die Rekonstruktion muss strikt den Bestimmungen der DSGVO und den Vorschriften für die kommerzielle Akquise entsprechen.
**Frage: Kann das berechtigte Interesse immer als Rechtfertigung für die Rekonstruktion von E-Mail-Adressen herangezogen werden?**
Nein. Das berechtigte Interesse ist keine automatische Rechtsgrundlage. Die Organisation muss sicherstellen, dass ein echtes Interesse vorliegt, eine Interessenabwägung im Hinblick auf die Rechte des Einzelnen durchführen und prüfen, ob die Person aufgrund ihrer Online-Präsenz und ihrer Entscheidungen zum Schutz der Privatsphäre eine solche Verarbeitung vernünftigerweise erwarten konnte.
**Frage: Was muss eine Organisation tun, wenn eine Person der Rekonstruktion ihrer Adresse widerspricht?**
Nach Erhalt eines Widerspruchs muss die Organisation die Daten der betroffenen Person unverzüglich von allen künftigen Verarbeitungen zur Rekonstruktion von E-Mail-Adressen ausschliessen. Die Person muss keine Begründung auf der Grundlage ihrer besonderen Situation liefern.
**F: Was geschieht, wenn eine Organisation die Bedingungen für ein berechtigtes Interesse nicht erfüllen kann?**
Können die Bedingungen und erforderlichen Schutzmassnahmen nicht eingehalten werden, muss die Organisation von der Rekonstruktion der E-Mail-Adresse absehen, es sei denn, sie holt die vorherige, ausdrückliche Einwilligung der Einzelperson ein.
Wer betroffen sein kann
Unternehmen, B2B-Marketingfachleute, öffentliche Verwaltungen, Datenwiederverwender sowie Einzelpersonen, die in Frankreich und der EU tätig sind oder ihren Wohnsitz haben.
Grenzüberschreitender Kontext
Gilt für Organisationen, die B2B-Akquise oder Kontaktaufnahme mit beruflich tätigen Einzelpersonen in Frankreich und der Europäischen Union gemäss den Anforderungen der DSGVO durchführen.
Was als Nächstes zu prüfen ist
- CNIL-Empfehlungen für Datenwiederverwender bezüglich der Einholung der Einwilligung
- Anforderungen an die Rechtsgrundlage nach Artikel 6 DSGVO und Leitlinien zur Interessenabwägung
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.