Dieser Beitrag ist keine Rechtsberatung. Wir sind keine Anwälte, sondern betreiben einen Dienst für temporäre E-Mail-Adressen und beschäftigen uns jeden Tag mit der Frage, wohin E-Mail-Adressen wandern und wer sie am Ende hat. Unten erklären wir den Teil der DSGVO, der E-Mail-Adressen betrifft, so einfach, dass er im Alltag weiterhilft. Bei einem konkreten Streitfall wenden Sie sich am besten an eine Anwältin oder einen Anwalt oder an die zuständige Datenschutz-Aufsichtsbehörde.
Warum gilt eine E-Mail-Adresse als personenbezogenes Datum?
Die Logik der DSGVO ist einfach. Eine Information, die Sie allein oder zusammen mit anderen Angaben identifizierbar macht, ist ein personenbezogenes Datum. Eine Adresse wie max.mustermann@... trägt Ihren Namen ohnehin. Doch selbst bei einem Fantasienamen wie „katzenfan1987@...“ ist es oft nicht schwer, Sie zu finden, sobald man Konten, Bestellungen und Lieferadresse zu dieser Adresse zusammenführt.
Hinzu kommt, dass die E-Mail-Adresse in vielen Systemen heute den Benutzernamen ersetzt. Sie ist also Kommunikationskanal und Schlüssel zu Ihrer digitalen Identität zugleich. Dass das Gesetz sie für schützenswert hält, überrascht deshalb kaum.
Gilt das auch für berufliche Adressen?
Eine personalisierte Arbeitsadresse (vorname.nachname@firma...) gehört einer bestimmten Person, deshalb gilt nach verbreiteter Auffassung auch sie als personenbezogenes Datum. Allgemeine Adressen wie „info@“ oder „support@“, die an keine Person gebunden sind, können anders bewertet werden. In Grenzfällen sollten Sie fachlichen Rat einholen.
Unter welchen Voraussetzungen darf eine Website meine E-Mail-Adresse erheben?
Zuerst ein häufiges Missverständnis. Die DSGVO verlangt nicht für jede Verarbeitung eine Einwilligung. Sie nennt neben der Einwilligung weitere Rechtsgrundlagen. Ist die Verarbeitung etwa für den Abschluss oder die Erfüllung eines Vertrags nötig (zum Beispiel, um Ihnen beim Onlinekauf die Bestellinfos zu schicken), darf das Unternehmen Ihre Adresse zu diesem Zweck verarbeiten. Auch die Erfüllung einer rechtlichen Pflicht ist eine solche Grundlage.
Eine Einwilligung muss freiwillig, für einen bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden. In der Praxis heißt das:
- Das Kästchen „Ich möchte über Angebote informiert werden“ darf nicht vorab angekreuzt sein.
- Die Leistung sollte nicht davon abhängen, dass Sie Werbung zustimmen. Eine Bestellung nur mit Newsletter-Zustimmung zuzulassen, ist eine umstrittene Praxis.
- Es muss klar sein, wozu Sie einwilligen. Schwammige Formulierungen wie „für alle Zwecke“ passen kaum dazu.
Außerdem hat das Unternehmen Informationspflichten. Es muss Ihnen mitteilen, wer Ihre Daten zu welchem Zweck verarbeitet, an wen sie weitergegeben werden können und welche Rechte Sie haben. Deshalb steht unter Anmeldeformularen der Link zur „Datenschutzerklärung“. Auch wenn sie kaum jemand liest, dort sehen Sie am klarsten, wohin Ihre Adresse geht.
Welche Regeln gelten für Werbe-E-Mails?
Für Werbemails in Ihrem Postfach ist nicht nur die DSGVO maßgeblich. In der EU gibt es zusätzlich eigene Regeln für elektronische Werbung, in Deutschland etwa im Gesetz gegen den unlauteren Wettbewerb (UWG). Die Grundregel lautet so. Will ein Unternehmen Ihnen Werbung per E-Mail schicken, braucht es dafür grundsätzlich vorher Ihre Einwilligung. Viele Unternehmen lassen sich die Anmeldung deshalb per Double-Opt-in bestätigen, also über einen Link in einer Bestätigungsmail.
Ihre Einwilligung können Sie jederzeit widerrufen, und der Werbung mit Ihren Daten können Sie widersprechen. In der Praxis geht das am einfachsten über den Abmeldelink in der Mail oder mit einer kurzen Nachricht an das Unternehmen. Ausnahmen, etwa für bestehende Kundenbeziehungen, und weitere Einzelheiten regeln die jeweiligen Vorschriften. Darauf gehen wir hier nicht ein.
| Thema | Welche Regelung? | Was bringt sie Ihnen in der Praxis? |
|---|---|---|
| Erhebung, Speicherung, Weitergabe Ihrer Adresse | DSGVO | Rechte auf Information, Auskunft, Löschung und mehr |
| Werbe- und Newsletter-Mails | Regeln zur elektronischen Werbung (in Deutschland u. a. UWG) und DSGVO | Grundsätzlich vorherige Einwilligung, Abmeldung jederzeit möglich |
| Widerruf und Widerspruch | DSGVO | Einwilligung zurückziehen, Werbenutzung stoppen |
Welche Rechte haben Sie als betroffene Person?
Die DSGVO nennt die Person, deren Daten verarbeitet werden, „betroffene Person“. Grob gesagt haben Sie diese Rechte:
- Auskunft darüber, ob Ihre Daten verarbeitet werden, und wenn ja, welche,
- zu erfahren, zu welchem Zweck sie verarbeitet werden,
- zu erfahren, an wen sie weitergegeben wurden, auch ins Ausland,
- die Berichtigung unvollständiger oder falscher Daten zu verlangen,
- unter den gesetzlichen Voraussetzungen die Löschung zu verlangen,
- der Verarbeitung für Direktwerbung zu widersprechen,
- Schadenersatz zu verlangen, wenn Ihnen durch einen Verstoß ein Schaden entstanden ist.
Wie bitte ich ein Unternehmen, meine Adresse zu löschen?
- Öffnen Sie die Datenschutzerklärung des Unternehmens. Dort steht meist, wie und wo Sie Anfragen stellen können.
- Stellen Sie Ihren Antrag schriftlich oder über den angegebenen Kanal. Nennen Sie die E-Mail-Adresse, mit der das Konto verknüpft ist, damit man Sie zuordnen kann.
- Schreiben Sie klar, was Sie wollen, etwa „Ich verlange die Löschung aller Daten zu dieser Adresse und die Entfernung aus Ihren Werbeverteilern.“
- Die DSGVO sieht vor, dass das Unternehmen grundsätzlich innerhalb eines Monats antwortet. Kommt keine oder nur eine unzureichende Antwort, können Sie sich bei der zuständigen Datenschutz-Aufsichtsbehörde beschweren.
Und was hat eine temporäre E-Mail-Adresse damit zu tun?
Ein Grundprinzip der DSGVO lautet, dass Daten dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sein müssen. Man nennt das Datenminimierung. Das Prinzip richtet sich an Unternehmen, aber wir können dieselbe Logik als Nutzer auf uns selbst anwenden und einer Website keine Daten geben, die sie gar nicht braucht.
Ein Beispiel. Sie füllen ein Formular aus, um ein PDF herunterzuladen. Die Seite will Ihre Adresse, weil sie die Datei dorthin schickt. Danach haben Sie mit der Seite nichts mehr zu tun. Geben Sie Ihre dauerhafte Adresse an, steht sie jetzt auf einer Werbeliste und in der Datenbank dieses Unternehmens. Löschanträge schreiben, Einwilligungen widerrufen, sich abmelden, das alles ist dann Ihre Aufgabe. Sie haben diese Rechte, ja. Aber sie auszuüben kostet Zeit.
Für solche einmaligen Dinge erledigt eine Adresse von Geçici Mail den Job und verschwindet dann von selbst. Bei uns gibt es keine Anmeldung, wir fragen weder Namen noch Telefonnummer ab. Beim Öffnen der Seite steht eine zufällige Adresse bereit. Eingehende Mails werden nach 24 Stunden automatisch gelöscht. Auch auf unserer Seite versuchen wir also, keine dauerhaften Datensätze anzuhäufen, die sich Ihnen zuordnen ließen. Wie das funktioniert, lesen Sie im Beitrag Was ist eine temporäre E-Mail-Adresse und wie nutzt man sie?
Wann ist eine temporäre Adresse nicht geeignet?
Ehrlich gesagt ist es falsch, überall eine temporäre Adresse zu verwenden. Ihre Bank, Behördenportale, Dienste mit Rechnung, Firmen, bei denen Sie sich bewerben, oder Konten, die Sie lange nutzen, verdienen Ihre dauerhafte Adresse. Dorthin kommen Passwort-Resets, Rechnungen und rechtlich relevante Mitteilungen. Eine temporäre Adresse empfängt nur, sie kann nicht senden, und nach ein paar Stunden ist sie außer Gebrauch. Mit Ihrem Wiederherstellungsschlüssel kommen Sie zwar zurück, ein Grund, sie zu Ihrer Hauptadresse zu machen, ist das aber nicht. Die Sicherheitsseite behandeln wir ausführlicher im Beitrag Sind Wegwerf-E-Mail-Adressen sicher?
Häufige Fragen
Ist meine E-Mail-Adresse ein personenbezogenes Datum im Sinne der DSGVO?
Ja. Eine E-Mail-Adresse, über die Sie direkt oder zusammen mit anderen Angaben identifiziert werden können, gilt nach der DSGVO als personenbezogenes Datum.
Muss eine Website für meine Adresse immer meine Einwilligung einholen?
Nein. Die DSGVO kennt neben der Einwilligung weitere Rechtsgrundlagen. Ist die Verarbeitung etwa zur Erfüllung eines Vertrags nötig, darf Ihre Adresse dafür genutzt werden. Für Werbemails ist dagegen grundsätzlich eine eigene Einwilligung erforderlich.
Wie widerrufe ich meine Einwilligung zu Werbemails?
Nutzen Sie den Abmeldelink unten in der Mail oder schreiben Sie dem Unternehmen, dass Sie Ihre Einwilligung widerrufen und der Nutzung Ihrer Daten für Werbung widersprechen.
Kann ich verlangen, dass ein Unternehmen meine Daten löscht?
Ja, die DSGVO gibt Ihnen unter bestimmten Voraussetzungen ein Recht auf Löschung. Stellen Sie den Antrag über den Kanal, den die Datenschutzerklärung nennt. Gesetzliche Aufbewahrungspflichten können verlangen, dass manche Daten noch eine Zeit lang gespeichert bleiben.
Verliere ich durch eine temporäre Adresse meine Rechte nach der DSGVO?
Nein, Ihre Rechte gelten unverändert. Eine temporäre Adresse sorgt nur dafür, dass Sie Ihre dauerhafte Adresse nicht unnötig herausgeben. So gibt es später weniger Fälle, in denen Sie diese Rechte überhaupt geltend machen müssen.