Offene Mailverteiler: Wie Sie teure Bußgelder vermeiden

Das Problem mit offenen Mailverteilern ist ein rechtliches – aus dem Datenschutz, um genau zu sein: E-Mail-Adressen zählen als personenbezogene Daten nach DSGVO (Artikel 4 Nr. 1) und KDG (§ 4 Nr. 1). Werden personenbezogene Daten weitergegeben, liegt eine Datenverarbeitung vor. Diese ist jedoch nur dann erlaubt, wenn sie sich auf eine Rechtsgrundlage stützt (z.B. zur Erfüllung eines Vertrages oder durch Einwilligung).

Ausnahme: Kennen sich die Empfänger:innen? Oder ist es wichtig, dass diese wissen, wem die Information vorliegt? In diesem Fall kann argumentiert werden, dass die Verwendung offener Mailverteiler rechtmäßig ist. Ansonsten gilt: 

Für die Offenlegung der Empfänger:innen eines Verteilers gibt es keine entsprechende Rechtsgrundlage. Demnach verstoßen Sie bei der Nutzung offener Mailverteiler gegen den Datenschutz und es erfolgt eine unbefugte und nicht notwendige Offenlegung von E-Mail-Adressen.

Haben Sie eine derartige E-Mail an Ihre Kund:innen verschickt, können Sie in der Regel davon ausgehen, dass es sich um eine meldepflichtige Datenschutzverletzung handelt. Wie die zuständige Aufsichtsbehörde damit umgeht hängt von verschiedenen Faktoren ab – z.B. wie viele Personen betroffen und wie sensibel die offengelegten Informationen sind. Möglich ist alles von einer Verwarnung zu einem Bußgeld in Höhe von mehreren tausend Euro.

Wer muss das Bußgeld nun zahlen? Das Unternehmen oder die Person, die die E-Mail verschickt hat? Das kommt ganz drauf an…

Damit es zu einem Bußgeld kommt, muss sich eine betroffene Person bei der zuständigen Aufsichtsbehörde beschweren. Diese untersucht nun, was vorgefallen ist und – liegt ein Verstoß vor – wer verantwortlich ist. Mit als erstes wird überprüft, ob eine entsprechende Meldung des Unternehmens vorliegt und ob diese innerhalb der 72-Stunden-Frist eingegangen ist. Liegt keine Meldung vor, kann das Bußgeld weitaus höher ausfallen.

In der EU gab es bereits etliche Fälle, in denen Bußgelder wegen offener Mailverteiler verhängt wurden. Ein Unternehmen in Spanien hat Ende letzten Jahres wegen eines offenen Mailverteilers beispielsweise ein Bußgeld von 6.000 € kassiert. 

Häufig liegen Bußgelder zwar nur im vierstelligen Bereich. Der Schaden für das Image der Firma ist aber nicht zu vernachlässigen. Daher: Lassen Sie es gar nicht erst so weit kommen – mit den richtigen Maßnahmen.

Zum Glück sind derartige Datenschutzverletzungen leicht zu vermeiden. Anstatt in das „An“- oder „Cc“-Feld sollten die E-Mail-Adressen bei Verteilern immer in das „Bcc“-Feld eingetragen werden. „Bcc“ steht hierbei für „Blind carbon copy“ und bedeutet, dass die Empfänger:innen nicht einsehen können, an wen die E-Mail noch gegangen ist. Die Empfangsliste wird also nicht aufgelöst.

Achtung: Auch für Sie anonym wirkende Verteiler wie „Alle Kund:innen“ sollten Sie immer in das „Bcc“-Feld eintragen. Derartige Namen für Mailverteiler dienen Ihnen lediglich zur Orientierung und Organisation, werden aber für die Empfänger:innen aufgelöst.

Doch wer haftet nun? Das kommt darauf an, wie Ihr Unternehmen mit dem Thema umgeht. Gibt es kein Datenschutzkonzept mit konkreten Arbeitsanweisungen oder Richtlinien zum Umgang mit personenbezogenen Daten – inklusive Regelungen zu offenen Mailverteilern – haftet das Unternehmen.