Immer dann, wenn die Empfänger sich nicht kennen müssen — also bei jedem Rundschreiben, Newsletter oder Serienbrief an Kunden, Bewerber, Patienten oder Mitglieder. Eine E-Mail-Adresse ist ein personenbezogenes Datum. Steht sie für fünfzig andere Empfänger sichtbar im An- oder CC-Feld, haben Sie fünfzig Adressen an fünfzig Unbefugte offengelegt. Das ist eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO.
Dieser Fehler ist der häufigste meldepflichtige Vorfall in kleinen und mittleren Betrieben, und er ist besonders unangenehm, weil er sich nicht zurückholen lässt. Er ist auch nicht harmlos: Wenn aus dem Verteiler hervorgeht, dass es sich um Teilnehmer einer Suchttherapie, Bewerber auf eine Stelle oder Mitglieder einer Partei handelt, ist mit der Adresse zugleich eine besondere Datenkategorie nach Art. 9 DSGVO offengelegt.
Technisch gibt es drei saubere Wege: BCC für kleine Verteiler, ein Serienmailwerkzeug, das jede Nachricht einzeln verschickt, oder ein Newslettersystem. Für größere Verteiler ist BCC nicht die beste Lösung — ein falscher Klick reicht, und viele Mailserver behandeln große BCC-Mengen als Spam. Ab etwa zwanzig Empfängern gehört der Versand in ein Werkzeug, das Einzelmails erzeugt.
Wenn es passiert ist: Nicht hoffen, dass es niemand merkt. Der Vorgang gehört dokumentiert (Art. 33 Abs. 5 DSGVO), und in den meisten Fällen ist er der Aufsichtsbehörde zu melden. Ein eigenständig gemeldeter Verteilerfehler ist ein kleiner Vorgang; derselbe Fehler, von einem verärgerten Empfänger angezeigt, ist ein großer.
Fundstelle: Art. 4 Nr. 12, Art. 5 Abs. 1 lit. f, Art. 9, Art. 33 DSGVO