Ist E-Mail-Extraktion legal? DSGVO & Datenschutz-Guide

← Zurück zum E-Mail Extractor

E-Mail-Extraktion vs. E-Mail-Harvesting: Ein wichtiger Unterschied

Bevor wir die rechtlichen Details betrachten, muss zwischen E-Mail-Extraktion und E-Mail-Harvesting unterschieden werden. Diese beiden Tätigkeiten sind grundlegend verschieden.

E-Mail-Extraktion bezeichnet das Herausziehen von E-Mail-Adressen aus Daten, die du bereits besitzt – etwa PDF-Rechnungen, Tabellenkalkulationen, Textdokumenten oder internen Datenbanken. Du organisierst und konsolidierst Informationen, die sich bereits in deinem Besitz befinden.

E-Mail-Harvesting hingegen bedeutet das Scrapen oder Crawlen des Internets, um E-Mail-Adressen von Webseiten, Foren, Social-Media-Profilen oder anderen öffentlich zugänglichen Quellen zu sammeln – oft ohne Wissen oder Einwilligung der E-Mail-Inhaber.

Die meisten Datenschutzgesetze zielen auf Harvesting ab, nicht auf Extraktion. Wenn du E-Mails aus deinen eigenen Dokumenten extrahierst, arbeitest du typischerweise mit Daten, für deren Verarbeitung du bereits eine berechtigte Grundlage hast.

Welcher E-Mail Extractor ist DSGVO-konform? Drei Tool-Typen im Vergleich

„DSGVO-konform“ beschreibt den konkreten Umgang mit personenbezogenen Daten; ein Tool kann dir das nicht pauschal garantieren. Die Architektur beeinflusst aber, welche Daten wohin fließen. Drei Ansätze im Vergleich:

Wische seitlich, um alle drei Tool-Typen zu vergleichen.

Ein Upload kann eine Auftragsverarbeitung nach Art. 28 auslösen, wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet. Das gilt aber nicht automatisch für jeden Anbieter. Auch ein ausländisches Hosting bedeutet nicht automatisch, dass jede Kontaktliste ins Ausland übertragen wird. Entscheidend sind Rollen, Verträge und tatsächliche Empfänger. Die clientseitige Extraktion sendet deine lokale Datei für diesen Schritt nicht; die Rechtsgrundlage für die Quelldaten und die spätere Ansprache bleibt deine Aufgabe.

Teste den lokalen Weg nach dem Laden der Seite mit eingefügtem Text oder einer TXT-Datei im Flugmodus. PDF-, Word- und Tabellenparser müssen eventuell zuerst als Code-Dateien von der Website geladen werden; ohne Cache kann ein erster Offline-Versuch scheitern. Der Reiter „Netzwerk“ kann Asset-Anfragen zeigen, aber keine Anfrage sollte deinen Text oder deine lokale Datei enthalten.

Warum unser Tool datenschutzfreundlich ist

Für eingefügten Text und ausgewählte Dateien läuft die Extraktion clientseitig im Browser:

• Lokale Verarbeitung: Dein Browser liest eingefügten Text und importierte Dateien. Für diesen Schritt wird der Inhalt nicht auf unseren Webspace hochgeladen.
• Prüfbar: Text und einfache TXT-Dateien funktionieren nach dem Laden im Flugmodus. Im Reiter „Netzwerk“ sollte keine Anfrage deinen Inhalt übertragen; Dokumentparser können Code-Dateien nachladen.
• Begrenzte Ausnahmen: Öffentliche URL-Abrufe nutzen unseren Webspace, DNS-Werkzeuge fragen Cloudflare ab. Das sind eigene Netzwerkfunktionen.
• Lokaler Verlauf: Bis zu fünf Ergebnisse können bis zum Löschen im Browserspeicher bleiben. Große Ergebnisse werden dort nicht gespeichert.
• Kein Konto für die Extraktion: Das Tool funktioniert ohne Registrierung. Website-Auslieferung, einwilligungsabhängige Analyse und Partnerinhalte sind getrennte Datenflüsse.

Die lokale Verarbeitung begrenzt die Weitergabe deiner Datei an diesen Dienst. Sie ersetzt weder deine DSGVO-Pflichten noch die Prüfung anderer Datenflüsse beim Besuch einer Website.

DSGVO (EU/EWR): Was du wissen musst

Die Datenschutz-Grundverordnung (DSGVO) ist das umfassendste Datenschutzgesetz der Welt. Sie gilt für jede Organisation, die personenbezogene Daten von Personen in der EU oder dem EWR verarbeitet.

E-Mail-Adressen sind personenbezogene Daten

Eine E-Mail-Adresse gilt nach DSGVO als personenbezogenes Datum, da sie eine natürliche Person direkt oder indirekt identifizieren kann. Jede Verarbeitung – einschließlich Extraktion, Speicherung und Nutzung – muss den DSGVO-Grundsätzen entsprechen.

Rechtsgrundlagen für die Verarbeitung

Die DSGVO verlangt eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Die relevantesten Grundlagen für E-Mail-Extraktion sind:

• Einwilligung (Art. 6 Abs. 1 lit. a): Die Person hat eine klare, aktive Einwilligung zur Verarbeitung ihrer E-Mail-Adresse für einen bestimmten Zweck gegeben.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Die Verarbeitung ist für berechtigte Interessen des Verantwortlichen erforderlich, sofern diese nicht von den Rechten der betroffenen Person überwiegen. Dies ist die häufigste Grundlage für B2B-E-Mail-Kommunikation.
• Vertrag (Art. 6 Abs. 1 lit. b): Die Verarbeitung ist für die Erfüllung eines Vertrags erforderlich oder zur Durchführung vorvertraglicher Maßnahmen.

Zentrale DSGVO-Grundsätze

• Datenminimierung: Nur die E-Mail-Adressen erheben, die du für den angegebenen Zweck tatsächlich benötigst.
• Speicherbegrenzung: E-Mail-Adressen nicht länger als nötig aufbewahren. Aufbewahrungsfristen definieren und einhalten.
• Recht auf Löschung: Betroffene Personen haben das Recht, die Löschung ihrer Daten zu verlangen.
• Transparenz: Betroffene müssen darüber informiert werden, wie ihre Daten verarbeitet werden.
• Zweckbindung: Für einen Zweck erhobene E-Mail-Adressen dürfen nicht ohne weitere Einwilligung für einen anderen Zweck verwendet werden.

Aktuelle Entwicklungen (2024–2026)

• EDSA-Opinion 28/2024 (Dezember 2024): KI-Training mit personenbezogenen Daten kann auf berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) gestützt werden – aber nur nach einem strengen Drei-Stufen-Test. Eigene Scraping-Leitlinien hat der EDSA angekündigt.
• CNIL-Bußgeld gegen KASPR (Dezember 2024): Die französische Datenschutzbehörde verhängte 240.000 € gegen den Kontaktdaten-Anbieter KASPR wegen des Scrapings von LinkedIn-Kontaktdaten – unter anderem wegen fehlender Transparenz und überlanger Speicherung.
• BGH, Urteil vom 18.11.2024 (VI ZR 10/24, Facebook-Scraping): Schon der bloße Kontrollverlust über die eigenen Daten kann einen immateriellen Schadensersatz nach Art. 82 DSGVO begründen.

Außerdem wichtig: Die geplante EU-ePrivacy-Verordnung wurde im Februar 2025 von der EU-Kommission zurückgezogen. Es gelten weiterhin die ePrivacy-Richtlinie (2002/58/EG), nationale Umsetzungen (in Deutschland u.a. § 7 UWG und TDDDG) sowie die DSGVO. Dieser Überblick ersetzt keine Rechtsberatung.

CAN-SPAM Act (USA)

Der CAN-SPAM Act reguliert kommerzielle E-Mails in den USA. Anders als die DSGVO erfordert CAN-SPAM keine vorherige Einwilligung für kommerzielle E-Mails, stellt jedoch strenge Anforderungen:

• Keine falschen oder irreführenden Absenderangaben
• Keine täuschenden Betreffzeilen
• Kennzeichnung als Werbung
• Gültige Postanschrift des Absenders
• Abmeldemöglichkeit in jeder E-Mail
• Abmeldewünsche innerhalb von 10 Werktagen bearbeiten

Verstöße können mit bis zu $51.744 pro E-Mail bestraft werden.

CASL (Kanada)

Canadas Anti-Spam Legislation (CASL) gehört zu den strengsten Anti-Spam-Gesetzen weltweit und verlangt eine Einwilligung vor dem Versand kommerzieller E-Mails.

• Ausdrückliche Einwilligung: Der Empfänger hat dem Empfang von E-Mails ausdrücklich zugestimmt.
• Stillschweigende Einwilligung: Besteht bei einer bestehenden Geschäftsbeziehung (z.B. Kauf innerhalb der letzten 24 Monate).

CASL-Strafen können bis zu 10 Millionen CAD pro Verstoß betragen.

Wann E-Mail-Extraktion eindeutig legal ist

• Aus eigenen Dokumenten: E-Mails aus Rechnungen, Verträgen, Angeboten oder Korrespondenz, die du im normalen Geschäftsverkehr erhalten hast.
• Interne Datenbanken: Konsolidierung von E-Mail-Adressen aus deinem eigenen CRM oder E-Mail-Client.
• Dokumente mit legitimen Zugang: Verarbeitung von Dateien, die dir von Geschäftspartnern oder Kollegen im Rahmen normaler Geschäftstätigkeit übermittelt wurden.
• Forschungszwecke: Akademische oder journalistische Forschung kann von Ausnahmen profitieren.
• Persönliche Nutzung: Organisieren eigener Kontakte oder Extrahieren aus dem eigenen Postfach.

Grauzonen und Best Practices

Öffentlich verfügbare E-Mails

Nur weil eine E-Mail-Adresse auf einer Webseite sichtbar ist, bedeutet das nicht, dass du sie frei verwenden darfst. Nach DSGVO entfällt das Erfordernis einer Rechtsgrundlage nicht, weil Daten öffentlich zugänglich sind. Allerdings kann ein berechtigtes Interesse vorliegen, wenn die E-Mail in einem eindeutigen Geschäftskontext veröffentlicht wurde. Die niederländische Datenschutzbehörde (AP) stellte in einem Leitfaden vom Mai 2024 klar: Scraping durch Private ist „fast immer“ DSGVO-widrig – öffentliche Verfügbarkeit ist keine Einwilligung.

Visitenkarten von Veranstaltungen

Wenn dir jemand auf einer Messe eine Visitenkarte übergibt, stellt dies eine stillschweigende Einwilligung zur geschäftlichen Kontaktaufnahme dar. Best Practice: Zeitnah nachfassen und eine klare Abmeldemöglichkeit bieten.

Gekaufte E-Mail-Listen

Der Kauf von E-Mail-Listen ist dringend abzuraten. Nach DSGVO haben die Personen auf einer gekauften Liste in der Regel nicht in die Kommunikation mit deiner Organisation eingewilligt. Zudem führen gekaufte Listen zu hohen Spam-Beschwerderaten und schädigen die Absenderreputation.

Checkliste für datenschutzkonforme E-Mail-Extraktion

1. Rechtsgrundlage kennen: Vor der Verarbeitung die passende Rechtsgrundlage identifizieren.
2. Datenerhebung minimieren: Nur die tatsächlich benötigten E-Mail-Adressen extrahieren.
3. Verarbeitung dokumentieren: Herkunft, Zeitpunkt und Rechtsgrundlage jeder E-Mail-Adresse festhalten.
4. Abmeldemöglichkeit bieten: Jede kommerzielle E-Mail muss einen Abmeldelink enthalten.
5. Abmeldewünsche respektieren: Schnell bearbeiten (DSGVO: sofort, CAN-SPAM: 10 Tage).
6. Aufbewahrungsfristen definieren: Extrahierte E-Mail-Adressen nach Ablauf der Frist löschen.
7. Datenquellen prüfen: Sicherstellen, dass die Dokumente legitim erlangt wurden.
8. Strengstes Gesetz anwenden: Bei internationalen Kontakten das jeweils strengste geltende Gesetz beachten.
9. Datenschutzfreundliche Tools nutzen: Tools wählen (wie unseres), die lokal verarbeiten.
10. Regelmäßig überprüfen: Datenschutzgesetze entwickeln sich weiter. Praktiken regelmäßig überprüfen.