Ist E-Mail-Extraktion legal? DSGVO & Datenschutz-Guide

← Zurück zum E-Mail Extractor

E-Mail-Extraktion vs. E-Mail-Harvesting: Ein wichtiger Unterschied

Bevor wir die rechtlichen Details betrachten, muss zwischen E-Mail-Extraktion und E-Mail-Harvesting unterschieden werden. Diese beiden Tätigkeiten sind grundlegend verschieden.

E-Mail-Extraktion bezeichnet das Herausziehen von E-Mail-Adressen aus Daten, die du bereits besitzt – etwa PDF-Rechnungen, Tabellenkalkulationen, Textdokumenten oder internen Datenbanken. Du organisierst und konsolidierst Informationen, die sich bereits in deinem Besitz befinden.

E-Mail-Harvesting hingegen bedeutet das Scrapen oder Crawlen des Internets, um E-Mail-Adressen von Webseiten, Foren, Social-Media-Profilen oder anderen öffentlich zugänglichen Quellen zu sammeln – oft ohne Wissen oder Einwilligung der E-Mail-Inhaber.

Die meisten Datenschutzgesetze zielen auf Harvesting ab, nicht auf Extraktion. Wenn du E-Mails aus deinen eigenen Dokumenten extrahierst, arbeitest du typischerweise mit Daten, für deren Verarbeitung du bereits eine berechtigte Grundlage hast.

DSGVO (EU/EWR): Was du wissen musst

Die Datenschutz-Grundverordnung (DSGVO) ist das umfassendste Datenschutzgesetz der Welt. Sie gilt für jede Organisation, die personenbezogene Daten von Personen in der EU oder dem EWR verarbeitet.

E-Mail-Adressen sind personenbezogene Daten

Eine E-Mail-Adresse gilt nach DSGVO als personenbezogenes Datum, da sie eine natürliche Person direkt oder indirekt identifizieren kann. Jede Verarbeitung – einschließlich Extraktion, Speicherung und Nutzung – muss den DSGVO-Grundsätzen entsprechen.

Rechtsgrundlagen für die Verarbeitung

Die DSGVO verlangt eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Die relevantesten Grundlagen für E-Mail-Extraktion sind:

• Einwilligung (Art. 6 Abs. 1 lit. a): Die Person hat eine klare, aktive Einwilligung zur Verarbeitung ihrer E-Mail-Adresse für einen bestimmten Zweck gegeben.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Die Verarbeitung ist für berechtigte Interessen des Verantwortlichen erforderlich, sofern diese nicht von den Rechten der betroffenen Person überwiegen. Dies ist die häufigste Grundlage für B2B-E-Mail-Kommunikation.
• Vertrag (Art. 6 Abs. 1 lit. b): Die Verarbeitung ist für die Erfüllung eines Vertrags erforderlich oder zur Durchführung vorvertraglicher Maßnahmen.

Zentrale DSGVO-Grundsätze

• Datenminimierung: Nur die E-Mail-Adressen erheben, die du für den angegebenen Zweck tatsächlich benötigst.
• Speicherbegrenzung: E-Mail-Adressen nicht länger als nötig aufbewahren. Aufbewahrungsfristen definieren und einhalten.
• Recht auf Löschung: Betroffene Personen haben das Recht, die Löschung ihrer Daten zu verlangen.
• Transparenz: Betroffene müssen darüber informiert werden, wie ihre Daten verarbeitet werden.
• Zweckbindung: Für einen Zweck erhobene E-Mail-Adressen dürfen nicht ohne weitere Einwilligung für einen anderen Zweck verwendet werden.

CAN-SPAM Act (USA)

Der CAN-SPAM Act reguliert kommerzielle E-Mails in den USA. Anders als die DSGVO erfordert CAN-SPAM keine vorherige Einwilligung für kommerzielle E-Mails, stellt jedoch strenge Anforderungen:

• Keine falschen oder irreführenden Absenderangaben
• Keine täuschenden Betreffzeilen
• Kennzeichnung als Werbung
• Gültige Postanschrift des Absenders
• Abmeldemöglichkeit in jeder E-Mail
• Abmeldewünsche innerhalb von 10 Werktagen bearbeiten

Verstöße können mit bis zu $51.744 pro E-Mail bestraft werden.

CASL (Kanada)

Canadas Anti-Spam Legislation (CASL) gehört zu den strengsten Anti-Spam-Gesetzen weltweit und verlangt eine Einwilligung vor dem Versand kommerzieller E-Mails.

• Ausdrückliche Einwilligung: Der Empfänger hat dem Empfang von E-Mails ausdrücklich zugestimmt.
• Stillschweigende Einwilligung: Besteht bei einer bestehenden Geschäftsbeziehung (z.B. Kauf innerhalb der letzten 24 Monate).

CASL-Strafen können bis zu 10 Millionen CAD pro Verstoß betragen.

Wann E-Mail-Extraktion eindeutig legal ist

• Aus eigenen Dokumenten: E-Mails aus Rechnungen, Verträgen, Angeboten oder Korrespondenz, die du im normalen Geschäftsverkehr erhalten hast.
• Interne Datenbanken: Konsolidierung von E-Mail-Adressen aus deinem eigenen CRM oder E-Mail-Client.
• Dokumente mit legitimen Zugang: Verarbeitung von Dateien, die dir von Geschäftspartnern oder Kollegen im Rahmen normaler Geschäftstätigkeit übermittelt wurden.
• Forschungszwecke: Akademische oder journalistische Forschung kann von Ausnahmen profitieren.
• Persönliche Nutzung: Organisieren eigener Kontakte oder Extrahieren aus dem eigenen Postfach.

Grauzonen und Best Practices

Öffentlich verfügbare E-Mails

Nur weil eine E-Mail-Adresse auf einer Webseite sichtbar ist, bedeutet das nicht, dass du sie frei verwenden darfst. Nach DSGVO entfällt das Erfordernis einer Rechtsgrundlage nicht, weil Daten öffentlich zugänglich sind. Allerdings kann ein berechtigtes Interesse vorliegen, wenn die E-Mail in einem eindeutigen Geschäftskontext veröffentlicht wurde.

Visitenkarten von Veranstaltungen

Wenn dir jemand auf einer Messe eine Visitenkarte übergibt, stellt dies eine stillschweigende Einwilligung zur geschäftlichen Kontaktaufnahme dar. Best Practice: Zeitnah nachfassen und eine klare Abmeldemöglichkeit bieten.

Gekaufte E-Mail-Listen

Der Kauf von E-Mail-Listen ist dringend abzuraten. Nach DSGVO haben die Personen auf einer gekauften Liste in der Regel nicht in die Kommunikation mit deiner Organisation eingewilligt. Zudem führen gekaufte Listen zu hohen Spam-Beschwerderaten und schädigen die Absenderreputation.

Warum unser Tool datenschutzfreundlich ist

• Verarbeitung im Browser: Deine Texte, Dateien und extrahierten E-Mails verlassen niemals dein Gerät.
• Keine Datenübertragung: Nichts wird an einen Server, eine API oder einen Drittanbieter gesendet.
• Keine Serverspeicherung: Wir speichern keine extrahierten E-Mails oder hochgeladenen Dateien.
• Kein Tracking der Inhalte: Wir protokollieren oder analysieren nicht, was du extrahierst.
• Kein Konto erforderlich: Keine Registrierung oder Angabe persönlicher Daten nötig.

Diese Architektur bedeutet, dass unser Tool kein zusätzliches Datenschutzrisiko einführt.

Checkliste für datenschutzkonforme E-Mail-Extraktion

1. Rechtsgrundlage kennen: Vor der Verarbeitung die passende Rechtsgrundlage identifizieren.
2. Datenerhebung minimieren: Nur die tatsächlich benötigten E-Mail-Adressen extrahieren.
3. Verarbeitung dokumentieren: Herkunft, Zeitpunkt und Rechtsgrundlage jeder E-Mail-Adresse festhalten.
4. Abmeldemöglichkeit bieten: Jede kommerzielle E-Mail muss einen Abmeldelink enthalten.
5. Abmeldewünsche respektieren: Schnell bearbeiten (DSGVO: sofort, CAN-SPAM: 10 Tage).
6. Aufbewahrungsfristen definieren: Extrahierte E-Mail-Adressen nach Ablauf der Frist löschen.
7. Datenquellen prüfen: Sicherstellen, dass die Dokumente legitim erlangt wurden.
8. Strengstes Gesetz anwenden: Bei internationalen Kontakten das jeweils strengste geltende Gesetz beachten.
9. Datenschutzfreundliche Tools nutzen: Tools wählen (wie unseres), die lokal verarbeiten.
10. Regelmäßig überprüfen: Datenschutzgesetze entwickeln sich weiter. Praktiken regelmäßig überprüfen.