Woher hat die Firma meine E-Mail-Adresse?

Ein Ratgeber von MailClaim, einer Marke der Teloro GmbH. Die Quellen unterscheiden Gesetz, Gerichtsentscheidung und Angaben zum eigenen Angebot.

Kurzantwort: Eine fremde Firma kann Ihre Geschäftsadresse etwa aus einem öffentlichen Verzeichnis, einem früheren Kontakt oder einem zugekauften Datensatz erhalten haben. Welche Quelle tatsächlich genutzt wurde, steht mit dem Eingang einer Werbemail noch nicht fest. Bei personenbezogenen Daten können Sie Auskunft über die Verarbeitung und, bei Erhebung aus anderer Quelle, die verfügbaren Informationen zur Herkunft verlangen. Eine bekannte Datenquelle ersetzt keine Erlaubnis für E-Mail-Werbung.

Die Adresse ist bekannt – die Quelle ist es noch nicht

Eine Agentur schreibt Sie mit richtigem Namen an, nennt Ihre Position und bietet eine Leistung für Ihren Betrieb an. Daraus lässt sich zunächst nur erkennen, welche Angaben in der Nachricht verwendet wurden. Es ist damit noch nicht geklärt, ob die Firma eine Website ausgewertet, alte Korrespondenz genutzt oder einen Datensatz von einer anderen Stelle bekommen hat.

Für eine sinnvolle Reaktion sollten drei Fragen getrennt werden: Woher stammen die Daten? Darf die Firma sie für den genannten Zweck verarbeiten? Und durfte sie gerade diese Werbemail schicken? Die Antwort „Wir haben Ihre Adresse im Internet gefunden“ kann allenfalls einen Teil der ersten Frage betreffen.

Diese Beispiele benennen mögliche Wege, keine Feststellung über den Absender Ihrer Mail. Eine unbelegte Behauptung eines Datenlecks oder eines Adressverkaufs kann die Prüfung eher erschweren. Halten Sie zunächst fest, welche personenbezogenen Angaben tatsächlich verwendet wurden und welche Erklärung das Unternehmen selbst abgibt.

Bei Geschäftsadressen zuerst den Personenbezug klären

Datenschutzrechtliche Betroffenenrechte stehen natürlichen Personen zu. Eine Adresse wie [email protected] kann sich auf einen bestimmten Mitarbeiter beziehen. Bei einem Einzelunternehmer kann auch eine funktionale Geschäftsadresse mit seiner Person verbunden sein. Eine bloße Domain- oder Postfachbezeichnung erlaubt deshalb keine verlässliche pauschale Einordnung.

Anders liegt es möglicherweise bei einem rein betrieblichen Funktionspostfach einer GmbH, wenn der Datensatz keine natürliche Person identifiziert. Die Gesellschaft wird nicht schon durch das Postfach selbst zur datenschutzrechtlich betroffenen Person. Entscheidend kann außerdem der übrige Datensatz sein: Name, Funktion, Telefonnummer oder eine persönliche Ansprache.

Für die Praxis bedeutet das: Eine angestellte Person macht eigene Auskunftsrechte nicht automatisch im Namen der Gesellschaft geltend. Zugleich kann die Gesellschaft wegen unerlaubter Werbung in ihrem Betrieb eigene Abwehransprüche haben. Der Ratgeber zur Anspruchszuordnung bei Firmenadressen erklärt diese Trennung.

Welche Informationen Sie verlangen können

Art. 15 DSGVO betrifft die Bestätigung einer Verarbeitung, die eigenen personenbezogenen Daten und weitere Informationen, insbesondere zu Zwecken, Datenkategorien, Empfängern und Speicherdauer. Wurden die Daten nicht bei Ihnen erhoben, nennt die Vorschrift außerdem alle verfügbaren Informationen über ihre Herkunft. Art. 14 enthält gesonderte Informationspflichten bei der Erhebung aus anderen Quellen. Quelle: DSGVO: insbesondere Art. 12, 15, 17, 21 und 82.

Die Berliner Datenschutzaufsicht erläutert, dass ein Antrag grundsätzlich formlos und ohne Begründung gestellt werden kann. Für eine konkrete Werbemail hilft dennoch eine genaue Zuordnung: betroffene Adresse, Betreff, Eingangsdatum und die im Schreiben verwendeten Personenangaben. So muss die Firma nicht erst raten, welchen Datensatz Sie meinen. Quelle: Berliner Datenschutzaufsicht: Informations- und Auskunftsrecht.

Ein Auskunftsrecht verpflichtet die Stelle nicht zu einer grenzenlosen Recherche in fremden Systemen. „Alle verfügbaren Informationen“ über die Herkunft und eine vollständige Rekonstruktion jeder unbekannten Vorstufe sind nicht dasselbe. Eine pauschale Antwort sollte aber darauf geprüft werden, ob tatsächlich vorhandene Informationen zur konkreten Datenquelle fehlen.

Ein sachliches Formulierungsbeispiel

Das folgende Beispiel richtet sich an eine natürliche Person, deren Daten in einer geschäftlichen Werbemail verwendet wurden. Es ist kein Unterlassungsvertrag und enthält keine Zahlungsforderung. Besteht bereits ein Mandat, stimmen Sie das Schreiben zuerst mit der Kanzlei ab.

Sie haben am [Datum] unter dem Betreff [Betreff] eine Werbemail an [Adresse] gesandt und darin Angaben zu meiner Person verwendet. Bitte teilen Sie mir mit, ob und welche personenbezogenen Daten Sie zu meiner Person verarbeiten, und erteilen Sie mir die Auskunft sowie eine Datenkopie nach Art. 15 DSGVO. Bitte erläutern Sie insbesondere die verfügbaren Informationen über die Herkunft, sofern Sie die Daten nicht bei mir erhoben haben, die Verarbeitungszwecke, die Speicherdauer und die Empfänger meiner Daten. Bitte ordnen Sie Ihre Antwort der oben genannten Nachricht und Adresse zu.

Wenn Sie zusätzlich keine Direktwerbung mehr möchten, können Sie dies gesondert erklären: „Der Verarbeitung meiner personenbezogenen Daten für Direktwerbung widerspreche ich. Eine etwaige Einwilligung in E-Mail-Werbung widerrufe ich für die Zukunft.“ Die beiden Anliegen sollten erkennbar bleiben; Auskunft über die Vergangenheit und das Unterbinden künftiger Werbung verfolgen unterschiedliche Zwecke. Quelle: Berliner Datenschutzaufsicht: Rechte bei unerwünschter Werbung.

Senden Sie ein solches Schreiben nicht blind an eine möglicherweise gefälschte Adresse. Nutzen Sie bei Sicherheitszweifeln einen bekannten offiziellen Kontaktweg. Geben Sie nicht mehr Identifikationsdaten preis als für den konkreten Antrag erforderlich. Bei begründeten Zweifeln an der Identität können zusätzliche Informationen verlangt werden; daraus folgt keine automatische Pflicht, jedem unbekannten Werbeversender eine vollständige Ausweiskopie zu senden. Quelle: DSGVO: insbesondere Art. 12, 15, 17, 21 und 82.

Ein Monat – mit geregelten Ausnahmen

Nach Art. 12 Abs. 3 DSGVO muss die Information grundsätzlich unverzüglich und spätestens innerhalb eines Monats nach Antragseingang erfolgen. Wenn Komplexität und Zahl der Anträge es erfordern, kann die Frist um bis zu zwei weitere Monate verlängert werden. Über eine solche Verlängerung und ihre Gründe ist innerhalb des ersten Monats zu informieren. Quelle: DSGVO: insbesondere Art. 12, 15, 17, 21 und 82.

Dokumentieren Sie deshalb nicht nur den Entwurf, sondern den tatsächlichen Versand und vorhandene Eingangsbestätigungen. Ein selbst gesetztes Sieben-Tage-Ultimatum ersetzt die gesetzliche Regel nicht. Umgekehrt ist die Auskunftsfrist kein zusätzlicher Monat, in dem ein erklärter Werbewiderspruch ignoriert werden dürfte.

So lesen Sie eine Antwort sinnvoll

Vergleichen Sie die Auskunft mit der konkreten Nachricht. Nennt der Datensatz nur die E-Mail-Adresse, obwohl in der Werbung auch Name, Position und Firma verwendet wurden? Wird eine bestimmte Datenquelle benannt oder nur eine unbestimmte Kategorie wie „öffentliche Quellen“? Passen die Angaben zu einem behaupteten früheren Kontakt? Das sind Ansatzpunkte für eine sachliche Nachfrage, keine automatischen Beweise für einen Verstoß.

Bei Datenempfängern hat EuGH C-154/21 den Grundsatz der konkreten Benennung klargestellt. Die Entscheidung betrifft die Identität der Stellen, gegenüber denen Daten offengelegt wurden; sie darf nicht ohne Weiteres mit der Herkunftsfrage gleichgesetzt werden. Bei nicht identifizierbaren Empfängern oder nachgewiesen offenkundig unbegründeten beziehungsweise exzessiven Anträgen gelten die im Urteil genannten Grenzen.

BGH VI ZR 576/19 zeigt außerdem, dass auch gespeicherte Korrespondenz und interne Vermerke personenbezogene Daten enthalten können. Ob ein bestimmtes Dokument vollständig herauszugeben ist, bleibt von der Reichweite des Rechts auf die eigenen Daten und von den Rechten anderer Personen abhängig.

Grundsätzlich kostenlos, auch zur Vorbereitung von Ansprüchen

EuGH C-307/22 betrifft eine erste Datenkopie und erklärt, dass deren grundsätzliche Kostenfreiheit nicht schon dadurch entfällt, dass die betroffene Person Haftungsansprüche prüfen möchte. Der konkrete Ausgangsfall betraf Behandlungsunterlagen. Auf einen Werbeverteiler lässt sich daraus kein Anspruch auf die gesamte interne Unternehmensakte übertragen.

Auch ein Auskunftsantrag kennt Grenzen. Offenkundig unbegründete oder exzessive Anträge können unter den gesetzlichen Voraussetzungen anders behandelt werden. Ein gezieltes, nachvollziehbar bezeichnetes Anliegen ist daher sinnvoller als wiederholte unkoordinierte Standardschreiben ohne Bezug zur tatsächlichen Verarbeitung. Quelle: DSGVO: insbesondere Art. 12, 15, 17, 21 und 82.

Die Datenquelle ist noch keine Werbeerlaubnis

Eine Antwort „gekauft“ oder „öffentlich auffindbar“ erklärt nicht, warum die Firma per E-Mail werben durfte. Für den Werbekanal sind grundsätzlich eine vorherige ausdrückliche Einwilligung oder die einschlägige Ausnahme zu prüfen. Auch eine rechtmäßige Beschaffung von Kontaktdaten ist nicht mit einer Erlaubnis jeder späteren Verwendung gleichzusetzen. Quelle: § 7 UWG: unzumutbare Belästigungen.

Bei behaupteten Leads kommt es auf die konkrete Erklärung an. BGH VI ZR 721/15 erläutert, warum erkennbar sein muss, welche Unternehmen für welche Produkte oder Dienstleistungen werben dürfen. Das Urteil enthält teilweise Aussagen zum damaligen Datenschutzrecht; diese sollten nicht als unveränderte heutige DSGVO-Rechtsgrundlage gelesen werden.

Wenn Herkunft und Werbeerlaubnis ungeklärt bleiben

Bewahren Sie Originalmail, Auskunftsantrag und Antworten zusammen auf. Bei einer unvollständigen Antwort können Sie die fehlende konkrete Angabe benennen. Bei personenbezogenen Daten kommen daneben eine Beschwerde bei der zuständigen Datenschutzaufsicht und gegebenenfalls rechtliche Schritte in Betracht. Ein solcher Vorgang ist von einem persönlichen Geldanspruch zu unterscheiden.

Verlangen Sie nicht gleichzeitig in unklaren Textbausteinen die sofortige Vernichtung aller Daten und die spätere Herausgabe nicht gesicherter Nachweise. Das Verhältnis von Auskunft, Beweissicherung, Löschung und einer zulässigen Sperrverarbeitung sollte zum Ziel passen. Gegen Direktwerbung können Sie unabhängig davon klar widersprechen.

MailClaim konzentriert sich auf geschäftlich erhaltene Werbemails. Für deren Prüfung können Sie die Nachricht mit vorhandenen Antworten zur Datenherkunft weiterleiten. Nach Mandatierung prüft die unabhängige Kanzlei Ansprüche und Vorgehen. MailClaim ist keine Behörde, die mit einer Auskunftsanfrage automatisch die vollständige Herkunft jeder Adresse ermitteln könnte. Quelle: MailClaim: Mail einreichen; MailClaim: rechtlicher Ablauf; MailClaim: Datenschutz; MailClaim: AGB.

Werbemail mit vorhandenen Nachweisen einreichen

Häufige Fragen

Woher können Firmen meine geschäftliche E-Mail-Adresse haben?

Denkbar sind veröffentlichte Kontaktdaten, frühere Anfragen oder Bestellungen, Veranstaltungen, übermittelte Adresslisten oder ein erworbener Lead. Welche dieser Quellen tatsächlich genutzt wurde, muss im konkreten Vorgang geklärt werden. Der Empfang allein beweist keinen Datenverkauf und keinen Datenabfluss.

Kann ich erfahren, woher meine E-Mail-Adresse stammt?

Bei personenbezogenen Daten umfasst Art. 15 Abs. 1 Buchst. g DSGVO die verfügbaren Informationen über die Herkunft, wenn die Daten nicht bei der betroffenen Person erhoben wurden. Daneben bestehen Informationspflichten nach Art. 14. Ein Auskunftsantrag kann grundsätzlich formlos gestellt werden. Quelle: DSGVO: insbesondere Art. 12, 15, 17, 21 und 82; Berliner Datenschutzaufsicht: Informations- und Auskunftsrecht.

Gilt Art. 15 DSGVO auch für meine Firmenadresse?

Er kann für eine natürliche Person greifen, wenn die Adresse oder der dazugehörige Datensatz sie identifiziert oder identifizierbar macht. Bei einer rein funktionsbezogenen Adresse einer GmbH ohne Personenbezug ist das nicht automatisch der Fall. Die Gesellschaft kann eigene betriebliche Abwehrrechte haben.

Hat eine GmbH selbst einen DSGVO-Auskunftsanspruch?

Die Betroffenenrechte schützen natürliche Personen. Ein Geschäftsführer kann eigene Rechte wegen seiner personenbezogenen Daten geltend machen; das ist von einem Antrag im Namen der GmbH zu unterscheiden. Eine Firmenadresse allein beantwortet diese Zuordnung nicht.

Wie lange hat die Firma für die Auskunft Zeit?

Nach Art. 12 Abs. 3 DSGVO ist grundsätzlich unverzüglich, spätestens innerhalb eines Monats nach Eingang des Antrags zu informieren. Eine Verlängerung um bis zu zwei weitere Monate kann bei entsprechender Erforderlichkeit möglich sein; darüber und über die Gründe muss innerhalb des ersten Monats informiert werden. Quelle: DSGVO: insbesondere Art. 12, 15, 17, 21 und 82.

Muss die Firma mir alle Kundenlisten und Verträge geben?

Nein. Das Auskunftsrecht betrifft Ihre eigenen personenbezogenen Daten. EuGH C-487/21 erläutert die verständliche Datenkopie und erforderlichen Kontext. Daraus folgt kein pauschaler Anspruch auf die gesamte interne Akte oder fremde Kundendaten.

Darf die Firma für die erste Datenkopie Geld verlangen?

Die erste Kopie ist grundsätzlich kostenlos. EuGH C-307/22 erläutert dies auch für die Vorbereitung rechtlicher Ansprüche. Gesetzliche Grenzen, insbesondere bei offenkundig unbegründeten oder exzessiven Anträgen, bleiben zu beachten.

Soll ich sofort die vollständige Löschung verlangen?

Wenn Sie zunächst die Datenherkunft nachvollziehen möchten, sollten Auskunft, Sicherung von Nachweisen und eine mögliche Löschung aufeinander abgestimmt werden. Ein Werbewiderspruch ist davon gesondert möglich. Eine begrenzte Sperrverarbeitung kann helfen, weitere Werbung zu verhindern; sie ist nicht mit aktiver Werbenutzung gleichzusetzen.

Beweist eine gekaufte Adresse die Einwilligung in Werbemails?

Nein. Datenherkunft und Werbeerlaubnis sind unterschiedliche Fragen. Eine behauptete Zustimmung muss zur tatsächlichen Person, zum Unternehmen, zu den Leistungen und zum Werbekanal passen; dazu BGH VI ZR 721/15.

Bekomme ich Geld, wenn die Auskunft unvollständig ist?

Eine fehlende oder unvollständige Auskunft ist kein pauschaler Auszahlungstatbestand. Für immateriellen DSGVO-Schadensersatz müssen die jeweiligen Voraussetzungen einschließlich tatsächlichem Schaden und Ursächlichkeit erfüllt sein. BGH VI ZR 109/23 zeigt die Trennung zwischen Verstoß und Schaden bei Werbemails.

Passende Ratgeber

• Werbemails abmahnen lassen: Kosten und Ablauf
• Ungefragtes SEO-Audit per E-Mail einordnen
• Originalmail, Header und Belege sichern

Beitrag als Text mit Quellen · Ratgeberdaten als JSON