Ein Händler schildert einen Verdacht, der schwer zu belegen ist. Für ein Analysewerkzeug hatte er eine eigene, nur für diesen Zweck eingerichtete E-Mail-Adresse verwendet, die niemals zum Versand genutzt wurde und ausschließlich in einer internen Sortierregel auftaucht. Lange nach der Kündigung geht über genau diese Adresse Spam ein, inhaltlich klar auf Onlinehändler zugeschnitten.
Warum die Methode grundsätzlich klug ist
Für jeden Dienstleister eine eigene Adresse zu verwenden, ist eine der wirksamsten Methoden, um Datenweitergaben überhaupt bemerken zu können. Kommt über eine Adresse Werbung an, die nur ein einziger Anbieter kennt, ist der Kreis der möglichen Quellen sehr klein.
Der Einwand, der ebenfalls stimmt
Der betroffene Anbieter wies in der Diskussion auf einen wunden Punkt hin: Wenn die Adresse nach dem Muster Anbietername in Verbindung mit der eigenen Domain aufgebaut ist, lässt sie sich erraten. Spam-Versender probieren solche Muster systematisch durch, gerade bei Catch-All-Konfigurationen, bei denen jede erratene Adresse ankommt.
Damit ist der Nachweis geschwächt. Der Eingang von Werbung über eine solche Adresse belegt nicht zwingend eine Weitergabe, er kann auch das Ergebnis eines Wörterbuchangriffs sein.
Wie man den Verdacht belastbar macht
Wer solche Weitergaben tatsächlich nachweisen will, braucht Adressen, die sich nicht erraten lassen. Statt des Anbieternamens eignet sich eine zufällige Zeichenfolge, die nur bei diesem einen Anbieter hinterlegt ist und intern in einer Zuordnungstabelle geführt wird.
Zusätzlich hilft es, Catch-All zu deaktivieren und stattdessen mit einzeln angelegten Aliassen zu arbeiten. Dann kommen nur Nachrichten an, deren Adresse tatsächlich vergeben wurde, und ein Treffer ist aussagekräftig.
Welche Rechte Betroffene haben
Unabhängig vom Nachweis bestehen datenschutzrechtliche Ansprüche. Betroffene können vom früheren Anbieter Auskunft darüber verlangen, welche Daten verarbeitet wurden und an welche Empfänger sie offengelegt wurden. Diese Auskunft ist innerhalb eines Monats zu erteilen.
Ergibt sich daraus eine Weitergabe zu Werbezwecken ohne wirksame Einwilligung, ist das ein meldefähiger Verstoß gegenüber der zuständigen Aufsichtsbehörde. Unabhängig davon besteht ein Anspruch auf Löschung nach Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Das ist bereits das zweite Mal, dass ich so etwas höre.
Kommentar eines Händlers zu dem geschilderten Verdacht
Was daraus für die eigene Praxis folgt
Drei Gewohnheiten reduzieren das Risiko und verbessern gleichzeitig die Nachweisbarkeit. Erstens pro Dienstleister eine eigene, nicht erratbare Adresse. Zweitens beim Vertragsende aktiv die Löschung verlangen und die Bestätigung ablegen. Drittens die eigenen Konten regelmäßig durchsehen und Zugänge zu nicht mehr genutzten Werkzeugen konsequent beenden.
Der letzte Punkt ist der am häufigsten vernachlässigte. Viele Betriebe haben Zugänge zu Werkzeugen, die seit Jahren niemand mehr öffnet, für die aber weiterhin Daten hinterlegt sind und teilweise sogar Gebühren laufen.