Personenbezogene Daten in E-Mails: richtig erkennen

Eine E-Mail enthält mehr als ihren Nachrichtentext. Absender, Empfänger, Signatur und Anlagen können sich auf unterschiedliche Menschen beziehen. Bei einer datenschutzbezogenen Sichtung reicht deshalb eine Suche nach dem Namen im Betreff nicht aus. Dieser Beitrag erklärt die strukturierte erste Zuordnung und trennt sie von der späteren rechtlichen Entscheidung über Auskunft oder andere Maßnahmen.

Der Personenbezug ist die entscheidende Frage

Art. 4 Nummer 1 DSGVO knüpft personenbezogene Daten an Informationen über eine identifizierte oder identifizierbare natürliche Person. Ein ausgeschriebener Name ist daher nicht die einzige mögliche Verbindung. Auch eine Kennung kann im vorhandenen Zusammenhang auf eine Person verweisen. Umgekehrt beschreibt nicht jede sachliche Information automatisch jeden Menschen, der die Nachricht erhalten hat.

Fragen Sie bei einer konkreten Angabe: Auf wen bezieht sie sich, und wie lässt sich diese Person im vorhandenen Kontext erkennen? Diese Zuordnung ist genauer als die pauschale Einteilung „geschäftliche E-Mail, also keine persönlichen Daten“. Geschäftlicher Zusammenhang und Personenbezug schließen einander nicht aus.

Die Erkennung eines Personenbezugs entscheidet noch nicht, welche Daten herauszugeben, zu berichtigen oder zu löschen sind. Dafür sind der konkrete Antrag, die Rechtsgrundlage und weitere berührte Rechte gesondert zu prüfen. Dieser Leitfaden ersetzt diese rechtliche Prüfung nicht.

Die Nachricht in Bestandteile zerlegen

Die Tabelle nennt Prüfanlässe, keine abschließende Bewertung jeder E-Mail. Eine Funktionsadresse kann je nach Kontext unterschiedlich einzuordnen sein. Entscheiden Sie nicht allein anhand des Zeichens vor dem @. Lesen Sie, welche Person oder Rolle im tatsächlichen Vorgang erkennbar ist.

Öffnen Sie Anlagen nur im vorgesehenen sicheren Arbeitsablauf. Die datenschutzbezogene Sichtung ist kein Grund, technische Schutzmaßnahmen zu umgehen. Wenn eine Datei nicht lesbar ist, dokumentieren Sie die Lücke und klären Sie den geeigneten nächsten Schritt.

Suche und Bewertung sind getrennte Arbeitsschritte

Eine Suchanfrage liefert Kandidaten. Sie beweist nicht, dass jeder Treffer vollständig eine bestimmte Person betrifft. Halten Sie die verwendeten Suchkriterien und den betrachteten Bereich fest. So lässt sich später verstehen, welche Postfächer oder Ablagen tatsächlich geprüft wurden und welche außerhalb des Umfangs lagen.

Prüfen Sie Treffer im Zusammenhang. Eine Kundennummer kann in einer Weiterleitung stehen, während die eigentliche Aussage in der Anlage liegt. Ein Name kann wiederum nur als Ansprechpartner in einer Signatur vorkommen. Beide Fälle benötigen eine andere inhaltliche Zuordnung als eine Nachricht, die eine Entscheidung über die betreffende Person beschreibt.

Die Koordination mehrerer Bereiche behandelt der Beitrag zu Betroffenenanfragen zwischen Abteilungen. Eine gemeinsame Übersicht sollte den Prüfstand zeigen, ohne sämtliche Inhalte unnötig nochmals breit zu verteilen.

Praxisbeispiel: Eine Nachricht betrifft mehrere Personen

In einem fiktiven Unternehmen fragt eine Kundin nach Informationen zu einem Vorgang. Eine gefundene E-Mail enthält eine Aussage über ihre Bestellung, eine Signatur eines Beschäftigten und eine Anlage mit weiteren Kundenzeilen. Die Sichtung hält zunächst fest, welche Information sich auf welche Person bezieht.

Der vollständige Anhang wird nicht allein deshalb ungeprüft weitergegeben, weil die Kundin darin vorkommt. Zugleich wird der gesamte Treffer nicht allein wegen weiterer Personen verworfen. Die konkrete Behandlung der verschiedenen Inhalte ist Teil der anschließenden rechtlichen Prüfung. Diese Trennung verhindert vorschnelle pauschale Entscheidungen.

BetroffenenRecht24 kann die strukturierte Organisation einer Betroffenenanfrage unterstützen. Der Verantwortliche muss weiterhin Umfang, rechtliche Einordnung und geeignete Umsetzung prüfen. Ein Suchtreffer oder eine automatische Markierung ist kein vollständiges rechtliches Ergebnis.

Den Prüfstand dokumentieren, ohne neue Kopienberge zu schaffen

Verweisen Sie auf die maßgebliche Nachricht oder einen dafür vorgesehenen Arbeitsabzug. Eine Übersicht kann Fundstelle, betroffene Person, Art der Angabe und offenen Prüfpunkt enthalten. Sie muss nicht jeden vertraulichen Satz wiederholen. So bleibt nachvollziehbar, was geprüft wurde, ohne den Inhalt in zusätzliche allgemeine Listen zu kopieren.

Unterscheiden Sie „nicht gefunden“ von „nicht geprüft“. Die erste Aussage beschreibt das Ergebnis einer konkreten Suche, die zweite eine Grenze des bisherigen Ablaufs. Beide sind etwas anderes als die Behauptung, bestimmte Daten existierten überhaupt nicht. Benennen Sie deshalb Suchbereich und bekannte Lücken.

Wenn eine weitere Abteilung Informationen liefert, erhalten Sie deren Kontext. Ein einzelner Satz ohne Nachrichtendatum oder Vorgangsbezug lässt sich schwer bewerten. Fragen Sie gezielt nach der fehlenden Einordnung, statt vorsorglich vollständige Postfächer anzufordern.

Prüfen Sie vor dem Abschluss, ob alle für den festgelegten Umfang vorgesehenen Bereiche eine Rückmeldung gegeben haben. Eine leere Zelle darf nicht still als Nullmeldung interpretiert werden. Die anschließende Antwort an die betroffene Person wird auf Grundlage der tatsächlich geklärten Informationen vorbereitet.

Die Methode soll eine präzise Sichtung ermöglichen. Sie ist keine Aufforderung, beliebige Beschäftigtenpostfächer ohne geklärte Berechtigung zu durchsuchen. Suchauftrag, Zugriffsrechte und Zweck müssen zum konkreten Verfahren passen.

Häufige Fragen

Sind geschäftliche E-Mails grundsätzlich ohne Personenbezug?

Nein. Auch geschäftliche Nachrichten können Informationen über identifizierte oder identifizierbare natürliche Personen enthalten.

Muss bei einem Namensfund die ganze E-Mail herausgegeben werden?

Das folgt nicht allein aus dem Suchtreffer. Personenbezug, Umfang des Anliegens und weitere berührte Rechte sind konkret zu prüfen.

Was bedeutet „nicht gefunden“?

Es beschreibt das Ergebnis einer bestimmten Suche. Suchbereich und bekannte Grenzen müssen erkennbar bleiben; es beweist nicht pauschal die Nichtexistenz von Daten.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.