CC statt BCC: Die dämlichste Datenschutzpanne feiert fröhliche Urständ

Es ist ja so: Manche Dinge ändern sich nie. Zum Beispiel erhalte ich immer noch regelmäßig Rundmails, deren Versender offenbar die BCC-Funktion nicht kennen. Wenn das 1998 passiert ist, war es noch voll im Rahmen, aber wir schreiben mittlerweile das Jahr 3 nach DSGVO. Es ist mir ein Rätsel, wie in deutschen Behörden 2021 noch Menschen sitzen können, die nicht wissen, wie Rundmails richtig verschickt werden. Gestern habe ich selbst eine solche Mail von einem städtischen Amt erhalten. Im CC stand eine lange Latte Mailadressen. Es war mir wahnsinnig unangenehm, all diese Namen, die mir teilweise auch bekannt waren, dort zu lesen. Mit solchen Listen von Mailadressen, die auch noch einer bestimmten Zielgruppe zurechenbar sind (in diesem Falle waren es Künstler:innen), kann so mancher Unfug getrieben werden.
Und das war kein Einzelfall. Selbst in universitären Kontexten passiert es immer noch regelmäßig, dass riesige Verteiler öffentlich einsehbar sind. Besonders nervig ist es, wenn einzelne Adressaten dann antworten – und zwar allen.
Mein All-Time Favorite im Hinblick auf das Handling von Emailverteilern war der Herr von der Hochschule, der im vergangenen Frühling zwei Docking Stationen bestellt hatte, die auch ausgeliefert worden sein sollen. Nur war nicht nachvollziehbar, wer das Paket angenommen hat. Um die betreffende Person ausfindig zu machen, verschickte Herr M. eine verzweifelte Rundmail an „Alle Angehörigen der Hochschule“, also auch an tausende Studierende und sämtliche Mitarbeiter:innen. Mein Mann und ich haben die Mail auch bekommen und freundlich geantwortet. Ich schrieb: „Lieber Herr M., oje, das ist ja ärgerlich! Leider kann ich zum Verbleib der Docking Stationen mit Netzteil nichts sagen, da ich seit einem Jahr nicht an der Hochschule war. Ich drücke die Daumen, dass das Paket wieder auftaucht! Bei mir ist auch kürzlich etwas nicht angekommen. Vielleicht einfach mal beim Nachbarn fragen?“ Mein Mann versprach, die Augen offenzuhalten und die Daumen zu drücken. Wir haben nie eine Antwort von Herrn M. erhalten, aber er wird in Zukunft vielleicht auf den Personenkreis, den er anschreibt, achten.
E-Mail-Adressen mit dem Namen sind personenbezogene Daten, weil sie ja die Identität der betreffenden Person verraten. In diesem Falle handelt es sich um einen Verstoß gegen Art. 5 Abs. 1 lit.f DSGVO. Dort heißt es: Personenbezogene Daten müssen  „in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).“
Vor allem wenn sich die Empfänger:innen nicht kennen, ist es problematisch, Mailadressen für alle einsehbar mitzuschicken. Etwas anderes ist es natürlich, wenn es um einen Personenkreis geht, der sich kennt und in den Versand mit der CC-Funktion eingewilligt hat. Aber das ist bei Behörden-Rundmails oder Newslettern im Grunde genommen nie der Fall.
Ich habe es mir angewöhnt, Menschen, denen der Datenschutz-Fauxpas passiert, darauf hinzuweisen, in Zukunft darauf zu achten. Wenn jemand Nüsse oder Spinat zwischen den Zähnen hängen hat, verfahre ich übrigens ähnlich. Da kann man jetzt natürlich sagen: Wie fies ist das denn bitte, jemanden dermaßen bloßzustellen? Aber was ist unangenehmer? Kurz peinlich berührt zu sein, weil einem ein Fehler passiert ist, was jedem Menschen regelmäßig passiert? Oder immer wieder den gleichen Fehler zu machen, der teuer werden kann? Bei diesem Klassiker unter den Datenschutzpannen  ist nämlich in der Regel ein Bußgeld fällig, wenn eine Anzeige erfolgt. Bei einem versehentlichen Versand über die CC- statt die BCC-Funktion muss auch umgehend der oder die Datenschutzbeauftragte in Kenntnis gesetzt werden. Es ist also durchaus keine Lappalie, wie vielleicht viele meinen mögen. Und natürlich stellt sich in diesem Zusammenhang die Frage: Wie gehen die eigentlich generell mit Daten um, wenn sie nicht einmal das können?
Ich plädiere dafür, sich gegenseitig einfach darauf hinzuweisen, wenn jemandem ein Fehler unterlaufen ist – und wenn man derjenige ist, der den Fehler gemacht hat, die Freude über die Lernerfahrung dem Zorn angesichts der Dreistigkeit des anderen überzuordnen. Mal ehrlich, was ist besser? Direkt am Parkplatz freundlich darauf hingewiesen zu werden, dass einem Toilettenpapier aus der Hose hängt, oder mit einem Klopapierschwanz durch die ganze Stadt zu laufen? Ich verrate es Ihnen: Am besten ist es, bereits früh zu lernen, wie man sich ordnungsgemäß den Hintern abwischt…