Wenn Sie E-Mails aus der EU heraus versenden, sind die Adressen auf Ihrer Liste personenbezogene Daten, und das Tool, mit dem Sie sie bereinigen, verarbeitet diese Daten in Ihrem Auftrag. Damit ist die E-Mail-Verifizierung ebenso sehr eine Frage des Datenschutzes wie der Zustellbarkeit — und die mit Abstand größte Variable ist, wo auf der Welt Ihre Liste tatsächlich verarbeitet wird. Dieser Leitfaden zeigt, wie die DSGVO die E-Mail-Verifizierung im Allgemeinen behandelt, warum die Datenlokalisierung von Bedeutung ist und welche Fragen es wert sind, jedem Anbieter zu stellen, bevor Sie eine Datei hochladen.
Die kurze Antwort#
Eine E-Mail-Adresse kann eine Person identifizieren, weshalb sie nach der DSGVO im Allgemeinen als personenbezogenes Datum behandelt wird. Wenn Sie eine Liste an einen Verifizierungsdienst senden, verarbeitet dieser Dienst personenbezogene Daten für Sie — deshalb schließen Verantwortliche in der Regel einen Auftragsverarbeitungsvertrag (AVV) mit ihren Auftragsverarbeitern ab. Verarbeitet der Auftragsverarbeiter Ihre Daten außerhalb des EWR, ist diese Bewegung eine internationale Übermittlung, und Übermittlungen personenbezogener Daten aus dem EWR heraus erfordern im Allgemeinen einen gültigen Übermittlungsmechanismus wie Standardvertragsklauseln (SCC). Die Verarbeitung innerhalb der EU oder des EWR zu halten, umgeht die Übermittlungsfrage vollständig, was der Kerngrund dafür ist, dass EU-Versender einen Anbieter suchen, der lokal verarbeitet. Qualisend verarbeitet Verifizierungsdaten auf einer EU-Infrastruktur in Irland, sodass eine aus der EU hochgeladene Liste im EWR verbleibt.
Ist eine E-Mail-Adresse ein personenbezogenes Datum nach der DSGVO?#
Meistens ja. Die DSGVO definiert personenbezogene Daten weit gefasst als
Informationen, die sich auf eine identifizierte oder identifizierbare natürliche
Person beziehen. Eine E-Mail-Adresse wie firstname.lastname@company.com weist
recht unmittelbar auf eine Einzelperson hin, und selbst eine weniger
offensichtliche Adresse kann identifizierend werden, wenn sie mit anderen Daten
kombiniert wird, über die Sie verfügen. Es gibt Grenzfälle — ein rein
generisches, funktionsbezogenes Postfach ohne Bezug zu einer Person ist ein
schwächeres Beispiel — doch die sichere Arbeitsannahme für eine Marketing- oder
Vertriebsliste ist, dass die darauf enthaltenen Adressen personenbezogene Daten
sind.
Das ist von Bedeutung, denn in dem Moment, in dem etwas als personenbezogenes Datum gilt, findet der Rest des Regelwerks darauf Anwendung: Es muss eine Rechtsgrundlage für die Verarbeitung geben, Menschen haben Rechte daran, und jeder, der es in Ihrem Auftrag berührt, wird zu einem Auftragsverarbeiter in der Kette. Die Verifizierung ändert nicht, was die Daten sind — sie fügt lediglich eine weitere Partei hinzu, die sie verarbeitet. Wenn Sie die Mechanik dessen verstehen möchten, was die Verifizierung tatsächlich mit jeder Adresse macht, behandelt der Leitfaden dazu, wie die E-Mail-Verifizierung funktioniert den Ablauf; in diesem Artikel geht es um die Datenschutzebene, die darüber liegt.
Was passiert, wenn Sie eine Liste zu einem US-Auftragsverarbeiter hochladen#
Stellen Sie sich den häufigen Fall vor: Sie sind ein EU-Versender, exportieren eine Liste und laden sie in ein Verifizierungstool hoch, dessen Server in den Vereinigten Staaten stehen. Datenschutzrechtlich passieren dabei mehrere Dinge zugleich.
Erstens handeln Sie als Verantwortlicher — Sie entscheiden, warum und wie die Adressen verarbeitet werden. Der Verifizierungsanbieter ist Ihr Auftragsverarbeiter und verarbeitet die Daten nach Ihren Weisungen. Diese Beziehung ist der Grund, weshalb Verantwortliche in der Regel mit jedem Auftragsverarbeiter einen AVV unterzeichnen: Es ist der Vertrag, der festlegt, was der Auftragsverarbeiter mit den Daten tun darf und was nicht.
Zweitens — und das ist der Teil, der leicht übersehen wird — verlassen die Adressen physisch den EWR. Ihre Liste reist von der EU zu Servern in den USA, was eine internationale Datenübermittlung personenbezogener Daten darstellt. Übermittlungen in Länder außerhalb des EWR erfordern im Allgemeinen einen rechtmäßigen Übermittlungsmechanismus — die Daten können sich nicht einfach bewegen, weil es bequem ist. So führt derselbe bequeme Upload klammheimlich eine zweite Compliance-Frage (die Übermittlung) zusätzlich zur ersten (die Verarbeitung) ein.
Nichts davon macht die US-basierte Verifizierung von Natur aus unzulässig — jeden Tag finden zahllose Übermittlungen mit den richtigen Schutzvorkehrungen rechtmäßig statt. Der Punkt ist, dass ein US-Auftragsverarbeiter aus einer Frage zwei macht, und beide sind nun Teil Ihrer Aufzeichnungen und Ihrer Risikobewertung als Verantwortlicher, nicht nur der des Anbieters.
SCC versus Verarbeitung in der EU belassen#
Es gibt etablierte Wege, personenbezogene Daten rechtmäßig aus dem EWR heraus zu übermitteln. Der häufigste ist ein Satz von Standardvertragsklauseln — vorab genehmigte Vertragsbedingungen, die beide Seiten unterzeichnen, um sich zum Schutz der Daten zu verpflichten. Je nach Zielort und Umständen kombinieren Organisationen SCC oft mit einer Bewertung der konkreten Übermittlung und etwaigen zusätzlichen technischen Maßnahmen. Wo für ein Zielland oder einen Rahmen ein Angemessenheitsbeschluss besteht, kann auch dieser eine Übermittlung stützen. Das sind echte, praktikable Wege, und viele Unternehmen stützen sich darauf.
Sie bedeuten aber auch fortlaufende Arbeit: den Mechanismus zu verstehen, ihn zu dokumentieren, ihn zu überprüfen, während sich die Rechtslage verschiebt, und in der Lage zu sein, Ihre Begründung darzulegen, falls jemand nachfragt. Das ist der Kompromiss — SCC machen eine Übermittlung möglich, aber sie lassen die Übermittlungsfrage nicht verschwinden.
Die Verarbeitung innerhalb der EU oder des EWR zu belassen, lässt sie sehr wohl verschwinden. Wird Ihre Liste auf einer im EWR befindlichen Infrastruktur verifiziert und verlassen die Daten diese nie, gibt es keine internationale Übermittlung, für die ein Mechanismus zu finden wäre, keine SCC, die für diesen Abschnitt zu pflegen wären, und keine Übermittlungsbewertung, die aktuell zu halten wäre. Sie haben eine Frage beseitigt, statt sie zu beantworten. Das ist der Blickwinkel hinter der Datenlokalisierung: Für einen EU-Versender hält ein Auftragsverarbeiter, der in der EU tätig ist, den gesamten Vorgang auf heimischem Boden.
| Aspekt | US-basierte Verarbeitung | Verarbeitung in EU/EWR |
|---|---|---|
| Verlassen die Daten den EWR? | Ja | Nein |
| Internationale Übermittlung zu regeln? | Ja | Keine für diesen Abschnitt |
| Übermittlungsmechanismus (z. B. SCC) erforderlich? | In der Regel | Nicht, um Daten in der Region zu halten |
| AVV mit dem Auftragsverarbeiter? | Ja | Ja |
| Fortlaufende Übermittlungsprüfung? | Fortlaufend | Nicht anwendbar bei Verarbeitung in der Region |
Qualisend passt in die rechte Spalte: Verifizierungsdaten werden auf einer EU-Infrastruktur in Irland verarbeitet. Eine aus der EU heraus hochgeladene Liste wird innerhalb des EWR verarbeitet, sodass die Übermittlungsspalte schlicht nicht ins Spiel kommt. Das ist kein Versprechen, dass Ihr Gesamtprogramm compliant ist — das hängt immer von Ihrer eigenen Aufstellung ab — aber es beseitigt eines der heikleren beweglichen Teile für einen EU-Versender.
Eine AVV-Checkliste: Fragen an jeden Verifizierungsanbieter#
Betrachten Sie dies weniger als eine Liste von Pflichten, sondern als Sorgfaltsprüfung — die Fragen, die es wert sind, jedem Verifizierungsanbieter zu stellen, bevor eine Liste seine Server berührt. Die Antworten sagen Ihnen, wie viel vom Compliance-Bild der Anbieter durchdacht hat und wie viel wieder bei Ihnen landet.
- Wo werden die Daten verarbeitet? Fragen Sie nach der tatsächlichen Region der Server, die die Verifizierung durchführen, nicht nur danach, wo das Unternehmen seinen Hauptsitz hat. Die Datenlokalisierung ist die Frage, die bestimmt, ob eine Übermittlung überhaupt im Spiel ist, also die, mit der Sie beginnen sollten.
- Gibt es einen Auftragsverarbeitungsvertrag? Ein Auftragsverarbeiter, der personenbezogene Daten für Sie verarbeitet, würde typischerweise einen AVV anbieten, der Umfang, Zweck und Grenzen dessen festlegt, was er mit Ihren Daten tut. Fragen Sie, wie Sie ihn erhalten und was er abdeckt.
- Wer sind die Unterauftragsverarbeiter? Verifizierungsanbieter stützen sich oft auf andere Anbieter — Hosting, Infrastruktur, Analytics. Fragen Sie nach der Liste, wo diese Parteien tätig sind und wie Sie über Änderungen informiert werden, denn ein Unterauftragsverarbeiter in einer anderen Region kann eine Übermittlung wieder einführen, die Sie vermieden zu haben glaubten.
- Wie lauten die Aufbewahrungs- und Löschrichtlinien? Fragen Sie, wie lange Ihre hochgeladene Liste und ihre Ergebnisse aufbewahrt werden, ob Sie Aufträge selbst löschen können und was mit den Daten passiert, wenn Sie Ihr Konto schließen. Eine kürzere, kontrollierbare Aufbewahrung bedeutet weniger Daten, für die Sie Rechenschaft ablegen müssen.
- Werden meine Daten verwendet, um etwas zu trainieren oder aufzubauen? Fragen Sie unverblümt, ob Ihre hochgeladenen Adressen verwendet werden, um Modelle zu verbessern, gemeinsame Datenbanken aufzubauen oder für irgendetwas über die Rückgabe Ihrer Ergebnisse hinaus. Ein klares „Nein“ ist es wert, schriftlich zu haben.
Als Anhaltspunkt dafür, wie ein Anbieter diese Fragen beantwortet, legt Qualisends Datenschutzerklärung dar, dass das Unternehmen in der EU ansässig ist, hochgeladene Listen verarbeitet, um Ergebnisse zurückzugeben, die Sie jederzeit löschen können, und die von Ihnen eingereichten Listen weder verkauft noch weitergibt — und AVV-Anfragen können über die Kontaktseite laufen. Welchen Anbieter Sie auch prüfen: Diese Antworten dokumentiert vorliegen zu haben, ist das, was Ihnen erlaubt, Ihre eigene Begründung später darzulegen.
Es lohnt sich, hier auch Hygiene von Datenschutz zu trennen. Eine Liste zu verifizieren ist unabhängig von der Rechtsordnung gute Praxis für Zustellbarkeit und Absenderreputation — doch die obigen Fragen betreffen, wie der Anbieter die personenbezogenen Daten während dieser Arbeit behandelt, was ein eigenständiges Anliegen ist, getrennt davon, wie genau die Ergebnisse sind.
Wo die Verifizierung in eine umfassendere Hygieneroutine passt#
Die Datenlokalisierung ist ein Faktor; sie ersetzt nicht die gewöhnliche Disziplin der Listenhygiene. Adressen vor dem Versand zu verifizieren, erfüllt nach wie vor seine übliche Aufgabe, tote Postfächer und Tippfehler abzufangen, und es fügt sich natürlich in die weiter gefasste Routine des Bereinigens einer E-Mail-Liste ein — mit Einwilligung sammeln, Abmeldungen und Löschanfragen respektieren und Adressen nicht länger aufbewahren, als Sie sie benötigen. Die Wahl eines EU-Auftragsverarbeiters klärt die Frage „Wohin gehen die Daten“; der Rest guter Hygiene klärt die Frage „Sollten wir diese Person überhaupt noch anschreiben“. Beide gehören in dieselbe Routine, und keines ersetzt das andere.
Wenn Sie einfach nur die Mechanik ausprobieren möchten, ohne eine Liste festzulegen, führt der kostenlose E-Mail-Checker die lokalen Prüfungen in Ihrem Browser aus, und der kostenlose Tarif umfasst 100 Credits für die vollständige Prüfung — genug, um eine echte Stichprobe durch die EU-basierte Verarbeitung laufen zu lassen und die Ergebnisse zu sehen, bevor Sie sich entscheiden.
Häufig gestellte Fragen#
Ist eine E-Mail-Adresse wirklich ein personenbezogenes Datum nach der DSGVO?#
Im Allgemeinen ja. Die DSGVO behandelt Informationen, die sich auf eine identifizierbare Person beziehen, als personenbezogene Daten, und eine E-Mail-Adresse identifiziert eine Person häufig direkt oder in Verbindung mit anderen Informationen, über die Sie verfügen. Ein rein generisches Funktionspostfach ohne Bezug zu einer Einzelperson ist ein schwächerer Fall, doch bei einer typischen Marketing- oder Vertriebsliste gilt als Arbeitsannahme, dass die Adressen personenbezogene Daten sind und entsprechend behandelt werden sollten.
Verstößt die Nutzung eines US-amerikanischen E-Mail-Verifizierungsdienstes gegen die DSGVO?#
Nicht per se. Das Senden einer Liste an einen in den USA ansässigen Auftragsverarbeiter ist eine internationale Übermittlung personenbezogener Daten, und solche Übermittlungen erfordern im Allgemeinen einen gültigen Mechanismus wie Standardvertragsklauseln. Viele Organisationen stützen sich völlig problemlos auf diese Mechanismen. Der praktische Unterschied besteht darin, dass ein US-Auftragsverarbeiter eine Übermittlungsfrage hinzufügt, die Sie dann dokumentieren und pflegen müssen, während ein in der EU ansässiger Auftragsverarbeiter die Daten in der Region hält und diese Frage für diesen Abschnitt beseitigt.
Was bedeutet EU-Datenlokalisierung für die E-Mail-Verifizierung?#
Datenlokalisierung bezieht sich auf den physischen Ort, an dem Ihre Daten verarbeitet und gespeichert werden. Für die E-Mail-Verifizierung bedeutet EU-Datenlokalisierung, dass Ihre hochgeladene Liste auf einer Infrastruktur innerhalb der EU oder des EWR verarbeitet wird, statt ins Ausland gesendet zu werden. Da die Daten den EWR nicht verlassen, gibt es keine internationale Übermittlung, für die ein rechtmäßiger Mechanismus zu finden wäre. Qualisend verarbeitet Verifizierungsdaten auf einer EU-Infrastruktur in Irland, sodass eine aus der EU hochgeladene Liste im EWR verbleibt.
Was sollte ein Auftragsverarbeitungsvertrag mit einem Verifizierungsanbieter abdecken?#
Grob gesagt beschreibt ein AVV, was der Auftragsverarbeiter mit Ihren Daten tun darf und welche Grenzen dabei gelten — den Zweck und Umfang der Verarbeitung, wo sie stattfindet, wer die Unterauftragsverarbeiter sind, wie lange Daten aufbewahrt werden und wie sie gelöscht werden sowie welche Sicherheitsmaßnahmen bestehen. Ihn anhand der obigen Checkliste zu prüfen (Datenlokalisierung, Unterauftragsverarbeiter, Aufbewahrung und ob Ihre Daten irgendetwas trainieren), ist eine praktische Methode, um zu erkennen, wie viel vom Gesamtbild der Anbieter abgedeckt hat. Ihr eigener DSB oder Rechtsberater kann Ihnen sagen, was ein bestimmter Vertrag für Ihre Situation bedeutet.
Für EU-Versender ist der sauberste Weg, die Verifizierung einfach zu halten, die Daten in der EU zu belassen. Qualisend verarbeitet auf einer EU-Infrastruktur in Irland — beginnen Sie mit 100 kostenlosen Credits und verifizieren Sie eine echte Stichprobe, ohne dass Ihre Liste jemals den EWR verlässt.
