Wenn Sie eine App entwickeln, die E-Mail-Adressen von Nutzern in Europa sammelt, müssen Sie verstehen, was die DSGVO über E-Mail-Adressen aussagt. Nicht die abschreckende Version, nicht die bürokratische Checklisten-Version — sondern die praktische Entwickler-Version, die Ihnen hilft, Dinge von Anfang an richtig zu bauen.
Die gute Nachricht: Ein Großteil der DSGVO ist gesunder Menschenverstand in juristischer Sprache. Wenn Sie die Grundprinzipien verstehen — warum Sie Daten erheben, was Sie damit tun, wie lange Sie sie aufbewahren und welche Rechte Nutzer haben — ergibt sich der Rest von selbst.
E-Mail-Adressen sind personenbezogene Daten nach DSGVO
Die DSGVO klassifiziert E-Mail-Adressen als personenbezogene Daten, weil sie eine Person identifizieren können. Selbst eine scheinbar anonyme Adresse wie [email protected] verweist auf eine reale Person. Das bedeutet: Jedes Mal, wenn Ihre Anwendung eine E-Mail-Adresse einer Person in der EU speichert, verarbeitet oder überträgt, gilt die DSGVO für diese Verarbeitungstätigkeit.
Dies überrascht manche Entwickler, die davon ausgehen, dass die DSGVO nur für sensible Daten gilt — Gesundheitsdaten, Finanzdaten, biometrische Daten. In Wirklichkeit gilt die DSGVO für alle Informationen, die mit einer bestimmten natürlichen Person verknüpft werden können. E-Mail-Adressen erfüllen dieses Kriterium eindeutig.
Es ist auch erwähnenswert, dass dies nicht nur ein europäisches Anliegen ist. Californias CCPA, Brasiliens LGPD und viele andere nationale Datenschutzrahmen wurden direkt von der DSGVO inspiriert. Mit DSGVO im Hinterkopf zu entwickeln bedeutet im Wesentlichen, mit guten Datenschutzpraktiken zu entwickeln. Die Electronic Frontier Foundation hat ausführlich darüber geschrieben, warum diese globalen Rahmenbedingungen wichtig sind.
Die sechs Rechtsgrundlagen — vereinfacht
Die DSGVO verlangt, dass Sie für jede Verarbeitungstätigkeit eine Rechtsgrundlage haben. Es gibt sechs, aber die meisten Entwickler, die Consumer-Apps entwickeln, müssen nur zwei davon tiefgehend kennen.
Vertrag ist Ihre Rechtsgrundlage, wenn Sie die E-Mail-Adresse benötigen, um einen vom Nutzer angeforderten Dienst zu erbringen. Der Nutzer meldet sich an, Sie senden eine Bestätigungs-E-Mail und Transaktionsbenachrichtigungen. Das ist sauber und erfordert keine gesonderte Einwilligung. Was es erfordert: Die E-Mail ist für den Dienst tatsächlich notwendig.
Einwilligung ist Ihre Rechtsgrundlage für alles außerhalb des eigentlichen Dienstes — Marketing-E-Mails, Newsletter, Weitergabe an Dritte. Die DSGVO setzt die Messlatte für Einwilligungen hoch: Sie muss freiwillig, spezifisch, informiert und eindeutig sein. Vorangekreuzte Felder sind ausdrücklich nicht konform. Das UK ICO-Leitfaden bietet hilfreiche Praxisbeispiele.
Datensparsamkeit — Das praktischste Prinzip
Artikel 5(1)(c) DSGVO besagt, dass personenbezogene Daten "dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt" sein müssen. Das ist das Prinzip der Datensparsamkeit, und es ist wohl die praktisch nützlichste Idee in der gesamten Verordnung für Entwickler.
Überprüfen Sie Ihre Anmeldeformulare. Wie viele Felder fragen Sie ab? Wenn Ihr Dienst nur eine E-Mail-Adresse benötigt, um einen Bestätigungslink zu senden, warum fragen Sie dann auch nach Telefonnummer, Geburtsdatum und Postleitzahl? Jedes Feld, das Sie über das tatsächlich Notwendige hinaus erheben, schafft zusätzliche Haftung und erhöht den Schadenspotenzial bei einem Datenleck.
Der praktische Test ist einfach: Für jedes Formularfeld fragen Sie sich: "Was passiert mit dem Dienst, wenn ich dieses Feld entferne?" Wenn die Antwort lautet "Nichts ändert sich für die meisten Nutzer", muss das Feld wahrscheinlich nicht da sein.
Wie lange dürfen Sie E-Mail-Adressen aufbewahren?
Das Speicherbegrenzungsprinzip der DSGVO verlangt, dass personenbezogene Daten nicht länger als für den Zweck erforderlich aufbewahrt werden. Sie brauchen eine Aufbewahrungsrichtlinie — und müssen diese technisch in Ihren Systemen durchsetzen.
Ein vernünftiger Ansatz: E-Mail-Adressen aktiver Nutzer so lange aufbewahren, wie deren Konto aktiv ist. Bei inaktiven Nutzern (12–24 Monate ohne Aktivität) eine Benachrichtigung senden, die informiert, dass das Konto gelöscht wird, dann nach einer Gnadenfrist löschen. Nicht verifizierte Anmeldungen: nach 30 Tagen löschen. Die CNIL veröffentlicht detaillierte Leitlinien zu Aufbewahrungsfristen, die hilfreiche Richtwerte bieten.
Das Recht auf Löschung
Artikel 17 DSGVO gibt Nutzern das Recht, die Löschung ihrer personenbezogenen Daten unter bestimmten Umständen zu verlangen — wenn sie die Einwilligung widerrufen, wenn die Daten nicht mehr notwendig sind oder wenn sie der Verarbeitung widersprechen. Bauen Sie einen "Konto löschen"-Ablauf, der wirklich vollständig ist: primäre Datenbank, Mailinglisten, Subsysteme, Backups.
Die technische Umsetzung der Löschung ist viel einfacher, wenn Sie Ihr Datenmodell von Anfang an sauber gebaut haben. Soft-Delete-Muster, bei denen der Datensatz mit einem deleted = true-Flag in der Datenbank verbleibt, sind operativ in Ordnung, benötigen aber einen echten nachgelagerten Bereinigungsschritt.
Temporäre E-Mails und DSGVO-konformes Design
Es gibt ein interessantes Beispiel für das DSGVO-Prinzip der Datensparsamkeit in der Praxis: eine temporäre E-Mail-Adresse, die nach einer Stunde automatisch gelöscht wird. Keine dauerhaften personenbezogenen Daten. Automatische Löschung in die Architektur integriert. Das ist ein Modell des Prinzips: Daten existieren nur so lange, wie sie für den spezifischen Zweck benötigt werden.
Aus Entwicklerperspektive: Wenn Sie Systeme entwickeln und testen, die Benutzer-E-Mail-Adressen verarbeiten, bedeutet die Verwendung von Temp-Mail für Testkonten, dass Sie keine echten personenbezogenen Daten in Ihrer Entwicklungsumgebung ansammeln — eine datenschutzkonforme Entwicklungsgewohnheit.
Marketing-E-Mails unter der DSGVO
Marketing-E-Mails erfordern eine ausdrückliche Einwilligung nach DSGVO. Best-Practice ist Double-Opt-In. Ihr Einwilligungsnachweis sollte enthalten: Datum und Uhrzeit der Einwilligung, den genauen Wortlaut, den die Person gesehen hat, und den Kanal, über den die Einwilligung eingeholt wurde. Abmeldungen müssen zügig bearbeitet werden. Eine Abmeldung muss alle Marketing-E-Mails vollständig stoppen. Der FTC-Spam-Leitfaden bietet ergänzende Informationen.
Drittanbieter-E-Mail-Verarbeiter
Jeder Dienst, den Sie zum Senden, Speichern oder Verarbeiten von E-Mail-Adressen in Ihrem Namen verwenden — SendGrid, Mailchimp, Postmark — ist ein Auftragsverarbeiter nach DSGVO. Sie benötigen einen Auftragsverarbeitungsvertrag (AV-Vertrag) mit jedem von ihnen. Die meisten großen Anbieter bieten diese automatisch oder auf Anfrage an.
Das große Bild
Die DSGVO wird oft als Belastung diskutiert. Aber die zugrundeliegende Logik ist solide: Wenn Sie personenbezogene Daten erheben, sollten Sie einen guten Grund haben, transparent darüber sein, die Daten nur so lange wie nötig aufbewahren und Personen erlauben, zu sehen und zu löschen, was Sie über sie halten. Das sind vernünftige Anforderungen — die Grundlagen vertrauenswürdiger Software. Die Electronic Frontier Foundation argumentiert überzeugend: datenschutzfreundliche Software ist bessere Software.