Hallo!
Ich habe eine Frage zu der Ausgestalltung der Datenschutzerklärung für Mail-Dienste.
Wenn ein Anbieter/Verarbeiter neben der Mailzustellung für Kunden noch andere Verarbeitungen diese Daten (Mail) durchführt, muss das in der Datenschutzerklärung aufgeführt werden?
Für den Fall, dass es erklärt werden muss, aber in der Erklärung fehlt, hätte man dann einen umfangreichen Löschanspruch?
Relevant ist dabei ja nicht, was in der Datenschutzerklärung steht, sondern was mit den Daten gemacht werden soll - d. h. wofür es einen Zweck und eine Rechtsgrundlage gibt.
Ein Löschanspruch hat damit auch erstmal nichts zu tun - der ergäbe sich ja ohnehin meist nur, wenn die Verarbeitung auf Basis der Einwilligung (bzw. berechtigtem Interesse) laufen würde.
Wenn es sich allerdings herausstellen sollte, dass der Zweck für die weitere Verarbeitung fehlt und diese damit rechtswidrig wäre, müssten die - ggf. zusätlichen - Daten natürlich gelöscht werden.
Ich meinte damit, wenn nach der Verarbeitetung der Mails (Verschicken), diese dann noch für den Nutzer unzugänglich gespeichert werden und später an anderer Stelle veröffentlicht werden, dass es für diesen Vorgang keine Zustimmung geben muss. Zustimmen kann man da nur, wenn man auch über diese zustätzlichen Schritte informiert wurde.
Bei einigen Verarbeitern herrscht wohl der Irrglaube, das würde nicht unter die DSGVO fallen.
Das sind Zwecke der (Weiter-)Verarbeitung, die - wie bdsb oben bemerkte - einer Rechtsgrundlage bedürfen und dem Nutzer zur Kenntnis gebracht werden müssen. Eine Zustimmung oder Einwilligung ist dann nicht erforderlich, wenn eine andere Rechtsgrundlage existiert.
Wodurch qualifiziert sich Mail oder Ähnliches unter die DSGVO zu fallen?
Durch den Personenbezug, zB bei E-Mail-Adressen, Inhalten, Übertragungsdaten.
Art.4 Nr.1 DSGVO: https://www.datenschutz-wiki.de/DSGVO:Art_4.
nur steht da nicht direkt etwas von E-Mail-Adressen, Inhalten, Übertragungsdaten.
Gibt es keine einfachere Texte?
Kurzfassung: https://www.ldi.nrw.de/mainmenu_Datenschutz/Inhalt/FAQ/PersonenbezogeneDaten.php
Längere Erklärung: https://www.juraforum.de/lexikon/personenbezogene-daten
Die Langfassung ist recht gut.
Kann man nicht das pauschal Zusammenfassen?
“Daten einer indirekt oder direkt identifizierte oder identifizierbare Person” werden durch die DSGVO erfasst.
Somit dürften doch fast alle Fälle von Datenverarbeitung, die von Personen ausgelöst werden zutreffen?
Selbstverständlich, Art. 12 DSGVO und Erwägungsgrund 58 - Grundsatz der Transparenz.
Es stellt sich dann noch die Frage, ob der Anbieter/Verarbeiter im eigenen Interesse und nicht weisungsgebunden “noch andere Verarbeitung dieser Daten durchführt”. Er wäre dann ggf. selbst Verantwortlicher oder in gemeinsamer Verantwortung mit dem Kunden.
Klar, Löschansprüche regelt Art. 17 DSGVO. (hier ggf. Art. 17 Abs. 1d)