“Tat­säch­lich sind „Grup­pen­post­fä­cher“ nicht grund­sätz­lich unzu­läs­sig oder ein grund­sätz­li­ches Daten­schutz­ri­si­ko. Die Pla­nung und Kon­zep­ti­on erfor­dert aller­dings ein wenig Tie­fe.” – Eileen Binder

Iden­ti­fi­zier­bar­keit als Gruppenpostfach

Ganz wesent­li­che For­de­rung muss sein, dass die betrof­fe­ne Per­son vor dem Absen­den der E‑Mail trans­pa­rent erken-nen kann, dass sie mit einem Grup­pen­post­fach kom­mu­ni­zie­ren wird und ohne wei­te­res erkennt und ver­steht, dass vor­aus­sicht­lich meh­re­re Per­so­nen auf das Post­fach zugrei­fen wer­den. Die­se Situa­ti­on ken­nen wir im Grun­de alle, wenn wir mit einem „kontakt@…“-Postfach kom­mu­ni­zie­ren oder eine Mail an ein bestellung@…“-Postfach senden.

Zugriffs­re­geln

Bei der Nut­zung von per­so­nen­un­ge­bun­de­nen E‑Mail-Postfächern muss klar fest­ge­legt wer­den, wer Zugriff auf das Post­fach hat und wie mit den dort vor­ge­fun­de­nen E‑Mails zu ver­fah­ren ist. Dabei sind auch unbe­dingt mög­li­che Stell-vertreterregelungen zu beach­ten. Es darf nicht pas­sie­ren, dass z.B. durch eine Urlaubs­ver­tre­tungs­re­ge­lung eine zuvor nicht berech­tig­te Per­son über „einen Umweg“ Zugriff auf das Grup­pen­post­fach erhält. Hier­zu ist es erfor­der­lich, den Kreis der Per­so­nen, die auf das Post­fach zugrei­fen sol­len, genau zu defi­nie­ren, dabei so eng wie mög­lich zu hal­ten und die ver­ge­be­nen Berech­ti­gun­gen regel­mä­ßig, min­des­tens jähr­lich, zu überprüfen.
Mit einer Zugriffs­be­gren­zung auf die Per­so­nal­lei­tung und deren Stell­ver­tre­tung / auf Per­so­nal­sach­be­ar­bei­ter mit dem Zustän­dig­keits­be­reich „Bewer­bun­gen“ wäre z.B. das Grup­pen­post­fach „bewerbung@…“ aus­rei­chend zuge­ord­net. Frag­lich und im Ein­zel­nen zu prü­fen wäre hin­ge­gen, ob auch alle Fach­be­reichs­lei­ter Zugriff auf das Post­fach haben müss­ten, um Bewer­ber direkt im Post­fach zu sichten.

Tech­ni­sche und orga­ni­sa­to­ri­sche Maßnahmen

Die DSGVO for­dert in Art. 32 DSGVO, dass „unter Berück­sich­ti­gung […] der Art, des Umfangs, der Umstän­de und der Zwe­cke der Ver­ar­bei­tung […] geeig­ne­te tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men zu tref­fen“ sind, um ein dem Risi­ko ange­mes­se­nes Schutz­ni­veau zu gewähr­leis­ten und einen Nach­weis hier­über füh­ren zu kön­nen. Doch wann ist ein ange­mes­se­nes Schutz­ni­veau bei Grup­pen­post­fä­chern erreicht?
Zwei Lösungs­an­sät­ze sei­en im Fol­gen­den angedacht:
Zum einen wäre eine Begren­zung auf (sehr) weni­ge Per­so­nen für die Bear­bei­tung des Post­fa­ches denk­bar. Die­se Per­so­nen soll­ten hier­bei den Per­so­nen ent­spre­chen, die mit der Bear­bei­tung der kri­ti­sche­ren Nach­rich­ten ohne­hin befasst wären und denen die­se ohne­hin bekannt wür­den. Hier­über wür­de gewähr­leis­tet, dass durch das personenun-gebundene E‑Mail-Postfach kei­ne „zusätz­li­chen“ Per­so­nen vom Sach­ver­halt Kennt­nis erlan­gen wür­den. Wei­ter­hin soll­te (soweit mög­lich) über eine ent­spre­chen­de Ereig­nis­pro­to­kol­lie­rung doku­men­tiert wer­den, wel­che natür­li­che Per-son die Nach­richt gele­sen und bear­bei­tet hat. Sinn­voll wäre es sicher­lich auch, die­se Per­so­nen noch­mals auf die Ver-schwiegenheit im Daten­schutz und das Daten­ge­heim­nis zu schulen.

Als zwei­te, sehr prag­ma­ti­sche Lösung, könn­ten die „ein­fa­chen“ von den „sen­si­blen“ Daten getrennt wer­den. Allgemei-ne The­men ohne hohe Sen­si­bi­li­tät (z.B. vie­le KVP-Meldungen) wer­den an das Grup­pen­post­fach gesandt, sen­si­ble­re The­men (z.B. Beschwer­den) gehen wei­ter­hin an eine natür­lich und iden­ti­fi­zier­te Person.

Fazit

Ein grund­sätz­li­ches Ver­bot gegen die Ein­rich­tung und Nut­zung von per­so­nen­un­ge­bun­de­nen E‑Mail-Postfächern gibt es nicht. Abhän­gig von der zu erwar­ten­den Art der dort ver­ar­bei­te­ten Daten sind höhe­re bis hohe Anfor­de­run­gen an die IT-Sicherheit, die Ereig­nis­pro­to­kol­lie­rung und die Orga­ni­sa­ti­ons­vor­ga­ben zu stellen.
In jedem Fall sind die Anfor­de­run­gen an eine stren­ge Anwen­dung des „need-to-know“-Prinzips auch an personenun-gebundene E‑Mail-Postfächer zu stel­len. Sie erfor­dern in der Pra­xis einen zum Teil deut­lich höhe­ren Umsetzungs- und Protokollierungsaufwand.
Außer­halb des Daten­schutz­rechts gilt es zu beden­ken, ob die Ein­rich­tung von „Grup­pen­post­fä­chern“ bei sen­si­ble­ren The­men wie Beschwer­den und Über­las­tungs­an­zei­gen nicht mög­li­cher­wei­se dazu füh­ren könn­te, dass betrof­fe­ne Per-sonen so stark ver­un­si­chert wür­den, dass sie von einer Nach­richt abse­hen. In die­sen Fäl­len bie­tet es sich an, das Emp-fänger-Postfach einer ein­zel­nen natür­li­chen Per­son zuzuordnen.