Lieber Heiko Schlittermann, ich stimme Ihrer untenstehenden Datenschutzerklärung unter mailman zu. Sie können meine Daten verarbeiten, und, soweit notwendig, anderen Teilnehmern von mailman mitteilen (müssen es aber nit)

Viele Grüße von Klaus Däßler

PS: Den Umbau mit der Fritzbox habe ich dann doch selbst hingekriegt. PS2: Sie haben 3 PGP-Schlüssel. Ich auch einen. Ist es sinnvoll, noch einen auf mailman zu legen? (wegen mir nit, ich find das alles Quatsch)

Am 13.06.2018 um 15:26 schrieb Heiko Schlittermann:

Hallo,

ich fürchte, das wird ein langer Thread… Ihr seid ja alle auf dieser Liste eingetragen. Das war ein Opt-In. Aber es gab damals noch keine Datenschutz-Dingsbums, wir kannten uns persönlich, und Mails wurden beim nächstgelegenen SMTP-Server abgeliefert.

Politisch korrekt wäre wohl, alle aus der Liste zu schmeißen, und um erneutes Subscriben zu bitten, nach der Anzeige einer Datenschutzerklärung.

Oder bin ich - als Listenbetreiber - fein raus, weil ich ja aus den Mailadressen, mit denen ihr eingetragen seid, keine Rückschlüsse auf real existierende Personen ziehen kann. Wer weiß, ob Hans Hanson wirklich der Hans Hanson ist, der mir gegenüber wohnt.

Also verarbeiten wir auf der Liste keine personenbezogenen Daten? Was sollten wir tun um gesetzeskonform zu sein?

Allerdings weiß ich auch, daß da meine Sichtweise nicht unbedingt die Sicht anderer, schon gar nicht der Gesetzgeber, abbildet.

Bitte - jetzt hier keine Diskussion um Sinn oder Unsinn dieser Datenschutzdingsbums, dafür dann gerne einen neuen Thread aufmachen.

Datenschutzerklärung

Der Listenbetreiber (ich) kennt Eure Mailadresse und auch einen als Klartext bezeichneten Namen, wenn ihr ihn angegeben habt.

Bis vor kurzem konnte jeder, der Mitglied der Liste war, die Liste der anderen Mitglieder (die o.a. Informationen) einsehen.

Wenn ihr auf den Webserver (mailman) zugreift, werden die IP-Adresse, Uhrzeit, Client-Software, abgerufene URL und ggf. ein Referer protokolliert. Diese Daten liegen i.d.R. mindestens eine Woche in den Protokollen und noch länger im Backup.

Wenn ihr Mails an die Liste schreibt, kann jedes Listenmitglied die Daten sehen, die ihr mit der Mail veröffentlicht. Was das alles hist, hängt von Eurem Mailclient und den unterwegs durchlaufenen Mailsystemen ab.

Eure Beitrage werden archiviert. Das Archiv ist öffentlich zugänglich und wird auch von anderen Kopiert. Ein Entfernen einzelner Beiträge ist mit erheblichen Aufwand verbunden und möglicherweise ohne Einfluss auf die Kopien.

Letztlich ist also jede Eurer Mails öffentlich einsehbar, sobald sie im Archiv der Mailingliste gelandet ist.

Etwas vergessen?

Viele Grüße
Heiko

Schließe mich an Gunther

Hallo Heiko,

tl;dr - Es folgen Tipps für Heiko, es der Aufsichtsbehörde, den Abmahnanwälten und nicht zuletzt den "betroffenen Personen" recht zu machen. Freut Euch, dass wir keine Vorratsdatenspeicherung haben und akzeptiert, dass das in Konsequenz bedeutet, dass Datenverarbeitung dann nur reguliert stattfinden kann.

ich mache mich hier hoffentlich als DEKRA zertifizierte "Fachkraft für Datenschutz" nicht unbeliebt, wenn ich das Thema methodisch beleuchte.

An erster Stelle steht die Frage, ob eine Verarbeitung von personenbezogenen Daten vorliegt. Das ist viel klarer der Fall, als Du das gerne hättest - also JA.

Für diese Verarbeitung braucht es eine Rechtsgrundlage und wir werden bei einer Mailingliste nicht um die "Einwilligung" herumkommen. Leider ist die Einwilligung nicht das einfachste Mittel, da sie widerrufbar sein muss und das wohl augenscheinlich mit dem Archiv kollidiert.

Ich kann mich leider nicht mehr an die technische Realisierung meiner Anmeldung hier erinnern, im Moment ist es aber ein double opt-in und das ist gut so. Einwilligungen müssen freiwillig, ungekoppelt (z.B. vom Gewinnspiel) und informiert erfolgen und jederzeit nachweisbar sein. Die Informationspflicht wird aber noch nicht erfüllt. Heiko, setze doch einen Link zur Datenschutzerklärung auf die Anmeldeseite in unmittelbare Nähe des "Abonnieren"-Knopfes mit einer inhaltlichen Verknüpfung wie "mit Absenden des Formulares bestätige ich die Datenschutzinformationen zu Kenntnis genommen und verstanden zu haben". Wenn die bisherigen Abonnenten auch schon double opt-in machen durften, haben die Anmeldungen Bestandsschutz. Da Anmeldungen nur über das System erfolgten (sowie erfolgen) und ich davon ausgehe, dass der mailman über Anmeldungen Buch (Log) führt, ist auch das Thema der Nachweisbarkeit bedient. Eine Informationspflicht in dem heutigen Umfang gab es zu BDSG aF Zeiten noch nicht.

Nun zur Datenschutzerklärung. Die erfüllt die Anforderungen nicht ganz. Das mit der leicht verständlichen Sprache ist ja gut gelungen und auch zu den Datenarten ist viel genannt. Es fehlen aber die Betroffenenrechte (Berichtigung, Auskunft, Übertragbarkeit, Löschung, Widerruf, ...). Auch reicht ein "ich" als Angabe der verantwortlichen Stelle nicht aus. Und hier sollte ganz klar im Bereich Widerruf und Löschung auf die Archivfunktion eingegangen werden. Das Gesetz bietet mit Begriffen wie "angemessen" oder der Interessenabwägung genug Spielraum. Wenn man also erklärt, dass eine Löschung der Archivfunktion und Öffentlichkeit (Art. 89 DSGVO) wegen nicht möglich ist, sollte das akzeptabel sein. Der potentielle Abonnent muss sich dessen nur bewusste sein können, bevor er abonniert.

Alternativ könnte man darüber befinden, das Archiv abzuschaffen oder nur einem eingeschränkten Personenkreis (Passwortschutz) zugänglich zu machen. Aber das will doch keiner.

Was sollten wir tun um gesetzeskonform zu sein?

Zusammenfassung - Datenschutzerklärung erweitern - Datenschutzerklärung mit Abo-Vorgang koppeln - Sicherstellen, dass Anmeldungen protokolliert werden - keine "alten" Abonnenten entfernen, dafür aber einmalig auf die (neue) Datenschutzerklärung hinweisen

es gab damals noch keine Datenschutz-Dingsbums, wir kannten uns

Das BDSG aF gab es schon ...

Politisch korrekt wäre wohl, alle aus der Liste zu schmeißen, und um

Unnötig, da eine Einwilligung nach damaligen Maßstäben vorliegt (mailman Protokoll vorhanden?).

nach der Anzeige einer Datenschutzerklärung.

Für alle Abonnenten nach 24.05.2018 richtig.

Oder bin ich - als Listenbetreiber - fein raus, weil ich ja aus den Mailadressen, mit denen ihr eingetragen seid, keine Rückschlüsse auf real existierende Personen ziehen kann. Wer weiß, ob Hans Hanson wirklich der Hans Hanson ist, der mir gegenüber wohnt.

Nee. Deine Liste, Dein Mailserver - Du bist verantwortliche Stelle. Allein die Möglichkeit eines Rückschlusses genügt. Die Leute reden sich an, sie haben Signaturen, ... und Du spoolst das und archivierst es.

Also verarbeiten wir auf der Liste keine personenbezogenen Daten?

Doch doch, jede Menge.

Datenschutzerklärung

Der Listenbetreiber (ich) kennt Eure Mailadresse und auch einen als Klartext bezeichneten Namen, wenn ihr ihn angegeben habt.

Genaue Angabe der verantwortlichen Stelle: Name/Firma, Anschrift, Kontaktdaten

protokolliert. Diese Daten liegen i.d.R. mindestens eine Woche in den Protokollen und noch länger im Backup.

Zu ungenau. Da wohl keine gesetzlichen Aufbewahrungspflichten vorliegen, nenne einfach die längste zu erwartende Backupaufbewahrung.

Eure Beitrage werden archiviert. Das Archiv ist öffentlich zugänglich und wird auch von anderen Kopiert. Ein Entfernen einzelner Beiträge ist mit erheblichen Aufwand verbunden und möglicherweise ohne Einfluss auf die Kopien.

Schließe hier klarer mit der Erkenntnis ab, das das Recht auf Löschung nicht umgesetzt werden kann.

Etwas vergessen?

Siehe meine gesamten Ausführungen. Da ein Forum gar nicht so weit weg von einer Mailingliste ist, schau doch mal hier zur Inspiration in die Datenschutzerklärung : https://www.bfdi.bund.de/bfdi_forum/showthread.php?p=16

Gern schaue ich über eine neue Datenschutzerklärung drüber oder entwickle sie mit. Dies dann aber PN.

Hallo Heiko,

ich stimme der Datenschutzerklärung zu. Und bei dieser Gelegenheit gleich mal:

Danke dir, Heiko, für den jahrzehntelangen Betrieb dieser Mailingliste!

Beste Grüße Fabian

Hallo Heiko,

ich habe die Zwischenergebnisse der von mir begonnenen Diskussion mal pseudonym an unsere Aufsichtsbehörde geschickt mit der Bitte um Aufklärung. Es ging darum ob als Rechtsgrundlage die Einwilligung oder ein Vertrag herhält, was organisatorisch in Richtung des Archives unterschiedliche Auswirkungen haben kann. Ferner habe ich speziell für das Archiv an Artikel 89 DSGVO gedacht, als Joker sozusagen.

[...] Ein befreundeter Unternehmer betreibt die Infrastruktur (An-/Abmelde-Webseite, Mailserver, Archiv) für eine Mailingliste für technisch Interessierte zum Austausch untereinander und wir fragen uns, wie nach der DSGVO und dem BDSG nF nun korrekt mit den Betroffenenrechten umgegangen werden muss.

Nach wie vor kommt technisch ein double opt-in-Verfahren zum Einsatz. Recht klar scheint, dass in Kombination mit dem "Abonnieren"-Knopf eine Datenschutzinformation platziert werden muss. Nun wird trefflich diskutiert, ob als Rechtsgrundlage hier der Vertrag Art. 6 Abs. (1) b) DSGVO oder die Einwilligung Art. 6 Abs. (1) a) DSGVO als Basis angenommen werden muss. Faktisch macht das wohl keinen großen Unterschied denn was bei der Einwilligung der Widerruf ist, ist beim Vertrag die Kündigung, beides entzieht die Rechtsgrundlage und führt mangels gesetzlicher Aufbewahrungspflichten zur Löschung. Dennoch würde uns interessieren, wie man hier abwägt und warum z.B. auch Newsletterabos im breiten Feld unter der Einwilligung betrachtet werden.

Das eigentliche Problem ist wohl, dass alle Nachrichten, die über die Mailingliste ausgetauscht werden, in einem Archiv landen, welches zudem öffentlich abrufbar ist. Diese Funktion ist eines der Anliegen einer Mailingliste - Dokumentation für Recherchezwecke. Es ist nicht mit vertretbarem Aufwand realisierbar, bei Widerruf oder Anspruch des Löschrechtes die Nachrichten eines Abonnenten zu löschen oder von personenbezogenen Daten zu befreien. Darf sich ein solches Projekt auf Art. 89 Abs. (3) berufen? [...]

Man glaubt ja nicht was da als nicht zielführende Antwort zurückkam.

[...] Wie Ihnen sicher bekannt ist, ist die unverschlüsselte Übermittlung personenbezogener Informationen per E-Mail über das Internet mit erheblichen datenschutzrechtlichen Risiken verbunden. Eine unverschlüsselte E-Mail ist weder gegen eine Kenntnisnahme durch Unbefugte noch gegen eine inhaltliche Veränderung geschützt. Das bedeutet, dass es unbefugten Personen ohne großen Aufwand möglich ist, eine unverschlüsselte E-Mail zu lesen und inhaltlich nach Belieben abzuändern. Eine unverschlüsselte E-Mail ist letztlich einer mit Bleistift geschriebenen Postkarte vergleichbar.

Als Sächsischer Datenschutzbeauftragter kontrolliere ich die Einhaltung der datenschutzrechtlichen Vorschriften im Freistaat Sachsen. Dementsprechend ist die Gewährleistung einer datenschutzgerechten Bearbeitung der mich erreichenden Anfragen ein Grundstein meiner täglichen Arbeit. Damit ich auch das von Ihnen geschilderte Anliegen datenschutzgerecht bearbeiten, meine Zuständigkeit prüfen und dem Verantwortlichen das Ergebnis meiner Prüfung mitteilen kann, bitte ich Sie, den von Ihnen benannten befreundeten Unternehmer zu empfehlen, sich diesbezüglich unter Angabe seiner Postanschrift (oder seines PGP-Schlüssels) sowie der URL seiner Website direkt und selbst an mich zu wenden. [...]

Die einzigen personenbezogenen Daten der Anfrage und sicher auch einer möglichen Antwort sind im Mailheader nachvollziehbar. Keine Spur einer fragebezogenen Antwort aber ein Hinweis auf Mailverschlüsselung. Danke!

Jetzt musst Du (Heiko) es also im Zweifel selber weiterverfolgen.

Mit freundlichen Grüßen / Kind regards Ronny Seffner -- Ronny Seffner | Alter Viehweg 1 | 01665 Klipphausen www.seffner.de | ronny@seffner.de | +49 35245 72950 7EA62E22D9CC4F0B74DCBCEA864623A568694DB8