1. Ausgangslage: Warum auch kleine Betriebe betroffen sind
Viele Inhaber kleiner Betriebe gehen davon aus, dass Urteile gegen internationale Konzerne für ihren eigenen Geschäftsbetrieb keine Rolle spielen. Das ist ein riskanter Irrtum.
Das Urteil des Kammergerichts Berlin (Az. 5 UKl 1/26) zum Verbot des sogenannten „toten Briefkastens“ gilt uneingeschränkt für jeden Anbieter digitaler Dienste und jeden Webseitenbetreiber:
Wer auf seiner Webseite im Impressum oder in der Datenschutzerklärung eine E-Mail-Adresse nennt, muss gewährleisten, dass eingehende Nachrichten tatsächlich ankommen, gelesen und beantwortet werden. Die Pflicht zur Bereithaltung eines funktionierenden elektronischen Kommunikationskanals (§ 5 Abs. 1 Nr. 2 DDG) und die Transparenzpflichten der DSGVO (Art. 13 Abs. 1 lit. a DSGVO) kennen keine Ausnahmen oder Erleichterungen für kleine Unternehmen.
2. Was kleine Betriebe zwingend beachten müssen
Keine Scheinangaben oder „tote Postfächer“
Die in der Datenschutzerklärung ausgewiesene Adresse darf keine Einbahnstraße sein. Technische Einstellungen, bei denen eingehende Mails automatisch mit dem Hinweis abgewiesen werden, man lese hier nicht mit oder man solle ein anderes Portal nutzen, sind unzulässig und abmahnfähig.
Feste personelle Zuständigkeit im Betrieb festlegen
Ein Postfach existiert nicht im luftleeren Raum. Es muss betriebsintern verbindlich und nachweisbar festgelegt werden, welche konkrete Person dafür die Verantwortung trägt:
- Tägliche Kontrolle: Eine benannte Person (z. B. Betriebsinhaber, Büroleitung oder Praxisassistenz) muss das Postfach an jedem Arbeitstag sichten.
- Vertretungsregelung: Fällt die zuständige Person durch Urlaub oder Krankheit aus, muss eine geregelte Vertretung den Zugriff auf das Postfach nahtlos übernehmen.
Die gesetzliche 1-Monats-Frist tickt ab Maileingang
Kunden, Interessenten, ehemalige Beschäftigte und Dritte können ihre Datenschutzrechte (z. B. Auskunft nach Art. 15 DSGVO oder Datenlöschung nach Art. 17 DSGVO) formlos per einfacher E-Mail geltend machen.
- Sofortiger Fristbeginn: Ab dem Moment, in dem die E-Mail auf Ihrem Mailserver eintrifft, läuft die gesetzliche Bearbeitungsfrist von einem Monat (Art. 12 Abs. 3 DSGVO).
- Haftungsrisiko bei Untätigkeit: Bleibt die E-Mail ungelesen liegen – etwa weil niemand zuständig ist oder das Postfach ignoriert wird –, verstreicht die Frist fruchtlos. Die Folge sind empfindliche Beschwerden bei den Aufsichtsbehörden sowie drohende Abmahnungen und Schadensersatzforderungen.
Kein Zwang zu Kundenportalen oder Registrierungen
Sie dürfen Personen, die von ihren Betroffenenrechten Gebrauch machen wollen, nicht auf ein passwortgeschütztes Kundenportal verweisen. Personen ohne Kundenkonto (oder ehemalige Kunden nach Vertragsende) müssen ihr Anliegen barrierefrei über die angegebene E-Mail-Adresse klären können (Art. 12 Abs. 2 DSGVO).
3. Der 3-Punkte-Sofort-Check für Ihren Betrieb
- 1. Test-Mail versenden: Senden Sie noch heute von einer externen privaten Adresse eine Test-E-Mail an die Adresse, die in Ihrem Web-Impressum und in Ihrer Datenschutzerklärung steht. Kommt die Nachricht fehlerfrei an?
- 2. Feste Verantwortlichkeit benennen: Legen Sie schriftlich fest, wer im Betrieb für die Bearbeitung dieser Kontakt- und Datenschutzadresse zuständig ist und wer im Urlaubsfall die Vertretung übernimmt.
- 3. Spam-Filter regelmäßig prüfen: Gewährleisten Sie, dass echte Betroffenenanfragen nicht unbemerkt im Spam-Ordner untergehen. Ein täglicher Kontrollblick in den Spam-Ordner schützt vor Fristversäumnissen.
Achim Weidner, Datenschutzbeauftragter des Gewerbeverein Rüsselsheim