Ist es rechtlich und aus Datenschutzgründen zulässig, Spam-Mails in einem Unternehmen zunächst in einen zentralen Ordner zu leiten und diese anschließend durch eine Mitarbeiterin des Unternehmens an die entsprechenden Personen verteilen zu lassen?
Wenn wir das Vorhaben des Gesetzgebers richtig verstanden haben, sollen sämtliche E-Mails, die als Spam klassifiziert werden, zunächst in einen Sammelordner geleitet und dann von einer Mitarbeiterin an den jeweiligen Empfänger weitergeleitet werden. Diese Mitarbeiterin würde die E-Mails dann vorab sichten.
Aus verschiedenen rechtlichen Gesichtspunkten ist ein solches Vorgehen problematisch.
a) Bundesdatenschutzgesetz
Grundsätzlich muss bei der Verarbeitung personenbezogener Daten, durch den Betroffenen in die Datenverarbeitung eingewilligt werden, sofern diese nicht aufgrund Gesetzes oder Rechtsvorschrift erlaubt ist. Personenbezogene Daten sind gemäß § 3 Abs. 1 BDSG Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Hierunter fallen also alle Daten, die in nicht anonymisierter Form erhoben und verarbeitet werden und deshalb einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können. Die an einen Mitarbeiter gesendeten E-Mails sind somit derartige personenbezogene Daten. Ein Gesetz oder eine Rechtsvorschrift, welche die Verarbeitung erlauben würde, ist nicht erkennbar.
Diesen Beschränkungen kann man nur durch eine Einwilligung des/der betreffenden Mitarbeiter/s in die Datenverarbeitung entgehen. An diese Einwilligung stellt § 4a BDSG strenge Anforderungen. So muss die Einwilligung freiwillig erfolgen und nicht etwa auf Druck des Arbeitgebers. Der Einwilligende muss über den Zweck der Datenverarbeitung aufgeklärt werden. Zudem muss die Einwilligung in der Regel schriftlich erfolgen, das heißt durch eigenhändige Unterschrift unter der Erklärung. Eine generelle Einwilligung "versteckt" im Arbeitsvertrag genügt nicht.