Datenschutzrechtlich bedenkliche Vorschlagsfunktion bei E-Mail-Eingaben (DSGVO-Verstoß)

Sehr geehrte Damen und Herren,

im Rahmen der Nutzung Ihrer Anwendung ist mir ein gravierendes datenschutzrechtliches Problem aufgefallen, das dringend einer Klärung bedarf.

Im Menübereich „Start → Freigeben → Freigeben“ (konkret im Eingabefeld „E-Mail oder Personen“) werden bereits nach Eingabe weniger Buchstaben automatisch Vorschläge für E-Mail-Adressen angezeigt. Dabei handelt es sich nicht um eigene Kontakte oder lokal gespeicherte Adressdaten, sondern offensichtlich um reale E-Mail-Adressen dritter Personen.

Die Vorschläge umfassen u. a.:
– geschäftliche E-Mail-Adressen (z. B. Mitarbeiter von Banken wie Julius Baer Group),
– private E-Mail-Adressen,
– sowie Adressen aus unterschiedlichen Organisationen (z. B. Free Speech Union).

Bereits die Eingabe von ein bis zwei Buchstaben genügt, um eine Vielzahl offenbar real existierender Personen samt E-Mail-Adressen vorgeschlagen zu bekommen (siehe Screen-Video attached).

Ich halte dieses Verhalten für höchst problematisch und mit hoher Wahrscheinlichkeit nicht DSGVO-konform. Insbesondere stellen sich folgende Fragen:

• Auf welcher Rechtsgrundlage werden diese personenbezogenen Daten verarbeitet und angezeigt?
• Woher stammen diese Daten (Quelle der Adressdatenbank)?
• Wurde von den betroffenen Personen eine Einwilligung eingeholt?
• Warum werden diese Daten Dritten (hier: mir als Nutzer) ohne erkennbare Einschränkung offengelegt?
• Welche technischen und organisatorischen Maßnahmen verhindern Missbrauch (z. B. systematisches Auslesen von E-Mail-Adressen)?

Die aktuell implementierte Funktion wirkt faktisch wie ein offenes Adressverzeichnis ohne Zugriffsbeschränkung, was aus meiner Sicht einen erheblichen Verstoß gegen grundlegende Prinzipien der DSGVO darstellt (insbesondere Datenminimierung, Zweckbindung und Vertraulichkeit).

Ich bitte Sie daher um eine zeitnahe und verbindliche Stellungnahme, wie dieses Verhalten datenschutzrechtlich gerechtfertigt wird, sowie um Information, welche Maßnahmen kurzfristig ergriffen werden, um einen möglichen Verstoß zu beheben.

Sollte sich herausstellen, dass hier tatsächlich personenbezogene Daten unzulässig offengelegt werden, behalte ich mir vor, den Sachverhalt an die zuständige Datenschutzaufsichtsbehörde weiterzuleiten.

Mit freundlichen Grüßen
Christian Hostettler
Zürich