DSGVO Benachrichtigungspflicht, Verstoß melden

[dedlfix]

Tach!

Sollte man wirklich annehmen, dass man unrechtmäßige erlangte oder erzeugte Daten aufheben darf oder gar muss,

Ja. Man muss den Gesetzesverstoß ja beweisen.

Gibt es dazu eine Ausnahmereglung in der DSGVO oder eine andere gesetzliche Grundlage?

Bei manchen Dingen ist bereits der Besitz strafbar (ist vielleicht hier nicht der Fall, kann ich nicht einschätzen). Solches Material sollte man also nicht selbst ohne konkrete Rechtsgrundlage aufheben. Wenn man es nicht vernichten möchte, sollte man unverzüglich die Behörden aufsuchen, um den Verbleib zu klären. - Die Frage ist aber auch, ob sie dein Anliegen auch in deinem Interesse betrachten. Behörden haben ja nicht nur einem Interessenten zu dienen. Besser ist hier wohl ein Rechtsgelehrter, der in deinem Auftrag arbeitet und in deinem Sinne die Lage beleuchtet. Ob solch ein Aufwand lohnt, steht auf einem anderen Blatt.

um damit sich selbst einem Risiko eines Gesetzesverstoßes auszusetzen?

Art. 2 Ansatz 2 Punkt c) des DSGVO schließt die Anwendbarkeit aus, wenn diese "durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten" erfolgt. Die reine Aufbewahrung zum Zweck des Nachweises eines Verstoßes einens Dritten zum eigenen Nachteil fällt unter "ausschließlich persönlicher Zweck".

Bist du dir da sicher? Wenn ich jemand anderem etwas nachweisen möchte, ist das für mich kein persönlicher oder familiärer Zweck, weil dieser jemand nicht zu mir oder meiner Familie gehört.

Außerdem kann er die Daten ja ausdrucken: Gemäß Art. 1 DSGVO gilt diese "für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen."

Ach, Ausdrucken ist keine "nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind"?

Hinzu kommt Artikel 89 Absatz 3 DSGVO:

"Werden personenbezogene Daten für im öffentlichen Interesse liegende Archivzwecke verarbeitet,

Schon das halte ich hier nicht für gegeben. Ein öffentliches Interesse sehe ich bei Bibliotheken und Forschung gegeben. Die 500 Email-Adressen sind hingegen nicht von öffentlichem Interesse, ansonsten wäre es ja problemlos möglich gewesen, sie an andere zu senden.

Die Aufbewahrung zum Zweck der Archivierung zwecks Verfolgung eines Verstoßes gegen die DSGVO selbst dürfte "im öffentlichen Interesse liegen".

Du hast die ersten beiden Absätze weggelassen, die etwas genauer darlegen, worauf sich dieser Teil des Gesetzes bezieht: grob gesagt Forschung und Statistik. Von Strafverfolgung steht da nichts.

dedlfix.