"Ez önmagában GDPR sértés, mert szerinted az email cím személyes adat" - Nem, és igen. Nem sért jogszabályt az, ha egy érvényességi időben korlátozott regisztrációs kódot, megerősítő linket küldenek ki az üf.-nek - az viszont jogsértő lesz, ha a megerősítésre nyitva álló határidő után is tárolják a címét(!), mivel annak már nem lesz jogalapja.
Látom, te nagyon nem vagy képben, szerintem jól jönne neked egy konzultáció egy DPO-val.