Wie ist die Datenschutz-Grundverordnung (DSGVO) in Bezug auf den datenschutzkonformen Versand von E-Mails zu interpretieren?
Dies ist eine Frage, die den Alltag eines jeden Unternehmens begleitet. Gerade in der Kommunikation mit dem Kunden, Bewerbern Interessenten und „Helfer“-Unternehmen, wie Steuerberatern, ITlern etc., per E-Mail werden viele personenbezogenen Daten versandt. Diese gilt es zu schützen.
Wie?
Bei dem „Wie“ stellt sich bereits die Frage: Wem will ich dabei gerecht werden? Zwischen den Ländern und dem Bund herrscht darüber bislang Uneinigkeit. Denn die Interpretation der DSGVO lässt verschiedene Möglichkeiten offen, welche die Vorgaben der Aufsichtsbehörden der Länder unterschiedlich ausfallen lassen, und speziell die des LDI NRW.
Grundsätzlich gilt aber übergreifend: Wer personenbezogene Daten (Namen von Ansprechpartnern, E-Mail-Adressen, Telefonnummern etc.) per Mail verschickt, muss diese verschlüsseln.
Zu beachten ist dabei, dass in E-Mails sowohl die Inhaltsdaten (wie dem Text der Mail und etwaigen Anhängen) als auch Metadaten (wie Absender und Empfänger, das Datum und der Betreff) personenbezogene Daten beinhalten können.
Daher ist bei der Übermittlung von E-Mails grundsätzlich zwischen einer Verschlüsselung auf Inhaltsebene und einer Verschlüsselung auf Transportebene zu unterscheiden.
Transportebene
Bei einer Verschlüsselung auf Transportebene werden sowohl Meta- als auch Inhaltsdaten auf der Verbindung zwischen Mail-Client und Server bzw. zwischen verschiedenen Mail-Servern verschlüsselt. Die Transportverschlüsselung sollte entsprechend des Schutzbedarfes der enthaltenen Daten nach der Technischen Richtlinie „BSI TR-03108 Sicherer E-Mail-Transport“ implementiert sein. Dadurch ist sichergestellt, dass die E-Mail während des Transports über unsichere Netze wie dem Internet von Dritten nicht mitgelesen werden kann. Auf den beteiligten Mail-Servern liegt die E-Mail jedoch im Klartext vor.
Inhaltsebene
Für die Verschlüsselung des Textes einer E-Mail sowie von Anhängen kommen in erster Linie die Standards S/MIME und OpenPGP infrage. Mit S/MIME und OpenPGP ist eine Ende-zu-Ende-Verschlüsselung möglich, d.h. die Nachricht wird auf dem System des Absenders verschlüsselt und auf dem System des Empfängers entschlüsselt und liegt auf dem Übertragungsweg niemals im Klartext vor. Dies ist die Verschlüsselungsmethode zum Beispiel des LDI NRW, auf deren Homepage der Öffentliche Schlüssel für den E-Mailversand eingesehen werden kann.
Die Metadaten werden von der Inhaltsverschlüsselung jedoch nicht erfasst, sie liegen auf den an der Übertragung beteiligten Servern im Klartext vor.
Daher ein Grundsatz, der generell bei jedem E-Mail-Versand von Mitarbeitern zu beachten ist:
Der Betreff der E-Mail sollte generell keine personenbezogenen Daten enthalten.
In Nordrhein-Westfalen bedarf die Kommunikation per E-Mail mindestens der Transport-Verschlüsselung, wie sie von den namhaften europäischen Providern standardmäßig angeboten wird (zum Beispiel SSL bzw. aktueller TLS). Als sicher gilt TLS laut Bundesamt für Sicherheit in der Informationstechnik (BSI) erst ab Version 1.2 (Stand Dezember 2014).
Bei besonders schützenswerten Daten (z.B. Kontobewegungsdaten, Finanzierungsdaten, Daten zum Gesundheitszustand, Mandantendaten von Rechtsanwälten und Steuerberatern, Beschäftigtendaten) ist eine alleinige Transportverschlüsselung meist nicht ausreichend. Daher sind hier zusätzliche technische und organisatorische Maßnahmen, wie z. B. eine Ende-zu-Ende-Verschlüsselung (S/MIME oder PGP) geboten.
Eine einfache Lösung zur Verschlüsselung des Textes oder auch Anhängen kann auch die SPX Encryption darstellen. Bei dieser Methode reicht ein einmaliger Austausch eines Passwortes aus und alle folgenden E-Mails können verschlüsselt an den entsprechenden Empfänger versandt werden.
Diese und alle anderen Verschlüsselungsmethoden werden von smartworx angeboten; sprechen Sie uns gerne an.
Die Datenschutzkonferenz erarbeitet aber auch derzeit Empfehlungen zur datenschutzkonformen E-Mail-Kommunikation. Daher stehen die obigen Ausführungen unter dem Vorbehalt späterer Anpassungen an die Empfehlungen.
Sollte dies nicht gewährleistet werden können, sind ggf. alternative Übertragungswege denkbar: Hierzu zählen der elektronische Austausch über eine gesicherte Verbindung (Web-Portal des Verantwortlichen mit Zugangsbeschränkungen) oder die klassische postalische Zusendung.
Noch Fragen? Dann schreiben Sie uns gerne unter datenschutz@smartworx.de
Bildquelle: pixabay.com © geralt (CC0 Public Domain)
