DSGVO
Schreibt die DSGVO E-Mail-Verschlüsselung vor?
Die DSGVO schreibt nicht vor, dass jede E-Mail verschlüsselt werden muss. Sie verlangt „geeignete technische und organisatorische Maßnahmen“ zum Schutz personenbezogener Daten und nennt Verschlüsselung als eine davon. Enthalten E-Mails sensible personenbezogene Daten oder große Mengen davon, ist Verschlüsselung in der Regel der klarste Weg, um zu zeigen, dass die Sicherheit angemessen war. Zudem müssen die betroffenen Personen unter Umständen nicht benachrichtigt werden, wenn verschlüsselte Daten verloren gehen oder abgefangen werden.
Dieser Artikel erläutert die maßgeblichen Vorschriften, wie Sie Ihren eigenen E-Mail-Verkehr bewerten und wo TLS an seine Grenzen stößt. Er dient der allgemeinen Information und stellt keine Rechtsberatung dar.
Was die DSGVO tatsächlich sagt
Die Datenschutz-Grundverordnung erwähnt E-Mail an keiner Stelle ausdrücklich. Vier Vorschriften bestimmen, wie sie auf E-Mails anzuwenden ist:
- Art. 5 Abs. 1 lit. f DSGVO verlangt, dass personenbezogene Daten mit angemessener Sicherheit verarbeitet werden, einschließlich Schutz vor unbefugter Verarbeitung und unbeabsichtigtem Verlust.
- Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, dem Risiko angemessene Maßnahmen zu treffen, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung. Als Beispiel nennt die Vorschrift „die Pseudonymisierung und Verschlüsselung personenbezogener Daten“.
- Art. 33 DSGVO verlangt, eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde zu melden.
- Art. 34 DSGVO verlangt, die betroffenen Personen zu benachrichtigen, wenn eine solche Verletzung voraussichtlich ein hohes Risiko für sie zur Folge hat.
Der vollständige Text ist auf EUR-Lex, der offiziellen Datenbank des EU-Rechts (externer Link), veröffentlicht.
Eine risikobasierte Pflicht, keine pauschale Regel
Art. 32 DSGVO fragt danach, was dem Risiko angemessen ist, und das Risiko bei E-Mails fällt sehr unterschiedlich aus:
| Nachrichteninhalt | Typisches Risiko | Sinnvoller Schutz |
|---|---|---|
| Terminabsprachen und allgemeine Geschäftskorrespondenz | Niedrig | TLS bei der Übertragung |
| Kontaktdaten von Kunden, Bestellhistorie, routinemäßige Personalkorrespondenz | Mittel | Erzwungenes TLS, mit Verschlüsselung bei umfangreicher oder externer Weitergabe |
| Gesundheits-, Finanz-, Identitäts- oder Rechtsdaten sowie besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO | Hoch | Verschlüsselung auf Nachrichtenebene, per Richtlinie angewendet |
Scrollen Sie seitwärts, um die gesamte Tabelle zu sehen.
Besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, verdienen besondere Sorgfalt, weil ihre Offenlegung die betroffenen Personen erheblich beeinträchtigen kann. Auch die Menge zählt: Eine einzige Tabelle mit Kundendatensätzen, die an die falsche Adresse geht, kann die Daten Tausender Menschen auf einmal offenlegen.
Dokumentieren Sie die Bewertung. Nach Art. 5 Abs. 2 DSGVO müssen Verantwortliche die Einhaltung nachweisen können (Rechenschaftspflicht). Begründen zu können, warum eine Maßnahme gewählt wurde, ist daher ebenso wichtig wie die Maßnahme selbst.
Wie Verschlüsselung die Meldepflichten bei Datenschutzverletzungen verändert
Eine E-Mail mit personenbezogenen Daten, die die falsche Person erreicht, ist eine Verletzung des Schutzes personenbezogener Daten, ebenso ein kompromittiertes Postfach. Nach Art. 33 DSGVO muss der Verantwortliche die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbehörde melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Art. 34 DSGVO verlangt, die betroffenen Personen zu benachrichtigen, wenn das Risiko hoch ist. Nach Art. 34 Abs. 3 lit. a DSGVO entfällt diese Pflicht jedoch, wenn die Daten für alle Personen, die nicht zum Zugang befugt sind, unzugänglich gemacht wurden, „etwa durch Verschlüsselung“.
In der Praxis gibt eine mit PGP oder S/MIME verschlüsselte Nachricht, die fehlgeleitet oder offengelegt wird, nur Chiffretext preis und keine lesbaren personenbezogenen Daten, sofern nicht auch die privaten Schlüssel kompromittiert wurden. Die Verletzung sollte dennoch intern dokumentiert werden, wie es Art. 33 Abs. 5 DSGVO verlangt, zusammen mit der Begründung der Risikobewertung.
Reicht TLS aus?
TLS ist eine sinnvolle Grundlage und kann für E-Mails mit geringem Risiko alles sein, was angemessen ist. Bei Daten mit höherem Risiko fallen seine Grenzen ins Gewicht:
- Es schützt jede einzelne Verbindung, nicht die Nachricht, sodass der Inhalt auf jedem Server und in jedem Postfach lesbar ist, das er erreicht.
- Es ist opportunistisch, sofern es nicht erzwungen wird, sodass E-Mails auf eine unverschlüsselte Zustellung zurückfallen können.
- Es hilft nicht bei einer Nachricht, die an die falsche Adresse gesendet wurde.
Verschlüsselung auf Nachrichtenebene mit PGP oder S/MIME hält Inhalte während der Übertragung und im gespeicherten Zustand geschützt und nur für die vorgesehenen Schlüsselinhaber lesbar. Unser Vergleich von PGP und S/MIME für Unternehmens-E-Mail erklärt, wie sich die beiden Standards unterscheiden.
Typische E-Mail-Szenarien
Lohn- oder Personaldateien an einen externen Dienstleister senden
Gehalts-, Bank- und Identitätsdaten vieler Beschäftigter sind aufgrund von Menge und Inhalt mit hohem Risiko verbunden. Verschlüsseln Sie diese Übermittlungen per Richtlinie und stellen Sie sicher, dass der Vertrag mit dem Dienstleister die Sicherheit in seiner Rolle als Auftragsverarbeiter abdeckt.
Einem Kunden antworten, der seine eigenen Daten per E-Mail geschickt hat
Ein Kunde, der Ihnen seine Daten von sich aus per E-Mail sendet, gibt damit nicht den Standard für Ihre Antwort vor. Enthält die Antwort sensible Informationen wie Konto- oder Gesundheitsdaten, verwenden Sie Verschlüsselung oder ein sicheres Portal statt einer einfachen Antwort.
Fallakten mit Anwälten, Prüfern oder Versicherern teilen
Externe Berater unterstützen häufig PGP oder S/MIME. Wo das nicht der Fall ist, hält ein sicheres Portal oder ein verschlüsseltes Dokument die Dateien geschützt, ohne dass die Empfänger etwas installieren müssen.
Verantwortliche, Auftragsverarbeiter und E-Mail-Anbieter
Art. 32 DSGVO gilt für Verantwortliche und Auftragsverarbeiter gleichermaßen. Verarbeitet ein E-Mail- oder Verschlüsselungsanbieter personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag, der ihn zu angemessener Sicherheit verpflichtet, und Übermittlungen außerhalb des Europäischen Wirtschaftsraums (EWR) müssen die Bedingungen von Kapitel V DSGVO erfüllen.
Fragen Sie jeden Anbieter, wo Nachrichten verarbeitet und wo Schlüssel gespeichert werden. Unsere Seite zu E-Mail-Compliance und Datensouveränität behandelt die regionale Verarbeitung und die Regelwerke, bei deren Erfüllung CloudPGP Organisationen unterstützt.
Praxis-Checkliste zur E-Mail-Verschlüsselung nach DSGVO
- Personenbezogene Daten in E-Mails erfassen. Ermitteln Sie, welche Teams welche Kategorien personenbezogener Daten an wen senden.
- Risiko je Datenfluss bewerten. Bewerten Sie jeden Fluss nach Sensibilität, Menge und Art des Empfängers.
- Richtlinie festlegen. Erzwingen Sie TLS als Grundlage und schreiben Sie für Flüsse mit hohem Risiko Verschlüsselung auf Nachrichtenebene vor.
- Automatisieren. Wenden Sie Verschlüsselung per Regel an, damit der Schutz nicht vom Urteil einzelner Personen abhängt.
- Empfänger ohne Schlüssel einplanen. Bieten Sie ein sicheres Portal oder ein verschlüsseltes Dokument statt ungeschützter E-Mails an.
- Aufzeichnungen führen. Bewahren Sie Audit-Protokolle zu Verschlüsselungsvorgängen auf, um Ihre Rechenschaftspflicht belegen zu können.
Häufig gestellte Fragen
Ist der Versand personenbezogener Daten per unverschlüsselter E-Mail ein DSGVO-Verstoß?
Nicht automatisch. Entscheidend ist, ob die Sicherheit dem Risiko angemessen war. Informationen mit geringem Risiko über TLS zu senden, kann angemessen sein; Gesundheits- oder Finanzunterlagen ohne stärkeren Schutz zu versenden, lässt sich weit schwerer rechtfertigen.
Müssen wir eine Datenpanne melden, wenn die E-Mail verschlüsselt war?
Sie müssen sie trotzdem bewerten und dokumentieren. War der Inhalt verschlüsselt und wurde der Schlüssel nicht kompromittiert, ist es möglicherweise unwahrscheinlich, dass die Verletzung zu einem Risiko führt. Das wirkt sich darauf aus, ob sie der Aufsichtsbehörde gemeldet werden muss, und die betroffenen Personen müssen nach Art. 34 Abs. 3 lit. a DSGVO in der Regel nicht benachrichtigt werden.
Gilt die DSGVO auch für Organisationen außerhalb der EU?
Häufig ja. Nach Art. 3 Abs. 2 DSGVO gilt sie für Organisationen, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten dort beobachten, unabhängig davon, wo die Organisation ihren Sitz hat.
Welchen Verschlüsselungsstandard schreibt die DSGVO vor?
Keinen. Die DSGVO ist technologieneutral. PGP, S/MIME und andere aktuelle, gut implementierte Verfahren können alle angemessen sein; entscheidend ist, dass die Maßnahme dem Risiko und dem Stand der Technik entspricht.
Sind verschlüsselte E-Mails weiterhin personenbezogene Daten?
Ja, für alle, die sie entschlüsseln können. Verschlüsselung verringert das Risiko, nimmt die Daten aber nicht aus dem Anwendungsbereich der DSGVO heraus; die Organisationen, die die Schlüssel besitzen, müssen sie weiterhin rechtmäßig verarbeiten.
Sollten auch interne E-Mails verschlüsselt werden?
Interne E-Mails bleiben oft innerhalb einer Plattform, wo erzwungenes TLS und Zugriffskontrollen angemessen sein können. Sensible Personal-, Gesundheits- oder Disziplinarunterlagen können dennoch eine Verschlüsselung rechtfertigen, insbesondere wenn viele Administratoren oder angebundene Systeme auf Postfächer zugreifen können.
