DSGVO und E-Mail Verschlüsselung

Question

Hallo,

ich habe eine Frage zu E-Mails in Verbindung mit der DSGVO.

Meines Wissens gibt es für E-Mails weder ein Gesetz das Transportverschlüsselung noch ein Gesetz das Inhaltsverschlüsselung vorschreibt. Ist das so korrekt?

Nun handelt es sich bei der DSGVO ja auch um ein Gesetz. In der DSGVO wird klar darauf hingewiesen, dass personenbezogene Daten geschützt werden müssen. Nehmen wir an ich versende eine E-Mail mit personenbezogenen Daten ohne Transportverschlüsselung und/oder ohne Inhaltsverschlüsselung. Nehmen wir des weiteren an der E-Mail Empfänger geht zu seinem Rechtsanwalt und sagt diesem folgendes:

Zitat:
Ich habe eine E-Mail mit personenbezogenen Daten erhalten, diese E-Mail war nicht transport- und/oder inhaltsverschlüsselt, ich bitte Sie deshalb darum den Sender der E-Mail abzumahnen, weil hier ein klarer Verstoß gegen die DSGVO vorliegt.

Hierzu zwei Fragen:

1. Wie würde der Rechtsanwalt reagieren? Würde er die Abmahnung senden oder nicht?

2. Die DSGVO fordert einen ausreichenden Schutz personenbezogener Daten, demnach muss man alles dafür tun, damit personenbezogene Daten geschützt werden. Alles dafür tun heißt ich muss E-Mails mit personenbezogenen Daten sowohl tranport- als auch inhaltsverschlüsseln. Das ist zumindest mein aktuelles Verständnis. Ist das so korrekt oder liege ich falsch?

-- Editiert von Han Solo am 28.06.2018 09:56

hiphappy · Answer

1. Wie würde der Rechtsanwalt reagieren? Würde er die Abmahnung senden oder nicht?    Natürlich sendet er eine Abmahnung. Der Rechtsanwalt macht das, wofür er bezahlt wird.     Zum Thema eMail-Verschlüsselung wird man abwarten müssen, was die Rechtssprechung dazu sagt.   Ich denke Transportverschlüsselung ist Standard, die wird man haben müssen.   Inhaltsverschlüsselung vermutlich aber nur bei besonders zu schützenden Daten.     Und wie du schon schreibst: die DSGVO fordert einen ausreichenden Schutz. Aber nicht jeden Schutz, der möglich ist. Die Definition von "ausreichend" steht halt leider noch nicht fest.

hh · Answer

wer wird die Definition wann festlegen?    Das wird von Gerichten festgelegt. Die können aber durchaus zu unterschiedlichen Ergebnissen kommen.  Die Definition steht daher erst dann fest, wenn sich der EuGH dazu geäußert hat.    Solange warten bis es hier eine Klage mit einem Urteil gibt    Das hat hiphappy wahrscheinlich gemeint.

Harry van Sell · Answer

Solange warten bis es hier eine Klage mit einem Urteil gibt oder solange warten bis hier ein neues Gesetzt kommt?  Kommt darauf an, was zuerst eintritt.      Im übrigen muss nicht die gesamte E-Mail verschlüsselt werden, sondern nur die schützenswerten Daten.

Harry van Sell · Answer

es ist nicht mehr möglich einen deutschen Mailanbieter ohne SSL/TLS oder STARTTLS zu nutzen  Aber bei den Hostern geht es noch.        Bei der Inhaltsverschlüsselung wird die Nachricht selbst verschlüsselt,  Das wäre eine Möglichkeit.  Oder man verschlüsselt nur Teile der Daten.        In der Praxis ist konsequente Inhaltsverschlüsslung mit ALLEN E-Mail Partnern deshalb nicht umsetzbar, zum einen  Doch, ist es. Es gibt Anbieter mit "Lösungen für Ahnungslose".        weil nicht alle E-Mail Partner über das nötige Know How verfügen um PGP einzurichten,   Das wäre dann deren Problem.    Wenn das Gesetz verlangt, das man gewisse Daten nur verschlüsselt versenden darf, dann muss man das machen - unabhängig von den Fähigkeiten des Gegenübers.        zum anderen, weil der Aufwand ein zumutbares Maß übersteigen würde.  Nein, tut er nicht.    Ein "kostet Geld" oder "weis nicht wie es geht" oder "ist mir zu kompliziert" wird da nict groß schützen    Die Erfahrung hat gezeigt, das bei "zumutbar" recht hohe Hürden gelegt werden wenn der Unternehmer auf der einen und der Verbraucher auf der anderen Seite ist.  Siehe Sachmängelhaftung, da haben EUGH und BGH entschieden, das bei 100% des Kaufpreises noch lange nicht Schluss ist im Rahmen von "zumutbar".

DSGVO und E-Mail Verschlüsselung

Fragen zum Datenschutz?

Fragen zum Datenschutz?

Und jetzt?

Jetzt Anwalt dazuholen.