Datenschutzverstoß bei E-Mail Nutzung

Zuletzt aktualisiert am 28. Oktober 2026

Weitere häufige E-Mail-Datenschutzverstöße

3. Fall: Unverschlüsselte E-Mails mit sensiblen Inhalten

Die Übermittlung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO – etwa Gesundheitsdaten, Religionszugehörigkeit oder Gewerkschaftsmitgliedschaft – per unverschlüsselter E-Mail stellt einen erheblichen Datenschutzverstoß dar. Gemäß Art. 32 DSGVO müssen Verantwortliche angemessene technisch-organisatorische Maßnahmen ergreifen, um die Sicherheit der Verarbeitung zu gewährleisten. Bei sensiblen Daten ist eine Ende-zu-Ende-Verschlüsselung dringend empfohlen.

Vorgehen:

Implementierung einer E-Mail-Verschlüsselungslösung (z. B. S/MIME oder PGP), Schulung der Mitarbeiter und Dokumentation im Verarbeitungsverzeichnis.

4. Fall: Automatische Weiterleitung an private E-Mail-Adressen

Mitarbeiter, die geschäftliche E-Mails automatisch an ihre privaten E-Mail-Konten weiterleiten, verursachen einen Datenschutzverstoß. Die Daten verlassen den kontrollierten Bereich des Unternehmens und werden möglicherweise auf Servern verarbeitet, die nicht den Anforderungen der DSGVO entsprechen.

Vorgehen:

Technische Unterbindung automatischer Weiterleitungen, klare Richtlinien im Unternehmen und regelmäßige Kontrollen durch den Datenschutzbeauftragten.

5. Fall: Fehlende Löschung von E-Mails

E-Mails mit personenbezogenen Daten müssen nach Ablauf der Aufbewahrungsfrist gelöscht werden. Viele Unternehmen speichern E-Mails jedoch unbegrenzt, was gegen den Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO verstößt.

Vorgehen:

Einführung eines E-Mail-Archivierungskonzepts mit definierten Löschfristen und automatisierten Löschroutinen.

Rechtliche Grundlagen der E-Mail-Kommunikation

Die datenschutzkonforme E-Mail-Kommunikation basiert auf mehreren Rechtsgrundlagen:

• Art. 6 DSGVO: Rechtmäßigkeit der Verarbeitung – jede E-Mail-Kommunikation mit personenbezogenen Daten benötigt eine Rechtsgrundlage
• Art. 25 DSGVO: Datenschutz durch Technikgestaltung – E-Mail-Systeme müssen datenschutzfreundlich konfiguriert sein
• Art. 32 DSGVO: Sicherheit der Verarbeitung – angemessene technische und organisatorische Maßnahmen sind Pflicht
• Art. 33/34 DSGVO: Meldepflichten bei Datenpannen – E-Mail-Verstöße können meldepflichtige Datenschutzverletzungen sein

Bußgelder für E-Mail-Datenschutzverstöße

Die deutschen Aufsichtsbehörden haben in den vergangenen Jahren mehrfach Bußgelder wegen E-Mail-Datenschutzverstößen verhängt. Besonders häufig betroffen sind:

• Offene E-Mail-Verteiler (CC statt BCC): Bußgelder bis zu mehreren tausend Euro pro Vorfall
• Unverschlüsselte Übermittlung sensibler Daten: Bußgelder je nach Schwere des Verstoßes
• Fehlende Auftragsverarbeitungsverträge mit E-Mail-Dienstleistern: Bußgelder gemäß Art. 83 Abs. 4 DSGVO

Praktische Maßnahmen zur Vermeidung von E-Mail-Verstößen

Um E-Mail-Datenschutzverstöße systematisch zu vermeiden, empfehlen wir als externer Datenschutzbeauftragter folgende Maßnahmen:

1. E-Mail-Richtlinie: Erstellen Sie eine verbindliche Richtlinie für die E-Mail-Nutzung im Unternehmen
2. Mitarbeiterschulungen: Regelmäßige Datenschutz-Schulungen zur sensiblen E-Mail-Kommunikation
3. Technische Absicherung: Implementierung von Verschlüsselung, Spam-Filtern und DLP-Systemen
4. BCC-Pflicht: Bei Massen-E-Mails grundsätzlich BCC verwenden
5. Vier-Augen-Prinzip: Bei sensiblen E-Mails eine zweite Person gegenlesen lassen
6. Automatische Hinweise: E-Mail-Signaturen mit Vertraulichkeitshinweisen

Was tun nach einem E-Mail-Datenschutzverstoß?

Ist ein E-Mail-Datenschutzverstoß passiert, müssen Sie schnell und strukturiert handeln:

Innerhalb von 72 Stunden muss der Vorfall gemäß Art. 33 DSGVO der zuständigen Datenschutzaufsichtsbehörde gemeldet werden, sofern ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Zusätzlich müssen die betroffenen Personen gemäß Art. 34 DSGVO informiert werden, wenn ein hohes Risiko vorliegt.

Dokumentieren Sie den Vorfall umfassend, einschließlich der ergriffenen Gegenmaßnahmen und der Bewertung der Auswirkungen. Diese Dokumentation ist nicht nur für die Meldung an die Aufsichtsbehörde wichtig, sondern auch für die interne Verbesserung der Prozesse.

Die DATUREX GmbH unterstützt Sie als erfahrener Datenschutzpartner aus Dresden bei der Aufarbeitung von Datenschutzvorfällen und der Implementierung wirksamer Präventionsmaßnahmen. Kontaktieren Sie uns für eine unverbindliche Erstberatung.

E-Mail-Archivierung und Datenschutz

Die E-Mail-Archivierung stellt Unternehmen vor besondere datenschutzrechtliche Herausforderungen. Einerseits bestehen gesetzliche Aufbewahrungspflichten nach der Abgabenordnung (AO) und dem Handelsgesetzbuch (HGB), die eine Archivierung von geschäftlich relevanten E-Mails für 6 bis 10 Jahre vorschreiben. Andererseits verlangt die DSGVO die Löschung personenbezogener Daten, sobald der Verarbeitungszweck entfällt.

Diese Konfliktlage erfordert ein durchdachtes Archivierungskonzept, das beide Anforderungen berücksichtigt. Folgende Aspekte sind dabei zu beachten:

• Differenzierte Archivierung: Nicht alle E-Mails unterliegen der handels- und steuerrechtlichen Aufbewahrungspflicht. Private E-Mails, sofern die private E-Mail-Nutzung erlaubt ist, dürfen nicht archiviert werden.
• Technische Umsetzung: Das Archivierungssystem muss in der Lage sein, E-Mails nach Ablauf der Aufbewahrungsfrist automatisch zu löschen.
• Transparenz: Mitarbeiter müssen über die E-Mail-Archivierung informiert werden, einschließlich des Umfangs, der Dauer und der Rechtsgrundlage.
• Zugriffsbeschränkungen: Der Zugriff auf archivierte E-Mails muss auf autorisiertes Personal beschränkt sein.

E-Mail-Verschlüsselung in der Praxis

Die Verschlüsselung von E-Mails ist ein wesentlicher Baustein des datenschutzkonformen E-Mail-Versands. Grundsätzlich sind zwei Arten der Verschlüsselung zu unterscheiden:

Transportverschlüsselung (TLS): Bei der Transportverschlüsselung wird die Verbindung zwischen den E-Mail-Servern verschlüsselt. Dies schützt die E-Mail während der Übertragung, nicht jedoch auf den Servern selbst. TLS sollte als Mindeststandard für jede E-Mail-Kommunikation konfiguriert sein.

Ende-zu-Ende-Verschlüsselung (S/MIME oder PGP): Bei der Ende-zu-Ende-Verschlüsselung wird die E-Mail auf dem Gerät des Absenders verschlüsselt und erst auf dem Gerät des Empfängers entschlüsselt. Diese Methode bietet den höchsten Schutz und ist insbesondere bei der Übermittlung besonderer Kategorien personenbezogener Daten empfehlenswert.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder empfiehlt für den Versand besonders sensibler Daten die Ende-zu-Ende-Verschlüsselung. Bei weniger sensiblen Daten kann eine qualifizierte Transportverschlüsselung ausreichend sein.

Datenschutzkonforme E-Mail-Newsletter

Der Versand von E-Mail-Newslettern ist ein weiterer Bereich mit erheblichem Datenschutzrisiko. Für den rechtskonformen Newsletter-Versand sind folgende Punkte zu beachten:

• Double-Opt-In: Die Einwilligung muss durch ein Double-Opt-In-Verfahren dokumentiert werden
• Widerrufsrecht: Jeder Newsletter muss einen funktionierenden Abmeldelink enthalten
• Auftragsverarbeitungsvertrag: Mit dem Newsletter-Dienstleister muss ein Vertrag nach Art. 28 DSGVO geschlossen werden
• Drittlandtransfer: Bei Nutzung von Diensten wie Mailchimp ist ein Drittlandtransfer zu prüfen
• Dokumentation: Die Einwilligungen müssen nachweisbar dokumentiert werden

Für eine umfassende Prüfung Ihrer E-Mail-Prozesse auf DSGVO-Konformität steht Ihnen die DATUREX GmbH als erfahrener Datenschutzpartner aus Dresden zur Verfügung. Im Rahmen eines umfassenden Datenschutz-Checks analysieren wir alle relevanten Prozesse und identifizieren Handlungsbedarf.

Weitere typische Datenschutzverstöße bei der E-Mail-Nutzung

3. Fall: Unverschlüsselte Übertragung sensibler Daten

Die Übertragung personenbezogener Daten per E-Mail ohne angemessene Verschlüsselung stellt einen häufigen Datenschutzverstoß dar. Insbesondere bei besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO — beispielsweise Gesundheitsdaten, Religionszugehörigkeit oder Gewerkschaftsmitgliedschaft — ist eine Transportverschlüsselung (TLS) allein oft nicht ausreichend. In solchen Fällen empfehlen die Aufsichtsbehörden eine Ende-zu-Ende-Verschlüsselung mittels S/MIME oder PGP.

Vorgehen: Implementierung einer E-Mail-Verschlüsselungslösung im Unternehmen. Sensible Dokumente sollten zusätzlich passwortgeschützt als Anhang versendet werden, wobei das Passwort über einen separaten Kommunikationskanal übermittelt wird.

4. Fall: Automatische Weiterleitung an private E-Mail-Adressen

Mitarbeiter, die geschäftliche E-Mails automatisch an ihre private E-Mail-Adresse weiterleiten, verursachen einen Datenschutzverstoß. Die personenbezogenen Daten gelangen dadurch auf Systeme, die nicht der Kontrolle des Verantwortlichen unterliegen. Dies verstößt gegen die Grundsätze der Zweckbindung und der Integrität und Vertraulichkeit nach Art. 5 DSGVO.

Vorgehen: Technische Unterbindung automatischer Weiterleitungen an externe Adressen. Klare Regelungen in der IT-Nutzungsrichtlinie und regelmäßige Mitarbeiterschulungen zum Umgang mit E-Mails.

5. Fall: E-Mail-Archivierung ohne Rechtsgrundlage

Die vollständige Archivierung aller ein- und ausgehenden E-Mails eines Unternehmens kann datenschutzrechtlich problematisch sein. Wenn private E-Mail-Nutzung erlaubt ist, dürfen diese E-Mails nicht ohne Weiteres archiviert oder eingesehen werden. Auch die Aufbewahrungsdauer muss den datenschutzrechtlichen Grundsätzen der Speicherbegrenzung entsprechen.

Rechtliche Grundlagen und aktuelle Rechtsprechung

Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten im E-Mail-Verkehr ergibt sich in der Regel aus Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Die Aufsichtsbehörden haben in den vergangenen Jahren ihre Prüfungen im Bereich E-Mail-Datenschutz erheblich intensiviert.

Mehrere aktuelle Urteile haben die Anforderungen an den E-Mail-Datenschutz konkretisiert:

• Das OLG Düsseldorf hat entschieden, dass der Versand von E-Mails ohne Transportverschlüsselung bei der Übermittlung sensibler Daten einen Datenschutzverstoß darstellt.
• Der EuGH hat in seiner Rechtsprechung zum immateriellen Schadensersatz nach Art. 82 DSGVO die Hürden für Betroffene deutlich gesenkt.
• Das Arbeitsgericht Suhl hat entschieden, dass die unbefugte Weiterleitung von Gesundheitsdaten per E-Mail einen Schadensersatzanspruch begründen kann.

Technische Maßnahmen für sicheren E-Mail-Versand

Um Datenschutzverstöße bei der E-Mail-Nutzung zu vermeiden, sollten Unternehmen folgende technisch-organisatorische Maßnahmen implementieren:

• Transportverschlüsselung (TLS): Mindeststandard für alle geschäftlichen E-Mails. Die meisten modernen E-Mail-Server unterstützen TLS-Verschlüsselung standardmäßig.
• Ende-zu-Ende-Verschlüsselung: Für besonders sensible Daten sollte eine S/MIME- oder PGP-Verschlüsselung eingesetzt werden.
• Data Loss Prevention (DLP): DLP-Systeme können verhindern, dass sensible Daten versehentlich per E-Mail versendet werden.
• Automatische BCC-Warnung: E-Mail-Clients können so konfiguriert werden, dass bei einer hohen Anzahl von Empfängern automatisch eine Warnung erscheint.
• E-Mail-Disclaimer: Automatische Hinweise am Ende jeder E-Mail können auf die Vertraulichkeit hinweisen und Empfänger zur Löschung bei Fehlzustellung auffordern.

Organisatorische Maßnahmen und Schulungen

Technische Maßnahmen allein reichen nicht aus. Die häufigsten Datenschutzverstöße bei der E-Mail-Nutzung entstehen durch menschliche Fehler. Daher sind regelmäßige Schulungen und klare Richtlinien wichtig:

• Regelmäßige Datenschutzschulungen für alle Mitarbeiter mit Fokus auf E-Mail-Sicherheit
• Klare Anweisungen zur Nutzung von CC und BCC
• Vier-Augen-Prinzip bei der Versendung von E-Mails mit sensiblen personenbezogenen Daten
• Dokumentierte Prozesse für den Umgang mit Fehlversendungen
• Regelmäßige Überprüfung der E-Mail-Verteilerlisten

Meldepflicht bei Datenschutzverstößen durch E-Mails

Wenn ein Datenschutzverstoß bei der E-Mail-Nutzung festgestellt wird, muss der Verantwortliche gemäß Art. 33 DSGVO die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informieren — es sei denn, der Verstoß führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Bei einem hohen Risiko sind zusätzlich die betroffenen Personen nach Art. 34 DSGVO zu benachrichtigen.

Die DATUREX GmbH unterstützt Unternehmen in Dresden und Sachsen bei der Implementierung datenschutzkonformer E-Mail-Prozesse. Ein umfassendes Datenschutzkonzept berücksichtigt alle Aspekte der digitalen Kommunikation. Sprechen Sie uns an für eine unverbindliche Erstberatung.