E-Mails DSGVO konform nutzen

Stand der Technik

E-Mails datenschutzkonform erstellen und bearbeiten ist mittlerweile unumgänglich. Aktuell werden E-Mails und deren Inhalt transportverschlüsselt (TLS) vom E-Mail Absender (Client) zu einem E-Mail Empfänger (Client) über einen E-Mail Server (Server) versendet. Der Weg vom und zum Server findet verschlüsselt statt. Auf dem E-Mail Server ist die Mail jedoch für alle Zugangsberechtigten inklusive des Betreibers des Servers lesbar.

Hier liegt auch der Knackpunkt, es ist nicht Ende zu Ende verschlüsselt und damit von Dritten einsehbar.

E-Mails datenschutzkonform erstellen und bearbeiten

Es gibt Verschlüsselungsverfahren die beidseitig verwendet werden müssen wie z.B. PGP. Dabei wird der Inhalt der E-Mail mit dem öffentlichen Zertifikat des Empfängers vom Absender verschlüsselt. Nur der Empfänger mit seinem privaten Schlüssel kann die E-Mail wieder entschlüsseln.

Solche Verfahren haben die wenigsten eingerichtet. Damit ist das Verfahren nicht praktikabel. Die Lösung dafür ist, dass verschlüsseln von Dokumenten in Passwort verschlüsselten ZIP Dateien oder PDFs die mit Passwortschutz versehen und verschlüsselt sind.

Im Mailtext der weiter lesbar bleibt, darf außer der Anrede nichts an personenbezogenen Daten stehen.

Dem Gegenüber teilt man dann mündlich das Passwort mit oder über einen zweiten Kanal wie SMS.

Warum E-Mail-Datenschutz 2026 wichtiger ist denn je

Die Bedeutung des datenschutzkonformen E-Mail-Verkehrs hat in den letzten Jahren erheblich zugenommen. Mit der zunehmenden Digitalisierung und dem Anstieg von Cyberangriffen ist der Schutz personenbezogener Daten in E-Mails nicht mehr optional, sondern eine rechtliche Pflicht. Die DSGVO stellt klare Anforderungen an Unternehmen, die personenbezogene Daten per E-Mail verarbeiten und übermitteln.

Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) werden täglich Millionen E-Mails mit sensiblen Daten versendet, ohne dass angemessene Schutzmaßnahmen getroffen werden. Dies stellt ein erhebliches Risiko dar, da E-Mails auf dem Transportweg von Dritten abgefangen und mitgelesen werden können.

Rechtliche Grundlagen der E-Mail-Verschlüsselung

Die DSGVO fordert in Art. 32 DSGVO die Implementierung geeigneter technischer und organisatorischer Maßnahmen zum Schutz personenbezogener Daten. Dazu gehört auch die Verschlüsselung von E-Mails, insbesondere wenn besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden.

Das Landgericht Bonn hat in einem wegweisenden Urteil klargestellt, dass die bloße Transportverschlüsselung (TLS) bei sensiblen Daten nicht ausreichend ist. Unternehmen müssen eine Ende-zu-Ende-Verschlüsselung implementieren oder alternative sichere Übertragungswege nutzen.

Zusätzlich schreibt das Telekommunikations-Telemedien-Datenschutzgesetz (TDDDG) vor, dass Anbieter von Telekommunikationsdiensten die Vertraulichkeit der Kommunikation gewährleisten müssen. Dies betrifft auch geschäftliche E-Mail-Kommunikation.

Verschlüsselungsverfahren im Vergleich

S/MIME (Secure/Multipurpose Internet Mail Extensions)

S/MIME ist ein weit verbreiteter Standard für die E-Mail-Verschlüsselung, der auf Zertifikaten basiert. Jeder Teilnehmer benötigt ein digitales Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle. Der Vorteil liegt in der einfachen Integration in gängige E-Mail-Programme wie Outlook, Thunderbird oder Apple Mail.

Die Kosten für S/MIME-Zertifikate variieren zwischen kostenlos (für persönliche Nutzung) und mehreren hundert Euro pro Jahr für Unternehmenszertifikate mit erweiterter Validierung.

PGP (Pretty Good Privacy)

PGP verwendet ein asymmetrisches Verschlüsselungsverfahren mit öffentlichen und privaten Schlüsseln. Die Schlüsselverwaltung erfolgt dezentral über sogenannte Keyserver. PGP gilt als besonders sicher, erfordert jedoch technisches Verständnis bei der Einrichtung.

Gateway-basierte Verschlüsselung

Für Unternehmen bieten sich Gateway-Lösungen an, die den gesamten E-Mail-Verkehr automatisch verschlüsseln. Diese Lösungen arbeiten transparent im Hintergrund und erfordern keine manuellen Eingriffe der Mitarbeiter. Bekannte Anbieter sind SEPPmail, Totemo oder Zertificon.

Praktische Umsetzung im Unternehmen

Die Implementierung einer datenschutzkonformen E-Mail-Kommunikation erfordert mehrere Schritte:

• Bestandsaufnahme: Welche personenbezogenen Daten werden per E-Mail versendet? Welche Kategorien sind besonders schützenswert?
• Risikobewertung: Welche Risiken bestehen bei unverschlüsselter Übertragung? Welche Konsequenzen hätte ein Datenleck?
• Technische Lösung: Auswahl und Implementierung einer geeigneten Verschlüsselungslösung basierend auf den identifizierten Anforderungen.
• Schulung: Alle Mitarbeiter müssen im Umgang mit der Verschlüsselungslösung geschult werden.
• Dokumentation: Die getroffenen Maßnahmen müssen im Verarbeitungsverzeichnis dokumentiert werden.

Häufige Fehler bei der E-Mail-Nutzung

In der Praxis beobachten wir als externer Datenschutzbeauftragter regelmäßig folgende Verstöße:

• Offene Verteiler (CC statt BCC): Das Versenden von E-Mails an mehrere Empfänger über das CC-Feld offenbart alle E-Mail-Adressen. Dies stellt einen Verstoß gegen Art. 5 Abs. 1 lit. f DSGVO dar und kann zu empfindlichen Bußgeldern führen.
• Unverschlüsselte Anhänge: Sensible Dokumente wie Gehaltsabrechnungen, Gesundheitsdaten oder Verträge werden als ungeschützte Anhänge versendet.
• Fehlende Signatur: Ohne digitale Signatur kann der Empfänger nicht verifizieren, ob die E-Mail tatsächlich vom angegebenen Absender stammt.
• Automatische Weiterleitung: Mitarbeiter leiten geschäftliche E-Mails an private E-Mail-Adressen weiter, was einen unkontrollierten Datenabfluss darstellt.
• Fehlende Löschkonzepte: E-Mails mit personenbezogenen Daten werden unbegrenzt aufbewahrt, ohne dass Löschfristen beachtet werden.

E-Mail-Alternativen für sensible Daten

In vielen Fällen ist es sinnvoller, auf sichere Alternativen zur klassischen E-Mail zurückzugreifen:

• Sichere Dateiübertragungsdienste: Dienste wie FTAPI oder Tresorit ermöglichen den verschlüsselten Austausch großer Dateien.
• Kundenportale: Über geschützte Portale können Dokumente sicher bereitgestellt und abgerufen werden.
• De-Mail: Der staatlich zertifizierte Dienst bietet eine sichere elektronische Kommunikation mit Nachweisfunktion.

Bußgelder und Konsequenzen bei Verstößen

Die Aufsichtsbehörden haben bereits mehrfach Bußgelder wegen unsachgemäßer E-Mail-Nutzung verhängt. Verstöße gegen die Verschlüsselungspflicht können gemäß Art. 83 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.

Besonders häufig werden Bußgelder verhängt bei:

• Versand von Gesundheitsdaten ohne Verschlüsselung
• Offenen E-Mail-Verteilern mit mehr als 20 Empfängern
• Fehlender Dokumentation der technisch-organisatorischen Maßnahmen

Fazit: E-Mail-Datenschutz als Unternehmensaufgabe

Der datenschutzkonforme Umgang mit E-Mails ist eine zentrale Aufgabe für jedes Unternehmen. Die technischen Lösungen sind vorhanden und die Implementierung ist mit überschaubarem Aufwand möglich. Entscheidend ist, dass Unternehmen ihre Mitarbeiter sensibilisieren und klare Richtlinien für die E-Mail-Nutzung etablieren.

Die DATUREX GmbH unterstützt Unternehmen in Dresden und ganz Sachsen bei der Implementierung datenschutzkonformer E-Mail-Lösungen. Als erfahrene Datenschutzexperten helfen wir Ihnen, die richtigen technisch-organisatorischen Maßnahmen zu identifizieren und umzusetzen.

E-Mail-Archivierung und DSGVO

Die E-Mail-Archivierung stellt Unternehmen vor besondere Herausforderungen, da steuerrechtliche Aufbewahrungspflichten und datenschutzrechtliche Löschpflichten in Einklang gebracht werden müssen. Geschäftliche E-Mails, die steuerrelevante Informationen enthalten, müssen nach den Grundsätzen ordnungsmäßiger Buchführung (GoBD) für 6 bis 10 Jahre archiviert werden.

Gleichzeitig verlangt die DSGVO die Löschung personenbezogener Daten, sobald der Verarbeitungszweck entfällt. Die Lösung liegt in einer differenzierten Archivierungsstrategie: Steuerrelevante E-Mails werden revisionssicher archiviert, während nicht-relevante E-Mails mit personenbezogenen Daten nach Ablauf einer angemessenen Frist gelöscht werden.

Unternehmen sollten klare Richtlinien für die E-Mail-Archivierung erstellen und ihre Mitarbeiter entsprechend schulen. Die Verwendung von Funktionspostfächern anstelle persönlicher E-Mail-Adressen für geschäftskritische Kommunikation erleichtert die Verwaltung erheblich.

Sichere E-Mail-Signaturen nach eIDAS

Die europäische eIDAS-Verordnung regelt elektronische Signaturen und ihre Rechtswirkung. Für den datenschutzkonformen E-Mail-Verkehr sind digitale Signaturen von besonderer Bedeutung, da sie die Authentizität des Absenders und die Integrität der Nachricht gewährleisten.

Es gibt drei Stufen elektronischer Signaturen:

• Einfache elektronische Signatur: Jede Form der elektronischen Zuordnung, z. B. der Name in der E-Mail-Fußzeile
• Fortgeschrittene elektronische Signatur: Eindeutig dem Unterzeichner zugeordnet und manipulationssicher (z. B. S/MIME)
• Qualifizierte elektronische Signatur: Gleichwertig zur handschriftlichen Unterschrift, erfordert ein qualifiziertes Zertifikat

Mobile E-Mail-Nutzung und BYOD

Die Nutzung geschäftlicher E-Mails auf privaten Mobilgeräten (Bring Your Own Device) stellt besondere datenschutzrechtliche Anforderungen. Unternehmen müssen sicherstellen, dass geschäftliche Daten auch auf privaten Geräten geschützt sind. Empfohlene Maßnahmen umfassen:

• Mobile Device Management (MDM) zur Trennung geschäftlicher und privater Daten
• Containerisierung der geschäftlichen E-Mail-App
• Verschlüsselung des Geräts und der gespeicherten E-Mails
• Fernlöschungsmöglichkeit bei Verlust des Geräts
• Klare BYOD-Richtlinie mit Regelungen zur Datensicherheit

Eine schriftliche BYOD-Vereinbarung zwischen Arbeitgeber und Arbeitnehmer ist unerlässlich, um die Rechte und Pflichten beider Seiten zu regeln und den Datenschutz sicherzustellen.

Automatische E-Mail-Weiterleitung: Datenschutzrisiko

Die automatische Weiterleitung geschäftlicher E-Mails an private E-Mail-Adressen ist ein häufig unterschätztes Datenschutzrisiko. Durch die Weiterleitung gelangen personenbezogene Daten auf private Server, die nicht den Sicherheitsstandards des Unternehmens entsprechen. Unternehmen sollten automatische Weiterleitungen an externe Adressen technisch unterbinden und alternative Lösungen wie VPN-Zugang zum geschäftlichen E-Mail-System anbieten.

Checkliste für datenschutzkonforme E-Mail-Nutzung

Verwenden Sie diese Checkliste, um den E-Mail-Datenschutz in Ihrem Unternehmen zu überprüfen:

1. Ist eine Transportverschlüsselung (TLS) für alle E-Mail-Verbindungen konfiguriert?
2. Werden sensible Anhänge verschlüsselt oder über sichere Kanäle übertragen?
3. Existiert eine klare Richtlinie zur E-Mail-Nutzung für alle Mitarbeiter?
4. Werden E-Mail-Verteiler regelmäßig auf Aktualität geprüft?
5. Ist die automatische Weiterleitung an externe Adressen deaktiviert?
6. Gibt es ein Löschkonzept für E-Mails mit personenbezogenen Daten?
7. Werden Mitarbeiter regelmäßig zu Phishing-Risiken geschult?
8. Ist die E-Mail-Archivierung GoBD- und DSGVO-konform eingerichtet?

Datenschutz bei automatisierten E-Mail-Antworten

Automatische Abwesenheitsbenachrichtigungen und Auto-Responder sind im Geschäftsalltag wichtig, bergen aber datenschutzrechtliche Risiken. Eine externe Abwesenheitsnotiz sollte nur den Hinweis auf die Abwesenheit und eine alternative Kontaktperson enthalten. Gesundheitliche Gründe, Urlaubsziele oder private Details gehören nicht in eine automatische Antwort.

Besonders kritisch ist die automatische Antwort auf externe E-Mails, da sie Spammern die Existenz einer aktiven E-Mail-Adresse bestätigt. Unternehmen sollten prüfen, ob automatische externe Antworten überhaupt notwendig sind, oder ob eine interne Benachrichtigung ausreicht.

Datenlecks durch E-Mail-Metadaten

Neben dem eigentlichen Inhalt einer E-Mail enthalten auch die Metadaten sensible Informationen. Der E-Mail-Header verrät den genauen Zeitpunkt des Versands, den verwendeten E-Mail-Client, die IP-Adresse des Absenders und die Routing-Informationen über die beteiligten Server. Diese Metadaten können bei Weiterleitung oder Antwort unbeabsichtigt offengelegt werden.

Unternehmen sollten ihre Mitarbeiter sensibilisieren, dass auch das bloße Weiterleiten einer E-Mail-Kette vertrauliche Informationen preisgeben kann, die in früheren Nachrichten enthalten sind. Die Funktion „Allen antworten“ sollte mit Bedacht genutzt werden, um unnötige Datenweitergabe zu vermeiden.

Zusammenfassung: E-Mail-Datenschutz auf einen Blick

Der datenschutzkonforme Umgang mit E-Mails erfordert ein Zusammenspiel aus technischen Maßnahmen, organisatorischen Richtlinien und regelmäßiger Mitarbeitersensibilisierung. Die wichtigsten Punkte sind: Transportverschlüsselung als Mindeststandard, Ende-zu-Ende-Verschlüsselung für sensible Daten, klare Richtlinien zur E-Mail-Nutzung, regelmäßige Schulungen und ein dokumentiertes Löschkonzept. Unternehmen, die diese Grundsätze beachten, minimieren nicht nur ihr rechtliches Risiko, sondern stärken auch das Vertrauen ihrer Kunden und Geschäftspartner in die Sicherheit der Kommunikation.