Email

Email zu nutzen bedeutet aus Datenschutzsicht immer den Umgang mit Personenbezogenen Daten, da zumindest die Daten von Absender und Empfänger personenbezogene Daten sind. Eine Ausnahme liegt nur vor bei nicht-personalisierten Funktionadressen. Das für sich genommen ist nicht allzu problematisch, sollte aber im Verhältnis zu Personen außerhalb der eigenen Organisation schon dazu führen, dass Emails mit einer gewissen Vorsicht genutzt werden.

Problematischer ist es, wenn der Mail weitere personenbezogene Daten insbesondere von Dritten beinhaltet, wobei es nicht darauf ankommt, ob es sich um den Text der Mail oder um ein angehängtes Dokument handelt. Die Schwierigkeit stellt dabei nicht der Versand an sich innerhalb der eigenen IT-Infrastruktur (also z.B. von abc@tu-ilmenau.de zu xyzz@tu-ilmenau.de) dar sondern:

1. Der Versand unter Beteiligung externer Mailadressen.
2. Die nicht kontrollierbare versehentliche oder vorsätzliche Weiterleitung an Nicht-Berechtigte.
3. Nicht-Existenz eines Löschkonzepts vor allem bei personengebunden Emailadressen. (Und selbst wenn es ein allgemeines Konzept gäbe, wäre es nicht durchsetzbar; vor allem wenn auch eine private Nutzung der personengebundenen Dienstemail zulässig ist.)
4. Der Zugriff auf Emails mittels unsicherer Clients, Umgebungen (privates Smartphone, siehe auch Bring your own device) und Netzwerke (z.B. Uralt-WLAN in Hotels).

Vorbehaltlich einer neuen allgemeinen Regelung erscheint es gegenwärtig sinnvoll, Emails auch für den Versand von personenbezogenen Daten zu dulden unter bestimmten Voraussetzungen:

1. Wenn ein anderes datenschutzkonformes IT-System zur Verfügung steht, ist das einzusetzen.
2. Wenn kein datenschutzkonformes IT-System zur Verfügung steht, ist zu prüfen, ob ein solches beschafft werden kann.
3. Sensible Daten werden nicht per Mail versendet.
4. Dateianhänge mit personenbezogenen Daten werden nur ausnahmsweise und dann verschlüsselt versendet. Das Passwort darf dann nicht per Mail übermittelt werden. Für den regelmäßigen Austausch von Dateien stehen für Daten mit normalem Schutzbedarf Sharepoint und Cloud zur Verfügung. Zudem bedarf es eines Eintrags im Verzeichnis von Verarbeitungstätigkeiten.

1. Personenbezogene Daten dienstlicher Natur NIEMALS über private Emailaccounts versenden. Der Empfang solcher Daten auf dem privaten Emailaccount ist als möglicher Datenschutzvorfall dem betrieblichen Datenschutzbeauftragten zu melden.
2. Personenbezogene oder geheime Daten nicht als Betreff verwenden.
3. VOR dem Versenden der Mail immer die Richtigkeit der Empfänger prüfen.
4. Beim Empfang von Emails prüfen, ob die Email tatsächlich vom vermeintlichen Absender stammt.
5. Bei Anhängen VOR dem Öffnen prüfen, ob die Mail von einem vertrauenswürdigen Absender stammt, inhaltlich sinnvoll ist und der Anhang keine Gefahr darstellen kann.
6. Wenn dienstliche Emails, soweit es nicht ohnehin verboten ist, unvermeidlich von privaten Geräten (BYOD) abgerufen werden müssen, dann in einem sicheren Webbrowser, der möglichst nicht für andere Zwecke verwendet wird. Keine Verwendung von Clients, wie Outlook oder Thunderbird, bzw. Apps, wie Gmail, um auf privaten Geräten dienstliche Mails abzurufen oder zu senden.¹⁾
7. Drohungen, zum Beispiel mit der Sperre von Accounts, sind ein deutliches Zeichen für einen Angriff.
8. Möglichst signierte Emails (siehe unten) verwenden und beim Empfang von Emails auf die Signatur achten. (Im Outlook-Posteingang durch eine rotes Siegel/rote „Schleife“ ersichtlich.)

Entgegen einem verbreiteten Missverständnis sind Verschlüsselung und digitale Signatur nicht das Selbe.

Verschlüsselung bedeutet, dass die Email nicht im Klartext übermittelt wird, sondern so verändert, dass Dritte, die Zugriff auf den Übermittlungsweg haben, mit dem Text nichts anfangen können. Nur der Empfänger ist (sollte) in der Lage sein, die Email in ihren Ursprungszustand zu versetzen (entschlüsseln), so dass er den originalen Text lesen kann.

Digitale Signatur bedeutet dagegen, dass die Email mit einem Code versehen wird, durch den überprüft werden kann, dass der Inhalt der Email nicht nachträglich verändert wurde. Digitale Signatur sollte im Übrigen nicht verwechselt werden mit dem Footer, also den Angaben über die Organisation und gegebenenfalls (nutzlosen) juristisch klingenden Standardbausteinen („Wenn Sie nicht der Empfänger dieser Mail sind, sind Sie verpflichtet …“).

Im Rahmen des Art. 5 Abs. 1 Buchstabe f DSGVO sichert also die Verschlüsselung das Gewährleistungsziel der Vertraulichkeit und die digitale Signatur das Gewährleistungsziel der Integrität.

Bei personenbezogenen Emailadressen ist es fast immer problematisch, wie mit der Situation umzugehen ist, dass die betreffende Person nicht erreichbar ist. „Lösungen“ sind in den meisten Fällen nur Näherungen.²⁾ Es muss immer im Einzelfall geprüft werden, ob Standardmaßnahmen angemessen sind.

Bei vorübergehender Abwesenheit ist die Schaltung einer Abwesenheitsnachricht zumindest für interne Absender zweckmäßig. Zumindest bei externen Absender sollte aber genau abgewogen werden, ob und welche Daten des Beschäftigten nach außen kommunziert werden: Gründe und Dauer der Abwesenheit können durchaus sensible personenbezogene Daten sein, die nicht leichtfertig an Dritte übermittelt werden dürfen. Eine automatische Weiterleitung von Emails sollte normalerweise ebenfalls nicht erfolgen, damit bei etwaigen privaten Emails das Fernmeldegeheimnis (von Absender wie beabsichtigtem Empfänger) gewahrt bleibt.

Bei langfristiger oder dauernder Abwesenheit sollte der Eingang neuer Emails zeitnah gesperrt werden, so dass die Absender entscheiden können, ob sie die Email an eine andere Person senden (dienstlicher Inhalt) oder nicht (privater Inhalt). Das Einsichtnahme in bestehende Emails sollte so zurückhaltend wie möglich erfolgen; zum Beispiel sollten anhand ihrer Betreffzeile als privat erkennbare Emails nicht geöffnet sondern gelöscht werden.³⁾ Das Verfahren zur Einsichtnahme dürfte in der Regel durch die Personalvertretung mitbestimmungspflichtig sein.