Die datenschutzrechtlichen Anforderungen an die elektronische Kommunikation beschäftigen seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) sowohl Unternehmen als auch öffentliche Stellen. Insbesondere stellt sich die Frage, unter welchen Voraussetzungen der Versand personenbezogener Daten per E-Mail den Vorgaben des Art. 32 DSGVO genügt und ob eine Transportverschlüsselung mittels TLS (Transport Layer Security) hierfür ausreichend sein kann.
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen zu treffen. Maßgeblich ist dabei insbesondere das Risiko für die Rechte und Freiheiten natürlicher Personen.
Risikobasierter Ansatz
Die DSGVO verfolgt einen risikobasierten Ansatz. Das bedeutet, dass Art und Intensität der Schutzmaßnahmen von der Eintrittswahrscheinlichkeit und der Schwere möglicher Beeinträchtigungen abhängen. Je sensibler die verarbeiteten Daten und je höher das Gefährdungspotenzial, desto strengere Anforderungen sind an die Sicherheit der Verarbeitung zu stellen.
Eine pauschale Verpflichtung zur Ende-zu-Ende-Verschlüsselung für jede E-Mail lässt sich aus der DSGVO daher nicht ableiten. Vielmehr ist eine differenzierte Betrachtung unter Berücksichtigung der konkreten Umstände erforderlich.
TLS-Verschlüsselung im geschäftlichen E-Mail-Verkehr
TLS stellt eine Transportverschlüsselung dar. Sie schützt die Datenübertragung zwischen den beteiligten Mailservern vor dem Zugriff unbefugter Dritter während des Transports. Eine darüberhinausgehende inhaltliche Absicherung – etwa durch Ende-zu-Ende-Verschlüsselung – erfolgt dabei nicht.
Ausreichend bei gewöhnlichen personenbezogenen Daten
Nach der im zugrunde liegenden Beitrag dargestellten Rechtsauffassung kann eine TLS-Verschlüsselung bei gewöhnlichen personenbezogenen Daten grundsätzlich genügen, sofern keine besonderen Risiken ersichtlich sind. Entscheidend ist, dass das gewählte Sicherheitsniveau dem konkreten Risiko angemessen ist.
Werden etwa Kontaktdaten oder sonstige Daten ohne besonderen Schutzbedarf übermittelt und besteht kein erhöhtes Missbrauchs- oder Schadenspotenzial, kann eine Transportverschlüsselung im Regelfall ausreichend sein, sofern sie dem Stand der Technik entspricht und ordnungsgemäß implementiert ist.
Erhöhte Anforderungen bei sensiblen Daten
Anders kann die Bewertung ausfallen, wenn besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO betroffen sind oder wenn sich aus dem Kontext der Verarbeitung ein gesteigertes Risiko ergibt. Hierzu zählen insbesondere Gesundheitsdaten oder andere besonders schützenswerte Informationen.
In solchen Fällen kann eine bloße TLS-Verschlüsselung unter Umständen nicht genügen. Dann sind zusätzliche Schutzmaßnahmen in Betracht zu ziehen, um ein angemessenes Schutzniveau sicherzustellen. Maßgeblich bleibt jedoch stets die konkrete Risikobewertung im Einzelfall.
Bedeutung behördlicher Leitlinien und gerichtlicher Entscheidungen
Die Frage, wann welche Form der E-Mail-Verschlüsselung erforderlich ist, wird auch von Aufsichtsbehörden und Gerichten aufgegriffen. Dabei wird regelmäßig betont, dass keine schematische Betrachtung zulässig ist. Vielmehr sind die Umstände des jeweiligen Falls maßgeblich.
Soweit Aufsichtsbehörden weitergehende Anforderungen formulieren, sind diese im Lichte des gesetzlichen Rahmens der DSGVO zu prüfen. Auch gerichtliche Entscheidungen stellen klar, dass die Angemessenheit technischer Maßnahmen stets risikoorientiert zu bestimmen ist und eine generelle Verpflichtung zur Ende-zu-Ende-Verschlüsselung nicht ohne Weiteres besteht.
Keine starre Pflicht zur Ende-zu-Ende-Verschlüsselung
Zusammenfassend lässt sich festhalten, dass die DSGVO keine ausnahmslose Verpflichtung vorsieht, E-Mails stets mit einer Ende-zu-Ende-Verschlüsselung zu versehen. Entscheidend ist vielmehr, ob die konkret eingesetzten technischen und organisatorischen Maßnahmen dem jeweiligen Risiko angemessen sind.
Eine TLS-Verschlüsselung kann demnach – abhängig von Art und Sensibilität der übermittelten Daten sowie vom Gefährdungspotenzial – ausreichend sein. Bei erhöhtem Schutzbedarf können jedoch weitergehende Maßnahmen erforderlich werden.
Unternehmen sind gehalten, ihre Kommunikationsprozesse unter Berücksichtigung des risikobasierten Ansatzes der DSGVO zu bewerten und die getroffenen Schutzmaßnahmen nachvollziehbar zu dokumentieren.
Gerade im Spannungsfeld zwischen praktikabler Unternehmenskommunikation und datenschutzrechtlichen Anforderungen wirft die Ausgestaltung technischer Schutzmaßnahmen regelmäßig komplexe Rechtsfragen auf. Eine vertiefte Auseinandersetzung mit den gesetzlichen Vorgaben und deren Anwendung auf konkrete Verarbeitungssituationen ist im Einzelfall angezeigt. Weiterführende Informationen zur Rechtsberatung im Datenschutz durch MTR Legal Rechtsanwälte finden Sie auf unserer Website.
