Berufsgeheimnisträger und unverschlüsselter E-Mail-Versand

Die Frage, ob Anwältinnen und Anwälte unverschlüsselt per E-Mail mit Mandanten kommunizieren dürfen, ohne gegen die Pflicht zur Verschwiegenheit zu verstoßen, war in jüngster Vergangenheit öfter ein Streitpunkt.  Datenschutz-Aufsichtsbehörden betrachteten die Fragestellung noch genereller und stellten diese Frage für jegliche Berufsgeheimnisträger, so bspw. auch für Ärzte (Tätigkeitsbericht 2017/18 – Bayerisches Landesamt für Datenschutzaufsicht, S. 94, Ziffer 16.7).

In § 2 der Berufsordnung der Rechtsanwälte existiert seit Anfang 2020 eine neue Regelung zur Verschwiegenheit hinsichtlich der Frage, wann Anwältinnen und Anwälte bei Risiken für die Vertraulichkeit von der Zustimmung ihrer Mandanten ausgehen dürfen und wann es erforderlich ist, dem Mandanten einen Warnhinweis diesbezüglich zu geben.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz gibt in einer aktuellen Pressemitteilung weitere hilfreiche Hinweise zu der Thematik.
Der LfDI Rheinland-Pfalz weist darauf hin, dass die Anforderungen des Art. 32 DS-GVO inbesondere auch für andere Berufsgeheimnisträger wie bspw. Steuerberater, Ärzte, Psychotherapeuten, Apotheker, Mitarbeiter staatlich anerkannter Beratungsstellen, Sozialarbeiter sowie Mitarbeiter privater Kranken-, Unfall- oder Lebensversicherungen gelten und führt diesbezüglich aus, dass für die Datenverarbeitung Verantwortliche geeignete technische und organisatorische Maßnahmen zu ergreifen haben, um ein angemessenes Schutzniveau der E-Mail-Kommunikation zu gewährleisten. 

Nach Art. 5 Abs. 1 lit. f DS-GVO müssten Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet.  Hierzu gehöre etwa der Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Schädigung durch geeignete technische und organisatorische Maßnahmen. In der Konsequenz müssen Berufsgeheimnisträger daher E-Mail-Kommunikation, die personenbezogene Daten enthält, dem Stand der Technik entsprechend datensicher organisieren, um sich keines Verstoßes gegen die genannten Normen vorwerfen lassen zu müssen.

Grundsätzlich sollten E-Mails mit personenbezogenen Daten, sofern diese nicht pseudonymisiert werden, mindestens mit einer „Transportverschlüsselung“ versendet werden. Bei  besonders sensiblen Daten sollte eine „Inhaltsverschlüsselung“ das Mittel der Wahl darstellen“, so der LfDI Rheinland-Pfalz.

Ein Unterschreiten der genannten Sicherheitsanforderungen sei datenschutzrechtlich hinnehmbar, sofern eine freiwillige und informierte Einwilligung der betroffenen Person in eine unverschlüsselte E-Mail-Kommunikation vorliege. Dies bedeute unter anderem,  dass der Berufsgeheimnisträger eine Verschlüsselung der E-Mail-Kommunikation angeboten haben müsse. Maßstab für die Anforderungen an eine derartige Einwilligung sei Art. 7 DS-GVO. Der Berufsgeheimnisträger habe hiernach nachzuweisen, dass die betroffene Person in Kenntnis aller Risiken durch entsprechende Aufklärung sein Einverständnis erteilt habe, unverschlüsselt zu kommunizieren.

Von einer informierten Einwilligung sei nicht auszugehen, wenn die betroffene Person, etwa ein Mandant, die unverschlüsselte E-Mail-Kommunikation begonnen habe.