Berufsgeheimnisträger und unverschlüsselter E-Mail-Versand

Die Frage, ob Anwältinnen und Anwälte unverschlüsselt per E-Mail mit Mandanten kommunizieren dürfen, ohne gegen die Pflicht zur Verschwiegenheit zu verstoßen, war in jüngster Vergangenheit öfter ein Streitpunkt.  Datenschutz-Aufsichtsbehörden betrachteten die Fragestellung noch genereller und stellten diese Frage für jegliche Berufsgeheimnisträger, so bspw. auch für Ärzte (Tätigkeitsbericht 2017/18 – Bayerisches Landesamt für Datenschutzaufsicht, S. 94, Ziffer 16.7).

In § 2 der Berufsordnung der Rechtsanwälte existiert seit Anfang 2020 eine neue Regelung zur Verschwiegenheit hinsichtlich der Frage, wann Anwältinnen und Anwälte bei Risiken für die Vertraulichkeit von der Zustimmung ihrer Mandanten ausgehen dürfen und wann es erforderlich ist, dem Mandanten einen Warnhinweis diesbezüglich zu geben.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz gibt in einer aktuellen Pressemitteilung weitere hilfreiche Hinweise zu der Thematik.
Der LfDI Rheinland-Pfalz weist darauf hin, dass die Anforderungen des Art. 32 DS-GVO inbesondere auch für andere Berufsgeheimnisträger wie bspw. Steuerberater, Ärzte, Psychotherapeuten, Apotheker, Mitarbeiter staatlich anerkannter Beratungsstellen, Sozialarbeiter sowie Mitarbeiter privater Kranken-, Unfall- oder Lebensversicherungen gelten und führt diesbezüglich aus, dass für die Datenverarbeitung Verantwortliche geeignete technische und organisatorische Maßnahmen zu ergreifen haben, um ein angemessenes Schutzniveau der E-Mail-Kommunikation zu gewährleisten. 

Nach Art. 5 Abs. 1 lit. f DS-GVO müssten Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet.  Hierzu gehöre etwa der Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Schädigung durch geeignete technische und organisatorische Maßnahmen. In der Konsequenz müssen Berufsgeheimnisträger daher E-Mail-Kommunikation, die personenbezogene Daten enthält, dem Stand der Technik entsprechend datensicher organisieren, um sich keines Verstoßes gegen die genannten Normen vorwerfen lassen zu müssen.

Grundsätzlich sollten E-Mails mit personenbezogenen Daten, sofern diese nicht pseudonymisiert werden, mindestens mit einer „Transportverschlüsselung“ versendet werden. Bei  besonders sensiblen Daten sollte eine „Inhaltsverschlüsselung“ das Mittel der Wahl darstellen“, so der LfDI Rheinland-Pfalz.

Ein Unterschreiten der genannten Sicherheitsanforderungen sei datenschutzrechtlich hinnehmbar, sofern eine freiwillige und informierte Einwilligung der betroffenen Person in eine unverschlüsselte E-Mail-Kommunikation vorliege. Dies bedeute unter anderem,  dass der Berufsgeheimnisträger eine Verschlüsselung der E-Mail-Kommunikation angeboten haben müsse. Maßstab für die Anforderungen an eine derartige Einwilligung sei Art. 7 DS-GVO. Der Berufsgeheimnisträger habe hiernach nachzuweisen, dass die betroffene Person in Kenntnis aller Risiken durch entsprechende Aufklärung sein Einverständnis erteilt habe, unverschlüsselt zu kommunizieren.


Von einer informierten Einwilligung sei nicht auszugehen, wenn die betroffene Person, etwa ein Mandant, die unverschlüsselte E-Mail-Kommunikation begonnen habe.

Letztes Update:03.08.20

  • Geschäftsgeheimnisschutz in der Praxis: Know-how-Schutz und Synergien aus dem Datenschutz

    Geschäftsgeheimnisschutz in der Praxis: Know-how-Schutz und Synergien aus dem Datenschutz

    Online-Kompaktkurs

    138.04 € Mehr erfahren
  • Konzerndatenschutz

    Konzerndatenschutz

    Seminar

    678.60 € Mehr erfahren
  • Online-Kompaktkurs: Microsoft 365/Office 365 datenschutzrechtlich bändigen

    Online-Kompaktkurs: Microsoft 365/Office 365 datenschutzrechtlich bändigen

    Online-Kompaktkurs

    138.04 € Mehr erfahren
  • Betriebsarzt

    Die betriebsärztliche Datenverarbeitung

    Das Netzwerk Datenschutzexpertise beschäftigt sich in seiner aktuellen Veröffentlichung „Die Datenverarbeitung des Betriebsarztes – Hinweise zum datenschutzgerechten Umgang mit Patientendaten durch Betriebsärzte und betriebsärztliche Dienste“ mit einem Thema, welches nicht sonderlich oft im Rampenlicht des betrieblichen Datenschutzes und insbesondere des Beschäftigtendatenschutzes steht. Um so weniger nachvollziehbar ist die stiefmütterliche Behandlung des Themas in der Praxis

    Mehr erfahren
  • FAQ Auftragsverarbeitung

    FAQs zur Abgrenzung von Verantwortlichem, Auftragsverarbeiter und Joint Controller

    Jüngst hat der Europäische Datenschutzausschuss (EDSA) im Rahmen einer Konsultation zu diesem Thema den Versuch gestartet, eine noch klarere Abgrenzung für die Praxis zu finden, was die Abgrenzung des Verantwortlichen, des Auftragsverarbeiters und des gemeinsam Verantwortlichen angeht. Dazu hat der EDSA einen Entwurf für eine Stellungnahme zur Abgrenzung von Verantwortlichem, Auftragsverarbeiter und gemeinsam Verantwortlichen veröffentlicht

    Mehr erfahren
  • Sensibilisierung für Datenschutz auf einfachstem Wege

    Die Datenschutz-Grundverordnung (DS-GVO) verpflichtet jedes Unternehmen – unabhängig von seiner Größe – zur Implementierung eines Datenschutzmanagementsystems. Jeder Verantwortliche hat deswegen eine Datenschutzorganisation vorzuweisen, die in der Lage ist, die Einhaltung datenschutzrechtlicher Pflichten zu gewährleisten. Dies ergibt sich aus der Verantwortung des für die Verarbeitung Verantwortlichen (Art. 24 DS-GVO). Die allgemein geltende Accountability des Verantwortlichen (Art.

    Mehr erfahren