TOMs für den E-Mail-Versand

TOMs für den E-Mail-Versand

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) erläutert in einem aktuellen Beitrag, welche technischen Anforderungen und welche technischen und organisatorischen Maßnahmen ihrer Meinung nach bei dem Versand einer E-Mail beachtet werden sollten.

Zunächst wird darauf hingewiesen, bei einer datenschutzrechtlichen Beurteilung sowohl die Inhaltsdaten (d.h. dem Text und ggf. vorhandener Anhänge) einer E-Mail, als auch deren sog. Metadaten (bspw. Absender, Empfänger, Zeitstempel etc) zu betrachten sind, da sowohl Inhalts- als auch Metadaten personenbezogene Daten beinhalten können.

Danach werden die unterschiedlichen Anforderungen bei der Übermittlung von E-Mails zwischen einer Verschlüsselung auf Inhaltsebene und einer Verschlüsselung auf Transportebene ausgearbeitet.

Die nach Ansicht der LDI NRW zu beachtenden TOMs werden abschließend wie folgt zusammengefasst:

  • Die Kommunikation per E-Mail bedarf mindestens der Transport-Verschlüsselung, wie sie von den namhaften europäischen Providern standardmäßig angeboten wird.
  • Die Transportverschlüsselung sollte entsprechend der Technischen Richtlinie „BSI TR-03108 Sicherer E-Mail-Transport“ implementiert sein. In Abhängigkeit vom Schutzbedarf der versendeten Daten und dem Risiko können Abweichungen von der Richtlinie statthaft sein.
  • Es ist zu berücksichtigen, dass bei einer Transportverschlüsselung die E-Mails auf den E-Mail-Servern im Klartext vorliegen und grundsätzlich einsehbar sind.  Bei besonders schützenswerten Daten (z.B. Kontobewegungsdaten, Finanzierungsdaten, Daten zum Gesundheitszustand, Mandantendaten von Rechtsanwälten und Steuerberatern, Beschäftigtendaten) ist eine alleinige Transportverschlüsselung möglicherweise nicht ausreichend. Zusätzliche technische und organisatorische Maßnahmen, wie z. B. eine Ende-zu-Ende-Verschlüsselung können geboten sein. Sollte dies nicht gewährleistet werden können, sind ggf. alternative Übertragungswege denkbar: Hierzu zählen der elektronische Austausch über eine gesicherte Verbindung (Web-Portal des Verantwortlichen mit Zugangsbeschränkungen) oder die klassische postalische Zusendung.
  • Der Betreff der E-Mail sollte keine personenbezogenen Daten enthalten.

Die LDI NRW weist daraufhin, dass die DSK aktuell Empfehlungen zur datenschutzkonformen E-Mail-Kommunikation ausarbeitet, so dass  die Ausführungen der LDI NRW unter dem Vorbehalt späterer Anpassungen an die Empfehlungen stehen.

Letztes Update:03.01.19

  • Gutrachten zur Umsetzung der Ds-GVO

    DS-GVO-Verstöße abmahnbar?

    Mit der Datenschutz-Grundverordnung (DS-GVO) war von Anfang an eine große Angst vor Abmahnungen im Falle von Verstößen gegen sie verbunden. Ob ein Verstoß gegen die DS-GVO abmahnfähig ist, bestimmt sich nach § 3a UWG danach, ob die verletzte Regelung eine Marktverhaltensregelung darstellt. Das OLG Naumburg (Urteil vom 07.November 2019,9 U 6/19) stellte dies nun für

    Mehr erfahren
  • Praxishilfen zum Gesundheitsdatenschutz

    Unter der Mitarbeit des GDD-Arbeitskreis „Datenschutz und Datensicherheit im Gesundheits- und Sozialwesen“ (AK GSW) wurden Praxishilfen zu den Themen „Datenschutz und klinische Register“ sowie „Datenschutz bei Klinischen Studien“ erarbeitet und veröffentlicht. Klinische Register und Datenschutz Die Arbeitshilfe „Datenschutz und klinische Register“ führt anhand ihres strukturellen Aufbaus durch die wesentlichen datenschutzrechtlichen Aspekte, die bei der Errichtung und

    Mehr erfahren
  • TOMs für den E-Mail-Versand

    Anforderungen für IT-Sicherheit der vertragsärztlichen und -zahnärztlichen Versorgung

    Die Kassenärztliche Bundesvereinigung (KBV) hat bis zum 30. Juni 2020 eine Richtlinie vorzulegen, womit die Anforderungen an die IT-Sicherheit in der vertragsärztlichen und -zahnärztlichen Versorgung geregelt werden sollen. Diese müssen geeignet sein, Störungen der informationstechnischen Systeme zu vermeiden. Dieser Auftrag des Gesetzgebers resultiert aus der Normierung eines neuen § 75b SGB V. Teil der Sicherung

    Mehr erfahren