TOMs für den E-Mail-Versand

TOMs für den E-Mail-Versand

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) erläutert in einem aktuellen Beitrag, welche technischen Anforderungen und welche technischen und organisatorischen Maßnahmen ihrer Meinung nach bei dem Versand einer E-Mail beachtet werden sollten.

Zunächst wird darauf hingewiesen, bei einer datenschutzrechtlichen Beurteilung sowohl die Inhaltsdaten (d.h. dem Text und ggf. vorhandener Anhänge) einer E-Mail, als auch deren sog. Metadaten (bspw. Absender, Empfänger, Zeitstempel etc) zu betrachten sind, da sowohl Inhalts- als auch Metadaten personenbezogene Daten beinhalten können.

Danach werden die unterschiedlichen Anforderungen bei der Übermittlung von E-Mails zwischen einer Verschlüsselung auf Inhaltsebene und einer Verschlüsselung auf Transportebene ausgearbeitet.

Die nach Ansicht der LDI NRW zu beachtenden TOMs werden abschließend wie folgt zusammengefasst:

  • Die Kommunikation per E-Mail bedarf mindestens der Transport-Verschlüsselung, wie sie von den namhaften europäischen Providern standardmäßig angeboten wird.
  • Die Transportverschlüsselung sollte entsprechend der Technischen Richtlinie „BSI TR-03108 Sicherer E-Mail-Transport“ implementiert sein. In Abhängigkeit vom Schutzbedarf der versendeten Daten und dem Risiko können Abweichungen von der Richtlinie statthaft sein.
  • Es ist zu berücksichtigen, dass bei einer Transportverschlüsselung die E-Mails auf den E-Mail-Servern im Klartext vorliegen und grundsätzlich einsehbar sind.  Bei besonders schützenswerten Daten (z.B. Kontobewegungsdaten, Finanzierungsdaten, Daten zum Gesundheitszustand, Mandantendaten von Rechtsanwälten und Steuerberatern, Beschäftigtendaten) ist eine alleinige Transportverschlüsselung möglicherweise nicht ausreichend. Zusätzliche technische und organisatorische Maßnahmen, wie z. B. eine Ende-zu-Ende-Verschlüsselung können geboten sein. Sollte dies nicht gewährleistet werden können, sind ggf. alternative Übertragungswege denkbar: Hierzu zählen der elektronische Austausch über eine gesicherte Verbindung (Web-Portal des Verantwortlichen mit Zugangsbeschränkungen) oder die klassische postalische Zusendung.
  • Der Betreff der E-Mail sollte keine personenbezogenen Daten enthalten.

Die LDI NRW weist daraufhin, dass die DSK aktuell Empfehlungen zur datenschutzkonformen E-Mail-Kommunikation ausarbeitet, so dass  die Ausführungen der LDI NRW unter dem Vorbehalt späterer Anpassungen an die Empfehlungen stehen.

Letztes Update:03.01.19

  • Telematik: DSK positioniert sich zu Personenkennzeichen und Verantwortlichkeit

    Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder (DSK) hat sich gestern mit der Nutzung von einheitlichen, verwaltungsübergreifenden Personenkennzeichen zur direkten Identifizierung von Bürgerinnen und Bürgern befasst. Was die Bundesregierung derzeit verfolgt, lehnt die DSK hingegen ab. DSK gegen verwaltungsübergreifende Personenkennzeichen In ihrer diesbezüglichen Entschließung weist die DSK darauf hin, dass die Schaffung einer

    Mehr erfahren
  • Leitlinien Videoaufnahmen

    EDSA veröffentlicht Entwurf für Richtlinien bzgl. Videoaufnahmen

    Der Europäische Datenschutzausschuss (EDSA) hat kürzlich seine Leitlinien im Hinblick auf die Verarbeitung personenbezogener Daten durch Videoaufnahmen zur Konsultation veröffentlicht. Obwohl die Leitlinien Beispiele für die Datenverarbeitung durch Videoaufnahmen enthalten, erhebt der EDSA keinen Anspruch auf Vollständigkeit der Beispiele. Die Leitlinien sollen vielmehr Orientierung für die Anwendung der DS-GVO in allen Bereichen bieten, in denen

    Mehr erfahren
  • Haftung bei der AV

    Gesamtschuldnerische Haftung bei einer Auftragsverarbeitung

    Frage des GDD-Erfa-Kreises Würzburg:Nach der DS-GVO besteht nun in bestimmten Fällen eine gesamtschuldnerische Haftung von Auftraggeber und Auftragnehmer (Art. 82 DS-GVO). Kann hieraus abgeleitet werden, dass nun auch der Auftragnehmer für den Abschluss des ADV haftet, d.h. er hier in die Haftung genommen werden kann, wenn er sich weigert einen ADV zu unterzeichnen? Wenn der

    Mehr erfahren