Datenschutz bei E-Mail: So kommunizieren Unternehmen DSGVO-konform

Datenschutz bei E-Mail: So kommunizieren Unternehmen DSGVO-konform

E-Mails gehören zu den wichtigsten Kommunikationsmitteln im Unternehmensalltag. Ob Kundenanfragen, Angebote, Rechnungen, Bewerbungen oder interne Abstimmungen: Jeden Tag werden zahlreiche Informationen per E-Mail verschickt, empfangen und gespeichert.

Dabei enthalten Nachrichten häufig personenbezogene Daten. Schon eine E-Mail-Adresse kann einer bestimmten Person zugeordnet werden. Hinzu kommen Namen, Telefonnummern, Vertragsinformationen, Bewerbungsunterlagen oder vertrauliche Dokumente im Anhang.

Für Unternehmen entstehen dadurch wichtige Datenschutzfragen. Dürfen personenbezogene Daten per E-Mail verschickt werden? Wann ist eine Verschlüsselung notwendig? Welche Regeln gelten für Newsletter? Und wie müssen Unternehmen reagieren, wenn eine Nachricht versehentlich beim falschen Empfänger landet?

Datenschutz bei E-Mail betrifft deshalb nicht nur den technischen Versand. Entscheidend sind auch die Rechtsgrundlagen, Zugriffsberechtigungen, die Auswahl des E-Mail-Anbieters und klare interne Abläufe.

Die Datenschutz-Grundverordnung verlangt, dass personenbezogene Daten rechtmäßig, transparent und mit einem angemessenen Schutzniveau verarbeitet werden. Das gilt auch für die alltägliche E-Mail-Kommunikation.

Dieser Beitrag erklärt, welche Datenschutzanforderungen Unternehmen beachten müssen, welche Risiken beim E-Mail-Versand entstehen und wie sich geschäftliche E-Mails sicher und DSGVO-konform organisieren lassen.

Warum ist Datenschutz bei E-Mails so wichtig?

E-Mail-Kommunikation wirkt auf den ersten Blick unkompliziert. Eine Nachricht wird geschrieben, der Empfänger ausgewählt und die E-Mail versendet.

Aus Datenschutzsicht umfasst dieser Vorgang jedoch mehrere Verarbeitungsschritte. Informationen werden auf Geräten und E-Mail-Servern gespeichert, über Netzwerke übertragen und im Postfach des Empfängers verarbeitet.

Dabei können unterschiedliche Unternehmen und Dienstleister beteiligt sein.

Besonders relevant wird dies, wenn E-Mails personenbezogene oder vertrauliche Informationen enthalten.

Typische Beispiele sind:

• Kundenanfragen mit Namen und Kontaktdaten
• Angebote und Verträge mit personenbezogenen Angaben
• Rechnungen und Zahlungsinformationen
• Bewerbungsunterlagen und Beschäftigtendaten
• Interne Personalangelegenheiten
• Terminvereinbarungen und Gesprächsnotizen
• Gesundheitsdaten oder andere sensible Informationen

Schon kleine Fehler können erhebliche Auswirkungen haben. Eine falsch eingetragene E-Mail-Adresse oder ein versehentlich offengelegter Verteiler kann dazu führen, dass Unbefugte personenbezogene Daten erhalten.

Unternehmen sollten deshalb klare Regeln für den Versand, den Empfang und die Speicherung geschäftlicher E-Mails schaffen.

Eine professionelle Datenschutzberatung unterstützt dabei, bestehende Prozesse zu bewerten und geeignete Sicherheitsmaßnahmen festzulegen.

Welche DSGVO-Anforderungen gelten für E-Mails?

Die DSGVO gilt immer dann, wenn personenbezogene Daten verarbeitet werden und die Verarbeitung in ihren Anwendungsbereich fällt.

Dabei ist es unerheblich, ob Informationen in einer Datenbank, einem CRM-System oder in einem E-Mail-Postfach gespeichert werden.

Für die geschäftliche E-Mail-Kommunikation sind insbesondere folgende Grundsätze relevant:

• Rechtmäßigkeit: Die Verarbeitung benötigt eine geeignete Rechtsgrundlage.
• Zweckbindung: Personenbezogene Daten dürfen nur für festgelegte, zulässige Zwecke verwendet werden.
• Datenminimierung: E-Mails sollten nur erforderliche personenbezogene Informationen enthalten.
• Speicherbegrenzung: Nachrichten dürfen nicht unbegrenzt ohne rechtfertigenden Grund gespeichert bleiben.
• Vertraulichkeit: Unbefugte dürfen keinen Zugriff auf personenbezogene Informationen erhalten.
• Rechenschaftspflicht: Unternehmen müssen die Einhaltung datenschutzrechtlicher Anforderungen nachweisen können.

Besonders wichtig ist die Unterscheidung zwischen gewöhnlicher Geschäftskommunikation und E-Mail-Werbung.

Nicht jede geschäftliche E-Mail benötigt eine Einwilligung. Beispielsweise kann die Kommunikation zur Durchführung eines Vertrags auf Artikel 6 Absatz 1 Buchstabe b DSGVO gestützt werden. Auch berechtigte Interessen nach Artikel 6 Absatz 1 Buchstabe f DSGVO können je nach Situation relevant sein.

Bei Newslettern und werblichen Nachrichten gelten zusätzliche Anforderungen.

Dürfen personenbezogene Daten per E-Mail versendet werden?

Grundsätzlich ja. Die DSGVO verbietet nicht, personenbezogene Daten per E-Mail zu übertragen.

Unternehmen müssen jedoch sicherstellen, dass die Verarbeitung rechtmäßig ist und die Risiken durch geeignete Schutzmaßnahmen begrenzt werden.

Entscheidend ist insbesondere, welche Daten übermittelt werden.

Eine gewöhnliche Terminbestätigung mit Namen und Uhrzeit stellt typischerweise andere Anforderungen an die Sicherheit als die Übermittlung medizinischer Befunde oder vertraulicher Personaldokumente.

Unternehmen sollten deshalb vor dem Versand prüfen, ob die E-Mail tatsächlich der geeignete Kommunikationsweg ist.

Bei besonders sensiblen Informationen können zusätzliche Verschlüsselung oder ein geschütztes Kundenportal sinnvoll beziehungsweise erforderlich sein.

Auch die Betreffzeile sollte möglichst keine besonders vertraulichen Informationen enthalten. Bei gängigen Verschlüsselungsverfahren können bestimmte Metadaten der Kommunikation weiterhin sichtbar bleiben.

E-Mail-Verschlüsselung: Was verlangt die DSGVO?

Die Verschlüsselung zählt zu den wichtigsten technischen Maßnahmen beim Datenschutz von E-Mails.

Artikel 32 DSGVO verlangt ein angemessenes Schutzniveau unter Berücksichtigung der Risiken der jeweiligen Verarbeitung.

Die Datenschutzkonferenz unterscheidet bei E-Mails insbesondere zwischen Transportverschlüsselung und Ende-zu-Ende-Verschlüsselung.

Transportverschlüsselung mit TLS

Bei der Transportverschlüsselung werden E-Mails während der Übertragung zwischen beteiligten Systemen geschützt.

Hierfür wird häufig Transport Layer Security, kurz TLS, verwendet.

Die Transportverschlüsselung erschwert es unbefugten Dritten, Nachrichten während der Übertragung mitzulesen.

Allerdings bedeutet das nicht, dass die E-Mail vom Absender bis zum Empfänger durchgehend ausschließlich für beide lesbar bleibt. Auf beteiligten Mailservern können Inhalte grundsätzlich entschlüsselt verarbeitet werden.

Für gewöhnliche geschäftliche Kommunikation kann eine angemessen konfigurierte Transportverschlüsselung ausreichend sein.

Ende-zu-Ende-Verschlüsselung

Bei der Ende-zu-Ende-Verschlüsselung werden Nachrichteninhalte so verschlüsselt, dass grundsätzlich nur die berechtigten Kommunikationspartner sie entschlüsseln können.

Bekannte Verfahren sind S/MIME und OpenPGP.

Damit lässt sich der Inhalt einer E-Mail zusätzlich gegenüber zwischengeschalteten Systemen schützen.

Bei einem hohen Risiko für die Rechte und Freiheiten betroffener Personen kann eine solche Verschlüsselung erforderlich sein. Welche Maßnahmen konkret notwendig sind, hängt von der Risikobewertung ab.

Sind passwortgeschützte Anhänge eine Alternative?

Passwortgeschützte und angemessen verschlüsselte Dateien können einen zusätzlichen Schutz bieten.

Allerdings kommt es auf das eingesetzte Verfahren, die Stärke des Passworts und die Übermittlung des Passworts an.

Wird das Passwort in derselben E-Mail verschickt, ist der zusätzliche Schutz erheblich eingeschränkt.

Bei besonders sensiblen Dokumenten sollte deshalb geprüft werden, ob ein geeignetes Ende-zu-Ende-Verfahren oder ein geschütztes Austauschportal die bessere Lösung darstellt.

Sensible personenbezogene Daten per E-Mail versenden

Besondere Vorsicht ist erforderlich, wenn E-Mails Gesundheitsdaten, Beschäftigtendaten oder andere besonders schutzbedürftige Informationen enthalten.

Dazu gehören beispielsweise:

• Medizinische Befunde und Diagnosen
• Informationen über Krankmeldungen
• Vertrauliche Personalunterlagen
• Dokumente zu arbeitsrechtlichen Maßnahmen
• Ausweiskopien und Identitätsnachweise
• Finanzinformationen mit erhöhtem Missbrauchsrisiko

Bei besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO müssen zusätzlich die dafür geltenden Verarbeitungsvoraussetzungen erfüllt sein.

Unternehmen sollten möglichst vermeiden, solche Informationen ungeschützt an größere Verteiler oder unbekannte Empfänger zu versenden.

Eine strukturierte Prüfung des Schutzbedarfs hilft dabei, festzulegen, welche Informationen per normaler E-Mail übermittelt werden dürfen und wann zusätzliche Sicherheitsmaßnahmen notwendig sind.

CC und BCC: Datenschutz bei E-Mail-Verteilern

Ein besonders häufiger Datenschutzfehler entsteht beim Versand von E-Mails an mehrere Empfänger.

Wer Adressen in das CC-Feld einträgt, macht diese grundsätzlich für die anderen Empfänger sichtbar.

Das kann problematisch sein, wenn die Empfänger untereinander nicht wissen sollen, wer ebenfalls angeschrieben wurde.

Ein typisches Beispiel ist eine Rundmail an zahlreiche Kunden, bei der sämtliche E-Mail-Adressen versehentlich offengelegt werden.

Wann sollte BCC verwendet werden?

Das BCC-Feld ermöglicht es, Empfängeradressen gegenüber anderen Empfängern zu verbergen.

Für einfache Rundmails kann dies eine geeignete Maßnahme sein, wenn die Adressaten gegenseitig nicht sichtbar sein sollen.

Bei größeren Verteilern oder regelmäßig versendeten Newslettern sind spezialisierte Versandlösungen allerdings häufig besser geeignet.

Unternehmen sollten Mitarbeitende deshalb ausdrücklich über die Unterschiede zwischen An, CC und BCC informieren.

E-Mail-Dienstleister und Auftragsverarbeitung

Viele Unternehmen betreiben ihre E-Mail-Postfächer nicht auf eigenen Servern, sondern nutzen externe Anbieter.

Dazu gehören beispielsweise Cloud-E-Mail-Dienste, Hostinganbieter und verwaltete Unternehmenslösungen.

Wenn ein Dienstleister personenbezogene Daten im Auftrag des Unternehmens verarbeitet, sind die Anforderungen des Artikels 28 DSGVO zu beachten.

Hierzu gehört insbesondere eine geeignete Vereinbarung über die Auftragsverarbeitung.

Unternehmen sollten prüfen:

• Welche Daten der E-Mail-Anbieter verarbeitet
• Welche datenschutzrechtliche Rolle der Anbieter übernimmt
• Ob eine Auftragsverarbeitungsvereinbarung erforderlich ist
• Wo E-Mails und zugehörige Daten gespeichert werden
• Welche Unterauftragnehmer beteiligt sind
• Welche Sicherheitsmaßnahmen bestehen
• Ob internationale Datenübermittlungen stattfinden
• Welche Lösch- und Exportmöglichkeiten verfügbar sind

Ein Serverstandort innerhalb Europas ist dabei allein keine Garantie für eine vollständige DSGVO-Konformität.

Ebenso bedeutet die Nutzung eines bekannten E-Mail-Anbieters nicht automatisch, dass sämtliche Datenschutzanforderungen erfüllt sind.

Newsletter und E-Mail-Marketing: Wann ist eine Einwilligung notwendig?

Bei Newslettern und werblichen E-Mails gelten strengere Anforderungen als bei gewöhnlicher Geschäftskommunikation.

In Deutschland ist insbesondere § 7 UWG relevant.

Für Werbung per E-Mail ist grundsätzlich eine vorherige ausdrückliche Einwilligung des Empfängers erforderlich. Das gilt auch im B2B-Bereich.

Eine Ausnahme besteht unter den engen Voraussetzungen des § 7 Absatz 3 UWG für bestimmte Werbung an Bestandskunden.

Dafür müssen sämtliche gesetzlichen Bedingungen erfüllt sein. Unter anderem muss die Adresse im Zusammenhang mit einem Verkauf erhalten worden sein, die Werbung eigene ähnliche Produkte oder Dienstleistungen betreffen und eine Widerspruchsmöglichkeit bestehen.

Double-Opt-in beim Newsletter

Beim Double-Opt-in-Verfahren bestätigt der Empfänger seine Anmeldung über eine zusätzliche E-Mail.

Dieses Verfahren wird häufig eingesetzt, um Einwilligungen nachvollziehbar zu dokumentieren und unberechtigte Anmeldungen zu reduzieren.

Eine gesetzliche Pflicht, immer genau dieses technische Verfahren einzusetzen, besteht nicht pauschal. Unternehmen müssen jedoch erforderliche Einwilligungen nachweisen können.

Tracking-Pixel in Newslettern

Viele Newsletter-Systeme ermöglichen es, Öffnungen oder Klicks einzelner Empfänger auszuwerten.

Dafür können beispielsweise Tracking-Pixel oder personalisierte Links eingesetzt werden.

Solche Funktionen sind datenschutzrechtlich gesondert zu prüfen. Je nach technischer Umsetzung und Datenverarbeitung können zusätzliche Einwilligungsanforderungen bestehen.

Unternehmen sollten Newsletter deshalb nicht nur hinsichtlich der Anmeldung, sondern auch hinsichtlich der eingesetzten Trackingfunktionen bewerten.

Datenschutz bei Mitarbeiter-E-Mails

In Unternehmen stellt sich häufig die Frage, wer auf geschäftliche E-Mail-Postfächer zugreifen darf.

Besonders relevant wird dies bei längerer Abwesenheit, Krankheit oder dem Ausscheiden von Mitarbeitenden.

Arbeitgeber sollten klare Regelungen für die Nutzung geschäftlicher E-Mail-Konten festlegen.

Dabei ist unter anderem zu unterscheiden, ob die private Nutzung des dienstlichen Postfachs erlaubt ist.

Wenn private Kommunikation zugelassen wird, können zusätzliche datenschutzrechtliche und persönlichkeitsrechtliche Fragen beim Zugriff auf das Postfach entstehen.

Auch bei ausschließlich geschäftlicher Nutzung ist ein uneingeschränkter Zugriff auf sämtliche Nachrichten nicht automatisch zulässig.

Unternehmen sollten deshalb transparente Vertretungsregelungen, geeignete Berechtigungskonzepte und klare Prozesse für ausgeschiedene Mitarbeitende schaffen.

Eine regelmäßige Sensibilisierung durch Datenschutzschulungen für Mitarbeitende unterstützt dabei, den sicheren Umgang mit E-Mails im Arbeitsalltag zu verbessern.

Phishing, Spam und technische E-Mail-Sicherheit

Neben dem Datenschutz spielt die IT-Sicherheit eine zentrale Rolle.

Phishing-E-Mails versuchen beispielsweise, Zugangsdaten zu erlangen, Schadsoftware zu verbreiten oder Mitarbeitende zu betrügerischen Überweisungen zu bewegen.

Unternehmen sollten deshalb geeignete Schutzmaßnahmen umsetzen.

Dazu gehören:

• Mehr-Faktor-Authentifizierung für E-Mail-Konten
• Sichere Passwörter und Zugriffsverwaltung
• Spam- und Malware-Filter
• Regelmäßige Softwareupdates
• Schulungen zur Erkennung verdächtiger Nachrichten
• Überprüfung ungewöhnlicher Zahlungsaufforderungen
• Technische E-Mail-Authentifizierung mit SPF, DKIM und DMARC

SPF, DKIM und DMARC unterstützen die Prüfung von Absenderdomains und können bestimmte Formen der E-Mail-Fälschung erschweren.

Sie ersetzen jedoch keine Verschlüsselung vertraulicher Nachrichteninhalte.

Wie lange dürfen E-Mails gespeichert werden?

Nicht jede E-Mail darf unbegrenzt aufbewahrt werden.

Die DSGVO verlangt, dass personenbezogene Daten grundsätzlich nur so lange gespeichert werden, wie es für den jeweiligen Zweck erforderlich ist.

Gleichzeitig bestehen für bestimmte geschäftliche Unterlagen gesetzliche Aufbewahrungspflichten.

Dazu können beispielsweise handels- oder steuerrechtlich relevante E-Mails gehören.

Die konkrete Aufbewahrungsfrist richtet sich nach Inhalt und rechtlicher Einordnung der Nachricht.

Unternehmen sollten deshalb zwischen aufbewahrungspflichtigen Geschäftsunterlagen und gewöhnlicher Kommunikation unterscheiden.

Eine pauschale dauerhafte Speicherung sämtlicher E-Mails ist datenschutzrechtlich nicht ohne Weiteres gerechtfertigt.

Sinnvoll sind ein dokumentiertes Aufbewahrungs- und Löschkonzept sowie geeignete technische Funktionen zur Archivierung und Löschung.

Was tun, wenn eine E-Mail an den falschen Empfänger geht?

Der versehentliche Versand personenbezogener Daten an eine unberechtigte Person kann eine Datenschutzverletzung darstellen.

Das gilt beispielsweise, wenn vertrauliche Unterlagen an die falsche Adresse geschickt oder zahlreiche Empfängeradressen ungewollt offengelegt werden.

Unternehmen sollten dann möglichst schnell reagieren.

Wichtige Schritte sind:

1. Den Vorfall intern melden und dokumentieren.
2. Den Umfang der offengelegten Daten feststellen.
3. Geeignete Maßnahmen zur Schadensbegrenzung einleiten.
4. Das Risiko für die betroffenen Personen bewerten.
5. Prüfen, ob eine Meldung an die Aufsichtsbehörde erforderlich ist.

Nach Artikel 33 DSGVO müssen meldepflichtige Datenschutzverletzungen unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden.

Diese Pflicht besteht nicht bei jedem Fehlversand automatisch. Entscheidend ist die gesetzlich vorgesehene Risikobewertung.

Bei einem voraussichtlich hohen Risiko für Betroffene kann zusätzlich eine Benachrichtigung nach Artikel 34 DSGVO notwendig sein.

E-Mail-Datenschutz im Unternehmen organisieren

Technische Sicherheit allein genügt nicht. Mitarbeitende benötigen verständliche Regeln für den Umgang mit E-Mails, Anhängen und personenbezogenen Informationen.

Ein funktionierendes Datenschutzmanagement hilft dabei, die Kommunikation dauerhaft zu organisieren und Verantwortlichkeiten festzulegen.

Dazu gehören insbesondere eine geeignete E-Mail-Richtlinie, dokumentierte Schutzmaßnahmen, klare Löschfristen und festgelegte Meldewege für Datenschutzvorfälle.

Auch neue E-Mail-Dienste, Newsletter-Systeme oder KI-Funktionen sollten vor ihrer Einführung geprüft werden.

So können Unternehmen vermeiden, dass Datenschutzmaßnahmen nur auf dem Papier bestehen.

Checkliste: E-Mails DSGVO-konform versenden

Mit einer strukturierten Prüfung lassen sich viele typische Risiken im E-Mail-Verkehr reduzieren.

1. Rechtsgrundlage prüfen - Stellen Sie sicher, dass die jeweilige Verarbeitung personenbezogener Daten auf einer geeigneten Rechtsgrundlage beruht.
2. Verschlüsselung angemessen einsetzen - Nutzen Sie geeignete Transportverschlüsselung und prüfen Sie bei besonders sensiblen Daten zusätzliche Schutzmaßnahmen.
3. Empfänger kontrollieren - Überprüfen Sie Adressen und Anhänge vor dem Versand. Nutzen Sie BCC, wenn Empfängeradressen untereinander nicht offengelegt werden sollen.
4. E-Mail-Dienstleister bewerten - Prüfen Sie Vertragsbedingungen, Auftragsverarbeitung, Speicherorte und Sicherheitsmaßnahmen des eingesetzten Anbieters.
5. Newsletter rechtskonform gestalten - Beachten Sie die Anforderungen an E-Mail-Werbung, dokumentieren Sie erforderliche Einwilligungen und ermöglichen Sie den Widerspruch beziehungsweise die Abmeldung.
6. Aufbewahrung und Löschung regeln - Definieren Sie, welche Nachrichten archiviert werden müssen und wann personenbezogene Daten zu löschen sind.
7. Mitarbeitende sensibilisieren - Schulen Sie Ihre Teams zu Fehlversand, Phishing, Verschlüsselung, Datenschutzverletzungen und sicherer Kommunikation.

Typische Datenschutzfehler beim E-Mail-Versand

Viele Datenschutzprobleme entstehen durch alltägliche Unachtsamkeiten oder fehlende Unternehmensrichtlinien.

Häufige Fehler sind:

• Vertrauliche Dokumente werden ungeschützt verschickt.
• Empfängeradressen werden versehentlich im CC-Feld offengelegt.
• Newsletter werden ohne ausreichende Rechtsgrundlage versendet.
• Private E-Mail-Konten werden für Unternehmensdaten genutzt.
• Berechtigungen ehemaliger Mitarbeitender bleiben aktiv.
• Aufbewahrungspflichten und Löschfristen sind nicht geregelt.
• Datenschutzvorfälle werden zu spät erkannt oder gemeldet.
• Mitarbeitende erhalten keine ausreichenden Informationen zur sicheren E-Mail-Nutzung.

Solche Fehler lassen sich durch klare Prozesse, technische Maßnahmen und regelmäßige Schulungen deutlich reduzieren.

Wie CAS Datenschutz bei E-Mail-Datenschutz unterstützt

CAS Datenschutz unterstützt Unternehmen dabei, ihre geschäftliche E-Mail-Kommunikation datenschutzrechtlich zu bewerten und sichere Prozesse aufzubauen.

Dabei geht es um die Prüfung von E-Mail-Dienstleistern, Verschlüsselungsmaßnahmen, Newsletter-Systemen, Aufbewahrungsregeln, Zugriffsberechtigungen und internen Richtlinien.

Auch die Sensibilisierung von Mitarbeitenden und der richtige Umgang mit Datenschutzvorfällen gehören zu einer umfassenden Datenschutzorganisation.

Ziel ist eine E-Mail-Kommunikation, die effizient funktioniert und personenbezogene Daten angemessen schützt.

Sie möchten den Datenschutz Ihrer geschäftlichen E-Mail-Kommunikation überprüfen lassen? Vereinbaren Sie einen kostenlosen Ersttermin mit CAS Datenschutz und klären Sie, welche Maßnahmen für Ihr Unternehmen sinnvoll sind.

Fazit: Datenschutz bei E-Mail braucht klare Regeln

E-Mails bleiben ein unverzichtbares Kommunikationsmittel für Unternehmen. Gleichzeitig entstehen beim Versand, Empfang und bei der Speicherung personenbezogener Daten unterschiedliche Datenschutzrisiken.

Entscheidend sind die passende Rechtsgrundlage, sichere Übertragungsverfahren, sorgfältige Empfängerauswahl und klare organisatorische Vorgaben.

Auch Newsletter, E-Mail-Dienstleister und die Aufbewahrung geschäftlicher Nachrichten müssen angemessen berücksichtigt werden.

Datenschutz bei E-Mail funktioniert am besten, wenn Unternehmen technische Schutzmaßnahmen mit verständlichen Regeln und geschulten Mitarbeitenden verbinden.

So lassen sich Risiken reduzieren und personenbezogene Informationen im Geschäftsalltag verantwortungsvoll verarbeiten.

FAQ

Häufig gestellte Fragen zu E-Mail Datenschutz

Ist der Versand personenbezogener Daten per E-Mail erlaubt?

Ja. Personenbezogene Daten dürfen grundsätzlich per E-Mail versendet werden, wenn eine geeignete Rechtsgrundlage besteht und angemessene Sicherheitsmaßnahmen umgesetzt werden. Bei besonders sensiblen Informationen können zusätzliche Schutzmaßnahmen erforderlich sein.

Müssen geschäftliche E-Mails verschlüsselt werden?

Die DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Geeignete Transportverschlüsselung gehört zu den grundlegenden Schutzmaßnahmen. Bei besonders sensiblen Daten kann zusätzlich eine Ende-zu-Ende-Verschlüsselung oder ein vergleichbar sicherer Übermittlungsweg erforderlich sein.

Was ist der Unterschied zwischen TLS und Ende-zu-Ende-Verschlüsselung?

TLS schützt die Übertragung zwischen beteiligten Systemen. Bei einer Ende-zu-Ende-Verschlüsselung können grundsätzlich nur die berechtigten Kommunikationspartner die verschlüsselten Nachrichteninhalte lesen. Dadurch entsteht ein weitergehender Vertraulichkeitsschutz.

Dürfen Unternehmen Newsletter ohne Einwilligung verschicken?

Für Werbung per E-Mail ist grundsätzlich eine vorherige ausdrückliche Einwilligung erforderlich. Unter den engen Voraussetzungen des § 7 Absatz 3 UWG ist bestimmte Werbung an Bestandskunden auch ohne gesonderte Einwilligung möglich.

Ist BCC beim Versand von Rundmails aus Datenschutzsicht notwendig?

BCC kann verhindern, dass Empfänger einer Rundmail gegenseitig ihre E-Mail-Adressen sehen. Ob es erforderlich ist, hängt von der konkreten Empfängersituation ab. Bei größeren Verteilern sind geeignete Versandlösungen häufig sinnvoller.

Wie lange müssen Unternehmen E-Mails aufbewahren?

Die Aufbewahrungsdauer hängt vom Inhalt der E-Mail ab. Für bestimmte geschäftliche Unterlagen gelten gesetzliche Aufbewahrungsfristen. Andere personenbezogene Informationen müssen grundsätzlich gelöscht werden, wenn ihre Speicherung nicht mehr erforderlich oder anderweitig gerechtfertigt ist.

Was passiert, wenn eine E-Mail an den falschen Empfänger gesendet wird?

Ein Fehlversand kann eine Datenschutzverletzung darstellen. Unternehmen müssen den Vorfall dokumentieren, das Risiko bewerten und gegebenenfalls die Aufsichtsbehörde informieren. Meldepflichtige Vorfälle sind unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden zu melden.