E-Mail und die DSGVO für kleine Organisationen
Was bedeutet die DSGVO für E-Mail in einem kleinen Unternehmen?
Die DSGVO (Datenschutz-Grundverordnung) verpflichtet Sie, sorgfältig und gesichert mit personenbezogenen Daten umzugehen. E-Mail fällt voll darunter, denn ein Postfach steckt voller Namen, Adressen, Termine und manchmal sensibler Informationen.
Es gibt ein hartnäckiges Missverständnis, dass die DSGVO nur für große Unternehmen gilt. Das stimmt nicht: Die Regeln gelten für jeden, der personenbezogene Daten verarbeitet, vom Selbstständigen bis zum Verein, zur gemeinnützigen Organisation und zum KMU. Was wohl unterschiedlich ist, ist der Umfang dessen, was praktisch von Ihnen erwartet wird. Für eine kleine Organisation ist das in der Regel überschaubar zu halten.
Warum es zählt
Für ein kleines Unternehmen steht mehr auf dem Spiel als ein Bußgeld. Ihre Kunden, Mitglieder oder Patienten vertrauen Ihnen ihre Daten an. Leakt da etwas, betrifft das direkt Ihre Reputation, und die wiegen Sie als kleiner Akteur besonders schwer.
Es gibt auch einen konkreteren Schmerzpunkt. Viele kostenlose E-Mail-Dienste verdienen am Scannen von Inhalten, und bei Anbietern außerhalb Europas ist oft unklar, wo Ihre Daten landen. Das macht es schwierig nachzuweisen, dass Sie sorgfältig mit den Daten umgehen, die andere Ihnen anvertrauen. Können Sie in einem Satz erklären, wo Ihre Mail steht und wie sie gesichert ist, stehen Sie sofort stärker da.
Schließlich gibt es die Seelenruhe. Als kleine Organisation möchten Sie sich nicht jede Woche mit Datenschutzregeln beschäftigen. Eine gute Grundlage sorgt dafür, dass Sie das auch nicht müssen.
Wichtig ist auch der Unterschied zwischen „müssen“ und „nachweisen können“. Die DSGVO erwartet nicht nur, dass Sie sorgfältig handeln, sondern auch, dass Sie das zeigen können, wenn jemand danach fragt. Für eine kleine Organisation muss das kein dickes Dossier sein: zu wissen, wo Ihre Mail steht, welche Sicherheit aktiviert ist und wer Zugang hat, bringt Sie schon weit. Diese Klarheit hilft Ihnen zudem, wenn ein Kunde oder eine Aufsichtsbehörde jemals Fragen stellt.
Wie es funktioniert
Die DSGVO für Ihre E-Mail praktisch zu machen, läuft auf ein paar Handgriffe hinaus:
- Wählen Sie einen Anbieter, der in Europa hostet und die DSGVO einhält. Dann fällt Ihre Daten unter die europäischen Datenschutzregeln statt unter unbekannte ausländische Gesetzgebung. Was „DSGVO-konform“ genau beinhaltet, lesen Sie in DSGVO-konforme E-Mail: was bedeutet das.
- Sichern Sie den Zugang. Ein starkes Passwort und die Zwei-Faktor-Authentifizierung (2FA) halten Unbefugte draußen, und sorgen Sie dafür, dass Verbindungen verschlüsselt verlaufen.
- Versenden Sie bewusst. Nicht alles gehört in eine gewöhnliche Mail. Für sensible Daten gelten strengere Anforderungen; wägen Sie im Einzelfall ab, ob E-Mail der richtige Kanal ist.
- Halten Sie die Verwaltung in Ordnung. Geben Sie Menschen nur Zugang zu dem, was sie brauchen, räumen Sie alte oder ausscheidende Adressen auf und behalten Sie den Überblick, wer worauf zugreifen kann. Für Teams mit wechselnden Menschen ist das besonders wichtig.
- Brauchen Sie einen Auftragsverarbeiter, treffen Sie dann Vereinbarungen. Verarbeitet eine externe Partei personenbezogene Daten in Ihrem Namen, kann die DSGVO einen Auftragsverarbeitungsvertrag verlangen. Was in Ihrem Fall genau nötig ist, ist Maßarbeit.
Worauf Sie achten müssen
Ein paar häufige Fehler bei kleinen Organisationen:
- Denken, dass die DSGVO nicht für Sie gilt. Auch als Einzelunternehmen oder Verein verarbeiten Sie personenbezogene Daten. Die Regeln gelten, auch wenn die Last meist überschaubar ist.
- Eine kostenlose Adresse für geschäftliche Mail nutzen. Kostenlose Dienste scannen manchmal Inhalte für Werbung oder Profile, und eine Adresse wie
name@kostenloserdienstwirkt zudem weniger vertrauenswürdig als Ihre eigene Domain. - Mitgliederlisten und Kundendateien herummailen. Setzen Sie viele Adressen ins CC statt ins BCC, teilen Sie ungewollt personenbezogene Daten. Ein klassischer, leicht zu vermeidender Fehler.
- Ausscheidende Menschen vergessen. Bei einem Verein wechseln Vorstandsmitglieder. Sorgen Sie dafür, dass der Zugang sauber übertragen und alte Konten geschlossen werden.
- Den Datenstandort ignorieren. „Es steht in der Cloud“ sagt nichts über das Land der Server. Fragen Sie nach, wo Ihre Daten stehen.
Nochmals: Das sind allgemeine Anhaltspunkte, kein abschließendes juristisches Urteil für Ihre Situation. Ziehen Sie im Zweifel einen Spezialisten oder die belgische Datenschutzbehörde (GBA) zurate.
Und bei Mailflux
Mailflux legt die Grundlage, auf der eine kleine Organisation aufbauen kann: professionelle Postfächer auf Ihrer eigenen Domain, gehostet in Europa und DSGVO-konform, ohne dass Ihr Inhalt für Werbung gescannt wird. Verbindungen verlaufen verschlüsselt, und in jeder Formel stecken Filterung gegen Spam, Phishing und Malware, automatische Back-ups und optional Zwei-Faktor-Authentifizierung.
Für Teams gibt es die Sammelverwaltung von Konten, sodass Sie auf einmal mehrere Adressen anlegen und verwalten, plus 20 kostenlose Aliasse für Adressen wie info@ oder vorstand@. Arbeiten Sie als Selbstständiger, schauen Sie bei E-Mail für Selbstständige und Einzelunternehmer; für einen Verein gibt es E-Mail für Ihren Verein oder Ihre vzw.
FAQ
Häufig gestellte Fragen
Gilt die DSGVO auch für mein Einzelunternehmen oder meinen Verein?
Ja. Die DSGVO gilt für jeden, der personenbezogene Daten verarbeitet, unabhängig vom Umfang. Für ein kleines Unternehmen oder einen Verein ist die praktische Last meist begrenzt, aber die Grundregeln über Sorgfalt und Sicherheit gelten uneingeschränkt. Ziehen Sie im Zweifel einen Spezialisten zurate.
Darf ich als kleines Unternehmen Kundendaten per E-Mail versenden?
Oft ja, sofern Sie es sorgfältig und gesichert tun. Für sensible oder besondere personenbezogene Daten gelten strengere Anforderungen und ist gewöhnliche E-Mail längst nicht immer geeignet. Wägen Sie pro Nachricht ab, was Sie versenden und über welchen Kanal.
Brauche ich einen Auftragsverarbeitungsvertrag für meine E-Mail?
Das hängt von Ihrer Situation ab. Verarbeitet eine externe Partei personenbezogene Daten in Ihrem Namen, kann die DSGVO einen Auftragsverarbeitungsvertrag verlangen. Was genau nötig ist, unterscheidet sich je Fall; ziehen Sie im Zweifel einen Spezialisten zurate.
Muss ich alle E-Mails aufbewahren oder gerade löschen für die DSGVO?
Die DSGVO verlangt, dass Sie personenbezogene Daten nicht länger aufbewahren als für den Zweck nötig, für den Sie sie erhoben haben. Feste Fristen gibt das Gesetz für E-Mail nicht; es hängt von Ihrer Situation und eventuellen Branchenregeln ab. Räumen Sie auf, was Sie nicht mehr brauchen, und ziehen Sie im Zweifel einen Spezialisten zurate.