Darf ich personenbezogene Daten per E-Mail versenden? (DSGVO)
Ist es erlaubt? Die kurze Antwort
Die DSGVO verbietet E-Mail nicht. Sie verlangt aber, dass Sie "angemessene technische und organisatorische Maßnahmen" treffen, um personenbezogene Daten zu schützen. In einfacher Sprache: Sie dürfen mailen, solange Sie das Risiko angemessen abdecken.
Was "angemessen" ist, hängt davon ab, wie sensibel die Daten sind. Eine Terminbestätigung mit einem Namen verlangt weniger als eine Krankenakte oder eine Kopie eines Ausweises. Je sensibler die Daten, desto stärker die Sicherheit, die Sie erwarten dürfen.
Warum es wichtig ist
Eine oft gehörte Bemerkung aus der Praxis: "E-Mail ist grundsätzlich unsicher". Das stimmt im Grundsatz. Eine gewöhnliche E-Mail reist über Server, die Sie nicht selbst verwalten, und ohne Maßnahmen kann eine Nachricht unterwegs prinzipiell abgefangen werden oder an einem Ort landen, an den sie nicht gehört.
Aber dem steht eine Nuance gegenüber: Mit verschlüsselten Verbindungen (wie erzwungenem TLS) ist E-Mail für viele Anwendungen gut einsetzbar. Die Nachricht ist dann unterwegs zwischen den Servern geschützt. Für einen DSGVO-sensiblen Profi (einen Arzt, Anwalt oder Buchhalter) ist dieser Unterschied wichtig: Er bestimmt, ob Sie ein Kundendatum getrost mailen können oder ob Sie ein zusätzliches Schloss brauchen. Mehr über diese Technik lesen Sie in Forced TLS und verschlüsselte Verbindungen erklärt.
Es hilft, die Diskussion nicht schwarz-weiß zu machen. "E-Mail darf nie für personenbezogene Daten" ist zu streng und in der Praxis unpraktikabel; "E-Mail ist immer sicher genug" ist zu einfach. Die Wahrheit liegt dazwischen: Es hängt von der Sensibilität der Daten und von den Maßnahmen ab, die Sie treffen. Genau deshalb ist eine gesicherte, europäische Grundlage so wertvoll, denn sie verschiebt Ihren Standard auf die sichere Seite.
Wie Sie personenbezogene Daten sicher per E-Mail versenden
Ein praktischer Leitfaden, von leicht bis schwer:
- Versenden Sie nur, was nötig ist. Je weniger personenbezogene Daten in einer Mail, desto kleiner das Risiko. Lassen Sie weg, was nicht hinein muss.
- Sorgen Sie für verschlüsselte Verbindungen. Verwenden Sie einen Anbieter, der verschlüsselte Verbindungen (TLS) unterstützt, sodass Nachrichten unterwegs geschützt sind.
- Sichern Sie den Zugang. Ein starkes Passwort und Zwei-Faktor-Authentifizierung (2FA) verhindern, dass jemand anderes in Ihr Postfach kann.
- Prüfen Sie den Adressaten. Eine falsche Adresse ist eine der häufigsten Ursachen von Datenpannen. Schauen Sie zweimal, bevor Sie versenden.
- Arbeiten Sie mit einem Anbieter, der in Europa hostet. Dann fallen Ihre Daten unter die DSGVO. Siehe europäisches E-Mail-Hosting auf Ihrer eigenen Domain.
Für den breiteren Ansatz, mit mehr praktischen Tipps, gibt es sicher mailen: praktischer Leitfaden.
Was meistens geht und was mehr Sorgfalt verlangt?
Ein Gespür für die Praxis hilft oft mehr, als die Regeln auswendig zu kennen. Grob:
Meist problemlos per E-Mail, sofern gesichert:
- eine Terminbestätigung mit Name und Datum
- ein Angebot oder eine Rechnung mit Namens- und Adressdaten
- gewöhnliche Kundenkorrespondenz ohne sensiblen Inhalt
Verlangt zusätzliche Sorgfalt oder einen sichereren Kanal:
- Gesundheits- oder medizinische Daten
- eine Kopie eines Ausweises oder einer Steuer-/Sozialversicherungsnummer
- große Dateien oder Exporte mit vielen Personen darin
- Daten über Glauben, Herkunft oder eine strafrechtliche Vergangenheit
Das ist eine Richtlinie, kein Gesetz. Der Kern ist jedes Mal dieselbe Abwägung: Wie sensibel sind die Daten, und habe ich das Risiko angemessen abgedeckt? Zweifeln Sie in einem konkreten Fall, dann ist eine kurze Rücksprache mit einem Spezialisten klüger als raten.
Worauf Sie achten müssen
- Besondere personenbezogene Daten verlangen mehr. Gesundheitsdaten, Daten über Herkunft, Glauben oder strafrechtliche Vergangenheit fallen unter ein strengeres Regime. Eine gewöhnliche, ungeschützte Mail ist dafür in der Regel nicht geeignet. Arbeiten Sie mit medizinischen oder Patientendaten, dann lesen Sie darf ich medizinische Daten per E-Mail versenden (DSGVO).
- Große Mengen oder ganze Dateien. Ein einzelnes Datum ist etwas anderes als ein Export mit hunderten Kunden. Bei größeren sensiblen Versendungen kann ein zusätzlich gesicherter Kanal klüger sein.
- Empfänger außerhalb Ihrer Kontrolle. Sie sichern Ihre eigene Seite, aber nicht die des anderen. Berücksichtigen Sie das bei wirklich sensiblem Inhalt.
- Bewahren Sie nicht endlos auf. Auch alte Mails mit personenbezogenen Daten sind ein Risiko. Räumen Sie auf, was Sie nicht mehr brauchen.
Das bleiben allgemeine Hinweise. Für Ihre spezifische Situation, gerade bei sensiblen Daten, ziehen Sie im Zweifel einen Spezialisten oder die belgische Datenschutzbehörde (GBA) zurate.
Und bei Mailflux
Mailflux gibt Ihnen eine solide Grundlage, um sorgfältig zu mailen. Ihre Postfächer liegen auf Ihrer eigenen Domain, in Europa gehostet und DSGVO-konform, und niemand liest ungefragt mit. In jedem Tarif stecken Filterung gegen Spam, Phishing und Malware, automatische Backups und optional Zwei-Faktor-Authentifizierung, sodass Sie den Zugang zu Ihrem Postfach gut sichern können.
So decken Sie einen großen Teil der "angemessenen Maßnahmen" ab, die die DSGVO erwartet, ohne dass Sie selbst einen Serverpark verwalten müssen. Was Sie in einem konkreten, sensiblen Fall genau tun müssen, bleibt Maßarbeit; dafür ziehen Sie im Zweifel einen Spezialisten zurate.
Wichtig zu behalten: Kein einziger Dienst macht Sie im Alleingang "DSGVO-sicher". Die Technik und der Datenstandort sind das Fundament, aber Ihre eigene Sorgfalt (die richtige Adresse wählen, nicht mehr versenden als nötig, sensible Daten zusätzlich sichern) bleibt ausschlaggebend. Ein guter Anbieter macht diese Sorgfalt nur ein gutes Stück einfacher.
FAQ
Häufig gestellte Fragen
Darf ich einfach so einen Kundennamen und eine Adresse mailen?
Meist schon, sofern Sie es gesichert tun und nicht mehr Daten versenden als nötig. Verwenden Sie einen Anbieter mit verschlüsselten Verbindungen und sichern Sie Ihr Postfach. Für sensible Daten gelten strengere Anforderungen.
Ist E-Mail sicher genug für personenbezogene Daten?
Gewöhnliche E-Mail ist nicht von selbst sicher, aber mit verschlüsselten Verbindungen (Forced TLS) und einem gut gesicherten Postfach ist sie für viele gewöhnliche personenbezogene Daten gut einsetzbar. Für besondere Daten ist oft zusätzliche Sicherheit nötig.
Was, wenn ich versehentlich an die falsche Adresse maile?
Eine falsch adressierte Mail mit personenbezogenen Daten kann eine Datenpanne sein. Prüfen Sie den Adressaten immer, bevor Sie versenden, und sehen Sie nach, welche Pflichten Sie bei Ihrer Datenschutzbehörde haben. Ziehen Sie im Zweifel einen Spezialisten zurate.