Kaum ein Kommunikationskanal wird im Geschäftsalltag so selbstverständlich genutzt wie die E-Mail – und kaum einer birgt bei unzureichender Absicherung so viel datenschutzrechtliches Konfliktpotenzial. Zwei Gerichtsentscheidungen aus den letzten Jahren zum Rechnungsversand per E-Mail zeigen, dass die Frage nach dem „richtigen“ Verschlüsselungsniveau in der Rechtsprechung weiterhin differenziert beantwortet wird. Ein guter Anlass, den gesetzlichen Rahmen und die bestehende Grauzone einzuordnen.
Der rechtliche Ausgangspunkt: Risikobasierter Ansatz statt starrer Vorgaben
Die DSGVO gibt keine konkrete Liste technischer Pflichtmaßnahmen für die E-Mail-Verschlüsselung vor. Der Art. 32 DSGVO verlangt vielmehr, dass u. a. Verantwortliche unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Eintrittswahrscheinlichkeit und Schwere der Risiken ein dem Risiko angemessenes Schutzniveau gewährleisten. Wie diese abstrakte Vorgabe konkret umzusetzen ist, hat die Datenschutzkonferenz (DSK) in ihrer Orientierungshilfe „Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail“ (Stand: 16.06.2021) praxisnah dargelegt. Die Orientierungshilfe unterscheidet dabei konsequent zwischen normalen und hohen Risiken für die Rechte und Freiheiten der Betroffenen.
Wichtig: Die Orientierungshilfe betrachtet typische Verarbeitungssituationen und leitet aus den DSGVO-Parametern „Stand der Technik“, „Implementierungskosten“ und „Risiko“ Maßnahmen für die E-Mail-Übermittlung ab. Hierbei beschränkt sie sich auf Transportrisiken – Risiken ruhender oder weiterverarbeiteter Daten sind nicht erfasst. Aus besonderen Übermittlungsumständen, insbesondere bzgl. Umfang und Zweck, können sich abweichende Anforderungen ergeben.
Was muss: die Mindestanforderungen
Bei normalen Risiken – also dem alltäglichen Versand personenbezogener Daten ohne besondere Sensibilität – verlangt die DSK-Orientierungshilfe von Verantwortlichen mindestens eine obligatorische Transportverschlüsselung.
Technisch bedeutet dies laut Aussage der DSK: Der E-Mail-Server müsse den Aufbau einer TLS-Verbindung erzwingen, entweder direkt per SMTPS oder über den STARTTLS-Befehl, und dabei ausschließlich die von dem Bundesamt für Sicherheit in der Informationstechnik (BSI) in der Richtlinie BSI TR-02102-2 zugelassenen Algorithmen verwenden (Anmerkung der Autorin: Die von der DSK erwähnte Richtlinie BSI TR-02102-2 liegt in einer neueren Version 2026-01 vor).
Unterstützt die Gegenstelle kein TLS, müsse die Verbindung abgebrochen werden – eine unverschlüsselte Übertragung sei keine Option. Wer solche E-Mail-Diensteanbieter beauftragt, müsse sich zudem vergewissern, dass diese die technischen Anforderungen des BSI (TR-03108-1) erfüllen (Anmerkung der Autorin: Das BSI hat die Richtlinie TR-03108-1 weiterentwickelt. Diese liegt als technische Richtlinie „Sicherer E-Mail-Transport“ in der neuen TR-03108 vor und wird durch die technische Richtlinie BSI TR-03182 zur E-Mail-Authentifizierung ergänzt). Die Transportverschlüsselung stellt also die Untergrenze zur Absicherung von Datenübermittlungen per E-Mail dar.
Was sollte: der empfohlene Standard bei erhöhtem Risiko
Steigt das Risiko – etwa, weil ein Vertraulichkeitsbruch zu einem hohen finanziellen oder immateriellen Schaden der betroffenen Person führen kann, oder weil ein Berufsgeheimnis betroffen ist –, reicht die einfache Transportverschlüsselung nach der Orientierungshilfe der DSK nicht mehr aus. Gefordert werden dann eine qualifizierte Transportverschlüsselung (z. B. DNS-based Authentication of Named Entities (DANE) oder Domain Name System Security Extensions (DNSSEC)) sowie regelmäßig zusätzlich eine Ende-zu-Ende-Verschlüsselung über S/MIME oder OpenPGP. Detaillierte Ausführungen zu einzelnen Sicherheitsmaßnahmen bietet auch die entsprechende Übersicht des BSI. Für weitere besondere Szenarien, bspw. den Versand von Sozialdaten, verlangen Aufsichtsbehörden eine Inhaltsverschlüsselung.
Genau an dieser Schwelle setzt die aktuelle Rechtsprechung an und verdeutlicht eine auffällige Uneinigkeit der Gerichte:
Das Oberlandesgericht (OLG) Schleswig entschied im Dezember 2024 (Az.: 12 U 9/24), dass ein Handwerksbetrieb beim Versand einer Rechnung über gut 15.000 Euro per E-Mail, die lediglich per Transportverschlüsselung geschützt war, gegen Art. 5, 24 und 32 DSGVO verstoßen habe, weil das hohe finanzielle Risiko einer Rechnungsmanipulation eine Ende-zu-Ende-Verschlüsselung erfordert hätte (wir berichteten). Dem Kunden, dessen überwiesenes Geld nach einer gefälschten Rechnung bei Unbekannten landete, wurde ein Schadensersatzanspruch nach Art. 82 DSGVO zugesprochen.
Das Landgericht (LG) Karlsruhe hingegen kam im Mai 2026 (Az.: 8 O 266/25) in einem ähnlich gelagerten Fall – jedoch mit einer weitaus höheren Rechnungssumme von rund 109.000 Euro – zu einem gegenteiligen Ergebnis: Manipuliert wurde hier eine per transportverschlüsselter E-Mail versendete Rechnung für den Erwerb von Goldbarren. Nach Feststellung des Gerichtes lasse sich eine allgemeine Pflicht zur Ende-zu-Ende-Verschlüsselung von Rechnungen weder aus der DSGVO noch aus vertraglichen Nebenpflichten ableiten; die Transportverschlüsselung hingegen genüge den üblichen Sicherheitserwartungen des Geschäftsverkehrs. Zudem verneinte das Gericht in diesem Fall hinsichtlich der Frage nach dem Schadensersatzanspruch gemäß Art. 82 DSGVO bereits den Anwendungsbereich der DSGVO, weil die manipulierten Daten – die Bankverbindung des Vertragspartners – keine personenbezogenen Daten der betroffenen Person seien.
Auch das LG Rostock hat in seinem Urteil vom 20.11.2024 (Az.: 2 O 450/24, wir berichteten) keine zwingenden Sicherheitsvorgaben für den E-Mail-Verkehr angenommen. Vielmehr müssen Betroffene, wenn diese einvernehmlich per E-Mail kommunizieren, auf deutliche Manipulationshinweise, wie z. B. Rechtschreibfehler, kryptisch abgebildete Umlaute oder Änderungen von bislang bekannten Bankverbindungen achten und Unstimmigkeiten im Zweifel prüfen bzw. klären. Weitere Ratschläge von Polizeibehörden und Banken dazu hat u. a. der MDR veröffentlicht.
Hinweis: Die Rechtsprechung ist an dieser Stelle noch nicht gefestigt. Da die Landgerichte in Karlsruhe und Rostock in der Instanzenhierarchie unter dem OLG Schleswig stehen und die Entscheidungen zeitlich eng beieinanderliegen, dürften weitere, möglicherweise obergerichtliche Klärungen folgen. Bis dahin sollten sich verantwortliche Stellen an dem strengeren Maßstab des OLG Schleswig (zumindest bei Rechnungen mit nennenswerten Beträgen) orientieren.
Fazit
Die Transportverschlüsselung ist die gesetzliche Untergrenze und sollte als Standard angesehen und umgesetzt werden. Bei erhöhtem Risiko, etwa bei sensiblen Inhalten oder Rechnungen mit hohem Betrag, ist die Ende-zu-Ende-Verschlüsselung nach überwiegender Auffassung der Aufsichtsbehörden und trotz der neueren, abweichenden Entscheidungen aus Karlsruhe und Rostock weiterhin die sicherere Wahl. Wer auf Nummer sicher gehen will, orientiert sich an der Risikoeinstufung der DSK-Orientierungshilfe und dokumentiert seine Risikobewertung nachvollziehbar. Sofern eine Ende-zu-Ende-Verschlüsselung nicht konsequent vorgegeben und technisch bei jedem E-Mail-Versand erzwungen wird, sollte, um Mitarbeitenden bei nicht eindeutigen Fällen ein langes Kopfzerbrechen zu ersparen, immer auch der direkte Kontakt mit dem*der Datenschutzbeauftragten nahegelegt werden. Auch können z. B. Szenarien und Fragen aus der Praxis gesammelt und zusammen mit dem*der Datenschutzbeauftragten ein internes FAQ zum Thema E-Mail-Versand und Verschlüsselung erarbeitet werden. Allem voran steht aber die Schaffung der technischen Voraussetzung für die Ende-zu-Ende-Verschlüsselung der E-Mails.
Keine Kommentare