Welche Pflichten bestehen bei der E-Mail-Kommunikation?

Art. 5 Abs. 1 lit. f DSGVO · Art. 25 DSGVO · Art. 32 DSGVO · Stand 30.09.2026

Kurz gesagt

Nach der Orientierungshilfe der Datenschutzkonferenz ist eine Transportverschlüsselung per TLS für geschäftliche E-Mails das Minimum. Bei hohem Risiko, etwa bei Gesundheitsdaten, Finanzdaten oder Berufsgeheimnissen, ist grundsätzlich eine Ende-zu-Ende-Verschlüsselung nötig oder ein anderer sicherer Weg, etwa ein Portal. Prüfen Sie außerdem Fehlversand-Risiken und die Konfiguration Ihrer Mailserver.

Die DSK hat in ihrer Orientierungshilfe zur E-Mail-Verschlüsselung (2021) konkrete Anforderungen an die sichere E-Mail-Kommunikation festgelegt.

Transportverschlüsselung als Mindestmaß

TLS-Verschlüsselung ist für die E-Mail-Kommunikation der Mindeststandard (Basis-Schutz bei normalen Risiken). Alle Mailserver müssen TLS unterstützen.

Ende-zu-Ende-Verschlüsselung bei hohem Risiko

Bei hohen Risiken, insbesondere bei Gesundheitsdaten, Anwaltskommunikation, Finanzdaten und anderen Berufsgeheimnissen (§ 203 StGB), ist eine Ende-zu-Ende-Verschlüsselung (S/MIME oder OpenPGP) Pflicht. Wenn sichere E-Mail-Übermittlung nicht möglich ist, muss ein anderer Kommunikationskanal gewählt werden (z. B. Webportal).

Weitere Maßnahmen

DKIM-Signaturen und SPF konfigurieren (Integritätsschutz)
E-Mail-Diensteanbieter auf BSI-TR-03108-1-Konformität prüfen
Risikoeinstufung der E-Mail-Kommunikation vornehmen und dokumentieren

Die E-Mail-Verschlüsselung ist Teil Ihrer technischen und organisatorischen Maßnahmen. Geht eine E-Mail an den falschen Empfänger, prüfen Sie die Meldepflicht unter Datenpanne melden.

Rechtsgrundlagen

Art. 5 Abs. 1 lit. f DSGVOArt. 25 DSGVOArt. 32 DSGVODSK OH E-Mail-Verschlüsselung (2021)

Dieser Artikel erklärt die Rechtslage allgemein und ersetzt keine Rechtsberatung im Einzelfall.