Titel: Infoblatt | Datenschutzerklärung - Einwilligung zum unverschlüsselten E-Mail-Versand V25-1
Beschreibung:
Schlagwörter: ALTBAYERISCHER Lohnsteuerhilfeverein e.V. • www.altbayerischer.de • info@altbayerischer.de V25-1 Arrow-Circle-Right Fazit Der Verein teilt bis auf Weiteres die Ansicht des BayLDA und möchte damit den Beratungsalltag unter Einhaltung der gesetzlichen Vorschriften der DSGVO so unkompliziert wie möglich gestalten. D. h. wir interpretieren diese Meinung auf das gesamte Bundesgebiet. Da anderslautende Reaktionen anderer Datenschutzbehörden bis dato nicht vorliegen, kann nicht ausgeschlossen werden, dass dieses Prozedere zu einem späteren Zeitpunkt revidiert werden muss. Grundsätzlich empfehlenswert wäre in jedem Fall die Kommunikation über die geschützte ALH Postbox. INFOBLATT | DATENSCHUTZERKLÄRUNG Einwilligung zum unverschlüsselten E-Mail-Versand Unverschlüsselter E-Mail-Versand möglich Der unverschlüsselte E-Mail-Versand an Mitglieder ist möglich, aber unter strengen Voraussetzungen: 1. schriftliche Einwilligung des Mitglieds ist zwingend notwendig UND 2. eine sichere Alternative ohne Medienbruch muss angeboten werden (ALH Postbox). Mit der Beitrittserklärung können Sie die schriftliche Einwilligung des Mitglieds zum unverschlüsselten E-Mail-Versand einholen. Zudem steht in Form der ALH Postbox eine sichere Alternative zur Kommunikation zur Verfügung. Hintergrund Der Verein ist verpflichtet in seinem Bereich für die Sicherheit der Verarbeitung zu sorgen. Das heißt, er muss für die Sicherheit einschließlich dem Schutz vor unbefugter oder unrechtmäßiger Verarbeitung, vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung geeignete technische und organisatorische Maßnahmen ergreifen. Dabei ist unter anderem der Stand der Technik sowie das Risiko für die Rechte und Freiheiten der betroffenen Personen zu berücksichtigen. Verschlüsselungsarten Die Sicherheit der Verarbeitung im Bereich des E-Mail-Versands wird durch Verschlüsselung sichergestellt. Grundsätzlich gibt es zwei Arten von E-Mail-Schlüsselungen – die Inhaltsverschlüsselung (S-MIME / PGP) und die Transportverschlüsselung (z. B. TLS 1.2). Inhaltsverschlüsselung - Transportverschlüsselung Bei der Inhaltsverschlüsselung ist die gesamte E-Mail mittels S-MIME oder PGP verschlüsselt. Der Aufwand für die Implementierung ist jedoch nicht zu unterschätzen und die Verbreitung / Akzeptanz gering. Bei der Transportverschlüsselung ist lediglich der Transportweg der E-Mail verschlüsselt, jedoch nur, wenn der Transport der E-Mail zwischen dem Sender und Empfänger direkt erfolgt. Erfolgt die Übertragung nicht direkt, sondern über weitere E-Mail-Server, ist die Transportverschlüsselung nicht mehr gewährleistet. Der Verein kann dabei jedoch nicht beeinflussen oder kontrollieren, dass der Transport der E-Mail direkt erfolgt. Die Transportverschlüsselung ist somit weniger für die Sicherheit der Verarbeitung geeignet, da die Sicherheit nicht durchgängig gewährleistet werden kann. Sichtweise Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Nun hat eine Aufsichtsbehörde in ihrem Tätigkeitsbericht das Thema aufgegriffen (hier das Bayerische Landesamt für Datenschutzaufsicht). Grundsätzlich ist das BayLDA auch der Ansicht, dass bei der E-Mail-Kommunikation immer eine opportunistische Transportverschlüsselung nach dem Stand der Technik einzusetzen ist und bei einem hohen Risiko zusätzlich eine Inhaltsverschlüsselung verwendet werden muss. Voraussetzungen Die Absenkung des Schutzniveaus wird dabei an sehr enge Grenzen geknüpft. Zudem ist eine Einwilligung der betroffenen Personen zwingend notwendig. Betroffene Personen müssen vor der Einwilligung über die Risiken eines transportverschlüsselten/ unverschlüsselten E-Mail-Versands transparent und vollumfänglich aufgeklärt werden und es muss eine sichere Alternative ohne Medienbruch angeboten werden (z. B. Postbox App). Erst dann wäre nach Ansicht des BayLDA eine Einwilligung möglich. Selbst wenn Einwilligungen eingeholt werden, besteht ein Problem mit Dritt-Betroffenen. Für diese entfaltet die Einwilligung keine Wirkung. Deren Daten würden dann möglicherweise gänzlich unverschlüsselt versendet werden. Einzelmeinung Die Ansicht des BayLDA besitzt zudem keine Allgemeinverbindlichkeit, sondern ist lediglich die Ansicht einer einzelnen Aufsichtsbehörde. Es besteht daher ein gewisses Restrisiko bei Einwilligungen in den unverschlüsselten E-Mail-Versand, da die Transportverschlüsselung nicht durchgängig gewährleistet und nicht weiter aufgefangen werden kann. Wie dies andere Datenschutzaufsichtsbehörden oder die Deutsche Datenschutzkonferenz (DSK, Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder) sehen ist nicht bekannt oder absehbar – es ist und bleibt eine Einzelmeinung.
Download
Beschreibung:
Schlagwörter: ALTBAYERISCHER Lohnsteuerhilfeverein e.V. • www.altbayerischer.de • info@altbayerischer.de V25-1 Arrow-Circle-Right Fazit Der Verein teilt bis auf Weiteres die Ansicht des BayLDA und möchte damit den Beratungsalltag unter Einhaltung der gesetzlichen Vorschriften der DSGVO so unkompliziert wie möglich gestalten. D. h. wir interpretieren diese Meinung auf das gesamte Bundesgebiet. Da anderslautende Reaktionen anderer Datenschutzbehörden bis dato nicht vorliegen, kann nicht ausgeschlossen werden, dass dieses Prozedere zu einem späteren Zeitpunkt revidiert werden muss. Grundsätzlich empfehlenswert wäre in jedem Fall die Kommunikation über die geschützte ALH Postbox. INFOBLATT | DATENSCHUTZERKLÄRUNG Einwilligung zum unverschlüsselten E-Mail-Versand Unverschlüsselter E-Mail-Versand möglich Der unverschlüsselte E-Mail-Versand an Mitglieder ist möglich, aber unter strengen Voraussetzungen: 1. schriftliche Einwilligung des Mitglieds ist zwingend notwendig UND 2. eine sichere Alternative ohne Medienbruch muss angeboten werden (ALH Postbox). Mit der Beitrittserklärung können Sie die schriftliche Einwilligung des Mitglieds zum unverschlüsselten E-Mail-Versand einholen. Zudem steht in Form der ALH Postbox eine sichere Alternative zur Kommunikation zur Verfügung. Hintergrund Der Verein ist verpflichtet in seinem Bereich für die Sicherheit der Verarbeitung zu sorgen. Das heißt, er muss für die Sicherheit einschließlich dem Schutz vor unbefugter oder unrechtmäßiger Verarbeitung, vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung geeignete technische und organisatorische Maßnahmen ergreifen. Dabei ist unter anderem der Stand der Technik sowie das Risiko für die Rechte und Freiheiten der betroffenen Personen zu berücksichtigen. Verschlüsselungsarten Die Sicherheit der Verarbeitung im Bereich des E-Mail-Versands wird durch Verschlüsselung sichergestellt. Grundsätzlich gibt es zwei Arten von E-Mail-Schlüsselungen – die Inhaltsverschlüsselung (S-MIME / PGP) und die Transportverschlüsselung (z. B. TLS 1.2). Inhaltsverschlüsselung - Transportverschlüsselung Bei der Inhaltsverschlüsselung ist die gesamte E-Mail mittels S-MIME oder PGP verschlüsselt. Der Aufwand für die Implementierung ist jedoch nicht zu unterschätzen und die Verbreitung / Akzeptanz gering. Bei der Transportverschlüsselung ist lediglich der Transportweg der E-Mail verschlüsselt, jedoch nur, wenn der Transport der E-Mail zwischen dem Sender und Empfänger direkt erfolgt. Erfolgt die Übertragung nicht direkt, sondern über weitere E-Mail-Server, ist die Transportverschlüsselung nicht mehr gewährleistet. Der Verein kann dabei jedoch nicht beeinflussen oder kontrollieren, dass der Transport der E-Mail direkt erfolgt. Die Transportverschlüsselung ist somit weniger für die Sicherheit der Verarbeitung geeignet, da die Sicherheit nicht durchgängig gewährleistet werden kann. Sichtweise Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Nun hat eine Aufsichtsbehörde in ihrem Tätigkeitsbericht das Thema aufgegriffen (hier das Bayerische Landesamt für Datenschutzaufsicht). Grundsätzlich ist das BayLDA auch der Ansicht, dass bei der E-Mail-Kommunikation immer eine opportunistische Transportverschlüsselung nach dem Stand der Technik einzusetzen ist und bei einem hohen Risiko zusätzlich eine Inhaltsverschlüsselung verwendet werden muss. Voraussetzungen Die Absenkung des Schutzniveaus wird dabei an sehr enge Grenzen geknüpft. Zudem ist eine Einwilligung der betroffenen Personen zwingend notwendig. Betroffene Personen müssen vor der Einwilligung über die Risiken eines transportverschlüsselten/ unverschlüsselten E-Mail-Versands transparent und vollumfänglich aufgeklärt werden und es muss eine sichere Alternative ohne Medienbruch angeboten werden (z. B. Postbox App). Erst dann wäre nach Ansicht des BayLDA eine Einwilligung möglich. Selbst wenn Einwilligungen eingeholt werden, besteht ein Problem mit Dritt-Betroffenen. Für diese entfaltet die Einwilligung keine Wirkung. Deren Daten würden dann möglicherweise gänzlich unverschlüsselt versendet werden. Einzelmeinung Die Ansicht des BayLDA besitzt zudem keine Allgemeinverbindlichkeit, sondern ist lediglich die Ansicht einer einzelnen Aufsichtsbehörde. Es besteht daher ein gewisses Restrisiko bei Einwilligungen in den unverschlüsselten E-Mail-Versand, da die Transportverschlüsselung nicht durchgängig gewährleistet und nicht weiter aufgefangen werden kann. Wie dies andere Datenschutzaufsichtsbehörden oder die Deutsche Datenschutzkonferenz (DSK, Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder) sehen ist nicht bekannt oder absehbar – es ist und bleibt eine Einzelmeinung.
Download
