DSGVO-konforme E-Mail: was das heißt und wie Sie einen Anbieter wählen

Im Postfach sammeln sich personenbezogene Daten fast unbemerkt: Namen, Anschriften, Bestelldaten, Bewerbungsunterlagen, gelegentlich Gesundheitsangaben. Nach der DSGVO ist dieser Schriftverkehr eine Verarbeitung personenbezogener Daten wie jede andere — mit denselben Pflichten wie für die Datenbank.

Was die Verordnung tatsächlich verlangt

Ein „DSGVO-Zertifikat" für Mailanbieter gibt es nicht; wer damit wirbt, verkauft mehr, als er halten kann. Verlangt werden eine Rechtsgrundlage für die Verarbeitung, Speicherung nicht länger als nötig, angemessene technische und organisatorische Maßnahmen sowie die Möglichkeit, Betroffenenrechte auszuüben.

Für E-Mail heißt das konkret:

• Transportverschlüsselung (TLS) zwischen Servern und Clients, damit unterwegs niemand mitliest.
• Zugriffskontrolle — starke Passwörter, Zwei-Faktor-Authentifizierung, klare Regeln für gemeinsame Postfächer.
• Löschfristen. Post ohne Zweck gehört nicht unbefristet ins Archiv.
• Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter.
• Meldebereitschaft. Ab Kenntnis einer meldepflichtigen Verletzung bleiben 72 Stunden.

Fragen an den Anbieter

• Wo stehen die Server, und wo liegen die Sicherungen?
• Werden Nachrichten für Werbezwecke ausgewertet? (Wenn ja: für geschäftliche Nutzung ungeeignet.)
• Gibt es einen AVV standardmäßig?
• Werden Unterauftragsverarbeiter benannt, und werden Sie über Änderungen informiert?
• Welche Löschfristen gelten nach Kontoschließung?
• Werden SPF, DKIM und DMARC unterstützt, damit Post in Ihrem Namen authentifiziert werden kann?

Gewohnheiten, die den größten Teil ausmachen

Datenschutz ist überwiegend Gewohnheit, nicht Technik:

• Personenbezogene Daten nicht an einen größeren Kreis senden als nötig — die Kopie-Zeile vor dem Senden prüfen.
• Für sensible Dokumente einen befristeten Link statt eines Anhangs verwenden.
• Aliasse und Rollenadressen nutzen, damit eingehende Daten dort landen, wo das zuständige Team sie sieht.
• Alten Schriftverkehr planmäßig löschen oder archivieren, nicht zufällig.
• Phishing schulen: Die meisten Vorfälle mit E-Mail beginnen mit einem gestohlenen Passwort, nicht mit gebrochener Verschlüsselung. Ein guter Einstieg ist unser Beitrag Phishing-Mails erkennen.

Verschlüsselung: Transport oder Inhalt

TLS schützt Nachrichten auf dem Weg zwischen Servern und ist inzwischen nahezu überall aktiv — es schützt sie aber nicht im gespeicherten Zustand und sagt nichts über die Konfiguration beim Empfänger. Für wirklich sensibles Material kommt eine Ebene auf Inhaltsseite dazu: eine passwortgeschützte Datei oder ein Link mit Ablaufdatum, wobei das Passwort über einen anderen Kanal geht. Die Optionen beschreibt unser Beitrag verschlüsselte E-Mail senden.

Häufig gestellte Fragen

Gilt die DSGVO auch außerhalb der EU? Sie kann gelten. Maßgeblich ist die betroffene Person: Wer Waren oder Dienste in der EU anbietet oder dortiges Verhalten beobachtet, fällt darunter — unabhängig vom Sitz.

Reicht ein privates Gratispostfach für Geschäftspost? Selten. Für ein privates Konto einer Mitarbeiterin lässt sich kein AVV schließen, und der Zugriff ist nicht steuerbar.

Muss ich jede Nachricht verschlüsseln? Nein. Transportverschlüsselung ist der Standard; Inhaltsschutz kommt dort dazu, wo das Material es verlangt.

Wie lange darf ich alte E-Mails aufbewahren? So lange ein Zweck besteht und gesetzliche Aufbewahrungsfristen es verlangen. Legen Sie eine Regel fest — „für immer" ist keine.

Datenschutz bei imail.com.tr

imail.com.tr wird aus der Türkei betrieben und ist werbefrei: Ihre Post wird nicht für Werbezwecke ausgewertet. Verbindungen laufen über TLS, ausgehende Nachrichten werden mit SPF, DKIM und DMARC authentifiziert. Für den Dienst gilt das türkische Datenschutzrecht (KVKK), das denselben Grundsätzen folgt wie die DSGVO; was verarbeitet wird, steht in der Datenschutzerklärung.

> Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Für ein betriebliches Datenschutzkonzept ziehen Sie eine Fachperson hinzu.