Gesetzliche Verschlüsselungspflicht von Nachrichten

Grundsätzlich ist es eine Frage der IT-Compliance, festzulegen, ob beim Datenaustausch oder der Übermittlung digitaler Nachrichten im Unternehmen und zwischen Unternehmen und Dritten Verschlüsselungsmechanismen anzuwenden sind. Teilweise kann dies sich aus vertraglichen Regelungen zwischen Unternehmen ergeben, z.B. bei Vertraulichkeitsvereinbarungen (NDA). Allerdings kann sich auch bereits aus dem Bundesdatenschutzgesetz die Verpflichtung ergeben, personenbezogene Daten zu verschlüsseln, wobei es auf die einzelnen, datenschutzrelevanten Vorfälle ankommt.




Teilweise gibt es allerdings auch deutlich verpflichtende, gesetzliche Regelungen, die eine Verschlüsselung von personenbezogenen Informationen, unter anderem E-Mails, vorschreiben, so z.B. gemäß § 87a I AO, bei der Übermittlung personenbezogener steuerrelevanter Daten durch die Finanzbehörden und nach § 3 PassDEUV. Eine Verschlüsselungspflicht besteht auch für Arbeitgeber, die Gehaltsdaten ans Finanzamt und gegebenenfalls an die Sozialbehörden melden, § 41 a I EStG, § 1 StDÜV:




§ 1 StDÜV Allgemeines

....

(3) Bei der elektronischen Übermittlung sind dem jeweiligen Stand der Technik entsprechende Verfahren einzusetzen, die die Authentizität, Vertraulichkeit und Integrität der Daten gewährleisten; im Falle der Nutzung allgemein zugänglicher Netze sind Verschlüsselungsverfahren anzuwenden.

....

sowie §§ 23 Buchst. c, 28 Buchst. a SGB IV in Verbindung mit DÜEV:




§ 16 DEÜV Grundsatz

Eine Meldung nach dem Zweiten Abschnitt erfolgt durch Datenübertragung. Es sind geeignete Maßnahmen zur Sicherstellung von Datenschutz und Datensicherheit nach dem jeweiligen Stand der Technik vorzusehen. Bei der Nutzung allgemein zugänglicher Netze sind Verschlüsselungsverfahren anzuwenden.

Verschlüsselungsmechanismen sollten allerdings eine Ver- und Entschlüsselung auf Seiten des Versenders und des Empfängers bieten (End-to-End). Dies führt in der praktischen Anwendung zu erheblichen Problemen, da auch der Empfänger entsprechend technisch ausgerüstet sein müsste, um verschlüsselte Nachrichten entschlüsseln zu können, was in der Regel nur bei der unternehmerischen Kommunikation der Fall ist. Die Kommunikation zwischen Unternehmen und Privatpersonen über elektronische Nachrichten wird daher regelmäßig unverschlüsselt durchgeführt, und es dürfte dem Privatkunden auch kaum der Aufwand und das technische Verständnis für die Entschlüsselung von verschlüsselten E-Mail-Nachrichten zu vermitteln sein. Entsprechend sollte dann aber eine ausdrückliche, schriftliche und unternehmerseits dokumentierte Einwilligung des Kunden  in den E-Mail-Schriftverkehr in Klartext vorliegen, auch, wenn die Tatsache beidseitigen unverschlüsselten E-Mail-Schriftverkehrs häufig eine konkludente Einwilligung nahelegen wird, zumal der durchschnittliche Nutzer elektronischer Nachrichten heutzutage um die Unsicherheit der hierin übermittelten Informationen ohne Verschlüsselung weiß.


Christoph Strieder, Rechtsanwalt und Fachanwalt für IT-Recht, Fachanwalt für gewerblichen Rechtsschutz und Fachanwalt für Arbeitsrecht in Solingen und Leverkusen, www.datenschutz.laywer, www.anwalt-strieder.de, www.it-recht-fachanwalt.eu,  www.recht.Computer 

Adresskäufer haftet bei Werbung

OLG Düsseldorf: Haftung des Adresskäufers für die fehlende Einwilligung des Adressinhabers in Werbung. Adressen sind Gold wert und werden gerne, teuer und unter auch Verstoß gegen datenschutzrechtliche Vorschriften gehandelt. Immerhin lässt sich hiermit vortrefflich Werbeumsatz generieren, wie so mancher, leidvoll belästigt, erfahren durfte. Eine Einschränkung hat das OLG (Az.: I-20 U 137/09) für solche Geschäfte gemacht. In dem Urteil unter dem vorgenannten Aktenzeichen hat das OLG klargestellt, dass auch der Käufer solche Adressen dafür haftet, dass der Inhaber die E-Mail-Adresse keine Einwilligung in Werbung erteilt hat. D.h., dass ggf. sogar der Inhaber der jeweiligen E-Mail direkt gegen den Käufer der E-Mail-Adressen vorgehen und diesen abmahnen und gegebenenfalls zur Unterlassung verurteilt kann. In jedem Fall können dies aber Mitbewerber, da der Käufer der Adressen wettbewerbswidrig handelt. Er ist "Störer" im Sinne des Wettbewerbsrechts, wenn er die gekauften Adressen nicht auf eine solche Einwilligung hin überprüft. Mitbewerber sind in einem solchen Fall sämtliche Unternehmen, die ein Geschäft in der Art betreiben, wie es mit der E-Mail ohne eine Einwilligung des Empfängers beworben worden ist (Rechtsanwalt und Fachanwalt für IT-Recht (Informationstechnologierecht) Strieder, Kanzleisitz: Solingen und Leverkusen, vertretung bundesweit). www.anwalt-strieder.de