Email und Virenscanner in der Cloud aus Sicht des Datenschutzes

(openPR) Wird die Verarbeitung personenbezogener Daten an Dritte abgegeben, so sind regelmäßig durch den Auftraggeber die gesetzlichen Pflichten zur Auftragsdatenverarbeitung oder Funktionsübertragung zu beachten. Für Email-Dienstleistungen gelten jedoch andere Regeln

Wird die Verarbeitung personenbezogener Daten an Dritte abgegeben, so ist regelmäßig der §11 des Bundesdatenschutzgesetzes (BDSG) zu berücksichtigen. Dieser verlangt besondere Sorgfalt und den Abschluss eines sogenannten Vertrages zur Auftragsdatenverarbeitung (ADV Vertrag).

In der Praxis fragen Kunden immer wieder wie sich dies bei dem für viele Firmen üblichen Outsourcing der Email incl. Viren- und Spamfilter verhält. Das BDSG gilt jedoch nur in Fällen, die durch andere Gesetze nicht abschließend geregelt sind. Im vorliegenden Fall gilt für die Email vom Absenden bis zur Zustellung in der Mailbox des Empfängers das Telekommunikationsgesetz, wie im Info-Blatt des Bayerischen Landesamtes für Datenschutzaufsicht beschrieben. Wie das Landesamt auf Nachfrage bestätigte, ist nach deren Ansicht der Sachverhalt im Telekommunikationsgesetz (TKG) abschließend geregelt. Der Cloud-Provider muss als Telekommunikationsunternehmen alle gesetzlichen Vorgaben des TKG erfüllen. Gleiches gilt auch, wenn das den Email-Dienst betreibende Unternehmen Schutzmaßnahmen wie das Filtern von Email nach Schadsoftware (Viren, Trojaner) vornimmt (§109 Abs. 1 und 2 TKG).

Auch wenn sich im Normalfall der Abschluss eines Vertrages zur Auftragsdatenverarbeitung erübrigt, ist unter gewissen Umständen dennoch Vorsicht geboten:

- Ist in Ihrem Unternehmen die private Nutzung der Email nicht grundsätzlich untersagt, so kann das herausfiltern von SPAM Email aus Sicht des Datenschutzes problematisch sein. In diesem Fall sollte SPAM nicht gelöscht werden sondern nur als solche gekennzeichnet oder in einen gesonderten Bereich verschoben werden.
- Falls Sie Ihre Emails im Web-Client des Cloud-Providers lesen, so ist in diesem Fall wohl von einer Verarbeitung im Auftrag auszugehen womit alle Anforderungen des §11 BDSG wieder gelten.

Wenn Sie Fragen zu diesem Themenbereich haben erreichen Sie uns unter nebenstehender Email Adresse.