DSGVO und E-Mail-Hosting: Was die Verordnung wirklich verlangt

Unter der DSGVO ist Ihr E-Mail-Hoster Auftragsverarbeiter und Sie sind Verantwortlicher. Diese Zuordnung aus Art. 4 Nr. 7 und Nr. 8 entscheidet fast alles Weitere: Der Hoster schuldet Ihnen einen Vertrag und Sicherheitsmaßnahmen, und Sie schulden der Aufsicht eine Auskunft darüber, warum diese Postfächer existieren, wie lange sie bestehen und was passiert, wenn jemand eine Kopie seiner Daten verlangt.

„DSGVO-konformes E-Mail-Hosting“ ist deshalb in der üblichen Werbeform ein Kategorienfehler. Ein Anbieter kann ein konformer Auftragsverarbeiter sein. Konformität selbst ist eine Eigenschaft Ihrer Verarbeitung, nicht Ihres Lieferanten.

Was verlangt die DSGVO von E-Mail-Hosting?

Vier Dinge, konkret: einen Auftragsverarbeitungsvertrag mit den in Art. 28 Abs. 3 aufgezählten Inhalten, dem Risiko angemessene Sicherheit nach Art. 32, eine tragfähige Grundlage für Übermittlungen nach Kapitel V, falls Daten den EWR verlassen, und eine Meldekette, die Art. 33 erfüllt.

Art. 28 Abs. 3 ist eine Checkliste, und man sollte sie lesen statt ihr zu vertrauen. Der Vertrag muss schriftlich sein und den Auftragsverarbeiter verpflichten: nur auf Ihre dokumentierte Weisung zu handeln; alle, die die Daten anfassen, zur Vertraulichkeit zu verpflichten; die Maßnahmen nach Art. 32 umzusetzen; keinen weiteren Auftragsverarbeiter ohne Ihre Genehmigung einzusetzen und Sie über beabsichtigte Änderungen zu informieren; Sie bei den Rechten der betroffenen Personen zu unterstützen; Sie bei Ihren Pflichten aus Art. 32 bis 36 zu unterstützen; die Daten am Ende des Auftrags zu löschen oder zurückzugeben; und alle Informationen bereitzustellen, mit denen sich das nachweisen lässt, Überprüfungen eingeschlossen.

Art. 32 verlangt Maßnahmen, die dem Risiko angemessen sind, und nennt Verschlüsselung und Pseudonymisierung als Beispiele. Art. 30 verlangt von Ihnen, nicht von Ihrem Hoster, ein Verzeichnis der Verarbeitungstätigkeiten — und Postfächer sind Verarbeitung.

Dann die Teile, die Verantwortliche vergessen. Speicherbegrenzung, Art. 5 Abs. 1 Buchst. e: Mail, die standardmäßig für immer liegen bleibt, ist die häufigste unzulässige Aufbewahrung, die ich sehe, weil niemand entschieden hat, sie zu behalten — das System hat nur nie etwas gelöscht. Und das Auskunftsrecht, Art. 15: Die meisten Auskunftsersuchen werden faktisch in der Postfachsuche beantwortet, was Such- und Exportfähigkeiten Ihres Hosters zu einer Compliance-Abhängigkeit macht, ob das jemand aufgeschrieben hat oder nicht.

Was heißt „DSGVO-konform“ auf einer Anbieterseite üblicherweise?

In der Praxis vier Dinge, alle echt und keines ausreichend: einen Auftragsverarbeitungsvertrag, den Sie online abschließen können, Speicherung in einer EU-Region, ein ISO-27001-Zertifikat und Verschlüsselung im Transport und im Ruhezustand.

Das ist ein vernünftiges Paket für einen Auftragsverarbeiter. Hier ist, was es nicht abdeckt und was bei Ihnen bleibt, gleich welchen Anbieter Sie nehmen.

Ihre Rechtsgrundlage für die Verarbeitung und die Datenschutzerklärung, die sie beschreibt. Aufbewahrungsfristen je Postfachkategorie und der Löschmechanismus, der sie durchsetzt. Der Ablauf, der Auskunfts-, Berichtigungs- und Löschersuchen innerhalb eines Monats beantwortet. Ihr Verzeichnis nach Art. 30. Ihre Transfer-Folgenabschätzung, wenn der Auftragsverarbeiter oder seine Unterauftragsverarbeiter in Drittländern sitzen. Regeln zur Kontrolle von Beschäftigten — das Postfach einer ausgeschiedenen Kollegin zu lesen, hat in Deutschland eine eigene Rechtsschicht über der DSGVO, in der Mitbestimmung und Betriebsvereinbarungen vorkommen, und die ist nicht dekorativ. Und eine Datenschutz-Folgenabschätzung nach Art. 35, wo die Verarbeitung hohes Risiko birgt, was Postfächer mit besonderen Kategorien personenbezogener Daten meist tun.

Nichts davon kann ein Anbieter für Sie erledigen. Wer etwas anderes andeutet, verkauft Beruhigung.

Warum bleiben US-Anbieter ein Drittlandproblem?

Weil Kontrolle und nicht der Ort Kapitel V auslöst, und ein US-kontrollierter Anbieter bringt US-Zugriff mit in die EU.

Die Kette ist kurz. Schrems II (Rechtssache C-311/18, 16. Juli 2020) erklärte den Angemessenheitsbeschluss zum Privacy Shield für nichtig und entschied, dass Standardvertragsklauseln nur dort wirksam bleiben, wo der Exporteur im Einzelfall prüft, dass das Recht des Ziellands sie nicht untergräbt. Der CLOUD Act, in Kraft seit 2018, verpflichtet einen Anbieter unter US-Zuständigkeit, Daten in seinem Besitz, seiner Obhut oder unter seiner Kontrolle herauszugeben, unabhängig davon, wo diese Daten gespeichert sind. Art. 48 DSGVO erkennt die Anordnung einer Drittlandbehörde zur Übermittlung personenbezogener Daten nur an, wenn sie auf einer internationalen Übereinkunft wie einem Rechtshilfeabkommen beruht. Ein direkt an den Anbieter zugestellter Beschluss ist keine solche.

Das im Juli 2023 angenommene EU-US Data Privacy Framework eröffnet zertifizierten US-Empfängern wieder einen Angemessenheitsweg und macht die Papierarbeit erheblich leichter. Es ist auch die dritte Brücke dieser Art; die beiden davor wurden 2015 und 2020 für nichtig erklärt. Damit zu planen, dass eine Aufsichtsbehörde oder ein Gericht sie erneut prüft, ist Vorsicht, nicht Paranoia.

Nichts davon verbietet einen US-Anbieter. Es heißt, dass die Transferprüfung Ihre Aufgabe ist: zu dokumentieren, aktuell zu halten und zu verteidigen — und dass eine europäische öffentliche Stelle die Übung häufig ganz ablehnt, statt sie durchzuführen.

Was sollten Sie vor der Unterschrift prüfen?

Neun Dinge. Ich würde sie in dieser Reihenfolge fragen, und ich hätte die Antworten gern schriftlich.

Wo ist die Einheit inkorporiert, die die gespeicherten Bytes hält, und hat sie eine US-Mutter oder eine US-Tochter? Das bestimmt die Transferprüfung, und es ist die Frage, die Anbieter am wenigsten direkt beantworten.

Wer kann die Mail technisch entschlüsseln? Kann der Anbieter Ihr Postfach im Browser darstellen, hält er den Schlüssel. Das ist eine legitime Bauform, aber nicht dasselbe wie Verschlüsselung, die Sie kontrollieren, und Ihre Dokumentation nach Art. 32 sollte sagen, welche der beiden Sie gekauft haben.

Gibt es einen Vertrag nach Art. 28 Abs. 3 mit vollständiger Liste der Unterauftragsverarbeiter, ihren Standorten und einer Frist für die Ankündigung von Änderungen? Ein Vertrag ohne diese Liste ist ein halber Vertrag.

Aus welchen Ländern kann Support auf Postfachinhalte zugreifen, und wird dieser Zugriff so protokolliert, dass Sie es sehen können?

Welche Meldefrist sichert der Auftragsverarbeiter Ihnen zu, in Stunden? Ihre eigene Frist von 72 Stunden nach Art. 33 beginnt mit Ihrer Kenntnis, also tragen Sie bei einem vagen „unverzüglich“ die Verzögerung des Anbieters mit.

Wie führen Sie Aufbewahrung und Löschung aus? Nicht, ob es einen Löschknopf gibt, sondern ob er die Backups erreicht und nach welchem Zeitplan.

Wie sieht das Exportformat aus, und können Sie es ohne die Software des Anbieters lesen? Mail in einem dokumentierten, standardnahen Layout ist portabel. Mail in einem proprietären Speicher ist eine Abhängigkeit im Kostüm eines Archivs.

Was passiert mit den Daten bei Vertragsende, und wie wird die Löschung nachgewiesen?

Und, wenn es in Ihrer Branche zählt: Welche Prüfberichte deckt genau diesen Dienst ab, nicht das Mutterunternehmen? C5, HDS, SecNumCloud und ISO 27001 haben alle einen Geltungsbereich, und im Geltungsbereich stecken die interessanten Details.

Ich bin Gründer und kein Anwalt, und nichts davon ist Rechtsberatung. Es sind die Verordnung und die veröffentlichten Urteile — zitieren Sie die, nicht mich.