AUFSÄTZE ANWALTLICHE KOMMUNIKATION PER E-MAIL - NUR VERSCHLÜSSELT? RECHTSANWALT DR. HENDRIK SCHÖTTLE* - Bundesrechtsanwaltskammer
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
AUFSÄTZE ANWALTLICHE KOMMUNIKATION PER E-MAIL – NUR VERSCHLÜSSELT? RECHTSANWALT DR. HENDRIK SCHÖTTLE* E-Mails sind aus der anwaltlichen Kommunikation mit Immer wieder wird eine unverschlüsselte E-Mail im Mandanten nicht mehr wegzudenken. Der Autor er- Schrifttum hinsichtlich der Sicherung der Vertraulichkeit örtert, ob eine Verschlüsselungspflicht gegeben ist mit einer Postkarte5 verglichen. Dieser Vergleich hinkt bzw. ob und unter welchen Bedingungen unverschlüs- jedoch, und zwar deswegen, weil die E-Mail rechtlich, selt kommuniziert werden darf. Hierzu betrachtet er aber auch technisch besser geschützt ist als noch vor sowohl berufsrechtliche als auch datenschutz- und zehn Jahren. Vor allem jedoch wird oft unterschlagen, strafrechtliche Aspekte. dass der Großteil der E-Mail-Kommunikation heute be- reits verschlüsselt abgewickelt wird – nämlich mit der so genannten Transportverschlüsselung. Bei E-Mail-Verschlüsselung ist grundsätzlich zwischen I. E-MAILS UND VERSCHLÜSSELUNG Transportverschlüsselung und Ende-zu-Ende-Verschlüs- selung zu unterscheiden: Auch wenn es eine Plattitüde sein mag: Die E-Mail ist aus der Anwaltskommunikation nicht mehr wegzuden- Bei der Transportverschlüsselung werden die E-Mails ken. Noch 2006 hieß es, die Behauptung, anwaltliche auf dem Weg vom Client-Rechner des Absenders zum Online-Rechtsberatung sei vielen Kanzleien nicht mehr E-Mail-Server des Absenders, von dort zum E-Mail-Ser- fremd, wäre „gewiss eine Übertreibung“.1 Heute mutet ver des Empfängers und zum Client-Rechner des Emp- diese Einschätzung anachronistisch an. Dennoch tun fängers verschlüsselt, sie liegen auf den Client-Rech- sich Anwaltschaft und Justiz mit der Technik weiterhin nern und auf den Mailservern allerdings unverschlüs- schwer. Bei der Kommunikation mit Gerichten und Be- selt vor. Damit sind die E-Mails auf dem Weg durch hörden sind Telefax und Brief das Mittel der Wahl, das Internet vor einer Kenntnisnahme Dritter ge- während in der Unternehmenswelt längst per E-Mail schützt, nicht jedoch auf den Client-Rechnern und den kommuniziert wird. E-Mail-Servern.6 Als Standard hat sich bei Transport- verschlüsselung das Transport Layer Security-Protokoll Nachdem im Jahr 2014 die Datenschutzbeauftragten (TLS) etabliert. Es ist eine Erweiterung des Secure des Bundes und der Länder auf der 87. Datenschutz- Sockets Layer-Protokolls (SSL). SSL/TLS wird inzwischen konferenz die Ende-zu-Ende-Verschlüsselung von E-Mail- von allen großen E-Mail-Providern in Deutschland un- Kommunikation verlangten,2 wurde das Thema gleich terstützt.7 von zwei Aufsichtsbehörden aufgriffen: Der Hamburgi- Bei einer Ende-zu-Ende-Verschlüsselung werden die E- sche Beauftragte für Datenschutz und Informations- Mails auf dem Client-Rechner des Absenders ver- freiheit äußerte in einer Stellungnahme im Januar schlüsselt und erst auf dem Client-Rechner des Emp- 2018, E-Mail-Kommunikation, die nicht Ende-zu-Ende fängers wieder entschlüsselt. Auf den E-Mail-Servern verschlüsselt sei, stelle allgemein – und nicht nur für liegen die E-Mails nur in verschlüsselter Form vor, Berufsgeheimnisträger – aus datenschutzrechtlichen auch auf den Client-Rechnern müssen die Texte nach Gründen ein ungeeignetes Kommunikationsmittel dar.3 dem Empfang erst entschlüsselt werden, bevor sie ge- Ähnlich äußerte sich der sächsische Datenschutzbeauf- lesen werden können. Als Standards haben sich S/ tragte im März 2017 im 8. Tätigkeitsbericht, er halte MIME und PGP bzw. GPG etabliert, die jedoch nicht dies für „eine absolut ungeeignete Kommunikations- untereinander kompatibel sind.8 Beide Standards wur- form“.4 den unlängst angegriffen, derzeit kann nicht ohne wei- teres davon ausgegangen werden, dass derart ver- * Der Autor ist Rechtsanwalt, Fachanwalt für IT-Recht und Partner bei Osborne schlüsselte E-Mails vor fremden Augen sicher sind.9 Clarke in München und Mitglied im BRAK-Ausschuss Datenschutz. Eine Alternative dazu kann eine Container-Lösung sein, 1 Knöfel, AnwBl. 2006, 77. 2 S. Entschließung der 87. Konferenz der Datenschutzbeauftragten des Bundes und 5 der Länder v. 27.3.2014, www.bfdi.bund.de/SharedDocs/Publikationen/Entschlies Wie etwa Kubach/Gutsche, DSRITB 2014, 585 (587). 6 sungssammlung/DSBundLaender/87_DSKMenschenrechteElektrischeKommunika Um Missverständnissen vorzubeugen, sei an dieser Stelle klargestellt, dass die an tion.html (abger. am 18.4.2018). der Übermittlung beteiligten Knotenrechner im Internet keine Möglichkeit haben, 3 Stn. des Hamburgischen Beauftragten für Datenschutz und Internetsicherheit, 4, den Inhalt der E-Mail einzusehen, da er für den Transport verschlüsselt wurde. 7 www.datenschutzbeauftragter-info.de/wp-content/uploads/2018/02/schreiben- Schöttle, BRAK-Magazin 4/2015, 15 ff. 8 der-aufsichtsbehoerde.pdf (abger. am 18.4.2018). S. BSI, www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/ 4 8. Tätigkeitsbericht des Sächsischen Datenschutzbeauftragten, 138, www.saechs Verschluesselung_email_09032017.html. 9 dsb.de/images/stories/sdb_inhalt/noeb/taetigkeitsberichte/8-TB-Endfassung- S. PGP und S/MIME: E-Mail-Verschlüsselung akut angreifbar, https://www.heise.de/ Version-5.pdf (abger. am 18.4.2018). security/meldung/PGP-E-Mail-Verschluesselung-akut-angreifbar-4048489.html BRAK-MITTEILUNGEN 3/2018 | AUFSÄTZE 118
SCHÖTTLE, ANWALTLICHE KOMMUNIKATION PER E-MAIL – NUR VERSCHLÜSSELT? bei welcher die Inhalte mit vom E-Mail-Programm un- lung ist sowohl die Einrichtung als auch die Benutzung abhängiger Drittsoftware verschlüsselt werden.10 eines solchen Systems wesentlich aufwändiger. Zum einen gibt es keinen einheitlichen Standard – es muss mit dem Kommunikationspartner zunächst ge- II. VERPFLICHTET DIE VERSCHWIEGENHEIT klärt werden, welche Technik eingesetzt werden soll. ZUR VERSCHLÜSSELUNG? Auch werden, anders als bei Transportverschlüsselung, in der Regel keine Einwegschlüssel eingesetzt, die au- Ist nun ein Rechtsanwalt zu einer Verschlüsselung von tomatisch generiert werden. Die Schlüssel der Beteilig- E-Mails verpflichtet – und wenn ja, zu welcher? Bei der ten müssen – soweit sie nicht über einen Key-Server be- Beantwortung dieser Frage müssen berufsrechtliche, zogen werden – vielmehr manuell eingerichtet und datenschutzrechtliche und strafrechtliche Aspekte be- ausgetauscht werden. Anders als bei Transportver- trachtet werden. schlüsselung, die vom E-Mail-Provider des Mandanten in der Regel schon ohne Zutun des Mandanten an- 1. BERUFSRECHTLICHE ASPEKTE geboten wird und eingesetzt werden kann, muss der a) VERSCHWIEGENHEITSPFLICHT § 43a II BRAO Mandant beim Einsatz von Ende-Zu-Ende-Verschlüsse- Nach einer Auffassung lassen sich keine besonderen lung also selbst tätig werden. Sicherungspflichten in Bezug auf die E-Mail-Kommuni- Zum anderen wirft eine solche Verschlüsselung erhebli- kation aus dem anwaltlichen Berufsrecht ableiten.11 che technische Fragen auf – vor allem in Bezug auf Weder Berufsrecht noch Strafrecht verpflichten den An- eine ordnungsgemäße Handaktenführung und in Be- walt zu besonderen technischen Vorkehrungen. Eine sol- zug auf die Durchsuchbarkeit eingehender E-Mails. che Verpflichtung würde sowohl über das „tradierte Der Anwalt, der nicht ausschließlich papierbasiert ar- Verständnis des Anwaltsgeheimnisses“12 als auch über beitet, wird E-Mails, die ihn Ende-zu-Ende verschlüsselt den Wortlaut des § 43a II BRAO hinausgehen. erreicht haben, in seinem IT-System auch entschlüsselt Dagegen lässt sich einwenden, dass selbst die fahrläs- aufbewahren müssen, um sie wiederfinden und durch- sige Offenbarung berufsrechtlich mit einer anwalts- suchen zu können. Zudem muss er dafür Sorge tragen, gerichtlichen Maßnahme i.S.d. § 114 I BRAO geahndet dass derartige E-Mails auch in einer Handakte zu fin- werden kann.13 Die Frage ist, an welchem Maßstab den sind. Werden Handakten elektronisch geführt, eine Verletzung von Sicherungspflichten zu messen ist. müssen die E-Mails also entschlüsselt und zur jewei- ligen Handakte hinzugefügt werden. Das Bayerische Landesamt für Datenschutzaufsicht hat im Jahr 2014 Mailserver bayerischer Unternehmen au- Dann aber schrumpft der Sicherheitsgewinn gegen- tomatisiert auf das Vorhandensein von Transportver- über der Transportverschlüsselung erheblich: Denn schlüsselung geprüft und im Fall des Fehlens die betrof- auf den Systemen des Anwalts liegen die E-Mails fenen Unternehmen angeschrieben und Abhilfe ver- dann auch in entschlüsselter Form vor. Allein in Bezug langt. Es geht davon aus, dass ein fehlendes Angebot auf den E-Mail-Provider ist dann noch gegenüber der von Transportverschlüsselung nicht mehr dem Stand Transportverschlüsselung ein Vorteil gegeben. Denn der Technik entspricht.14 In der Tat bieten nahezu alle dort lägen die E-Mails bei einer Transportverschlüsse- großen E-Mail-Provider inzwischen Transportverschlüs- lung unverschlüsselt vor, bei der Ende-zu-Ende-Ver- selung an, einige von ihnen verlangen den Einsatz inzwi- schlüsselung hingegen verschlüsselt. Der E-Mail-Provi- schen sogar zwingend von ihren Kunden.15 der ist jedoch ohnehin vom Telekommunikations- Aus den vorgenannten Gründen ist eine Pflicht des An- geheimnis nach § 88 TKG erfasst und dürfte in bei walts zur Verwendung einer Transportverschlüsselung ihm unverschlüsselt abgelegte E-Mails nur einsehen, wohl zu bejahen. Diese kann allerdings nur so weit soweit dies zur Leistungserbringung erforderlich ist. greifen, wie auch die Gegenseite eine solche Verschlüs- Und schließlich setzen realistische Szenarien eines Ha- selung unterstützt. Unterstützt der E-Mail-Provider des ckings oftmals beim Empfänger der Nachricht selbst Mandanten keine solche Verschlüsselung, hat der An- an und nicht beim meist besser geschützten E-Mail-Pro- walt zumindest alles getan, um eine Transportver- vider – also bei dem Rechtsanwalt, auf dessen Servern schlüsselung anzubieten. Letztlich obliegt die Auswahl die Nachrichten aus Archivierungsgründen auch ent- eines zuverlässigen E-Mail-Providers, welcher Verschlüs- schlüsselt abgelegt sind, oder beim Mandanten. selungsmaßnahmen anbietet, dem Mandanten selbst. Schließlich darf nicht vergessen werden, dass auch En- Wie sieht es nun bei Ende-zu-Ende-Verschlüsselung de-zu-Ende-Verschlüsselung anfällig ist für Sicherheits- aus? Besteht auch eine Pflicht, eine solche Technologie lücken. Erst vor kurzem wurden mehrere Sicherheits- einzusetzen? Anders als bei einer Transportverschlüsse- lücken in den Protokollen S/MIME und PGP entdeckt, die unter dem Schlagwort „Efail“ bekannt wurden; die 10 Näher Schöttle, BRAK-Magazin 4/2015, 15 ff. beteiligten Forscher gingen so weit, den insbesondere 11 Härting, NJW 2005, 1248 ff. im Firmenumfeld eingesetzten Standard S/MIME für 12 Härting, NJW 2005, 1248 (1249). „unrettbar kaputt“ zu erklären.16 Damit bliebe allen- 13 Henssler, in Henssler/Prütting, BRAO, 3. Aufl. 2010, § 43a Rn. 119. 14 BayLDA, Pressemitt. v. 9.9.2014, www.lda.bayern.de/media/pm2014_12.pdf. 15 16 S. Golem v. 31.3.2014: E-Mail nur noch mit TLS, www.golem.de/news/verschlues S. PGP und S/MIME: E-Mail-Verschlüsselung akut angreifbar, https://www.heise.de/ selung-ab-heute-e-mail-nur-noch-mit-tls-1403-105487.html. security/meldung/PGP-E-Mail-Verschluesselung-akut-angreifbar-4048489.html AUFSÄTZE | BRAK-MITTEILUNGEN 3/2018 119
SCHÖTTLE, ANWALTLICHE KOMMUNIKATION PER E-MAIL – NUR VERSCHLÜSSELT? falls noch die Verwendung der bereits erwähnten Con- recht und Datenschutzrecht zu vertiefen,24 soll an tainer-Lösung, um eine sichere Ende-zu-Ende-Verschlüs- dieser Stelle von einer Anwendbarkeit der datenschutz- selung zu gewährleisten. rechtlichen Regelungen auf die Anwaltschaft aus- gegangen werden. Die Herleitung einer Pflicht zum Einsatz von Ende-zu- Ende-Verschlüsselung scheitert nach einer Auffassung Der Hamburgische und der Sächsische Datenschutz- an der Berufsfreiheit des Rechtsanwalts, Art. 12 I beauftragte halten die Versendung von unverschlüssel- GG,17 denn ohne die einfache, unverschlüsselte E-Mail- ten E-Mails im Hinblick auf den technisch-organisatori- Kommunikation ist der Berufsalltag nicht mehr vorstell- sche Datenschutz für ein ungeeignetes Kommunikati- bar. Es sprechen angesichts der vorstehenden Ausfüh- onsmittel.25 Die datenschutzrechtlichen Bedenken rungen gute Argumente dafür, dass eine Pflicht zur betreffen, wenn sie auch auf Rechtsanwälte angewen- Verwendung von Ende-zu-Ende-Verschlüsselung nicht det werden, insoweit nicht nur diese als Berufsgeheim- aus § 43a II BRAO hergeleitet werden kann. nisträger, sondern sämtliche Adressaten des Daten- schutzrechts. Der seit dem 1.1.2018 geltende neue b) AUSNAHMETATBESTAND SOZIALADÄQUANZ § 2 VII BORA ist insoweit deklaratorisch26 und ändert Die Benutzung der nicht Ende-zu-Ende verschlüsselten an der bestehenden Rechtslage nichts. Nach der wohl E-Mail-Kommunikation wohl sozialadäquat i.S.v. § 2 III herrschenden Meinung fand sowohl der bis zum 25. lit. c BORA. Diese Norm ist als Satzungsrecht nicht in Mai 2018 gegolten habende § 9 BDSG-alt als auch der Lage, die in § 43a II BRAO normierte Verschwie- die nunmehr geltenden Art. 25 und 32 DS-GVO auf genheitspflicht aufzuweichen oder zu erweitern. Aller- Rechtsanwälte Anwendung.27 dings wird man die Norm zur Konkretisierung des Um- fangs der Verschwiegenheitspflicht heranziehen kön- a) ENDE-ZU-ENDE-VERSCHLÜSSELUNG ALS STAND DER nen.18 Zumindest wäre es sehr überraschend, wenn TECHNIK? das, was die BORA als zulässige negative Konkretisie- Regelungen zu technisch-organisatorischem Daten- rung der Verschwiegenheitspflicht ansieht, nicht für schutz wurden bis zum 25.5.2018 von § 9 BDSG-alt, eine Auslegung der BRAO statthaft wäre.19 seitdem dann von Art. 5 I f und Art. 25, 32 DS-GVO aufgestellt. In diesen Normen wird Verschlüsselung Das Merkmal der Sozialadäquanz setzt beim Verhal- als eine Maßnahme genannt, die nach dem Stand der ten des Anwalts im Rahmen der Arbeitsabläufe in der Technik erfolgen soll. Auf eine konkrete Festlegung ver- Kanzlei an. Dieses Verhalten muss objektiv einer übli- zichten die Normen aus nachvollziehbaren Gründen. chen, von der Allgemeinheit gebilligten Verhaltenswei- se im sozialen Leben entsprechen. Mit der Regelung Der Hamburgische Beauftragte für Datenschutz und sollte die Rechtsgrundlage für die Zulässigkeit von Out- Internetsicherheit geht wohl zumindest von der Not- sourcing (nicht nur für IT-Leistungen) geschaffen wer- wendigkeit einer Transportverschlüsselung28 aus, auch den, dies vor dem Hintergrund, dass der Anwalt sich wenn seiner Auffassung nach eine Ende-zu-Ende-Ver- den modernen Kommunikationsmöglichkeiten nicht schlüsselung zu bevorzugen sei. Der Sächsische Daten- entziehen kann.20 Was einer üblichen, von der All- schutzbeauftragte spricht allgemein von Verschlüsse- gemeinheit gebilligten Verhaltensweise entspricht, ist lung, nennt dann aber PGP als eine Verschlüsselungs- ausschließlich objektiv zu bestimmen.21 Man kann art, die er anbietet.29 nicht ernsthaft bestreiten, dass der Versand von E- Mails üblich und von der Allgemeinheit akzeptiert ist. Für die Beurteilung der Frage, welche Maßnahmen nun Damit sprechen gute Argumente dafür, dass die Kom- verpflichtend angenommen werden können, ist einer- munikation per E-Mail, dem „Versandmittel Nr. 1“,22 seits zu prüfen, was bei dem jeweiligen Verfahren als sozialadäquat im Sinne der Vorschrift ist. Stand der Technik angesehen wird, und andererseits, ob diese Maßnahme hinsichtlich des Aufwands auch angemessen ist.30 Weder BDSG noch DS-GVO definie- 2. DATENSCHUTZRECHTLICHE ASPEKTE ren den Stand der Technik. Nach wohl herrschender Die Aufsichtsbehörden folgen der Ansicht, die Anwen- Ansicht sind mit dem Stand der Technik diejenigen dung des BDSG (und künftig dann auch der DS-GVO) Technologien gemeint, die auf gesicherten Erkenntnis- durch das anwaltliche Berufsrecht werde nicht ver- sen beruhen und in der Praxis jeweils bereits in ausrei- drängt, sondern lediglich ergänzt.23 Ohne die Diskussi- chendem Maß zur Verfügung stehen, um angemessen on um das Verhältnis zwischen anwaltlichem Berufs- 24 S. dazu auch Schöttle, AnwBl. 2005, 740 ff. 17 25 Degen/Emmert, in: dies., Elektronischer Rechtsverkehr, 1. Aufl. 2016, Rn. 440. Stn. des Hamburgischen Beauftragten für Datenschutz und Internetsicherheit, 3 18 BeckOK-BORA/Römermann/Praß, 19. Ed. 1.3.2018, § 2 Rn. 7. sowie 8. Tätigkeitsbericht des Sächsischen Datenschutzbeauftragten, 138. 19 26 Vgl. dazu BeckOK-BORA/Römermann/Praß, § 2 Rn. 2b. BeckOK-BORA/Römermann/Praß, Rn. 43a. 20 BeckOK-BORA/Römermann/Praß, § 2, Rn. 35a ff. 27 Vgl. Kazemi, NJW 2018, 443. 21 BeckOK-BORA/Römermann/Praß, § 2, Rn. 35c. 28 Stn. des Hamburgischen Beauftragten für Datenschutz und Internetsicherheit, 3 22 Degen/Emmert, in: dies., Rn. 438. (abger. am 18.4.2018). 23 29 So z.B. 25. Tätigkeitsbericht Datenschutz des Hamburgischen Beauftragten für 8. Tätigkeitsbericht des Sächsischen Datenschutzbeauftragten, 138 (abger. am Datenschutz und Informationsfreiheit, 97 f., www.datenschutz-hamburg.de/ 18.4.2018). 30 uploads/media/25._Taetigkeitsbericht_Datenschutz_2014-2015_HmbBfDI_01.pdf BayLDA, Sicherheit der Verarbeitung – Art. 32 DS-GVO, S. 2, www.lda.bayern.de/ (abger. am 18.4.2018). media/baylda_ds-gvo_1_security.pdf (abger. am 18.4.2018). BRAK-MITTEILUNGEN 3/2018 | AUFSÄTZE 120
umgesetzt zu werden.31 Nach Art. 25 I, Art. 32 I DS- dem Datenschutzrecht ab.37 Das allgemeine Daten- GVO fließen in die anschließende Abwägung noch die schutzrecht legt allerdings keine besonderen berufs- Kosten der Implementierung, Art, Umfang, Umstände rechtlichen Anforderungen eines Anwalts fest. Auch und Zwecke der Verarbeitung ein, sowie die unter- zählen Mandatsinformationen nicht zu den sensiblen schiedliche Eintrittswahrscheinlichkeit und Schwere Daten, die in Art. 9 DS-GVO geregelt sind. der mit der Verarbeitung verbundenen Risiken. Allein aus der DS-GVO selbst ergeben sich damit keine Transportverschlüsselung (TLS oder SSL) hat sich mitt- spezifischen Pflichten für Rechtsanwälte, sie können al- lerweile wohl als Standard etabliert,32 kann also als lenfalls implizit aus den Normen hergeleitet werden. Stand der Technik bezeichnet werden und lässt sich Leitet man eine Pflicht zur Verwendung von Ende-zu- ohne weiteres in die vorhandene Infrastruktur imple- Ende-Verschlüsselung aus dem Datenschutzrecht ab, mentieren. Eine Ende-zu-Ende-Verschlüsselung hin- so dürfte diese kaum auf Rechtsanwälte beschränkt gegen geht mit einem erheblich höheren Implementie- sein, sondern müsste dann auch für andere Adressa- rungsaufwand einher.33 ten des Datenschutzrechts gelten, wie etwa die Daten- Dies liegt, wie ausgeführt, daran, dass sowohl der Ver- schutzaufsichtsbehörden selbst. sender als auch der Empfänger die gleiche Technik be- nutzen müssen, da die unterschiedlichen existierenden 3. STRAFRECHTLICHE BEWERTUNG Verschlüsselungsmethoden in der Regel nicht miteinan- der kompatibel sind. Darüber hinaus ist die Verwendung Zum Teil wird eine Pflicht zur Verwendung von Ende-zu- von Ende-zu-Ende-Verschlüsselung, etwa über PGP oder Ende-Verschlüsselung der E-Mail-Kommunikation aus S/MIME nicht ganz trivial und verlangt vertiefte Kennnis- § 203 StGB hergeleitet.38 Der Versand einer nicht En- se von den an der Kommunikation Beteiligten.34 Dies er- de-zu-Ende verschlüsselten E-Mail erfüllt jedoch nicht kennt auch die Artikel-29-Datenschutzgruppe in ihrer dessen Tatbestand. Stellungnahme vom 11.4.2018 an.35 Sie geht davon Zwar kann § 203 StGB als unechtes Unterlassungs- aus, dass die Ende-zu-Ende-Verschlüsselung zu bevorzu- delikt i.S.d. § 13 StGB verwirklicht werden. So kann gen sei und dass ein öffentliches Interesse daran beste- das offene Liegenlassen einer Akte und die Nichthin- he; gleichwohl verlangt sie nicht, dass sämtliche Kom- derung einer Einsichtnahme darin den Tatbestand des munikation derart verschlüsselt werden müsse. Die Ver- § 203 StGB erfüllen.39 Allerdings genügt das bloße Ge- schlüsselung müsse standardisiert, stark und effizient währen der Möglichkeit einer Kenntnisnahme für sein. Die Artikel-29-Datenschutzgruppe regt in ihrer Stel- § 203 StGB nicht, weil es auf die Kenntnisnahme selbst lungnahme die Entwicklung und Förderung einer sol- ankommt. In der Literatur wird vertreten, dass eine Of- chen Ende-zu-Ende-Verschlüsselung an – was gleichzei- fenbarung dann ausscheidet, wenn die Kenntnisnahme tig zeigt, dass diesbezüglich offensichtlich noch Hand- strafbewehrt und das Geheimnis dadurch rechtlich ge- lungsbedarf besteht. schützt ist.40 Ob dies wirklich in einer solchen All- Nur der Vollständigkeit halber sei an dieser Stelle da- gemeinheit gelten kann, mag dahinstehen.41 rauf hingewiesen, dass auch mit einseitig implementier- An dieser Stelle mag jedoch wieder das Kriterium der ten Maßnahmen eine Ende-zu-Ende-Verschlüsselung er- Sozialadäquanz herangezogen werden: So, wie sich reicht werden kann, wie etwa mit der Verwendung von der Rechtsanwalt darauf verlassen kann, dass ein Post- Container-Dateien von Verschlüsselungstools oder dem beförderungsdienst die ihm anvertrauten Briefe nicht Angebot einer browserbasierten Web-Client-Lösung. öffnet, so wird man sich sicherlich auch darauf verlas- sen dürfen, dass ein E-Mail-Provider ebenso handelt. b) KEINE SPEZIELLEN PFLICHTEN FÜR BERUFSGEHEIM- Denn selbst unverschlüsselte E-Mails sind seit inzwi- NISTRÄGER NACH DS-GVO schen mehr als zehn Jahren vor einer unbefugten Des Weiteren stellt sich die Frage, ob die Pflicht zur Kenntnisnahme strafrechtlich nach § 202b StGB ge- Verwendung von Ende-zu-Ende-Verschlüsselung – so- schützt. Daneben greift außerdem das Post- und Fern- weit man sie überhaupt aus der DS-GVO herleiten meldegeheimnis des § 206 StGB sowie das Telekom- kann – nur für Rechtsanwälte und gegebenenfalls an- munikationsgeheimnis nach § 88 TKG für die E-Mail- dere Berufsgeheimnisträger gelten soll oder auch für Provider. Damit ist die E-Mail auf dem Weg vom Ab- andere Personen. Der Hamburgische Datenschutz- sender zum Empfänger aus strafrechtlicher Sicht beauftragte36 leitet die Pflicht zur Ende-zu-Ende-Ver- grundsätzlich lückenlos geschützt. schlüsselung für Rechtsanwälte ausschließlich aus Darüber hinaus fordert § 13 StGB für die Gleichstel- 31 Hartung, in: Kühling/Buchner, DS-GVO BDSG, 2. Aufl. 2018, Art. 25 DS-GVO lung des Unterlassens mit dem aktiven Tun, dass „das Rn. 21 m.w.N. Unterlassen der Verwirklichung des gesetzlichen Tat- 32 S. oben I 1 a sowie Schöttle, BRAK-Magazin 4/2015, 15 ff. 33 Kubach/Gutsche, DSRITB 2014, 585 (590). 34 Kubach/Gutsche, DSRITB 2014, 585 (590). 37 Für eine rein berufsrechtliche Herleitung dürfte er auch nicht zuständig sein. 35 38 Artikel-29-Datenschutzgruppe, Statement on encryption and their impact on the 8. Tätigkeitsbericht des Sächsischen Datenschutzbeauftragten, 138. 39 protection of individuals with regard to the processing of their personal data in the Fischer, StGB, 65. Aufl. 2018, § 203 Rn. 35. 40 EU, ec.europa.eu/newsroom/article29/document.cfm?action=display&doc_id=51026. Lewinski, BRAK-Mitt. 2004, 12. 36 41 Stn. des Hamburgischen Beauftragten für Datenschutz und Internetsicherheit, 1 So wird es in der Regel sicherlich nicht ausreichen, sich auf den Tatbestand des (abger. am 18.4.2018). Hausfriedensbruchs zurückzuziehen, anstatt die Kanzleiräume abzuschließen. AUFSÄTZE | BRAK-MITTEILUNGEN 3/2018 121
bestandes durch ein Tun entspricht“.42 Dementspre- Dennoch soll nachfolgend betrachtet werden, wann chend, legt man als Maßstab die „Vergleichbarkeit im eine solche Einwilligung angenommen werden kann. Unwert“ zugrunde, wird zumindest zu verlangen sein, dass der Schweigepflichtige damit gerechnet habe, a) KONKLUDENTE EINWILLIGUNG der Dritte werde vom Inhalt des Geheimnisses tatsäch- Grundsätzlich ist eine konkludente Einwilligung in die lich Kenntnis nehmen. Käme es darauf nicht an, würde unverschlüsselte E-Mail-Kommunikation dadurch mög- also für eine Erfüllung des Straftatbestands die tat- lich, dass der Mandant mit seinem Rechtsanwalt sächliche Kenntnisnahme genügen, wäre damit auch selbst unverschlüsselt per E-Mail solche Informationen die Briefpost und die Kommunikation per Telefax für übermittelt, die ein Mandatsgeheimnis darstellen.46 den Anwalt zu riskant und im Ergebnis nicht mehr ein- Zum Teil wird vertreten, dass die vom Mandanten für setzbar: denn käme es etwa zu einer unbefugten den Versand genutzte E-Mail-Adresse oder Faxnummer Kenntnisnahme eines Telefax (was bei den oft von ohne weiteren Abklärung nicht als „Mandanten“-An- mehreren Personen genutzten Faxanschlüssen und schrift benutzt werden darf, weil dann nicht gewähr- den offen wie eine Postkarte im Faxgerät liegenden leistet sei, dass keine Dritten von der Kommunikation empfangenen Ausdrucken durchaus wahrscheinlicher Kenntnis erhalten.47 Dies mag wohl in Bezug auf eine ist als bei einem einer einzigen Personen zugordneten Telefaxnummer zutreffend sein. Bezüglich eines E- E-Mail-Postfach), dann wäre in einem solchen Fall be- Mail-Postfachs dürfte aber grundsätzlich davon aus- reits der Straftatbestand erfüllt. gegangen werden, dass nur eine einzelne Person da- Die Vollendung liegt jedenfalls nur dann vor, wenn ein rauf Zugriff hat, sofern sich nicht klar aus der E-Mail- Dritter vom Inhalt des Geheimnisses tatsächlich Kennt- Adresse ergibt, dass es sich um eine Funktionsadresse nis genommen hat.43 Es kann auch keine Analogie mit handelt (etwa info@unternehmen.de). dem bloßen Herumliegenlassen von Akten gezogen Im Ergebnis wird man annehmen können, dass der werden. Der Server des E-Mail-Anbieters dürfte eher Mandant, welcher den Anwalt per E-Mail kontaktiert, mit dem Aktenschrank im Büro zu vergleichen sein. gleichzeitig darin einwilligt, auf diesem Wege auch Man wird nicht per se damit rechnen müssen, dass be- eine Antwort vom Anwalt zu bekommen. Nur dann, liebige Dritte auf die Informationen auf dem Server zu- wenn sich aus dem Kontext eindeutig etwas anderes greifen. ergibt, mag man annehmen, dass der Mandant mit ei- ner Kommunikation nicht einverstanden ist. Im Ergebnis sprechen gute Argumente dafür, dass das Fehlen von Ende-zu-Ende-Verschlüsselung bei der b) WANN BESTEHT EINE AUFKLÄRUNGSPFLICHT? E-Mail-Kommunikation durch Berufsgeheimnisträger bereits den objektiven Tatbestand des § 203 I StGB Es ist allgemein für jede Ausnahme und Befreiung von nicht erfüllt. der Verschwiegenheitspflicht zwingend erforderlich, dass der Mandant die dafür erforderliche Einsichts- und Prüfungsfähigkeit besitzt.48 Zwar handelt es sich bei einer Einwilligung nicht um die Entbindung von III. EINWILLIGUNG IN DIE UNVERSCHLÜSSELTE der Verschwiegenheitspflicht, sondern um die Konkreti- E-MAIL-KOMMUNIKATION sierung ihrer subjektiven Reichweite. Allerdings kann nichts anderes in Bezug auf die E-Mail-Kommunikation 1. ERFORDERLICHKEIT DER EINWILLIGUNG gelten. Der Mandant muss sich also der Risiken der E- Obgleich wohl eine objektive Pflicht, E-Mail-Kommuni- Mail-Kommunikation bewusst sein. kation Ende-zu-Ende zu verschlüsseln nicht angenom- Nach einer Auffassung genügt der Anwalt nur dann men werden kann, bestimmt dennoch der Mandant seinen Sorgfaltspflichten, wenn er im Rahmen einer als „Herr des Geheimnisses“ sowohl das „Ob“ als Einwilligungserklärung auf die bestehenden Risiken im auch das „Wie“ des Geheimnisses.44 Denn nur der Rahmen der E-Mail-Kommunikation hingewiesen hat.49 Mandant kann das subjektive Schutzbedürfnis der von Es stellt sich allerdings die Frage, ob eine solche Hin- ihm übermittelten Informationen festlegen. Nach einer weispflicht angesichts der Verbreitung der E-Mail-Kom- Auffassung reicht die Transportverschlüsselung nicht munikation noch zeitgemäß ist. Heutzutage scheint es aus, um sämtliche Risiken der Kenntnisnahme aus- geradezu das Mittel der Wahl zu sein, eine schützens- zuräumen,45 daher brauche man eine Einwilligung des werte Person aufgrund von legaldefinierten oder ge- Mandanten unter Aufklärung über die Risiken der un- setzlich abgeleiteten Informationspflichten mit Hinwei- verschlüsselten E-Mail-Kommunikation. Wie vorste- sen zu beglücken, so dass man zunächst auch hier ge- hend ausgeführt, sprechen gute Argumente dafür, neigt sein mag, bei Wahl des sichersten Weges dass eine Transportverschlüsselung durchaus geeignet ebenfalls eine solche Information zu verlangen. ist, ein ausreichendes Sicherheitsniveau zu bewirken. 46 Träger, in: Feuerich/Weyland, BRAO, 9. Aufl. 2016, § 43a Rn. 25b; Henssler, in: 42 Kargl, in: Kindhäuser/Neumann/Paeffgen, StGB, 5. Aufl. 2017, § 203 Rn. 19a. Henssler/Prütting, § 43a Rn. 68 f.; dagegen aber Kubach/Gutsche, DSRITB 2014, 43 Dannecker, in: Graf/Jäger/Wittig, Wirtschafts- und Steuerstrafrecht, 2. Aufl. 2017, 585 (592). 47 § 203 Rn. 51 m.w.N. Träger, in: Feuerich/Weyland, § 43a, Rn. 25b. 44 48 Vgl. z.B. Henssler, in: Henssler/Prütting, § 43a Rn. 62 ff. Groß, in: Schnitzer, Anwaltshdb. Familienrecht, 4. Aufl. 2014, § 2 Rn. 18. 45 49 Sorge, NJW-Beil. 2016, 100 ff.; Kubach/Gutsche, DSRITB 2014, 585 ff. Degen/Emmert, in: dies., Rn. 447. BRAK-MITTEILUNGEN 3/2018 | AUFSÄTZE 122
SCHÖTTLE, ANWALTLICHE KOMMUNIKATION PER E-MAIL – NUR VERSCHLÜSSELT? Realistisch betrachtet, dürfte dies jedoch nicht (mehr) fassung dürfte allerdings den Schutz der Betroffenen notwendig sein. Laut einer aktuellen Statistik wurden zu stark strapazieren und einen unzulässigen Eingriff im Jahr 2017 in Deutschland 771 Milliarden E-Mails in die Handlungsfreiheit der Betroffenen darstellen – verschickt – im Schnitt mehr als 9.300 pro Einwohner; vor allem vor dem Hintergrund, dass die Abwicklung der Studie zufolge sind mehr als 90 % der Deutschen von Mandantenkommunikation per unverschlüsselter ab 14 Jahren online.50 Ganz anders sieht es beim Tele- E-Mail alltäglich ist. Eine generelle Ablehnung der Ein- fax aus: Nach einer Studie aus dem Jahr 2015 nutzte willigungsfähigkeit dürfte allenfalls in krassen Ausnah- nur jeder fünfte Erwerbstätige ein Telefax im beruflichen mefällen gegeben sein, etwa wenn dem Mandanten Umfeld51 – die Tendenz dürfte fallend und im privaten nicht klar ist, was er tut. Umfeld noch dramatisch niedriger sein. Gerade die jün- gere Generation wird das Fax nur noch als merkwürdig Das Mandatsgeheimnis ist kein abstraktes Schutzgut, schlecht aufgelösten, teuren und umständlichen Web- welches der Disposition durch den Mandanten entzo- Service zum Versand von PDF-Dateien an Telefonnum- gen ist. Es dient allein seinen Interessen und endet mern kennen. Ihr wird kaum bewusst sein, dass bei der dort, wo der Mandant dies wünscht. Schließlich ist es Mehrzahl der Gegenstellen in Behörden und Gerichten dem Mandanten ja auch unbenommen, sich mit der tatsächlich Hardware steht, die bedrucktes Papier pro- von seinem Rechtsanwalt vertretenen Sache an die Öf- duziert, welches dann über diverse Schreibtische wan- fentlichkeit zu wenden. Wenn schon dies nicht auf- dert und von vielen Augen gelesen wird. grund des Mandatsgeheimnisses verboten ist, dann muss dies erst recht bei weitaus geringeren Beein- Nüchtern betrachtet wird man also davon ausgehen trächtigungen wie einer möglichen, unbefugten Kennt- können, dass die überwiegende Mehrheit mit E-Mail nisnahme gelten. Dies gilt auch in datenschutzrecht- als Kommunikationsdienst vertraut ist und dass dem- licher Sicht: Dem Betroffenen steht es selbstverständ- entsprechend auch keine Aufklärung über damit ver- lich auch frei, ihn betreffende personenbezogene bundene Risiken erforderlich ist. Eher wird man verlan- Daten zu veröffentlichen, damit kann dort nichts ande- gen können, über mangelnde Vertraulichkeit beim der res gelten. Allgemeinheit kaum noch bekannten Telefax zu infor- mieren als über die Risiken eines allgemein etablierten Kommunikationsdienstes wie der E-Mail. Teilt also ein 3. EINWILLIGUNG BETROFFENER DRITTER Mandant im Rahmen eines Mandatsverhältnisses sei- Nach wohl herrschender Meinung reicht das Daten- nem Anwalt eine E-Mail-Adresse mit, sprechen gute Ar- schutzrecht weiter als die berufsrechtliche Verschwie- gumente dafür, dass der Anwalt mit seinem Mandan- genheitspflicht, weil es auch den Schutz von Gegnern ten per E-Mail kommunizieren kann. Dies gilt wie aus- des Mandanten und der sonstigen Dritten gewährleis- geführt, erst recht, wenn der Mandant seinen Anwalt tet.53 Daher stellt sich die Frage, ob hinsichtlich der per E-Mail kontaktiert. Kommunikation per E-Mal eine datenschutzrechtliche Einwilligung etwa eines Prozessgegners oder von ande- Eine Informationspflicht seitens des Rechtsanwalts ren Dritten erforderlich ist, deren Daten per E-Mail mag allenfalls dann noch begründet sein, wenn der übermittelt werden. Rechtsanwalt situationsbedingt Anhaltspunkte dafür hat, dass der Mandant im Einzelfall nicht in der Lage Zumindest dann, wenn der Anwalt einen Kommunikati- ist, Sicherheitsrisiken der E-Mail-Kommunikation richtig onsweg anbietet, der nach dem Stand der Technik ge- einzuschätzen, die sich aus einer konkreten Gefähr- schützt ist und der letztlich dem Merkmal der Sozial- dungslage oder aufgrund besonderer Sensibilität der adäquanz genügt, dürfte eine Einwilligung entbehrlich übermittelten Informationen ergeben. Dies wird aller- sein. Wie ausgeführt, kann es durchaus auch bei Kom- dings nur in seltenen Fällen angenommen werden kön- munikation auf anderen Wegen, etwa per Post oder nen, etwa wenn konkret mit einer Überwachung der Telefax, zu einer Kenntnisnahme durch Dritte kommen, Kommunikation des Mandanten durch Ermittlungs- gerade das Telefax ist durch seine technische Gestal- behörden zu rechnen ist. tung prädestiniert für eine Kenntnisnahme durch Drit- te, zumindest dann, wenn es Ausdrucke in physischer Form erstellt. Dennoch wird nicht ernsthaft verlangt, 2. UNMÖGLICHKEIT DER EINWILLIGUNG? sämtliche Kommunikation per Telefax aus datenschutz- Der Hamburgische Datenschutzbeauftragte geht da- rechtlichen Gründen einzustellen. Für die Kommunika- von aus, dass bei den sensiblen Daten auch die Einwil- tion per E-Mail kann zumindest dann nichts anderes ligung in die elektronische Übertragung ohne Ver- gelten, wenn sie nach dem Stand der Technik ge- schlüsselung nicht möglich sei, da die technisch-orga- schützt ist. Dazu dürfte, wie ausgeführt, eine Trans- nisatorischen Maßnahmen nach § 9 BDSG oder portverschlüsselung gehören, zumindest ist diese an- Art. 32 I DS-GVO nicht verzichtbar seien.52 Diese Auf- zubieten. Im Ergebnis ist eine Einwilligung Dritter also dann entbehrlich, wenn die E-Mail per Transportver- 50 S. www.heise.de/newsticker/meldung/771-Milliarden-Nachrichten-E-Mail-Volumen- schlüsselung geschützt ist. in-Deutschland-2017-auf-Rekordwert-3961288.html. 51 http://www.faz.net/aktuell/wirtschaft/faxgeraet-ist-in-deutschlands-bueros-immer- 53 noch-beliebt-13806252.html. So auch der Hamburgische Datenschutzbeauftragte in seiner Stellungnahme, 98 52 Stn. des Hamburgischen Beauftragten für Datenschutz und Internetsicherheit, 2. m.w.N. AUFSÄTZE | BRAK-MITTEILUNGEN 3/2018 123
BIALLASS/VIEFHUES, ANWALTLICHE AUFGABEN IM ELEKTRONISCHEN RECHTSVERKEHR IV. FAZIT mindest dann, wenn der Anwalt eine Transportver- schlüsselung anbietet. Eine Aufklärung über die Risiken Eine Transportverschlüsselung stellt derzeit wohl den der E-Mail-Kommunikation ist angesichts der weiten Stand der Technik dar. Sie ist im Hinblick auf die da- Verbreitung der E-Mail nur dann erforderlich, wenn tenschutzrechtlichen Anforderungen wohl das Mittel der Anwalt konkrete Anhaltspunkte dafür hat, dass der Wahl für sämtliche Adressaten des Datenschutz- der Mandant im konkreten Fall die Sicherheitsrisiken rechts und somit auch für die Anwaltschaft. der E-Mail-Kommunikation nicht richtig einzuschätzen vermag. Anders sieht es bei der Ende-zu-Ende-Verschlüsselung aus. Bei dem derzeitigen Stand der Technik und ange- Was bedeutet das für den Rechtsanwalt in der Praxis? sichts der aktuellen Rechtslage sprechen gute Argu- Er sollte sicherstellen, dass der von ihm gewählte E- mente gegen das Bestehen einer Pflicht zur Verwen- Mail-Provider Transportverschlüsselung anbietet. dung einer Ende-zu-Ende-Verschlüsselung für Rechts- Bei dem Anwalt, der keine Ende-zu-Ende verschlüsselte anwälte als Berufsgeheimnisträger. Ohne die Mitwir- Kommunikation anbietet, ist ein Hinweis auf die fehlen- kung des Mandanten ist eine Ende-zu-Ende-Verschlüs- de Möglichkeit einer Ende-zu-Ende-Verschlüsselung vor selung momentan nicht möglich, einen einheitlichen der Mandatsaufnahme sinnvoll, aber nicht zwingend Standard gibt es nicht. Darüber hinaus ist der Sicher- erforderlich. Sollte der Mandant damit nicht einver- heitsgewinn bei der Anwendung von Ende-zu-Ende-Ver- standen sein, kann er mit dem Anwalt auf anderen Ka- schlüsselung gering. Denn der Client-Rechner, auf wel- nälen kommunizieren oder von der Aufnahme einer chem die E-Mail unverschlüsselt vorliegt, ist im Fall Mandatsbeziehung absehen. eines Angriffs das lohnendste und damit das wahr- Will der Anwalt zusätzliche Sicherungsmaßnahmen an- scheinlichste Angriffsziel. Damit ist die Ende-zu-Ende- bieten, kann er dies in Form einer Ende-zu-Ende-Ver- Verschlüsselung nur so sicher wie die Client-Rechner schlüsselung tun, entweder integriert in vorhandene E- von Anwalt und Mandant – letztere sind das Mail-Clients oder als eigenständige Lösung, etwa in schwächste Glied in der Kette. Form von Containerdateien. In der Nutzung oder der Angabe der E-Mail-Adresse Will der Anwalt auf Nummer sicher gehen, kann er in zur Kontaktaufnahme durch den Mandanten ist eine Zweifelsfällen eine ausdrückliche Einwilligung einholen, konkludente Einwilligung in die Nutzung dieses Kom- auch wenn dies aus rechtlicher Sicht in der Regel nicht munikationswegs durch den Mandanten zu sehen, zu- erforderlich sein dürfte. ANWALTLICHE AUFGABEN IM ELEKTRONISCHEN RECHTSVERKEHR RICHTERIN AM AG ISABELLE DÉSIRÉE BIALLASS UND RICHTER AM AG A.D. DR. WOLFRAM VIEFHUES* Im Zuge der schrittweisen Einführung des elektro- ihres Berufs als besonders zuverlässig gelten, auch nischen Rechtsverkehrs hat der Gesetzgeber nach ohne deren Zustimmung elektronische Dokumente und nach eine Reihe von Regelungen in den Verfah- zugestellt werden. Hiervon sind auch Rechtsanwälte rensordnungen, aber auch im (anwaltlichen) Berufs- betroffen (§ 174 III i.V.m. § 174 I ZPO). In § 31a I 1 recht geschaffen. Die Autoren erläutern insbesondere BRAO und § 21 I 2 RAVPV ist vorgesehen, dass die seit Anfang 2018 geltende Rechtslage im Detail die Bundesrechtsanwaltskammer für jeden bei einer und geben praktische Hinweise. Rechtsanwaltskammer eingetragenen Rechtsanwalt ein besonderes elektronisches Anwaltspostfach (beA) empfangsbereit einrichtet. Die Rechtsanwälte sind A. PASSIVE NUTZUNGSPFLICHT – WAS verpflichtet, die für die Nutzung des beA erforder- BEDEUTET DAS KONKRET? lichen technischen Einrichtungen vorzuhalten so- wie Zustellungen und den Zugang von Mitteilungen I. ZUSTELLUNG ELEKTRONISCHER DOKUMENTE über das beA zur Kenntnis zu nehmen (§ 31a VI Gemäß § 174 III ZPO in der seit dem 1.1.2018 gel- BRAO). Aufgrund der umfangreichen Pressebe- tenden Fassung können an Personen, die aufgrund richterstattung werden die technischen Probleme des beA sowie die Tatsache, dass die Einrichtung * Die Autorin Biallaß ist Richterin am Amtsgericht Essen und dort als IT-Dezernentin eines empfangsbereiten beA für jeden Rechts- tätig. Der Autor Dr. Viefhues ist Aufsicht führender Richter am AG a.D., Mitglied anwalt innerhalb der Anwaltschaft auf erheb- des geschäftsführenden Vorstands des Deutschen EDV-Gerichtstages e.V. und Vorsitzender der Gemeinsamen Kommission elektronischer Rechtsverkehr des lichen Widerstand gestoßen ist, als bekannt voraus- EDV-Gerichtstages. gesetzt. BRAK-MITTEILUNGEN 3/2018 | AUFSÄTZE 124
Sie können auch lesen