Sehr geehrte ***********,

vielen Dank für Ihre Antwort. Aber ich darf Ihnen widersprechen:

• in meiner Beschwerdemail war ein Link auf mein Blog, und dort findet sich selbstverständlich ein Impressum. Sie hätten also sehr wohl einen Brief schicken können um Ihrer selbstgemachten Policy gerecht zu werden.
• die Orientierungshilfe sagt in Abschnitt 4.1.2. „Verpflichtungen bei hohen Risiken“, dass der Verantwortliche „sowohl qualifizierte Transportverschlüsselung (s. u. Nr. 5.2) als auch den Empfang von Ende zu Ende verschlüsselter Nachrichten ermöglichen“ muss. Da steht ausdrücklich beides, und Sie nehmen doch Emails entgegen. Keinen Verstoß kann ich nur dann sehen, wenn ich annehme, dass Sie nicht verantwortlich sind 😉.

Sehr geehrter Herr Lindenberg,

ich bestätige den Eingang Ihrer Nachricht vom 9. August 2023 mit dem Gegenstand „Fehlende obligatorische/qualifizierte Transportverschlüsselung“. Der Vorgang wird hier unter dem Aktenzeichen bDSB-01-2023 geführt.

Sie werfen darin dem Unabhängigen Datenschutzzentrum Saarland (wie auch den übrigen Datenschutzaufsichtsbehörden) vor, die Orientierungshilfe „Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail“ nicht umzusetzen, da die Anforderung einer obligatorischen bzw. qualifizierten Transportverschlüsselung bei der Kommunikation per E-Mail nicht umgesetzt werde.

Als Kontaktmöglichkeit mit hiesiger Behörde stehen bei der Nutzung von E-Mail die Ende-zu-Ende-Verschlüsselung mittels PGP sowie gesicherte Webformulare zur Verfügung. Insbesondere Kommunikationsinhalte, für die ein spezifischer Schutzbedarf anzunehmen ist, werden diesseits nur mittels ende-zu-ende-verschlüsselter E-Mail oder postalisch übersandt.

Soweit das zentrale E-Mail-Relay des Landesdienstleisters IT-DLZ derzeit keine qualifizierte Transportverschlüsselung vorsieht, ist diesbezüglich ein Austausch mit der Leitungsebene des IT-DLZ eingeleitet.

Die vorstehenden Informationen wurden Ihnen bereits im Rahmen Ihrer Presseanfrage vom 7. Juli diesen Jahres mitgeteilt. In Kenntnis der Sachlage haben Sie auch für Ihre nunmehr eingereichte Beschwerde die Kommunikation per E-Mail gewählt, wobei Sie weder eine Postadresse noch einen PGP-Schlüssel mitgeteilt haben. Neben dem Umstand, dass der oben genannte spezifische Schutzbedarf in diesem Kontext nicht ersichtlich ist, verbleibt somit nur die Antwortmöglichkeit per E-Mail ohne qualifizierte Transportverschlüsselung.

Ein Datenschutzverstoß durch das Unabhängige Datenschutzzentrum Saarland liegt somit Hinblick auf die Verarbeitung Ihrer personenbezogener Daten nicht vor. Die derzeit fehlende Umsetzung einer qualifizierten Transportverschlüsselung stellt unter Berücksichtigung der zur Verfügung stehenden Alternativen keinen Verstoß gegen datenschutzrechtliche Vorgaben dar.