Recherche-Ratgeber · Recht/DSGVO

E-Mails verschlüsseln: was die DSGVO von Freelancern verlangt

Recherche-Ratgeber · Stand Oktober 2026 · kein Praxistest · veröffentlicht 23.10.2026 · aktualisiert 24.10.2026 · 9 Min · CompareAI Editorial

Teil der Themenübersicht Recht & Datenschutz für Freelancer: Alle Ratgeber im Überblick

Hinweis: Dieser Beitrag ist eine Recherche auf Basis öffentlicher Anbieterangaben und Gesetzestexte (Stand Okt 2026), kein Praxistest. Preise und Limits können sich ändern, prüfe sie vor dem Kauf auf der verlinkten Quelle. Keine Rechts- oder Steuerberatung.

Verträge, Rechnungen, Lebensläufe, Zugangsdaten – Freelancer verschicken täglich personenbezogene Daten per E-Mail. Muss das alles verschlüsselt sein? Die kurze Antwort der deutschen Datenschutzaufsicht: Eine Transportverschlüsselung ist das Minimum, Ende-zu-Ende-Verschlüsselung ist bei hohem Risiko regelmäßig Pflicht. Dieser Ratgeber übersetzt die Orientierungshilfe der Datenschutzkonferenz (DSK) zur E-Mail-Verschlüsselung in praktische Entscheidungen für kleine Betriebe. Er ist keine Rechtsberatung, und Berufsgeheimnisträger wie Ärzte oder Anwältinnen haben zusätzliche Pflichten aus ihrem Berufsrecht.

Zwei Arten der Verschlüsselung

Transportverschlüsselung (TLS): Die Verbindung zwischen Mailprogramm und Server sowie zwischen den Mailservern ist verschlüsselt. Auf den Servern selbst liegt die Nachricht aber lesbar. Laut DSK senkt TLS das Risiko passiven Mitlesens auf ein geringfügiges Maß und ist ein Basisschutz.
Ende-zu-Ende-Verschlüsselung: Nur Absender und Empfänger können die Nachricht lesen; sie bleibt auch auf Servern und in Postfächern verschlüsselt. Die DSK nennt dafür die Standards S/MIME und OpenPGP (meist mit PGP/MIME).

Normales Risiko: obligatorische Transportverschlüsselung

Für den Versand von Mails mit personenbezogenen Daten verlangt die Orientierungshilfe eine obligatorische Transportverschlüsselung. „Obligatorisch“ heißt: Der Server schickt die Mail nur, wenn eine verschlüsselte Verbindung zustande kommt, statt bei Problemen unverschlüsselt weiterzusenden. Wer gezielt personenbezogene Daten per Mail entgegennimmt – etwa Bewerbungen oder Projektunterlagen –, muss zudem einen Empfangsserver betreiben oder nutzen, der TLS mit Algorithmen nach der BSI-Richtlinie TR 02102-2 unterstützt. Bei normalen Risiken, etwa Terminabsprachen oder gewöhnlicher Projektkorrespondenz, reicht das laut DSK aus.

Ob dein Mail-Anbieter erzwungenes TLS anbietet und wie es konfiguriert wird, steht in dessen Hilfe – bei Hostern wie IONOS, STRATO oder ALL-INKL.COM genauso wie bei anderen Anbietern. Das haben wir nicht für jeden Anbieter verifiziert. Ergänzend gehören SPF, DKIM und DMARC zu einer sauberen Mail-Konfiguration – siehe SPF, DKIM und DMARC.

Hohes Risiko: Ende-zu-Ende plus qualifiziertes TLS

Wenn ein Bruch der Vertraulichkeit ein hohes Risiko für die Betroffenen bedeuten würde, müssen Absender laut DSK regelmäßig Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung einsetzen. Qualifiziert heißt vereinfacht: Der Server prüft auch, ob er wirklich mit dem richtigen Gegenüber spricht, etwa per DANE und DNSSEC. Inwieweit auf einzelne Elemente verzichtet werden kann, hängt laut Orientierungshilfe von den konkreten Risiken und kompensierenden Maßnahmen ab.

Hohes Risiko liegt typischerweise vor bei Gesundheitsdaten, Bank- und Ausweisdaten, Personalakten oder Daten, die einem Berufsgeheimnis unterliegen. Zur Einstufung verweist die DSK auf ihr Kurzpapier Nr. 18 zum Risikobegriff.

S/MIME oder OpenPGP?

	S/MIME	OpenPGP
Vertrauen	Zertifikat einer Zertifizierungsstelle	Schlüssel, die Nutzer selbst erzeugen und austauschen
Unterstützung	in vielen Mailprogrammen eingebaut, verbreitet in Unternehmen	z. B. in Thunderbird eingebaut, sonst über Erweiterungen
Voraussetzung	beide Seiten brauchen ein Zertifikat	beide Seiten brauchen ein Schlüsselpaar

Beide Verfahren funktionieren nur, wenn auch dein Gegenüber mitmacht. In der Praxis ist das die größte Hürde. Zertifikatspreise variieren je nach Anbieter; wir haben sie nicht geprüft.

Alternativen, wenn der Kunde keine Verschlüsselung hat

Portal oder Datenraum: Die DSK erwähnt ausdrücklich die Bereitstellung über ein Webportal. Ein Download-Link zu einer geschützten Freigabe ist oft praktikabler als S/MIME.
Verschlüsseltes Archiv: Datei als verschlüsseltes Archiv senden, Passwort über einen anderen Kanal (Telefon, Messenger) mitteilen. Passwort nie in derselben Mail. Für Dateien, die für einen Anhang zu groß sind, vergleicht der Ratgeber Große Dateien sicher an Kunden senden Transferdienste und ihre DSGVO-Pflichten.
Datensparsamkeit: Muss die Ausweiskopie wirklich per Mail kommen? Oft reicht ein Blick im Videocall.

Darf der Kunde auf Verschlüsselung verzichten?

Viele Kunden schreiben: „Schicken Sie es einfach per Mail.“ Die DSK hat 2021 beschlossen, dass ein Verzicht auf einzelne technische Maßnahmen nur in engen Grenzen möglich ist: auf ausdrücklichen, eigeninitiativen Wunsch einer informierten Person, nur für ihre eigenen Daten, im Einzelfall und dokumentiert. Eine pauschale Einwilligung in deinen AGB genügt nicht, und die Daten Dritter sind nicht verzichtbar. Wer das nutzt, sollte den Hinweis auf das Risiko und den Wunsch der Person schriftlich festhalten.

Kurze Checkliste

Prüfen, ob dein Mailanbieter TLS für Versand und Empfang erzwingt.
Datenkategorien einteilen: Was ist normales, was hohes Risiko?
Für hohes Risiko einen Weg festlegen: S/MIME, OpenPGP oder Portal.
Zugänge zum Postfach mit starkem Passwort und Zwei-Faktor-Anmeldung schützen – siehe Passwortmanager für Freelancer und das Tool-Profil Bitwarden.
Geht trotzdem etwas schief, hilft der Ratgeber Datenpanne melden.

Anbieterseiten

Affiliate-Hinweis (Werbung): Links mit Partnerstatus sind als „sponsored“ markiert. Für dich ändert sich der Preis nicht.

IONOS öffnen Profil
STRATO öffnen Profil
ALL-INKL.COM öffnen Profil

FAQ

Reicht normales TLS für Kundenmails?

Bei normalem Risiko ja – laut DSK aber als obligatorische Transportverschlüsselung, also ohne unverschlüsselten Rückfall.

Wann brauche ich Ende-zu-Ende-Verschlüsselung?

Wenn ein Bruch der Vertraulichkeit ein hohes Risiko für die Betroffenen bedeutet, etwa bei Gesundheits-, Bank- oder Ausweisdaten. Dann verlangt die DSK regelmäßig Ende-zu-Ende- und qualifizierte Transportverschlüsselung.

Kann mein Kunde auf Verschlüsselung verzichten?

Nur in engen Grenzen: auf seinen ausdrücklichen eigenen Wunsch, informiert, für seine eigenen Daten und dokumentiert. Eine Klausel in den AGB genügt nicht.

Ist ein passwortgeschütztes PDF ausreichend?

Es kann eine praktikable Alternative sein, wenn die Verschlüsselung stark ist und das Passwort über einen anderen Kanal übermittelt wird. Die Bewertung hängt vom Risiko ab.

Was ist besser, S/MIME oder OpenPGP?

Beide sind laut DSK geeignete Standards. Entscheidend ist, was dein Gegenüber unterstützt; in Unternehmen ist S/MIME häufiger verbreitet.