De-Mail-Gesetz

Das Gesetz reguliert die Zulassung und die Arbeit so genannter De-Mail-Diensteanbieter, das heißt der Anbieter von „Diensten auf einer elektronischen Kommunikationsplattform, die einen sicheren, vertraulichen und nachweisbaren Geschäftsverkehr für jedermann im Internet sicherstellen sollen“, § 1 Abs. 1 De-Mail-Gesetz.

Zweck des Gesetzes ist ausweislich der Gesetzesbegründung[1][2] die Etablierung einer auf der herkömmlichen E-Mail-Technologie basierenden Form der elektronischen Kommunikation, die die Vorteile der E-Mail (einfache, schnelle, preiswerte und ortsunabhängige Kommunikation) mit denen des Briefes (Vertraulichkeit und Verlässlichkeit) kombiniert. De-Mail bedient sich hierfür Signatur- und Verschlüsselungstechniken. Da diese trotz intensiver auch staatlicher Förderung insbesondere der elektronischen Signatur kaum verbreitet sind, nimmt das De-Mail-Gesetz insoweit die Diensteanbieter in die Pflicht. Sie müssen zum einen sicherstellen, dass die Kommunikation zwischen dem Nutzer und ihnen sowie zwischen den Anbietern selbst verschlüsselt abläuft. Zum anderen müssen sie die Nutzer identifizieren und den jeweiligen Kommunikationspartnern den Nachweis der Kommunikation ermöglichen.

Der Gesetzgeber verspricht sich von der Einführung der De-Mail eine erhebliche Entlastung der öffentlichen Verwaltungen wie der Wirtschaft. In weitgehend auf Annahmen beruhenden Beispielrechnungen kommt er auf ein Einsparpotential im zwei- bzw. dreistelligen Millionenbereich allein an Materialkosten, das Porto noch nicht gerechnet. Welche Kosten mit der Nutzung der Dienste verbunden sind, ist noch unsicher. Das Gesetz macht keine Vorgaben. Die derzeit zugelassenen Anbieter sehen teils Kosten pro Mail etwas unterhalb des Briefportos vor, gegebenenfalls ergänzt bei der Nutzung spezieller Versandoptionen, und teils Flatrates, vor allem für Massenversender.[3][4][5][6]

Hintergrund des Gesetzes ist die Notwendigkeit einer „elektronischen Zustellung“. Die EG-Dienstleistungsrichtlinie fordert die Möglichkeit einer voll elektronischen Abwicklung von Verwaltungskontakten, von allgemeinen Informationen über den ersten Kontakt, die Antragstellung und den eventuellen Nachweis der erforderlichen Voraussetzungen bis hin zur Übermittlung der Behördenentscheidung. Bislang erforderte die Zustellung elektronischer Dokumente die Mitwirkung des Adressaten. Eine nachweissichere „konfrontative“ Übermittlung ohne oder gar gegen seinen Willen fehlte. Hauptanwendungsfall ist bei der Briefpost das Einwurfeinschreiben, das nach § 180 Satz 2 ZPO in dem Moment als zugegangen gilt, in dem der Postbote es in den Briefkasten des Empfängers wirft. Der Zusteller vermerkt hierbei Datum (und möglichst auch Uhrzeit) des Einwerfens auf der Zustellurkunde. Diese leitet er dem Absender zu, der damit über eine öffentliche Urkunde verfügt, die den Zugang des Schriftstücks gerichtsfest nachweist, § 172 ZPO und § 418.

Dieses Modell stellt das De-Mail-Gesetz als „De-Mail-Einschreiben“ nach. Es normiert hierfür in § 5 Abs. 7 bis 10 einzelne Bestätigungen, die die De-Mail-Diensteanbieter auf Antrag erstellen und signieren. Hierzu gehört die dem Einwurfeinschreiben entsprechende „Eingangsbestätigung“ nach Absatz 8 der Vorschrift, doch auch die Abholbestätigung nach Absatz 9, mit der der Anbieter auf Ersuchen einer Behörde dieser mitteilt, wann sich der Empfänger nach dem Eingang der Nachricht im Postfach an seinem De-Mail-Konto sicher im Sinne des § 4 De-Mail-Gesetz angemeldet hat. Das genügt nach § 5a VwZG als Nachweis der Zustellung behördlicher Schreiben. Mit Blick hierauf hat Gerald Spindler in der Sachverständigenanhörung plastisch vom „Verwaltungszustellungsergänzungsgesetz“ gesprochen.[7]

Kernpunkt jedes De-Mail-Dienstes ist der Postfach- und Versanddienst nach § 5 des Gesetzes. Dieser ist zwingend zu ergänzen mit der sicheren Identifizierung jedes Nutzers nach § 3, in erster Linie durch Kontrolle des Personalausweises bei natürlichen und durch Anforderung eines amtlichen Registerauszugs bei juristischen Personen. Ebenfalls obligatorisch ist das Angebot an die Nutzer, sich nach § 4 in dem Sinne „sicher“ bei dem Dienst anzumelden, dass die Anmeldung über das Wissen etwa um ein Passwort hinaus den Besitz etwa einer Signaturkarte oder eines elektronischen Personalausweises erfordert. Auf Wunsch der Nutzer muss aber auch die Anmeldung nur mit Benutzername und Passwort möglich sein. Schließlich muss der Anbieter ein öffentliches Teilnehmerverzeichnis führen, § 7, dessen Nutzung (aktiv wie passiv) den Nutzern allerdings ebenfalls freigestellt ist.

Der Identitätsbestätigungsdienst nach § 6 sowie die sichere Dokumentenablage nach § 8 („De-Safe“) können, müssen aber nicht angeboten werden.

De-Mail-Dienste werden ausschließlich von akkreditierten Anbietern erbracht. Nur wer im Rahmen der Akkreditierung seine gewerberechtliche Zuverlässigkeit, die Erfüllung der technischen und organisatorischen sowie datenschutzrechtlichen Anforderungen und eine ausreichende Deckungsvorsorge nachweist, wird durch die zuständige Behörde akkreditiert und darf die Dienste unter diesem Namen anbieten.

Unberührt bleibt aber die Möglichkeit nicht-akkreditierter Anbieter, entsprechende Dienste unter einen anderen Namen zu offerieren. Die Akkreditierungspflicht verletzt daher weder die E-Commerce- noch die Dienstleistungsrichtlinie.[10]

Derzeit (Stand 26. Februar 2016) sind mit 1&1 DE-Mail GmbH, der FP Digital Business Solutions GmbH (ehemals Mentana-Claimsoft GmbH)[11], der T-Systems International GmbH[12] und der Telekom Deutschland GmbH[4] vier Anbieter akkreditiert. Sie bieten nur die obligatorischen Basisleistungen an, das heißt den Postfach- und Versanddienst sowie den Verzeichnisdienst.[13]

Die Diensteanbieter unterliegen der Aufsicht durch das BSI (§ 2 und § 20 De-Mail-G). Dieses wacht über die Einhaltung des Gesetzes und darf bei Verstößen den Betrieb vorübergehend untersagen oder als letzte Maßnahme die Akkreditierung entziehen. Es kann Verstöße nach § 23 mittels Bußgeldes ahnden.

Das BSI hat zudem die Aufgabe, die technischen und organisatorischen Anforderungen an die Anbieter und ihre Dienste in Technischen Richtlinien zu formulieren und diese im Bundesanzeiger zu veröffentlichen. Es arbeitet hierfür mit dem Bundesdatenschutzbeauftragten und dem Ausschuss De-Mail-Standardisierung zusammen, dem auch die Anbieter angehören, § 18 Abs. 2 und § 25 De-Mail-G. Maßgeblich ist derzeit die Technische Richtlinie 01201 De-Mail des Bundesamtes für Sicherheit in der Informationstechnik.[14]

Die Nutzung des Dienstes durch die Nutzer ist freiwillig. Die Übermittlung elektronischer Dokumente ist nur zulässig, soweit der Empfänger hierfür einen Zugang eröffnet hat (sogenannte Zugangseröffnung). In § 7 Abs. 3 des De-Mail-Gesetzes heißt es hierzu: