De-Mail-Gesetz

Das Gesetz reguliert die Zulassung und die Arbeit so genannter De-Mail-Diensteanbieter, das heißt der Anbieter von „Diensten auf einer elektronischen Kommunikationsplattform, die einen sicheren, vertraulichen und nachweisbaren Geschäftsverkehr für jedermann im Internet sicherstellen sollen“, § 1 Abs. 1 De-Mail-Gesetz.

Zweck des Gesetzes ist ausweislich der Gesetzesbegründung^[2][3] die Etablierung einer auf der herkömmlichen E-Mail-Technologie basierenden Form der elektronischen Kommunikation, die die Vorteile der E-Mail (einfache, schnelle, preiswerte und ortsunabhängige Kommunikation) mit denen des Briefes (Vertraulichkeit und Verlässlichkeit) kombiniert. De-Mail bedient sich hierfür Signatur- und Verschlüsselungstechniken. Da diese trotz intensiver auch staatlicher Förderung insbesondere der elektronischen Signatur kaum verbreitet sind, nimmt das De-Mail-Gesetz insoweit die Diensteanbieter in die Pflicht. Sie müssen zum einen sicherstellen, dass die Kommunikation zwischen dem Nutzer und ihnen sowie zwischen den Anbietern selbst verschlüsselt abläuft. Zum anderen müssen sie die Nutzer identifizieren und den jeweiligen Kommunikationspartnern den Nachweis der Kommunikation ermöglichen.

Der Gesetzgeber verspricht sich von der Einführung der De-Mail eine erhebliche Entlastung der öffentlichen Verwaltungen wie der Wirtschaft. In weitgehend auf Annahmen beruhenden Beispielrechnungen kommt er auf ein Einsparpotential im zwei- bzw. dreistelligen Millionenbereich allein an Materialkosten, das Porto noch nicht gerechnet. Welche Kosten mit der Nutzung der Dienste verbunden sind, ist noch unsicher. Das Gesetz macht keine Vorgaben. Die derzeit zugelassenen Anbieter sehen teils Kosten pro Mail etwas unterhalb des Briefportos vor, gegebenenfalls ergänzt bei der Nutzung spezieller Versandoptionen, und teils Flatrates, vor allem für Massenversender.^[4][5][6][7]

Hintergrund des Gesetzes ist die Notwendigkeit einer „elektronischen Zustellung“. Die EG-Dienstleistungsrichtlinie fordert die Möglichkeit einer voll elektronischen Abwicklung von Verwaltungskontakten, von allgemeinen Informationen über den ersten Kontakt, die Antragstellung und den eventuellen Nachweis der erforderlichen Voraussetzungen bis hin zur Übermittlung der Behördenentscheidung. Bislang erforderte die Zustellung elektronischer Dokumente die Mitwirkung des Adressaten. Eine nachweissichere „konfrontative“ Übermittlung ohne oder gar gegen seinen Willen fehlte. Hauptanwendungsfall ist bei der Briefpost das Einwurfeinschreiben, das nach § 180 Satz 2 ZPO in dem Moment als zugegangen gilt, in dem der Postbote es in den Briefkasten des Empfängers wirft. Der Zusteller vermerkt hierbei Datum (und möglichst auch Uhrzeit) des Einwerfens auf der Zustellurkunde. Diese leitet er dem Absender zu, der damit über eine öffentliche Urkunde verfügt, die den Zugang des Schriftstücks gerichtsfest nachweist, § 172 ZPO und § 418.

Dieses Modell stellt das De-Mail-Gesetz als „De-Mail-Einschreiben“ nach. Es normiert hierfür in § 5 Abs. 7 bis 10 einzelne Bestätigungen, die die De-Mail-Diensteanbieter auf Antrag erstellen und signieren. Hierzu gehört die dem Einwurfeinschreiben entsprechende „Eingangsbestätigung“ nach Absatz 8 der Vorschrift, doch auch die Abholbestätigung nach Absatz 9, mit der der Anbieter auf Ersuchen einer Behörde dieser mitteilt, wann sich der Empfänger nach dem Eingang der Nachricht im Postfach an seinem De-Mail-Konto sicher im Sinne des § 4 De-Mail-Gesetz angemeldet hat. Das genügt nach § 5a VwZG als Nachweis der Zustellung behördlicher Schreiben. Mit Blick hierauf hat Gerald Spindler in der Sachverständigenanhörung plastisch vom „Verwaltungszustellungsergänzungsgesetz“ gesprochen.^[8]

Das unter maßgeblicher Mitwirkung von Alexander Roßnagel erarbeitete Gesetz ging aus dem Projekt „Bürgerportale“ des Bundesministeriums des Innern hervor. Es wurde zunächst in der 16. Legislaturperiode als Entwurf eines Bürgerportalgesetz in den Bundestag eingebracht^[3] und stieß auf erheblichen Widerstand unter anderem der Datenschutzbeauftragten des Bundes und der Länder sowie des Bundesrates. Wohl auch deshalb konnte das Gesetz bis zum Ende der Legislaturperiode nicht fertiggestellt werden und unterlag daher der Diskontinuität.

Zu Beginn der 17. Legislaturperiode wurde es diesmal unter dem jetzigen Titel eingebracht^[2], wobei einige der gravierenden Kritikpunkte der Datenschutzbeauftragten und des Bundesrates berücksichtigt wurden. In der öffentlichen Anhörung äußerten sich zahlreiche Sachverständige kritisch, darunter der Verbraucherzentrale Bundesverband und der Chaos Computer Club sowie der Deutsche Notarverein, derweil Industrievertreter etwa der Bitkom das Gesetz als richtigen Schritt lobten. Das Gesetz wurde mit den Stimmen der Regierungs-Koalition am 24. Februar 2011 beschlossen, am 18. März 2011 vom Bundesrat gebilligt und am 28. April 2011 ausgefertigt. Es trat nach der Publikation im Bundesgesetzblatt als Artikel 1 des Gesetzes vom 28. April 2011 (BGBl. I S. 666) am 3. Mai 2011 in Kraft.^[9]

Das De-Mail-Gesetz wurde geändert durch Art. 2 des „E-Government-Gesetzes“ vom 25. Juli 2013 (BGBl. I S. 2749, 2752). Dieses Gesetz korrigierte ein Redaktionsversehen in § 2, änderte in § 3 die Vorgaben zur Identifizierung der De-Mail-Nutzer und erweiterte die Vorgaben des § 7 Abs. 3 zur Zugangseröffnung durch den Nutzer. Die Änderung des § 5 über die „absenderbestätigte“ De-Mail trat erst zum 1. Juli 2014 in Kraft, Art. 31 Abs. 2 des Gesetzes vom 25. Juli 2013.

Die letzte Änderung erfuhr das Gesetz durch das Gesetz zur Strukturreform des Gebührenrechts des Bundes vom 7. August 2013 (BGBl. I S. 3154, 3161). Dieses ersetzte in § 24 Abs. 1 Nr. 1 De-Mail-Gesetz den Begriff der „Amtshandlung“ durch den der „individuell zurechenbaren öffentlichen Leistung“ und ersetzte in Abs. 2 den inhaltlichen wie direkten Bezug auf das außer Kraft getretene Verwaltungskostengesetz durch den auf das nunmehrige Bundesgebührengesetz.

Die auf § 24 des De-Mail-Gesetzes beruhende De-Mail-Kostenverordnung^[10] vom 9. Februar 2012 (BGBl. I S. 267) trat mit Wirkung vom 14. November 2011 in Kraft; sie wurde durch das genannte Gesetz ebenfalls entsprechend geändert.

Beide Vorschriften werden am 14. August 2016 außer Kraft treten, Art. 3 Abs. 8 und 9 sowie Art. 5 Abs. 2 des Gesetzes vom 7. August 2013 (BGBl. I S. 3154, 3199).

Die 25 Paragraphen des Gesetzes sind in sechs Abschnitte gegliedert. Der erste benennt in § 1 den Inhalt des Gesetzes und bestimmt in § 2 das BSI als die für die Überwachung der Anbieter zuständige Behörde. Die §§ 3 bis 8 des zweiten Abschnitts beschreiben die obligatorischen und fakultativen Angebote eines De-Mail-Dienstes, derweil der dritte Abschnitt in den §§ 9 bis 16 die einzelnen Anforderungen an die Anbieter beim Betrieb ihres Dienstes enthält. Der vierte Abschnitt regelt in den §§ 17 bis 19 die Voraussetzung wie den Ablauf der Akkreditierung der Anbieter bzw. der Gleichstellung ausländischer Angebote. Der fünfte Abschnitt regelt in den §§ 20 und 21 die behördliche Aufsicht, derweil der sechste mit den §§ 22 bis 25 Schlussbestimmungen enthält, darunter mit § 23 eine Bußgeldregelung und mit § 24 eine Ermächtigung des Bundesministerium des Innern zum Erlass der De-Mail-Kostenverordnung.

Das Gesetz gleicht in weiten Teilen, darunter beim Regelungsansatz, dem Signaturgesetz von 1997. Das Gesetz sucht das Angebot erwünschter Dienste durch behördlich überwachte Private sicherzustellen. Es definiert hierfür Anforderungen an die Dienste und ihre Anbieter und ermöglicht letzteren gegenüber der Aufsichtsbehörde nachzuweisen, dass sie diese erfüllen. Sie haben hierfür die Bestätigungen zertifizierter Auditoren und Prüfstellen beizubringen sowie einen Nachweis einer ausreichenden Deckungsvorsorge für eventuelle Haftungsfälle. Gelingt ihnen das, werden sie von der Behörde akkreditiert und damit zum De-Mail-Verbund zugelassen.

Kernpunkt jedes De-Mail-Dienstes ist der Postfach- und Versanddienst nach § 5 des Gesetzes. Dieser ist zwingend zu ergänzen mit der sicheren Identifizierung jedes Nutzers nach § 3, in erster Linie durch Kontrolle des Personalausweises bei natürlichen und durch Anforderung eines amtlichen Registerauszugs bei juristischen Personen. Ebenfalls obligatorisch ist das Angebot an die Nutzer, sich nach § 4 in dem Sinne „sicher“ bei dem Dienst anzumelden, dass die Anmeldung über das Wissen etwa um ein Passwort hinaus den Besitz etwa einer Signaturkarte oder eines elektronischen Personalausweises erfordert. Auf Wunsch der Nutzer muss aber auch die Anmeldung nur mit Benutzername und Passwort möglich sein. Schließlich muss der Anbieter ein öffentliches Teilnehmerverzeichnis führen, § 7, dessen Nutzung (aktiv wie passiv) den Nutzern allerdings ebenfalls freigestellt ist.

Der Identitätsbestätigungsdienst nach § 6 sowie die sichere Dokumentenablage nach § 8 („De-Safe“) können, müssen aber nicht angeboten werden.

De-Mail-Dienste werden ausschließlich von akkreditierten Anbietern erbracht. Nur wer im Rahmen der Akkreditierung seine gewerberechtliche Zuverlässigkeit, die Erfüllung der technischen und organisatorischen sowie datenschutzrechtlichen Anforderungen und eine ausreichende Deckungsvorsorge nachweist, wird durch die zuständige Behörde akkreditiert und darf die Dienste unter diesem Namen anbieten.

Unberührt bleibt aber die Möglichkeit nicht-akkreditierter Anbieter, entsprechende Dienste unter einen anderen Namen zu offerieren. Die Akkreditierungspflicht verletzt daher weder die E-Commerce- noch die Dienstleistungsrichtlinie.^[11]

Derzeit (Stand 26. Februar 2016) sind mit 1&1 DE-Mail GmbH, der FP Digital Business Solutions GmbH (ehemals Mentana-Claimsoft GmbH)^[12], der T-Systems International GmbH^[13] und der Telekom Deutschland GmbH^[5] vier Anbieter akkreditiert. Sie bieten nur die obligatorischen Basisleistungen an, das heißt den Postfach- und Versanddienst sowie den Verzeichnisdienst.^[14]

Die Diensteanbieter unterliegen der Aufsicht durch das BSI (§ 2 und § 20 De-Mail-G). Dieses wacht über die Einhaltung des Gesetzes und darf bei Verstößen den Betrieb vorübergehend untersagen oder als letzte Maßnahme die Akkreditierung entziehen. Es kann Verstöße nach § 23 mittels Bußgeldes ahnden.

Das BSI hat zudem die Aufgabe, die technischen und organisatorischen Anforderungen an die Anbieter und ihre Dienste in Technischen Richtlinien zu formulieren und diese im Bundesanzeiger zu veröffentlichen. Es arbeitet hierfür mit dem Bundesdatenschutzbeauftragten und dem Ausschuss De-Mail-Standardisierung zusammen, dem auch die Anbieter angehören, § 18 Abs. 2 und § 25 De-Mail-G. Maßgeblich ist derzeit die Technische Richtlinie 01201 De-Mail des Bundesamtes für Sicherheit in der Informationstechnik.^[15]

Die Nutzung des Dienstes durch die Nutzer ist freiwillig. Die Übermittlung elektronischer Dokumente ist nur zulässig, soweit der Empfänger hierfür einen Zugang eröffnet hat (sogenannte Zugangseröffnung). In § 7 Abs. 3 des De-Mail-Gesetzes heißt es hierzu:

Das Gesetz stieß schon im Entwurfsstadium auf teils erhebliche Kritik der Praxis. Anwälte und Notare bezweifelten die Notwendigkeit eines weiteren Kommunikationsraumes, der bewusst nicht kompatibel zu herkömmlichen E-Mail-Diensten ausgestaltet ist, und auch die vorhandenen Projekte der elektronischen Kommunikation wie ELSTER und das EGVP nicht einbezieht. Im Hinblick auf die Gewährleistung der Vertraulichkeit der versendeten Nachrichten war kritikwürdig, dass das Gesetz keine Ende-zu-Ende-Verschlüsselung vorsieht; Verbraucherschützer wiederum beanstandeten, dass das Gesetz die Portierbarkeit von De-Mail-Adressen von Anbieter zu Anbieter ausschließt.^[16][8]

Mittlerweile kann man DE-Mail als gescheitert betrachten, da es kaum noch Anbieter gibt. Die Kritik hat sich als berechtigt erwiesen. Der Verbraucher hat das System nicht angenommen, da es kaum Vorteile geboten hat. Auch bei der Kommunikation zwischen Unternehmen hat es keine Vorteile gebracht, da eine Integration in die steuer- und finanzrelevanten Prozesse nicht vorhanden bzw. nur sehr unzureichend war. Seit dem 1. Dezember 2022 bietet die Telekom aus wirtschaftlichen Gründen^[17] keinen De-Mail-Dienst mehr an.^[18] Ebenso hat die 1&1 De-Mail GmbH im Mai 2024 für ihre Dienste die Einstellung „innerhalb der nächsten zwölf Monate“ angekündigt.^[19]

• Uwe-Dietmar Berlit: Staatliche Infrastrukturverantwortung für rechtssichere Kommunikation im Netz – rechtliche Rahmenbedingungen und Probleme. In: JurPC 39/2011.
• Jens Dietrich, Jutta Keller-Herder: De-Mail – verschlüsselt, authentisch, nachweisbar. In: DuD 2010, 299.
• Michael Knopp, Daniel Wilke, Gerrit Hornung, Philip Laue: Grunddienste für die Rechtssicherheit elektronischer Kommunikation. In: MMR 2008, 723.
• Thomas Lapp: Brauchen wir De-Mail und Bürgerportale? In: DuD 2009, 651.
• Alexander Roßnagel: Rechtsregeln für einen sicheren elektronischen Rechtsverkehr. In: CR 2011, 23, und ders., Das De-Mail-Gesetz. In: NJW 2011, 1473.
• Gerald Spindler: Das De-Mail-Gesetz. In: CR 2011, 309.
• Jan Skrobotz: Kommentierung zum De-Mail-Gesetz. In: Gerrit Manssen (Hrsg.): Telekommunikations- und Multimediarecht. Erich Schmidt Verlag, Berlin, ISBN 3-503-04817-0

• Gesetzestext