Es sind die Meldungen von denen kaum jemand Notiz nimmt, ausser der einschlägigen Fachpresse. Inside IT titelt Ende Juni: IncaMail – der „sichere“ Emaildienst der Schweizer Post, der von vielen Behörden und Notariaten in der Schweiz genutzt wird – hat neue AGBs.
Worin zeichnet sich der sichere Maildienst genau aus? Die Verschlüsselung des Mailverkehrs erfolgt nach eigenen Angaben nach neuesten Kryptographieverfahren unter Einsatz von privaten und öffentlichen Schlüsseln. Der Mailservice schmückt sich ausserdem mit dem Label „Swiss Made Software“. Das Label möchte die digitale Souverenität der Schweiz fördern und die Swissness in allen Bereichen (Software, Hardware, Hosting) zertifizieren (bisher sind 1100 Unternehmen zertifiziert). Das bedeutet unter anderem: die Verarbeitung „verbleibt“ in der digitalen Datensphäre der Schweiz.
Am 14. Juli änderten also die Geschäftsbedingungen von Incamail. Grund dafür: Der Emaildienst kann nun neu in der ePost-App empfangen werden, die wiederum von der Post-Tochter Klara Business betrieben wird. Doch was genau bringt die ePost-App einer Bürgerin? Es soll der künftige Ort für „Büroablagen“ sein, gescannte Dokumente sollen etwa darin gespeichert werden, der Funktionsumfang soll in Zukunft grösser werden.
In der Info-Mail zu den erneuerten AGB wurde das so deklariert:
Die Post hat Anpassungen insbesondere in den Themenfeldern Nutzung, Zugangsmittel, Zulässigkeit der elektronisch übermittelten Nachrichten, Zusammenarbeit mit Dritten sowie Datenschutz vorgenommen.
Ziff. 7 Beizug Dritter präzisiert die Voraussetzungen für die Datenbearbeitung durch Dritte sowie die Zusammenarbeit mit unserer Konzerngesellschaft KLARA Business AG.
Was jedoch weder in der Pressemitteilung, in den AGBs noch in der Info-Mail erwähnt wird: Wer die neuen „Dritten“ sind, mit denen Incamail in der ePost-App verarbeitet wird. Denn Klara Business partnert nicht mit dem Schweizer Cloud-Anbieter exoscale, sondern NEU mit der Google Cloud.
Die e-Post-App ist zwar nur ein Zustellkanal für Incamail. Dennoch werden die Nachrichten dort Nachrichten synchronisiert und ausgetauscht. Voraussetzung dafür: Eine Nutzerin ist bei der ePost mit der gleichen E-Mail-Adresse wie bei Incamail registriert. Oder: „Sie haben die in IncaMail verwendete E-Mail-Adresse im ePost-Profil eingetragen und verifiziert“, wie Post-Sprecher Stefan Dauner auf Anfrage schreibt.
Wer das tut, dessen Incamails werden dann auch in der ePost-App empfangen- und landen damit auch in der Google Cloud. Um das zu verhindern, muss man den Empfang proaktiv aussperren und ein OptOut machen.
Wenig begeistert über diese formelle Änderung sind die Macher des Labels „Swiss Made Software“, das auch an Incamail vergeben wurde. Auf der Website steht klar festgeschrieben dass Schweizer Rechenzentren von amerikanischen Big Tech-Unternehmen wie eben Google Cloud die Kriterien des Labels nicht erfüllen.
«swiss hosting» steht für zwei Versprechen:
- Die Daten bleiben in der Schweiz
- Der Zugang zu diesen Daten ist für Dritte nur via Schweizer Behörden möglich
Das erste Versprechen können grosse internationale Anbieter mit Standort in der Schweiz einhalten – das zweite Versprechen nicht!
Aussagen, wonach sich Datenschutz gemäss Schweizer Anforderungen durch einen Vertrag durchsetzen lassen, sind falsch.
Swissmadesoftware.org (Kriterien für das Label Swiss Made Hosting) „“
Wir wollten deswegen wissen, was Geschäftsführer Christian Walter von diesem intransparenten Wechsel in die Google Cloud hält. Er fordert- kein Wunder- mehr Information über den neuen Cloud-Anbieter.
„Aus unserer Sicht, wäre es wünschenswert, dass der Kunde bei der Anmeldung in der ePost-App mit der selben Mail-Adresse für beide Dienste auf das Verlassen des swiss hosting-Raums hingewiesen wird.„
Christian Walter, Geschäftsführer swiss made software
Ob nun die Label-Macher diese Information hinter den Kulissen auch einfordern, wissen wir nicht.
Wünschenswert wäre aus unserer Sicht auch wenn das Unwort „Dritte“ abgeschafft wird und in den AGBs der Incamail eine genaue Liste enthalten ist, welche Drittfirmen in der Service- und Datenverarbeitung involviert werden würden.
Schliesslich ist jetzt bald der 1. September, das neue Datenschutzgesetz tritt in Kraft.
Und dieses schreibt Transparenz auf allen Ebenen hoch.
3 Antworten
Was ist eigentlich, wenn man die neuen AGBs nicht annehmen will und außerdem für Incamail bezahlt hat und daher nicht kündigen will?
Gute Frage. Also was Google Cloud/ePost-App angeht: diese einfach nicht installieren oder sich nicht mit IncaMail anmelden. Aber den Rest der AGBs, da bin ich überfragt ob es da eine pauschale Zustimmung braucht.
Es wäre gut, wenn jemand Google Cloud noch genauer spezifizieren würde. Grundsätzlich bietet Google Cloud eine eigene Zone Zürich, die dann die Hosting und Daten in der Schweiz belassen würde.