Transportverschlüsselung reicht aus: Anforderungen an E-Mail-Sicherheit nach Art. 32 DS-GVO

Mit Urteil vom 2. April 2026 (Az. 29 K 7351/23) hat das Verwaltungsgericht Düsseldorf entschieden, dass die Übermittlung personenbezogener Daten per E-Mail mittels Transportverschlüsselung grundsätzlich ein dem Risiko angemessenes Schutzniveau im Sinne von Art. 32 DS-GVO gewährleistet. Eine Ende-zu-Ende-Verschlüsselung ist nicht generell erforderlich.

Sachverhalt

Dem Verfahren lag ein Verkehrsunfall zugrunde, bei dem ein Busunternehmen den Namen des Betroffenen, für den eine Melderegisterauskunftssperre nach § 51 BMG bestand, per E-Mail an seine Kfz-Haftpflichtversicherung übermittelte. Der Kläger sah darin einen Verstoß gegen Art. 32 DS-GVO und begehrte von der LDI NRW als Aufsichtsbehörde aufsichtsrechtliche Maßnahmen, darunter die Anordnung einer verpflichtenden Ende-zu-Ende-Verschlüsselung sowie die Verhängung eines Bußgeldes.

Keraussage zum Schutzniveau

Das Gericht bestätigte, dass Art. 32 DS-GVO keine absolut höchstmögliche Sicherheit verlangt, sondern eine risikoproportionale Schutzmaßnahme. Im konkreten Fall waren lediglich Name und Vorname des Klägers übermittelt worden – Daten, die nicht als sensibel einzustufen und im Internet frei zugänglich sind. Ein Bezug zur geschützten Privatanschrift war nicht herstellbar. Die Auskunftssperre im Melderegister begründet nach Auffassung des Gerichts kein erhöhtes Risiko, das über die Transportverschlüsselung hinausgehende Maßnahmen erfordern würde. Eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO war mangels hohen Risikos ebenfalls nicht geboten.

Verspätete Auskunft: teilweise Klagestattgabe

Einen Teilerfolg erzielte der Kläger in Bezug auf die Auskunftspflicht nach Art. 15 DS-GVO. Das Unternehmen hatte auf den Auskunftsantrag vom April 2022 erst im Oktober 2022 reagiert und damit die Monatsfrist des Art. 12 Abs. 3 DS-GVO deutlich überschritten. Das Gericht verpflichtete die LDI NRW zur Neubescheidung der Beschwerde in diesem Punkt, da die Aufsichtsbehörde den Verstoß im ursprünglichen Bescheid nicht als solchen erkannt und ihr Auswahlermessen hinsichtlich möglicher Abhilfemaßnahmen nach Art. 58 Abs. 2 DS-GVO nicht ausgeübt hatte. Ein Anspruch auf Verhängung eines Bußgeldes bestand mangels Ermessensreduzierung auf null nicht.

Das Urteil liefert praxisrelevante Orientierung für die Beurteilung technischer Schutzmaßnahmen bei der E-Mail-Kommunikation und verdeutlicht zugleich, dass Aufsichtsbehörden Beschwerden zu Auskunftsverstößen sorgfältig auf ihren Ermessensspielraum hin prüfen müssen.

(Foto: ParinApril – stock.adobe.com)