„Die Übermittlung personenbezogener Daten per Fax ist grundsätzlich unzulässig. In spezifischen Bestimmungen können Ausnahmen, insbesondere Übergangsbestimmungen, vorgesehen werden; dabei sind die Vorschriften der §§ 5 ff. und die jeweils aktuellen Sicherheitsstandards zu beachten.“
heißt es lapidar in der KDG-DVO und jetzt müssen die Stellen die dem KDG unterliegen sehen, wie sie damit zurecht kommen. Denn nicht immer gibt es Ausweichmöglichkeiten. PKI-Infrastrukturen entstehen nicht mal einfach so und ohne eine vernüftige IT-Betreuung geht da schon mal gar nichts.
Das Fax-Sendungen problematisch sind, da das Risiko von Datenverlust besteht, weiß man nicht nur im katholischen Datensschutz seit Jahren. Das älteste Dokument, was ich zu dem Thema habe, ist eine Fax-Benutzerfragebogen einer GmbH wo organisatorische, technischen und kommunikatonsspezifischen Fragen (z.B. „Wird vor dem Versand besonders wichtiger Faxe beim Empfänger angekündigt, daß dieser eine Sendung zu erwarten hat?“) abgefragt werden. Aufsichtsbehördlich hat sich z.B. der LDI Hessen 2021 zu dem Thema geäußert (KOMMUNIKATIONSSICHERHEIT BEIM FAX – Zur Übermittlung personenbezogener Daten per Fax). Tenor war zusammengefasst:
Das Fax gilt nach dem Artikel wegen der heute üblichen paketvermittelten Übertragung und der regelmäßig fehlenden Verschlüsselung als unsicheres Kommunikationsmittel, insbesondere bei personenbezogenen und sensiblen Daten. Verantwortliche sollen deshalb alternative, datenschutzkonforme Wege wie verschlüsselte E-Mail, Portallösungen, DE-Mail oder fachbezogene Dienste wie KIM und EGVP/beA/beBPo prüfen. Nur in eng begrenzten Ausnahmefällen oder mit wirksamen Zusatzmaßnahmen beziehungsweise einer DSGVO-konformen Einwilligung kann Fax noch zulässig sein.
Auch der Thüringer Landesdatenbeauftragte schrieb 2024 unter dem Titel „FAX: kein Klacks!“ eine Pressemittelung die zu verstehen gab:
„Der TLfDI sieht die Datenübermittlung per Telefax grundsätzlich nicht als sicheres Transportmittel an; eine E-Mail mit verschlüsseltem Anhang oder eine integrierte Ende-zu-Ende Verschlüsselung sind für die Übermittlung von sensiblen Daten gemäß Art. 9 Datenschutz-Grundverordnung (DS-GVO) in jedem Falle vorzuziehen. In diesem Zusammenhang sind auch die jeweils aktuellen Hinweise des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zu beachten … Grundsätzlich sollte von der Nutzung eines Faxes abgesehen werden. Ungeachtet hiervon kann selbstverständlich in begründeten dringlichen (z.B. medizinischen Fällen) unter Zugrundelegung der datenschutzrechtlichen Risikoabschätzung die Datenübermittlung per Telefax genutzt werden. „.
Das waren jetzt nur ein paar exemplarische Beispiele. In das Gesetz geschrieben hat das aber keine Regierung. Und was die Aufsichtsbehörde schreiben ist wichtig, aber eben kein Gesetz. Nun gut auch gesetzlich bleibt es bei dem „grundsätzlich“ aber mit einem anderen Vorzeichen.
Eine Frage die ich mir persönlich ab und zu Mal stelle, ist was das Fax Gerät denn nur gegenüber dem normalen Brief so viel unsicherer macht? Manchmal bleiben ja nur diese beiden Optionen.
Bewertung der Risiken des Faxversands durch die Datenschutzaufsichtsbehörden
Die staatlichen Datenschutzaufsichtsbehörden beurteilen den Versand personenbezogener Daten per Fax seit einigen Jahren zunehmend kritisch. Ausgangspunkt ist die technische Veränderung der Faxübertragung. Während klassische Faxverbindungen ursprünglich weitgehend leitungsvermittelt und damit für die Dauer der Übertragung exklusiv zwischen den beiden Endstellen aufgebaut wurden, erfolgt die Übermittlung heute regelmäßig paketvermittelt über IP-Netze. Die Faxdaten können dabei verschiedene Provider und technische Zwischenstellen durchlaufen. Eine Ende-zu-Ende-Verschlüsselung ist üblicherweise nicht gewährleistet. Die Hessische Datenschutzaufsicht stuft das Fax deshalb aufgrund der technischen Veränderungen als informationstechnisch unsicheres Kommunikationsmittel ein. Besonders problematisch seien Fax-over-IP- und Fax-to-Mail-Verfahren, bei denen die Daten regelmäßig unverschlüsselt über mehrere Zwischenstellen übertragen werden und jedenfalls grundsätzlich Zugriffsmöglichkeiten für Dritte bestehen.
Der Bayerische Landesbeauftragte für den Datenschutz unterscheidet drei zentrale Risikobereiche: den Versand, den Übertragungsweg und die Empfangssituation. Beim Versand besteht insbesondere die Gefahr einer Fehladressierung. Eine falsch eingegebene, veraltete oder fehlerhaft gespeicherte Faxnummer kann ebenso zur Offenlegung gegenüber einem unbefugten Empfänger führen wie die versehentliche Auswahl eines falschen Dokuments. Aufgrund der zahlreichen gemeldeten Fehlversendungen bewertet der BayLfD die Eintrittswahrscheinlichkeit dieses Risikos mit „groß“ und damit mit der höchsten von ihm verwendeten Risikostufe. Risikomindernde Maßnahmen sind deshalb unabhängig von der Sensibilität der Daten erforderlich. Dazu zählen insbesondere die erneute Kontrolle der Nummer, gegebenenfalls ein Vier-Augen-Prinzip sowie ein zentral gepflegtes Verzeichnis bestätigter Faxnummern.
Für den Übertragungsweg weist der BayLfD darauf hin, dass VoIP-Verbindungen zumindest teilweise über das öffentliche Internet geführt und unter Umständen unverschlüsselt übertragen werden können. Selbst wenn keine außenstehenden Angreifer auf die Daten zugreifen, können jedenfalls die an der Übertragung beteiligten Provider technisch in der Lage sein, Faxinhalte zur Kenntnis zu nehmen. Das konkrete Risiko hängt unter anderem von den eingesetzten Providern, der Konfiguration der Endgeräte und der Infrastruktur des Empfängers ab. Gerade diese Umstände sind dem Absender jedoch regelmäßig nicht bekannt. Nutzt die Gegenstelle etwa einen Cloud-Fax- oder Fax-to-Mail-Dienst, kann nicht ohne Weiteres davon ausgegangen werden, dass ein den Anforderungen regulierter Telekommunikationsanbieter entsprechendes Sicherheitsniveau besteht.
Ein weiterer Risikobereich liegt auf der Empfängerseite. Der Absender weiß häufig nicht, wo das Empfangsgerät steht, ob eingehende Faxe unmittelbar ausgedruckt werden und welcher Personenkreis darauf zugreifen kann. Steht das Gerät in einem allgemein zugänglichen Büro, einer zentralen Poststelle oder einem von mehreren Personen genutzten Bereich, können Unbefugte den Inhalt lesen, kopieren oder an sich nehmen. Der BayLfD empfiehlt daher, bei einem regelmäßigen Faxverkehr die Empfangssituation vorab zu klären und zu dokumentieren. Insbesondere sollte feststehen, dass sich das Empfangsgerät in einem nicht öffentlich zugänglichen Bereich befindet und nur befugte Personen auf die eingehenden Dokumente zugreifen können.
Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit formuliert seine Bewertung noch deutlicher. Er betrachtet das Fax grundsätzlich nicht als sicheres Transportmittel und empfiehlt, von seiner Nutzung grundsätzlich abzusehen. Neben der fehlenden Verschlüsselung auf dem Transportweg sieht er die falsche Adressierung und den unbefugten Zugriff auf das Empfangsgerät als wesentliche Gefahren. Auch digitale Faxserver lösen diese Probleme nicht ohne Weiteres. Zwar vermeiden sie offen herumliegende Papierausdrucke, führen aber dazu, dass die Dokumente dauerhaft oder vorübergehend auf Servern gespeichert und dadurch netzwerkbasierten Angriffen ausgesetzt werden. Erforderlich sind dann unter anderem eine sichere Authentifizierung, abgestufte Benutzerrollen, Datenträgerverschlüsselung, Netzwerksegmentierung, Firewalls und ein zuverlässiges Löschkonzept.
Trotz dieser deutlichen Kritik nehmen die staatlichen Datenschutzaufsichtsbehörden bislang kein ausnahmsloses Faxverbot an. Sie verfolgen im Kern einen risikobasierten Ansatz. Entscheidend sind die Sensibilität der Daten, die Eintrittswahrscheinlichkeit einer unbefugten Kenntnisnahme, die möglichen Folgen für die betroffenen Personen und die verfügbaren Schutzmaßnahmen. Bei Gesundheitsdaten, Sozialdaten oder Daten von Berufsgeheimnisträgern wird regelmäßig von einem hohen Schutzbedarf ausgegangen. Nach der Bewertung des BayLfD soll deren Versand per Fax nur als letztes Mittel in Betracht kommen, wenn ohne den Einsatz des Faxes ein Schaden für hochwertige Rechtsgüter droht und kein gleich schnelles, sichereres Kommunikationsmittel verfügbar ist. Als Beispiel nennt die Behörde einen dringend benötigten medizinischen Befund. Die Hessische Aufsicht lässt entsprechende Ausnahmefälle ebenfalls bei besonderer Eilbedürftigkeit, fehlenden datenschutzgerechten Alternativen und abgesicherter Zieladressierung zu.
Die gemeinsame Linie der staatlichen Aufsichtsbehörden lässt sich daher wie folgt zusammenfassen: Fax ist kein zeitgemäßes sicheres Standardkommunikationsmittel. Seine Nutzung kann im Einzelfall aber noch zulässig sein, wenn eine dokumentierte Risikobewertung ergibt, dass die verbleibenden Risiken angesichts der konkreten Umstände vertretbar sind und keine geeignetere Alternative zur Verfügung steht.
Warum § 25 KDG-DVO über diesen risikobasierten Ansatz hinausgeht
Mit der Neufassung des § 25 KDG-DVO hat der kirchliche Normgeber einen deutlich strengeren Regelungsansatz gewählt. Die Vorschrift bestimmt:
„Die Übermittlung personenbezogener Daten per Fax ist grundsätzlich unzulässig.“
Ausnahmen können nach Satz 2 nur in „spezifischen Bestimmungen“, insbesondere in Übergangsbestimmungen, vorgesehen werden. Dabei sind die allgemeinen Anforderungen der KDG-DVO und die jeweils aktuellen Sicherheitsstandards zu beachten.
Diese Regelung erschöpft sich nicht in einer bloßen Wiederholung der allgemeinen Anforderungen an technische und organisatorische Maßnahmen. Sie verändert vielmehr das Regel-Ausnahme-Verhältnis. Nach dem herkömmlichen risikobasierten Ansatz ist zunächst zu prüfen, ob der konkrete Faxversand unter Berücksichtigung der Datenart, der Übertragungssituation und möglicher Schutzmaßnahmen ein angemessenes Sicherheitsniveau erreicht. Das Fax ist danach nicht von vornherein unzulässig. Seine Zulässigkeit hängt vom Ergebnis der Einzelfallprüfung ab.
§ 25 KDG-DVO setzt dagegen bereits auf der vorgelagerten Ebene der Auswahl des Kommunikationsmittels an. Die Vorschrift nimmt dem Verantwortlichen grundsätzlich die Möglichkeit, das Fax allein aufgrund einer positiven eigenen Risikobewertung als regulären Übermittlungsweg einzusetzen. Ausgangspunkt ist nicht mehr die Frage, ob ein bestimmter Faxvorgang hinreichend abgesichert werden kann. Ausgangspunkt ist vielmehr die normative Feststellung, dass Fax für die Übermittlung personenbezogener Daten grundsätzlich nicht eingesetzt werden darf.
Damit verschiebt sich auch die Begründungslast. Nach der staatlichen Aufsichtspraxis muss der Verantwortliche darlegen können, weshalb die getroffenen Maßnahmen ein dem Risiko angemessenes Schutzniveau gewährleisten. Unter § 25 KDG-DVO muss darüber hinaus eine Grundlage dafür bestehen, von dem normierten Verbot überhaupt abzuweichen. Maßnahmen wie die Kontrolle der Faxnummer, ein Deckblatt, das Vier-Augen-Prinzip oder die vorherige Abstimmung mit dem Empfänger vermindern zwar das Risiko. Sie begründen aber für sich genommen noch keine Ausnahme von § 25 KDG-DVO.
Eigene Risikobewertung ist keine eigenständige Ausnahmegrundlage
Von besonderer Bedeutung ist Satz 2 des § 25 KDG-DVO. Danach können Ausnahmen in „spezifischen Bestimmungen“ vorgesehen werden. Die Formulierung spricht dafür, dass nicht jede verantwortliche Stelle nach freiem Ermessen durch eine interne Einzelentscheidung Ausnahmen schaffen kann. Erforderlich ist vielmehr eine hinreichend bestimmte Regelung, die festlegt,
- für welche Verfahren oder Sachverhalte Fax ausnahmsweise zulässig bleibt,
- welche Voraussetzungen erfüllt sein müssen,
- welche Datenkategorien übermittelt werden dürfen,
- welche Schutzmaßnahmen zwingend einzuhalten sind und
- wie lange die Ausnahme gelten soll.
Die ausdrückliche Erwähnung von Übergangsbestimmungen zeigt, dass der Normgeber vor allem geregelte und zeitlich begrenzte Ausnahmen für noch nicht vollständig umgestellte Kommunikationsverfahren vor Augen hatte. Auch ein Fachbeitrag vom Artikel 91 Newsletter versteht die Neuregelung als bewussten Bruch mit der früheren detaillierten Regelung und geht davon aus, dass längerfristige Ausnahmen vor allem dort in Betracht kommen, wo externe Stellen weiterhin zwingend auf einer Übermittlung per Fax bestehen.
Ob eine bloße Dienstanweisung oder eine vom Caritasverband selbst erteilte „Ausnahmegenehmigung“ bereits eine spezifische Bestimmung im Sinne des § 25 Satz 2 KDG-DVO darstellt, ist deshalb zweifelhaft. Der Wortlaut lässt jedenfalls nicht eindeutig erkennen, dass jeder Verantwortliche durch interne Organisationsentscheidung eine eigene Ausnahme vom grundsätzlichen Verbot schaffen darf. Andernfalls könnte das Verbot praktisch durch jede verantwortliche Stelle selbst relativiert werden. Die intendierte Verschärfung liefe weitgehend leer.
Für die Praxis sollte daher geklärt werden, ob im zuständigen Bistum, beim Verband oder durch eine andere regelungsbefugte kirchliche Stelle bereits besondere Bestimmungen oder Übergangsregelungen erlassen worden sind. Fehlt eine solche Regelung, sollte eine interne Ausnahmeentscheidung zumindest nicht als zweifelsfrei ausreichende Rechtsgrundlage behandelt werden. Sie kann jedoch als Teil der Risikodokumentation und als Grundlage dienen, auf übergeordneter Ebene eine spezifische Übergangsbestimmung zu schaffen.
Kein allgemeiner Ausnahmegrund für unkooperative Gegenstellen
Dass eine Behörde, Arztpraxis, Krankenkasse oder sonstige Gegenstelle alternative Übermittlungswege ablehnt, führt ebenfalls nicht automatisch zur Zulässigkeit des Faxversands. Die Weigerung der Gegenseite erklärt zwar, warum der Verantwortliche praktisch weiterhin auf Fax angewiesen sein kann. Sie ersetzt aber nicht die nach § 25 Satz 2 KDG-DVO erforderliche Ausnahmebestimmung.
Die fehlende Kooperationsbereitschaft kann vielmehr ein sachlicher Grund dafür sein, einen bestimmten Kommunikationsvorgang in einer spezifischen Übergangsregelung zu erfassen. Dabei wäre zu unterscheiden:
- Besteht eine gesetzliche oder tatsächliche Pflicht, die Information gerade an diese Gegenstelle zu übermitteln?
- Ist die Übermittlung eilbedürftig?
- Bietet die Gegenstelle objektiv keinen anderen erreichbaren Kommunikationsweg an?
- Können die Daten vorübergehend postalisch, über ein Portal, per verschlüsselter E-Mail oder über einen bereichsspezifischen Dienst übermittelt werden?
- Welche Nachteile drohen der betroffenen Person, wenn die Übermittlung unterbleibt oder sich verzögert?
Je gewichtiger die mit der Nichtübermittlung verbundenen Nachteile sind, desto eher lässt sich eine eng begrenzte Ausnahme rechtfertigen. Eine bloße organisatorische Bequemlichkeit oder die Gewohnheit der Gegenstelle, weiterhin Fax zu verwenden, dürfte hingegen nicht genügen.
Risikominimierung bleibt trotz Ausnahme zwingend
Selbst wenn eine wirksame spezifische Ausnahmebestimmung besteht, wird Fax dadurch nicht zu einem unbedenklichen Kommunikationsweg. § 25 Satz 2 KDG-DVO verweist ausdrücklich auf die allgemeinen Vorschriften und die jeweils aktuellen Sicherheitsstandards. Die Ausnahme eröffnet daher nur die Möglichkeit, Fax überhaupt einzusetzen. Sie entbindet nicht von der anschließenden Risikobewertung.
Für jeden zugelassenen Kommunikationsvorgang bleiben insbesondere erforderlich:
- die Feststellung, dass kein sichererer, gleich geeigneter Übermittlungsweg zur Verfügung steht,
- die Beschränkung auf die zwingend benötigten Daten,
- die vorherige Verifikation der Faxnummer,
- möglichst die Verwendung zentral gepflegter Empfängerdaten,
- die Absicherung der Empfangssituation,
- bei besonders sensiblen Daten gegebenenfalls eine vorherige telefonische Ankündigung,
- eine Versandkontrolle und
- die Dokumentation der Entscheidung.
Bei Gesundheits-, Sozial- und sonstigen besonders schutzbedürftigen Daten muss die Ausnahme besonders eng ausgelegt werden. Die staatlichen Aufsichtsbehörden gehen bereits unter der DSGVO davon aus, dass solche Daten nur in dringlichen Ausnahmefällen gefaxt werden sollten. Unter dem strengeren § 25 KDG-DVO kann daher erst recht nicht angenommen werden, dass eine allgemeine Zusicherung des Empfängers die Übermittlung dauerhaft legitimiert.
Vereinbarung mit dem Empfänger ersetzt die eigene Verantwortung nicht
Eine schriftliche Bestätigung der Gegenstelle über die Sicherung des Empfangsgeräts, die Zugriffsbeschränkung und das Verfahren bei Fehlübermittlungen ist dennoch sinnvoll. Sie kann die Risikobewertung verbessern und die Erfüllung der Rechenschaftspflicht dokumentieren. Sie kann insbesondere Unsicherheiten darüber reduzieren, wer Zugriff auf das Empfangsgerät hat und ob Fax-to-Mail- oder Cloud-Fax-Verfahren eingesetzt werden.
Eine solche Erklärung schafft aber weder eine Ausnahme von § 25 KDG-DVO noch verlagert sie die Verantwortung des Absenders auf den Empfänger. Der Caritasverband bleibt für seine Entscheidung verantwortlich, personenbezogene Daten über diesen Kommunikationsweg offenzulegen. Kommt es aufgrund einer falschen Nummer, eines falschen Dokuments oder eines erkennbar ungeeigneten Übermittlungsweges zu einer Datenschutzverletzung, kann sich der Verband nicht allein darauf berufen, die Gegenstelle habe einen sicheren Umgang zugesichert.
Anders zu bewerten sind Vorfälle, die ausschließlich im Verantwortungsbereich des Empfängers eintreten, etwa wenn dort entgegen einer verbindlichen Zusicherung unbefugte Beschäftigte Zugriff auf das Fax erhalten. Die Zusicherung kann in diesem Fall für die haftungsrechtliche und aufsichtsrechtliche Zuordnung des Vorfalls bedeutsam sein. Sie beseitigt jedoch nicht die vorgelagerte Pflicht des Absenders, bereits die Wahl des Faxversands nach § 25 KDG-DVO rechtfertigen zu können.
Ergebnis
§ 25 KDG-DVO geht über die bisherige staatliche Aufsichtspraxis hinaus, weil die Vorschrift nicht lediglich erhöhte Sicherheitsanforderungen an das Fax stellt, sondern dessen Einsatz für die Übermittlung personenbezogener Daten grundsätzlich untersagt. Eine positive Risikobewertung reicht deshalb nicht mehr ohne Weiteres aus. Zusätzlich bedarf es einer spezifischen Ausnahmebestimmung, die den zulässigen Anwendungsbereich hinreichend klar begrenzt.
Der entscheidende Paradigmenwechsel lässt sich daher auf eine einfache Formel bringen:
Unter der DSGVO steht die Frage im Vordergrund, ob ein Fax im konkreten Fall ausreichend sicher versandt werden kann. Nach § 25 KDG-DVO ist zunächst zu fragen, ob überhaupt eine rechtlich tragfähige Ausnahme vom grundsätzlichen Faxverbot besteht.
Erst wenn diese erste Hürde genommen ist, schließt sich die eigentliche Risikobewertung an. Der Schwerpunkt verlagert sich damit von der bloßen Absicherung des Faxvorgangs auf die vorgelagerte Rechtfertigung des Kommunikationsmittels.
Als Kanzlei mit ausgewiesener Expertise in Datenschutz, IT‑Compliance und regulatorischer Begleitung von KI‑Projekten unterstützen wir Sie praxisnah bei der Klassifizierung Ihrer Systeme, der Durchführung von DPIAs und Risikoanalysen, der Ausgestaltung von AV‑Verträgen und Betriebsvereinbarungen sowie bei der Vorbereitung auf Melde‑, Informations‑ und Dokumentationspflichten nach DSGVO und KI‑VO; sprechen Sie uns an, damit wir gemeinsam eine rechtssichere und operationell umsetzbare KI‑Governance für Ihr Unternehmen entwickeln.
