Transportverschlüsselung kann bei E-Mails nach der DSGVO ausreichen

VG Düsseldorf, Urteil v. 02.04.2026, Az. 29 K 7351/23

Kurzzusammenfassung

Nicht jede E-Mail mit personenbezogenen Daten muss Ende-zu-Ende verschlüsselt werden. Nach dem VG Düsseldorf richtet sich das erforderliche Schutzniveau beim E-Mail-Versand nach dem konkreten Risiko der jeweiligen Datenverarbeitung. Bei personenbezogenen Daten mit normalem Schutzbedarf kann eine Transportverschlüsselung (TLS) ausreichen. Im entschiedenen Fall hatte ein Busunternehmen nach einem Verkehrsunfall personenbezogene Daten des Geschädigten per E-Mail an seine Haftpflichtversicherung bzw. den für diese tätigen Versicherungsvertreter übermittelt. Obwohl für den Betroffenen wegen Gefahren für Leib und Leben eine Auskunftssperre im Melderegister bestand, sah das Gericht in der fehlenden Ende-zu-Ende-Verschlüsselung keinen Verstoß gegen Art. 32 DSGVO. Entscheidend war insbesondere, dass im Wesentlichen der Name des Betroffenen übermittelt wurde und sich daraus nach Auffassung des Gerichts kein erhöhtes Risiko ergab.

Einen Datenschutzverstoß stellte das Gericht dagegen an anderer Stelle fest: Ein Auskunftsersuchen nach Art. 15 DSGVO war nicht innerhalb der gesetzlichen Frist beantwortet worden. Die Datenschutzaufsichtsbehörde musste deshalb über die Beschwerde insoweit erneut entscheiden. Einen Anspruch des Betroffenen auf Verhängung eines Bußgeldes nahm das Gericht jedoch nicht an.

Worum ging es?

Ausgangspunkt war ein Verkehrsunfall zwischen dem Pkw des Klägers und einem Bus. Für den Kläger bestand wegen Gefahren für Leib und Leben eine Auskunftssperre nach § 51 BMG. Er hatte dem Busfahrer seine Kontaktdaten übergeben und später über seine Rechtsanwälte gegenüber dem Busunternehmen darauf hingewiesen, dass hinsichtlich seiner Daten besondere Schutzinteressen bestünden. Das Busunternehmen meldete den Schaden per E-Mail seiner Kfz-Haftpflichtversicherung und leitete später ein anwaltliches Schreiben des Klägers ebenfalls per E-Mail an die Versicherung weiter. Der Kläger hielt die dabei verwendeten Schutzmaßnahmen für unzureichend und verlangte insbesondere eine Ende-zu-Ende-Verschlüsselung.

Daneben hatte er am 12. April 2022 Auskunft nach Art. 15 DSGVO verlangt. Diese Auskunft wurde nicht innerhalb der Monatsfrist des Art. 12 Abs. 3 DSGVO erteilt. Der Kläger wandte sich deshalb an die zuständige Datenschutzaufsichtsbehörde. Nachdem diese keinen Anlass für weitergehende aufsichtsrechtliche Maßnahmen gesehen hatte, erhob er Klage. Er wollte unter anderem erreichen, dass dem Unternehmen für die elektronische Kommunikation eine Ende-zu-Ende-Verschlüsselung vorgeschrieben beziehungsweise das Unternehmen verwarnt und mit einem Bußgeld belegt wird. Die Klage hatte nur teilweise Erfolg. Hinsichtlich des verspätet erfüllten Auskunftsanspruchs musste die Datenschutzaufsicht erneut entscheiden. Im Übrigen wies das VG Düsseldorf die Klage ab.

Entscheidungsgründe

Das VG Düsseldorf hält zunächst die Weitergabe der Daten an die Haftpflichtversicherung zur Abwicklung des Verkehrsunfalls nach Art. 6 Abs. 1 Satz 1 lit. f DSGVO für zulässig. Ein berechtigtes Interesse des Busunternehmens an der Abwicklung des Versicherungsfalls lag vor. Besonders praxisrelevant sind die Ausführungen des Gerichts zu Art. 32 DSGVO. Danach schreibt die DSGVO keine bestimmte Verschlüsselungstechnik für jede Datenübermittlung vor. Maßgeblich ist vielmehr, welches Schutzniveau angesichts des konkreten Risikos angemessen ist. Das Gericht ging davon aus, dass die beteiligten E-Mail-Anbieter eine Transportverschlüsselung einsetzten. Bei einer solchen Verschlüsselung werden die Transportwege zwischen Client und Server bzw. zwischen beteiligten Systemen abgesichert. Anders als bei einer Ende-zu-Ende-Verschlüsselung bleibt allerdings technisch die Möglichkeit bestehen, dass eine Nachricht an bestimmten Punkten verarbeitet oder im Klartext zugänglich wird.

Trotz dieser verbleibenden Risiken hielt das Gericht die Transportverschlüsselung im konkreten Fall für ausreichend. Nach Art. 32 Abs. 2 DSGVO seien bei der Bestimmung des angemessenen Schutzniveaus insbesondere Eintrittswahrscheinlichkeit und mögliche Schwere eines Schadens zu berücksichtigen.

Hier ging es nach der Bewertung des Gerichts im Wesentlichen darum, dass ein unbefugter Dritter vom Namen des Klägers Kenntnis erlangen könnte. Der Name sei aber weder geheim noch ein besonders sensibles Datum. Er und die Firma des Klägers seien ohnehin öffentlich im Internet auffindbar. Auch die bestehende Auskunftssperre im Melderegister ändere daran nichts, weil sie gerade verhindere, dass Dritte über das Melderegister an die geschützte Privatanschrift gelangen könnten. Ein zusätzliches erhebliches Risiko durch die Übermittlung der E-Mails sah das Gericht daher nicht. Deshalb war nach Auffassung des Gerichts weder allgemein noch aufgrund der besonderen Umstände des Klägers eine Ende-zu-Ende-Verschlüsselung erforderlich. Mangels hohen Risikos bestand auch keine Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Ebenso lag nach Auffassung des Gerichts kein meldepflichtiger Datenschutzverstoß gemäß Art. 33 DSGVO vor.

Anders bewertete das Gericht den Auskunftsanspruch nach Art. 15 DSGVO. Die verlangte Auskunft war verspätet erteilt worden. Auch die Begründung des Unternehmens, der Betroffene habe anhand seines Namens nicht identifiziert werden können, überzeugte das Gericht nicht. Der Auskunftsantrag war durch die bereits zuvor in derselben Angelegenheit tätigen Rechtsanwälte gestellt worden und enthielt einen eindeutigen Bezug zu dem konkreten Verkehrsunfall. Das Unternehmen konnte den Betroffenen deshalb ohne Weiteres zuordnen.

Die Datenschutzaufsichtsbehörde hatte diesen Verstoß in ihrer ursprünglichen Entscheidung nicht erkannt und daher auch nicht darüber entschieden, welche aufsichtsrechtliche Maßnahme angemessen war. Sie musste insoweit erneut entscheiden. Einen unmittelbaren Anspruch des Klägers auf Verhängung eines Bußgeldes lehnte das Gericht dagegen ab. Die Aufsichtsbehörde verfügt bei der Auswahl der Maßnahmen nach Art. 58 Abs. 2 DSGVO grundsätzlich über Ermessen. Dieses war hier nicht auf die Verhängung eines Bußgeldes reduziert.

Anmerkungen zum Urteil

Die Entscheidung ist vor allem deshalb wichtig, weil sie einer pauschalen Aussage, personenbezogene Daten dürften per E-Mail nur Ende-zu-Ende verschlüsselt übermittelt werden, eine klare Absage erteilt. Art. 32 DSGVO verlangt keinen abstrakt höchstmöglichen Sicherheitsstandard, sondern ein dem jeweiligen Risiko angemessenes Schutzniveau. Damit liegt das VG Düsseldorf im Grundsatz auf der Linie der bisherigen verwaltungsgerichtlichen Rechtsprechung. Bereits das VG Mainz hatte für die anwaltliche E-Mail-Kommunikation entschieden, dass eine Transportverschlüsselung genügen kann und eine Ende-zu-Ende-Verschlüsselung nicht unabhängig vom konkreten Risiko vorgeschrieben ist. Auch das VG Hannover hat 2025 eine Transportverschlüsselung mittels TLS 1.2 und Perfect Forward Secrecy in der dortigen Konstellation nach Art. 32 DSGVO für angemessen gehalten. Das darf allerdings nicht als Freibrief verstanden werden, sämtliche personenbezogenen Daten unbesehen über gewöhnliche E-Mail-Systeme zu versenden. Gerade der Vergleich mit der Rechtsprechung zu manipulierten Rechnungen zeigt, wie stark es auf das jeweilige Risiko ankommt. Das OLG Schleswig hielt 2024 bei einer per E-Mail versandten Werklohnrechnung angesichts des erheblichen finanziellen Manipulationsrisikos eine reine Transportverschlüsselung nicht für ausreichend.

Das VG Düsseldorf widerspricht dem risikobasierten Ansatz dieser Entscheidung daher nicht zwingend. Die Ausgangslagen unterscheiden sich erheblich: Im Düsseldorfer Verfahren stand insbesondere die Kenntnisnahme des Namens des Betroffenen im Raum. Beim OLG Schleswig konnte dagegen durch Manipulation der übermittelten Zahlungsinformationen ein erheblicher Vermögensschaden entstehen. Für Unternehmen folgt daraus vor allem: Die Frage darf nicht lauten, ob „E-Mail nach der DSGVO erlaubt“ ist oder ob „TLS immer genügt“. Zu beurteilen sind vielmehr Inhalt, Sensibilität und Umfang der übermittelten Daten, mögliche Folgen eines unbefugten Zugriffs oder einer Manipulation sowie deren Eintrittswahrscheinlichkeit. Daraus ist das erforderliche technische und organisatorische Schutzniveau abzuleiten.

Ebenso praxisrelevant ist der zweite Teil des Urteils. Unternehmen sollten bei Auskunftsersuchen nicht vorschnell zusätzliche Identitätsnachweise verlangen. Art. 12 Abs. 6 DSGVO gestattet weitere Informationen zur Identitätsfeststellung nur, wenn begründete Zweifel an der Identität bestehen. Ist eine Person aufgrund des vorhandenen Schriftverkehrs und eines eindeutig bezeichneten Vorgangs bereits zweifelsfrei zuordenbar, lässt sich die Monatsfrist nicht dadurch verlängern, dass weitere Identifikationsmerkmale verlangt werden.

Gibt es hier Handlungsbedarf?

Für Unternehmen besteht kein Anlass, aufgrund des Urteils sämtliche E-Mail-Kommunikation auf Ende-zu-Ende-Verschlüsselung umzustellen. Sinnvoll ist aber, die bestehenden Prozesse risikoorientiert zu überprüfen:

• E-Mail-Kommunikation klassifizieren: Festlegen, welche Arten personenbezogener Daten regelmäßig per E-Mail versendet werden und welchen Schutzbedarf sie haben.
• Transportverschlüsselung sicherstellen: Die Unternehmenssysteme sollten aktuelle und sichere TLS-Verfahren für ein- und ausgehende E-Mails unterstützen und entsprechend konfiguriert sein. Im Rahmen von Audits, sollte das regelmäßig überprüft werden.
• Höhere Risiken gesondert behandeln: Bei besonders sensiblen Daten, umfangreichen Datensätzen, Geschäftsgeheimnissen oder erheblichen möglichen Vermögensschäden sollten weitergehende Maßnahmen wie verschlüsselte Anhänge, sichere Download-Portale oder Ende-zu-Ende-Verschlüsselung geprüft werden.
• Risikobewertung dokumentieren: Warum ein bestimmtes Sicherheitsniveau nach Art. 32 DSGVO als ausreichend angesehen wird, sollte nachvollziehbar dokumentiert werden. Das erleichtert im Streitfall die Erfüllung der Rechenschaftspflicht.
• Besondere Einzelfälle ernst nehmen: Hinweise eines Betroffenen auf konkrete Gefährdungen sollten Anlass sein, den Schutzbedarf für diesen Verarbeitungsvorgang erneut zu bewerten. Das Urteil bedeutet nicht, dass solche Hinweise generell unbeachtlich wären.
• Auskunftsprozesse überprüfen: Anträge nach Art. 15 DSGVO müssen zuverlässig erkannt, intern weitergeleitet und grundsätzlich innerhalb eines Monats beantwortet werden.
• Identitätsprüfung verhältnismäßig gestalten: Zusätzliche Nachweise sollten nur verlangt werden, wenn tatsächlich begründete Zweifel bestehen. Bereits vorhandene Informationen und vorhergehende Korrespondenz sind in die Bewertung einzubeziehen.
• Fristen technisch überwachen: Gerade Auskunftsersuchen sollten in ein verbindliches Fristen- und Eskalationssystem aufgenommen werden.

Unsere Kanzlei steht Unternehmen gerne bei Fragen zur sicheren E-Mail-Kommunikation, zur Ausgestaltung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO sowie bei der Einrichtung rechtssicherer Prozesse zur Bearbeitung von Betroffenenanfragen zur Verfügung.

Ebenfalls für diese Fragen könnte interessant sein:

EuGH bejaht einen konkreten DSGVO-Auskunftsanspruch hinsichtlich des Empfängers – zur Reichweite der Auskunft nach Art. 15 DSGVO und zur Benennung konkreter Datenempfänger. Anwalt Willich

Neue GDD Praxishilfe: Checkliste zu Auskunftsersuchen – zu den organisatorischen und technischen Voraussetzungen für die fristgerechte Bearbeitung von Auskunftsersuchen. Anwalt Willich

Datenschutzverletzungen nach Art. 33 und 34 DSGVO – Der umfassende Praxisleitfaden für Unternehmen – zur Prüfung und Behandlung meldepflichtiger Datenschutzverletzungen. Anwalt Willich

DSK-Liste der Verarbeitungstätigkeiten, für die eine Datenschutz-Folgenabschätzung durchzuführen ist – ergänzend zur Frage, wann ein voraussichtlich hohes Risiko eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich macht.