24.12.2025

Gutachten an private E-Mail-Adresse

Unverschlüsselte Übermittlung eines amtsärztlichen Gutachtens an eine private E-Mail-Adresse

Der Fall ist schnell zusammengefasst: Ein Beamter wird durch die Medizinische Untersuchungsstelle (MUS) einer bayerischen Regierung im Hinblick auf seine Dienstfähigkeit amtsärztlich begutachtet. Die MUS übermittelt ihr Gutachten an den Dienstvorgesetzten des Beamten. Dieser prüft auf Grundlage des Gutachtens, ob und wie der Beamte dienstlich weiter eingesetzt werden kann. Das Ergebnis seiner Prüfung übermittelt der Dienstvorgesetzte per unverschlüsselter und mit dem Betreff „Anhörung“ versehener E-Mail unter anderem an die private E-Mail-Adresse des betroffenen Beamten. Das Gutachten der MUS hat er dieser E-Mail als Anlage beigefügt. Der Beamte ist der Ansicht, dass sein Dienstvorgesetzter hierdurch gegen datenschutzrechtliche Vorgaben verstoßen hat, und wendet sich mit einer Beschwerde an die Datenschutzbehörde.

Wesentliche Aspekte des zugrunde liegenden Begutachtungsverfahrens:

Dienstunfähige Beamtinnen und Beamte sind unter den Voraussetzungen des § 26 Beamtenstatusgesetz, Art. 65 Abs. 2 Bayerisches Beamtengesetz (BayBG) in den Ruhestand zu versetzen. Bei Zweifeln an ihrer Dienstunfähigkeit kann der Dienstherr betroffene Beamtinnen und Beamte anweisen, sich (amts-)ärztlich untersuchen zu lassen. Grundlage hierfür ist Art. 65 Abs. 2 Satz 1 BayBG:

„1Bestehen Zweifel über die Dienstunfähigkeit, so ist der Beamte oder die Beamtin verpflichtet, sich nach Weisung des oder der Dienstvorgesetzten ärztlich untersuchen und, falls ein Amtsarzt oder eine Amtsärztin dies für erforderlich hält, beobachten zu lassen. 2Auf Verlangen des Amtsarztes oder der Amtsärztin hat sich der Beamte oder die Beamtin zudem einer fachärztlichen Zusatzbegutachtung zu unterziehen. 3Wer sich trotz wiederholter schriftlicher Aufforderung ohne hinreichenden Grund der Verpflichtung, sich nach Weisung des oder der Dienstvorgesetzten untersuchen oder beobachten zu lassen, entzieht, kann so behandelt werden, wie wenn die Dienstunfähigkeit amtsärztlich festgestellt worden wäre.“

Nähere Einzelheiten zu diesem Verfahren finden sich insbesondere in Art. 67 BayBG sowie in Abschnitt 8 der Verwaltungsvorschriften zum Beamtenrecht (VV-BeamtR). Das amtsärztliche Gutachten gibt die oder der jeweilige Dienstvorgesetzte in Auftrag. Der Gutachtensauftrag enthält neben einer umfassenden Schilderung des Sachverhalts, der Anlass für den Auftrag gegeben hat, insbesondere auch konkrete Fragen an die Begutachtungsärztin oder den Begutachtungsarzt. Die betroffene Beamtin oder der betroffene Beamte erhält eine Kopie des Gutachtensauftrags (Abschnitt 8 Nr. 1.3.2 VV-BeamtR).
Zuständig für Dienstfähigkeitsbegutachtungen sind grundsätzlich die Regierungen, Art. 5 Satz 1 Gesundheitsdienstgesetz (GDG). Diese verfügen dazu jeweils über eine MUS. Die Entscheidung, ob eine begutachtete Beamtin oder ein begutachteter Beamter tatsächlich dienstunfähig ist, treffen nicht die Amtsärztinnen oder Amtsärzte, sondern die jeweiligen Dienstvorgesetzten (vgl. Abschnitt 8 Nr. 1.8 Satz 1 VV-BeamtR). Das amtsärztliche (Gesundheits-)Zeugnis soll als „Ergebnis“ der Begutachtung den Dienstvorgesetzten eine umfassende Entscheidungsgrundlage an die Hand geben (Abschnitt 8 Nr. 1.4.1 Satz 1 VV-BeamtR). Die Weitergabe amtsärztlicher Erkenntnisse an Dienstvorgesetzte bedarf, soweit sie zur Erfüllung des Gutachtenauftrags erforderlich ist, keiner (ausdrücklichen) Einwilligung der betroffenen Person – Art. 67 Abs. 1 BayBG normiert insoweit nämlich eine ausdrückliche gesetzliche Übermittlungsbefugnis für die Gesundheitsbehörde (vgl. auch Art. 27 Abs. 2 Satz 1 Nr. 1 GDG). In diesem Rahmen tritt auch die ärztliche Schweigepflicht nach § 203 Strafgesetzbuch von Amtsärztinnen und Amtsärzten zurück.
Es liegt auf der Hand, dass amtsärztliche Gesundheitszeugnisse über Dienstfähigkeitsuntersuchungen hochsensible Daten der begutachteten Beamtinnen und Beamten enthalten. Sie sind daher in besonderem Maße gegen eine unbefugte Einsichtnahme zu schützen. Für den Übermittlungsweg von den begutachtenden amtsärztlichen Stellen an die Dienstvorgesetzten sieht Art. 67 Abs. 2 BayBG daher vor, dass die amtsärztliche Mitteilung in einem gesonderten, verschlossenen und versiegelten Umschlag zu übersenden ist.

Im vorliegenden Fall gab es keine Anhaltspunkte dafür, dass die MUS hinter diesen Vorgaben zurückgeblieben wäre. Auf welche Weise Dienstvorgesetzte amtsärztliche Zeugnisse gegebenenfalls an betroffene Beamtinnen und Beamte übermitteln dürfen, ist hingegen in den Art. 65 ff. BayBG nicht spezifisch geregelt. Hier kommen neben personalaktenrechtlichen Aspekten insbesondere technische und organisatorische Vorgaben der Datenschutz-Grundverordnung ins Spiel:

Für die Übermittlung des Gutachtens an den betroffenen Beamten war vorliegend die personalverwaltende Stelle datenschutzrechtlich verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO. Nach dem datenschutzrechtlichen Grundsatz der Integrität und Vertraulichkeit (Art. 5 Abs. 1 Buchst. f DSGVO) haben Verantwortliche bei der Verarbeitung personenbezogener Daten durch technische und organisatorische Maßnahmen eine angemessene Sicherheit dieser Daten zu gewährleisten. Dies schließt den Schutz vor unbefugter oder unrechtmäßiger Verarbeitung mit ein. Spezifizierend hierzu verpflichtet Art. 32 Abs. 1 DSGVO Verantwortliche, geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein dem Risiko der Verarbeitung angemessenes Schutzniveau zu gewährleisten. Die letztgenannte Vorschrift zeigt verschiedene Kriterien auf, die der Verantwortliche bei der Maßnahmenauswahl zu berücksichtigen hat, darunter die Eintrittswahrscheinlichkeit und Schwere des mit der jeweiligen Verarbeitung einhergehenden Risikos für die Rechte und Freiheiten natürlicher Personen (vgl. auch Art. 32 Abs. 2 DSGVO).

In die danach durchzuführende Risikoanalyse war insbesondere einzustellen, dass es sich bei dem übermittelten amtsärztlichen Gutachten für den Dienstherrn um Personalaktendaten im Sinne von § 50 Satz 2 Beamtenstatusgesetz, Art. 103 ff. BayBG handelt, die ihrer Natur nach besonders sensibel sind; zugleich umfasst (jedenfalls) das übermittelte Gutachten inhaltlich Gesundheitsdaten des Beschwerdeführers und damit auch besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Solche unterliegen einem besonderen Schutz. Bei ihrer Verarbeitung hat der Dienstherr angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen (Art. 103 Satz 1 Nr. 2 BayBG in Verbindung mit Art. 8 Abs. 2 Satz 1 BayDSG). Als technische und organisatorische Maßnahme im Sinne dieser Vorschriften kommt insbesondere die Verschlüsselung personenbezogener Daten in Betracht (vgl. Art. 32 Abs. 1 Buchst. a DSGVO sowie die Gesetzesbegründung zu Art. 8 BayDSG70).

Die personalverwaltende Stelle hatte insoweit vorgetragen, betroffene Beschäftigte in vergleichbaren Konstellationen grundsätzlich schriftlich per Brief anzuhören. In diesem Rahmen werde auch das jeweilige Gutachten übersandt. Da der betroffene Beamte auf seiner damaligen Position dienstunfähig gewesen sei und so schnell wie möglich habe umgesetzt werden müssen, sei dieser im vorliegenden Fall ausnahmsweise aus Zeitgründen per einfacher E-Mail angehört worden. Die personalverwaltende Stelle räumte allerdings selbst ein, dass der Versand des Gutachtens an die private E-Mail-Adresse des betroffenen Beamten per einfacher, ungeschützter E-Mail nicht den datenschutzrechtlichen Anforderungen genügt hatte.

Bei der Bewertung des Sachverhalts wurde berücksichtigt, dass es sich bei dem vorliegenden E-Mail-Versand nach Darstellung der personalverwaltenden Stelle um einen Einzelfall handelte. Anhaltspunkte für systematisch-organisatorische Mängel waren nicht erkennbar. Die personalverwaltende Stelle hat den festgestellten Datenschutzverstoß eingeräumt, betont, dass sich dieser nicht wiederholen werde, und entsprechende interne Sensibilisierungsmaßnahmen ergriffen.

In Anbetracht der Sensibilität der übermittelten Daten, die sowohl Personalaktendaten als auch besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO umfassten, wurde wegen des festgestellten Verstoßes gegen Art. 32 Abs. 1 DSGVO sowie Art. 103 Satz 1 Nr. 2 BayBG in Verbindung mit Art. 8 Abs. 2 Satz 1 BayDSG gleichwohl eine datenschutzrechtliche Verwarnung (Art. 58 Abs. 2 Buchst. b DSGVO) ausgesprochen.

Quelle: Der Bayerische Landesbeauftragte für den Datenschutz

Sind Sie sich sicher, ob Ihr Unternehmen oder Ihre Behörde im Hinblick auf Datenschutz und Datensicherheit richtig aufgestellt ist, so wie es der geschilderte Fall nahelegt?

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks