10.07.2026

Transportverschlüsselung ausreichend?

Wann reicht Transportverschlüsselung bei E-Mails nach Art. 32 DS-GVO aus?

Muss jede E-Mail mit personenbezogenen Daten Ende-zu-Ende verschlüsselt sein? Das Verwaltungsgericht Düsseldorf hat am 2. April 2026 eine klare Antwort gegeben (Az. 29 K 7351/23). Im Mittelpunkt stand ein Busunternehmen, das Daten eines Unfallgeschädigten per E-Mail an seine Haftpflichtversicherung übermittelt hat. Der Betroffene forderte aufsichtsrechtliche Maßnahmen der Landesbeauftragten für Datenschutz NRW (LDI NRW). Das Gericht wies die Klage überwiegend ab, verpflichtete die Behörde aber in einem Punkt zur Neubescheidung.

Der Fall: Unfalldaten per E-Mail an die Versicherung

Ein Verkehrsunfall in F. im Januar 2022 war der Ausgangspunkt. Der Kläger ist aus beruflichen Gründen auf eine Auskunftssperre im Melderegister nach § 51 Bundesmeldegesetz (BMG) angewiesen, weil er Gefahren für Leib und Leben ausgesetzt ist. Beim Unfall trugen sein Pkw Tarnkennzeichen. Nachdem ein Busfahrer des beklagten Unternehmens den Wagen gestreift und weitergefahren war, übergab der Kläger dem Fahrer einen handgeschriebenen Zettel mit seinem Namen und seiner ladungsfähigen Anschrift. Darauf stand ausdrücklich, dass Kommunikation nur schriftlich erfolgen solle.

Das Busunternehmen meldete den Schadensfall per E-Mail an seine Kfz-Haftpflichtversicherung. Wenig später leitete es auch das anwaltliche Schreiben des Klägers vom März 2022 per E-Mail an die Versicherung weiter. Der Kläger erfuhr davon und stellte im April 2022 einen Auskunftsantrag nach Art. 15 DS-GVO. Die Auskunft blieb zunächst aus.

Der Kläger beschwerte sich bei der LDI NRW. Die Behörde sah keinen Datenschutzverstoß, auch nicht beim E-Mail-Versand ohne Ende-zu-Ende-Verschlüsselung. Der Kläger klagte dagegen.

Das Urteil: Transportverschlüsselung reicht für normale Risiken

Art. 32 DS-GVO verpflichtet Verantwortliche, ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Das Gericht stellte klar: Was „angemessen“ ist, hängt von der Eintrittswahrscheinlichkeit und der Schwere eines möglichen Schadens ab. Eine Ende-zu-Ende-Verschlüsselung ist nicht in jedem Fall erforderlich.

Im vorliegenden Fall enthielten die E-Mails lediglich den Namen des Klägers. Das Gericht bewertete dieses Risiko als gering. Der Name ist kein Geheimnis. Er ist im Internet frei abrufbar, ebenso wie die Firma des Klägers und deren Sitz. Die Auskunftssperre nach § 51 BMG schützt die Meldedaten, also die private Anschrift. Sie macht den Namen selbst aber nicht schutzwürdiger als er ohnehin ist. Einen Bezug zur privaten Anschrift konnten Dritte aus den E-Mails nicht herstellen.

Die Transportverschlüsselung nach dem TLS-Protokoll (Transport Layer Security) sichert die Verbindung zwischen E-Mail-Client und Mailserver. Sie wird von den meisten Anbietern eingesetzt. Das Gericht erkannte: Bei dieser Art von Verschlüsselung liegt die E-Mail an Knotenpunkten im Klartextvor. Ein unbefugter Zugang ist also nicht vollständig ausgeschlossen. Im konkreten Fall begründete das aber kein erhöhtes Risiko. Die Beklagte durfte mangels gegenteiliger Anhaltspunkte davon ausgehen, dass eine Transportverschlüsselung vorhanden war.

Weil kein Datenschutzverstoß vorlag, war auch keine Datenschutz-Folgeabschätzung nach Art. 35 DS-GVO erforderlich. Eine Meldepflicht nach Art. 33 DS-GVO bestand nicht. Die LDI NRW musste keine Aufsichtsmaßnahmen nach Art. 58 DS-GVO ergreifen.

Ausnahme: Verspätete Auskunft war ein Verstoß

In einem Punkt gab das Gericht dem Kläger Recht. Das Busunternehmen hatte auf den Auskunftsantrag vom April 2022 nicht fristgerecht reagiert. Laut Art. 12 Abs. 3 DS-GVO muss der Verantwortliche innerhalb eines Monats nach Eingang des Antrags antworten. Das geschah nicht. Eine Mitteilung über eine Fristverlängerung fehlte ebenfalls. Das Unternehmen berief sich darauf, den Kläger nicht identifizieren zu können. Das Gericht ließ das nicht gelten: Der Antrag kam über eine Anwaltskanzlei, nannte den Unfall und ließ keinen Zweifel an der Identität.

Die LDI NRW hatte diesen Verstoß in ihrem Bescheid nicht als solchen erkannt und deshalb auch kein Auswahlermessen ausgeübt. Das Gericht verpflichtete die Behörde, diesen Teil der Beschwerde neu zu bescheiden. Ein Anspruch auf eine bestimmte Maßnahme, etwa auf eine Geldbuße, besteht jedoch nicht. Das Ermessen liegt bei der Aufsichtsbehörde.

Unsere Empfehlungen

Unternehmen und KMU

Für den normalen E-Mail-Verkehr mit Versicherungen oder Dienstleistern reicht Transportverschlüsselung in der Regel aus, wenn die übermittelten Daten kein hohes Risiko begründen. Entscheidend ist die konkrete Risikoabwägung nach Art. 32 DS-GVO. Werden Gesundheitsdaten, Bankverbindungen oder andere sensible Kategorien per E-Mail verschickt, ist eine höhere Schutzmaßnahme angezeigt. Dokumentieren Sie Ihre Risikoabwägung in einem Verfahrensverzeichnis. Achten Sie auf Auskunftsanträge: Die Monatsfrist nach Art. 12 DS-GVO ist verbindlich. Stellen Sie sicher, dass eingehende Anträge erkannt und fristgerecht bearbeitet werden, auch wenn sie über Anwälte eingehen.

Behörden und öffentliche Stellen

Behörden verarbeiten oft Daten von Personen mit erhöhtem Schutzbedarf, etwa im Meldewesen oder bei Sozialdaten. Hier kann das Risiko schnell über das normale Maß hinausgehen. Prüfen Sie in solchen Fällen, ob Transportverschlüsselung ausreicht oder ob Ende-zu-Ende-Verschlüsselung geboten ist. Das Urteil zeigt: Eine pauschale Pflicht zur Ende-zu-Ende-Verschlüsselung besteht nicht, aber die Begründung muss zur konkreten Situation passen.

Gesundheitseinrichtungen

In Praxen und Kliniken zählen Gesundheitsdaten nach Art. 9 DS-GVO zur besonderen Kategorie. Das Risiko bei einer Datenpanne ist deutlich höher als bei einem bloßen Namen. Für die Übermittlung von Befunden, Diagnosen oder Patientendaten per E-Mail sollte Ende-zu-Ende-Verschlüsselung der Standard sein. Verlassen Sie sich nicht allein auf TLS.

Kanzleien und Freiberufler

Anwälte und Steuerberater übermitteln regelmäßig vertrauliche Daten per E-Mail. Das Urteil bestätigt: Der Inhalt der Nachricht bestimmt das Schutzniveau, nicht allein der Übertragungsweg. Mandantendaten mit Bezug zu Strafverfahren, Gesundheit oder Vermögen erfordern eine höhere Absicherung. Prüfen Sie, welche Daten Sie per E-Mail versenden, und richten Sie Ihre technischen Maßnahmen danach aus. Das Auskunftsrecht gilt selbstverständlich auch für Kanzleien als Verantwortliche.

Quelle: Verwaltungsgericht Düsseldorf, Urteil vom 02.04.2026, Az. 29 K 7351/23 (openJur 2026, 4171)

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks