Ein Verkehrsunfall, ein sensibles Sicherheitsinteresse und die Frage, wie personenbezogene Daten per E-Mail verschickt werden dürfen: Mit Urteil vom 2. April 2026 hat das Verwaltungsgericht Düsseldorf klargestellt, dass nicht jede Datenübermittlung zwingend eine Ende-zu-Ende-Verschlüsselung erfordert.
Die Entscheidung betrifft einen Fall, der zeigt, wie schnell Datenschutzrecht und praktische Unternehmensabläufe kollidieren können.
Der Hintergrund: Unfallmeldung per E-Mail
Ausgangspunkt war ein Verkehrsunfall. Ein Busfahrer streifte das Fahrzeug des Klägers und setzte seine Fahrt fort. Der Kläger, für den wegen Gefährdungen für Leib und Leben eine Auskunftssperre im Melderegister bestand, übermittelte seine Kontaktdaten später schriftlich an das Busunternehmen.
Zusätzlich machte er ausdrücklich darauf aufmerksam, dass bei der Verarbeitung seiner personenbezogenen Daten erhöhte Schutzmaßnahmen einzuhalten seien.
Das Busunternehmen leitete den Schadenfall anschließend per E-Mail an seine Haftpflichtversicherung weiter. Ebenso übersandte es ein anwaltliches Schreiben des Klägers elektronisch an den Versicherer.
Genau darin sah der Kläger einen Datenschutzverstoß.
Die zentrale Streitfrage: Reicht normale E-Mail-Verschlüsselung?
Der Kläger verlangte von der Datenschutzaufsichtsbehörde unter anderem, dem Unternehmen künftig ausschließlich eine Ende-zu-Ende-verschlüsselte Kommunikation zu erlauben. Außerdem forderte er ein Bußgeld wegen angeblicher Datenschutzverstöße.
Das VG Düsseldorf folgte dieser Argumentation jedoch nicht.
Das Gericht stellte klar: Art. 32 DSGVO verlangt kein pauschales Höchstmaß an technischer Absicherung. Entscheidend sei vielmehr, welches Risiko für die betroffene Person tatsächlich besteht.
Transportverschlüsselung genügte im konkreten Fall
Besonders interessant ist die Bewertung der eingesetzten E-Mail-Kommunikation.
Das Gericht ging davon aus, dass die beteiligten E-Mail-Anbieter eine Transportverschlüsselung mittels TLS verwendeten. Diese Form der Verschlüsselung schützt die Daten während des Versands zwischen den Servern, auch wenn die Inhalte an bestimmten Übergabepunkten im Klartext vorliegen können.
Nach Auffassung des Gerichts genügte dieses Sicherheitsniveau hier den Anforderungen des Art. 32 DSGVO.
Warum?
Weil lediglich Name und Vorname des Klägers übermittelt wurden. Diese Informationen seien weder besonders sensibel noch geheim gewesen. Das Gericht betonte ausdrücklich, dass der Name des Klägers ohnehin öffentlich im Internet auffindbar gewesen sei. Ein realistisches zusätzliches Risiko habe die E-Mail-Übermittlung daher nicht geschaffen.
Damit erteilte das Gericht der häufig vertretenen Ansicht eine Absage, wonach personenbezogene Daten grundsätzlich nur Ende-zu-Ende-verschlüsselt per E-Mail versendet werden dürften.
Kein Automatismus zugunsten maximaler Sicherheitsmaßnahmen
Die Entscheidung verdeutlicht einen wichtigen Grundsatz der DSGVO:
Datensicherheit ist immer risikobezogen zu bewerten.
Unternehmen müssen also nicht automatisch die technisch aufwendigste Lösung einsetzen. Maßgeblich ist vielmehr, ob die konkret getroffenen Maßnahmen dem tatsächlichen Risiko angemessen sind.
Für die Praxis bedeutet das:
- Nicht jede E-Mail mit personenbezogenen Daten erfordert Ende-zu-Ende-Verschlüsselung.
- Art und Sensibilität der Daten bleiben entscheidend.
- Auch das konkrete Gefährdungspotenzial der betroffenen Person spielt eine Rolle.
- Transportverschlüsselung kann bei normalen personenbezogenen Daten ausreichend sein.
Dennoch: Unternehmen sollten die Entscheidung nicht missverstehen
Die Entscheidung bedeutet keineswegs, dass einfache E-Mails künftig immer unproblematisch wären.
Das VG Düsseldorf hebt ausdrücklich auf die Besonderheiten des Einzelfalls ab. Wären Gesundheitsdaten, Bankdaten, Ausweiskopien oder andere sensible Informationen betroffen gewesen, hätte die Bewertung anders ausfallen können.
Auch Unternehmen sollten beachten: Die Anforderungen an technische und organisatorische Maßnahmen bleiben dynamisch. Was heute noch als angemessen gilt, kann sich durch technische Entwicklungen oder neue Angriffsszenarien verändern.
Überraschung im Urteil: DSGVO-Auskunft wurde verspätet erteilt
Ganz ohne Datenschutzverstoß blieb das Verfahren allerdings nicht.
Das Gericht beanstandete, dass das Busunternehmen eine Auskunft nach Art. 15 DSGVO verspätet beantwortet hatte. Die gesetzliche Monatsfrist sei überschritten worden. Die Datenschutzbehörde hätte diesen Aspekt genauer prüfen müssen.
Allerdings sah das Gericht hierin keinen so schwerwiegenden Verstoß, dass zwingend ein Bußgeld hätte verhängt werden müssen.
Was Unternehmen jetzt mitnehmen sollten
Das Urteil liefert wertvolle Orientierung für die Praxis:
- Datenschutzmaßnahmen müssen verhältnismäßig sein.
- Entscheidend bleibt die konkrete Risikobewertung.
- Ende-zu-Ende-Verschlüsselung ist nicht automatisch Pflicht.
- Auskunftsersuchen nach Art. 15 DSGVO sollten Unternehmen weiterhin besonders sorgfältig und fristgerecht bearbeiten.
Gerade die letzte Erkenntnis dürfte für viele Unternehmen relevanter sein als die Diskussion um Verschlüsselungstechnologien. Denn verspätete Auskünfte gehören weiterhin zu den häufigsten DSGVO-Verstößen im Unternehmensalltag.
