Wie sicher müssen Behörden kommunizieren? – Diese Frage hat das Oberverwaltungsgericht Nordrhein-Westfalen (OVG NRW) in einem aktuellen Beschluss (Az. 16 B 288/23, vom 20. Februar 2025) behandelt. Geklagt hatte ein Bürger, der verlangte, dass seine personenbezogenen Daten durch eine Behörde nur per Ende-zu-Ende-Verschlüsselung übermittelt werden dürften. Das Gericht erteilte diesem Anliegen eine klare Absage – und schafft damit Rechtssicherheit für Behörden, aber auch für datenschutzinteressierte Unternehmen und betroffene Personen.
Der Hintergrund: Sicherheitsbedenken gegen einfache Transportverschlüsselung
Der Antragsteller wollte sich gegen die elektronische Übermittlung seiner personenbezogenen Daten durch eine Landesbehörde wehren – es sei denn, diese erfolge mit Ende-zu-Ende-Verschlüsselung oder zumindest mit einer dem „Stand der Technik“ entsprechenden Verschlüsselung. Begründet wurde der Antrag mit einer besonderen Gefährdungslage, die durch die bisherige Transportverschlüsselung (z. B. per TLS) nicht ausreichend berücksichtigt sei.
Die Behörde verwies hingegen auf etablierte Sicherheitsstandards: TLS-Verschlüsselung, zusätzliche Sicherungsmaßnahmen wie SINA-Boxen und ein vom BSI zertifiziertes Sicherheitskonzept. Das Verwaltungsgericht Köln hatte den Eilantrag bereits abgelehnt. Das OVG NRW bestätigte diese Entscheidung nun im Beschwerdeverfahren.
Kernaussage des Gerichts: Art. 32 DSGVO verlangt Verhältnismäßigkeit – nicht Maximallösungen
Das Gericht stellt klar: Die Datenschutz-Grundverordnung (DSGVO) verlangt bei der Verarbeitung personenbezogener Daten angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 Abs. 1 DSGVO). Daraus folgt kein genereller Anspruch auf Ende-zu-Ende-Verschlüsselung.
Entscheidend ist vielmehr:
- Wie sensibel sind die verarbeiteten Daten?
- Welche realen Gefahren bestehen?
- Welche Sicherheitsmaßnahmen werden insgesamt ergriffen?
Die Kombination aus Transportverschlüsselung, zusätzlicher Infrastruktur (z. B. SINA-Boxen, Zertifikate) und einem zertifizierten Sicherheitskonzept genügt in aller Regel – zumindest dann, wenn kein konkretes, glaubhaft gemachtes Risiko für die betroffene Person vorliegt.
Die Rolle der individuellen Gefährdung: Glaubhaftmachung erforderlich
Der Antragsteller verwies auf eine allgemeine Gefährdung seiner Person – u. a. aufgrund seiner beruflichen Tätigkeit. Diese Argumentation überzeugte das Gericht jedoch nicht:
- Ein erhöhter Schutzbedarf sei nicht hinreichend belegt worden.
- Frühere Verfahren zu Übermittlungs- oder Auskunftssperren seien nicht automatisch übertragbar.
- Eine abstrakte Gefährdung reicht nicht aus – erforderlich seien konkrete, belegte Umstände.
Damit stellt das OVG klar: Wer sich auf ein besonders hohes Schutzbedürfnis beruft, muss dies substantiiert und nachvollziehbar darlegen. Pauschale Sicherheitsbedenken genügen nicht.
Kein Vorrang der „bestmöglichen Technik“
Ein weiteres wichtiges Signal des Gerichts: Die DSGVO verlangt keine absolute Sicherheit. Vielmehr ist die Verhältnismäßigkeit das Leitprinzip.
Nicht jede technisch denkbare Sicherheitsmaßnahme muss eingesetzt werden – sondern nur die, die im konkreten Fall erforderlich und angemessen ist.
In diesem Zusammenhang hält das Gericht die verwendete TLS-Verschlüsselung – ergänzt um weitere Maßnahmen – für datenschutzrechtlich ausreichend, auch wenn es technisch mittlerweile neuere Standards wie TLS 1.3 gibt. Die Vorgaben der DSGVO ließen bewusst Spielräume für risikobasierte Entscheidungen.
Keine Vorwegnahme der Hauptsache
Abgelehnt wurde der Eilantrag auch mit Blick auf die Frage, ob damit möglicherweise die Hauptsacheentscheidung vorweggenommen würde. Auch hier gibt das OVG eine hilfreiche Orientierung: Eine vorläufige Anordnung, die im Hauptsacheverfahren wieder aufgehoben werden kann, stellt keine unzulässige Vorwegnahme dar. Sie wäre also rechtlich zulässig – aber materiell unbegründet.
Was bedeutet das für betroffene Personen und datenschutzinteressierte Organisationen?
1. Einzelfallabwägung statt Standardforderung
Das Urteil zeigt: Datenschutz ist keine Einheitslösung. Weder Behörden noch Unternehmen sind verpflichtet, jeden Datenaustausch mit maximalem technischem Aufwand abzusichern – es sei denn, besondere Risiken rechtfertigen dies.
2. Betroffene müssen konkrete Risiken darlegen
Wer sich auf Datenschutzrechte beruft, insbesondere bei sicherheitsrelevanten Anliegen wie Verschlüsselung oder Sperrvermerken, sollte konkrete Nachweise erbringen können. Die Gerichte verlangen eine nachvollziehbare Gefährdungslage – bloße Annahmen reichen nicht.
3. Technische Standards wie TLS bleiben rechtlich zulässig
Auch in der digitalen Kommunikation mit Behörden gilt: Solange technische Verfahren wie TLS in ein zertifiziertes und angemessenes Sicherheitskonzept eingebunden sind, bestehen keine weitergehenden Pflichten zur Verschlüsselung – weder nach Art. 32 DSGVO noch nach Art. 5 (Integrität, Vertraulichkeit).
Fazit: Datenschutz mit Maß und Mitte
Das OVG NRW bringt auf den Punkt, was auch im Datenschutzrecht gilt: Verhältnismäßigkeit vor Perfektion. Behörden und datenverarbeitende Stellen dürfen auf bewährte Sicherheitsstandards setzen – solange sie nachvollziehbar dokumentieren, dass diese dem Risiko angemessen sind. Für Betroffene bleibt das Recht auf Schutz bestehen – doch es muss gut begründet sein.