Ein Verkehrsunfall, eine E-Mail an die Versicherung – und die Frage, wie sicher personenbezogene Daten dabei eigentlich sind. Das Verwaltungsgericht Düsseldorf hatte über einen Fall zu entscheiden, der auf den ersten Blick alltäglich wirkt, bei näherem Hinsehen jedoch zentrale Fragen zur praktischen Anwendung von Art. 32 DSGVO aufwirft (Urteil vom 02.04.2026, Az. 29 K 7351/23).
Der Konflikt: Sicherheitsbedürfnis trifft Alltagspraxis
Der Kläger befand sich in einer besonderen Situation: Für ihn war eine Auskunftssperre im Melderegister eingetragen – ein Hinweis auf eine potenzielle Gefährdungslage. Entsprechend sensibel ging er mit seinen Daten um. Nach einem Verkehrsunfall stellte sich heraus, dass das beteiligte Busunternehmen seinen Namen per E-Mail an die Haftpflichtversicherung übermittelt hatte.
Für den Kläger war klar: Das genügte nicht. Er verlangte ein aufsichtsbehördliches Einschreiten – bis hin zur Verpflichtung, künftig ausschließlich Ende-zu-Ende-verschlüsselt zu kommunizieren.
Die Kernfrage: Reicht „normale“ E-Mail-Verschlüsselung?
Das Gericht rückte den Maßstab des Art. 32 DSGVO in den Mittelpunkt: ein risikobasiertes Schutzniveau. Entscheidend sei nicht die technisch bestmögliche Lösung, sondern diejenige, die dem konkreten Risiko angemessen ist.
Genau hier liegt die praktische Brisanz der Entscheidung:
Das Gericht hält die Transportverschlüsselung (TLS) im Regelfall für ausreichend – zumindest dann, wenn lediglich ein Name übermittelt wird und keine weiteren sensiblen Informationen betroffen sind.
Eine Ende-zu-Ende-Verschlüsselung sei kein Standard, der pauschal verlangt werden könne. Sie komme vielmehr erst bei erhöhtem Risiko in Betracht.
Warum das Gericht kein erhöhtes Risiko sah
Der Kläger argumentierte mit seiner Gefährdungslage. Doch das Gericht differenzierte:
- Übermittelt wurde nur der Name, keine Adresse oder weitere sensible Daten
- Der Name war bereits öffentlich zugänglich
- Die Auskunftssperre schützt nur vor Melderegisterauskünften, nicht vor jeder Datenverarbeitung
- Ein realistisches Risiko zusätzlicher Erkenntnisse durch Dritte sei nicht erkennbar
Die Konsequenz: Kein Verstoß gegen Art. 32 DSGVO, keine Pflicht zu weitergehenden Sicherheitsmaßnahmen.
Aufsichtsbehörde im Fokus: Ermessensspielraum bestätigt
Auch die Rolle der Datenschutzaufsicht wurde beleuchtet. Das Gericht stellte klar, dass den Behörden ein weiter Ermessensspielraum bei der Wahl ihrer Maßnahmen zusteht. Ein Anspruch auf bestimmte Sanktionen – etwa Bußgelder oder konkrete technische Vorgaben – besteht nur in Ausnahmefällen.
Das stärkt die Position der Aufsichtsbehörden, begrenzt aber zugleich die Durchsetzungsmöglichkeiten von Betroffenen.
Der eigentliche Fehler: Verzögerte Auskunft
Während die Datenübermittlung rechtmäßig war, lag der eigentliche DSGVO-Verstoß an anderer Stelle:
Die Auskunft nach Art. 15 DSGVO wurde verspätet erteilt.
Hier korrigierte das Gericht die Aufsichtsbehörde. Sie hätte diesen Punkt genauer prüfen und darüber ermessensfehlerfrei entscheiden müssen. Das Verfahren wurde insoweit zurückverwiesen.
Was Unternehmen aus der Entscheidung mitnehmen sollten
Die Entscheidung liefert eine wichtige Orientierung für die Praxis:
- E-Mail bleibt zulässig: Transportverschlüsselung kann ein angemessenes Schutzniveau darstellen
- Keine pauschalen Anforderungen: Ende-zu-Ende-Verschlüsselung ist kein genereller Standard
- Risikobewertung ist entscheidend: Art und Sensibilität der Daten bestimmen die Maßnahmen
- Fristen ernst nehmen: Auskunftsansprüche nach Art. 15 DSGVO sind strikt zu beachten
Gerade der letzte Punkt zeigt, wo in der Praxis häufig Risiken liegen – nicht bei der Technik, sondern bei der Organisation.
Fazit: Kein Technik-Maximalismus, aber klare Pflichten
Das Urteil fügt sich in die Linie einer risikoorientierten Auslegung der DSGVO ein. Es erteilt pauschalen Forderungen nach maximaler Verschlüsselung eine Absage – ohne die Anforderungen an den Datenschutz insgesamt zu relativieren.
Für Unternehmen bedeutet das:
Nicht jede Datenübertragung muss „hochgerüstet“ werden. Aber jede muss begründet sicher sein.