Zu diesem Dokument sind in EVERS.OK redaktionell aufbereitete Leitsätze hinterlegt. Ergänzt werden diese durch weiterführende Rechtsprechungs- und Literaturverweise sowie Kommentierungen und Praxishinweise.
Jeder Leitsatz enthält zudem eine KI-generierte Liste mit Leitsätzen vergleichbarer Regelungsgehalte anderer Entscheidungen. Diese können bei der Recherche, der Einordnung verwandter Entscheidungen sowie in „Meine Akten“ weiterverwendet werden.
Für den Zugriff ist eine Anmeldung mit einem entsprechenden Zugang erforderlich.
Fazit/Kurzzusammenfassung: Das VG Düsseldorf entscheidet, dass die Übermittlung von Namen und Firma eines Unfallgeschädigten per E-Mail durch den Versicherungsnehmer (VN) an seinen Kfz-Haftpflichtversicherer oder Versicherungsvertreter (VV) datenschutzkonform ist, da die Transportverschlüsselung (TLS) ein angemessenes Schutzniveau nach Art. 32 DSGVO bietet. Ein Verstoß gegen die DSGVO liegt nicht vor, da die Daten (Name/Firma) nicht sensibel sind und kein hohes Risiko für die betroffene Person besteht.
a) Wer will was von wem woraus? Der Landesbeauftragte für Datenschutz verlangte vom VN (Busunternehmen) und dessen Versicherer/VV, die Übermittlung personenbezogener Daten (Name/Firma des Unfallgeschädigten) per E-Mail nur mit Ende-zu-Ende-Verschlüsselung durchzuführen. Begründet wurde dies mit einem vermeintlichen Verstoß gegen die DSGVO (Art. 5 Abs. 1 lit. f, Art. 32), da Transportverschlüsselung (TLS) kein ausreichendes Schutzniveau biete.
b) Was hat das Gericht entschieden? Das Gericht weist die Forderung des Datenschutzbeauftragten ab und stellt fest:
- Die Übermittlung per E-Mail mit Transportverschlüsselung (TLS) ist datenschutzkonform und verstößt nicht gegen Art. 5 Abs. 1 lit. f oder Art. 32 DSGVO.
- Eine Ende-zu-Ende-Verschlüsselung ist nicht zwingend erforderlich, da:
- Die übermittelten Daten (Name und Firma) nicht sensibel sind.
- Die Wahrscheinlichkeit eines Schadens (z. B. Missbrauch der Daten) äußerst gering ist, insbesondere weil:
- Die Daten ohnehin öffentlich zugänglich sind (z. B. im Internet).
- Eine Auskunftssperre nach § 51 BMG den Zugriff auf private Adressdaten verhindert.
- Kein Bezug zur privaten Anschrift herstellbar ist.
- Da kein hohes Risiko für die betroffene Person besteht, ist auch keine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) nötig.
- Der Datenschutzbeauftragte darf keine Maßnahmen (wie Verwarnungen oder Anweisungen zur Ende-zu-Ende-Verschlüsselung) ergreifen, da kein Verstoß vorliegt.
c) Begründung des Gerichts:
Zulässigkeit der Datenübermittlung (Art. 6 Abs. 1 lit. f DSGVO):
- Der VN darf den Namen des Unfallgeschädigten zur Schadensabwicklung an seinen Versicherer/VV übermitteln, da dies ein berechtigtes Interesse darstellt.
Angemessenes Schutzniveau (Art. 32 DSGVO):
- Transportverschlüsselung (TLS) reicht aus, weil:
- Sie den Stand der Technik widerspiegelt und weit verbreitet ist.
- Die Daten während des Versands verschlüsselt werden (wenn auch nicht auf allen Knotenpunkten).
- Ende-zu-Ende-Verschlüsselung ist nur bei hohen Risiken (z. B. sensible Daten wie Gesundheitsinformationen) erforderlich.
- Name und Firma sind keine sensiblen Daten, selbst wenn eine Auskunftssperre im Melderegister besteht.
- Die Gefahr eines Missbrauchs (z. B. Entführung, Raub) ist nicht erhöht, da die Daten ohnehin öffentlich sind und keine private Anschrift preisgegeben wird.
Kein hohes Risiko (Art. 35 DSGVO):
- Da keine erhebliche Gefahr für die Rechte der betroffenen Person besteht, ist keine Folgenabschätzung nötig.
Keine Maßnahmen des Datenschutzbeauftragten (Art. 58 DSGVO):
- Da kein Verstoß gegen die DSGVO vorliegt, darf der Beauftragte keine Anweisungen (z. B. zur Verschlüsselung) erteilen.