Fazit/Kurzzusammenfassung:
Das VG Düsseldorf entscheidet, dass die Übermittlung von Namen und Firma eines Unfallgeschädigten per E-Mail durch den Versicherungsnehmer (VN) an seinen Kfz-Haftpflichtversicherer oder Versicherungsvertreter (VV) datenschutzkonform ist, da die Transportverschlüsselung (TLS) ein angemessenes Schutzniveau nach Art. 32 DSGVO bietet. Ein Verstoß gegen die DSGVO liegt nicht vor, da die Daten (Name/Firma) nicht sensibel sind und kein hohes Risiko für die betroffene Person besteht.
a) Wer will was von wem woraus?
Der Landesbeauftragte für Datenschutz verlangte vom VN (Busunternehmen) und dessen Versicherer/VV, die Übermittlung personenbezogener Daten (Name/Firma des Unfallgeschädigten) per E-Mail nur mit Ende-zu-Ende-Verschlüsselung durchzuführen. Begründet wurde dies mit einem vermeintlichen Verstoß gegen die DSGVO (Art. 5 Abs. 1 lit. f, Art. 32), da Transportverschlüsselung (TLS) kein ausreichendes Schutzniveau biete.
b) Was hat das Gericht entschieden?
Das Gericht weist die Forderung des Datenschutzbeauftragten ab und stellt fest:
- Die Übermittlung per E-Mail mit Transportverschlüsselung (TLS) ist datenschutzkonform und verstößt nicht gegen Art. 5 Abs. 1 lit. f oder Art. 32 DSGVO.
- Eine Ende-zu-Ende-Verschlüsselung ist nicht zwingend erforderlich, da:
- Die übermittelten Daten (Name und Firma) nicht sensibel sind.
- Die Wahrscheinlichkeit eines Schadens (z. B. Missbrauch der Daten) äußerst gering ist, insbesondere weil:
- Die Daten ohnehin öffentlich zugänglich sind (z. B. im Internet).
- Eine Auskunftssperre nach § 51 BMG den Zugriff auf private Adressdaten verhindert.
- Kein Bezug zur privaten Anschrift herstellbar ist.
- Da kein hohes Risiko für die betroffene Person besteht, ist auch keine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) nötig.
- Der Datenschutzbeauftragte darf keine Maßnahmen (wie Verwarnungen oder Anweisungen zur Ende-zu-Ende-Verschlüsselung) ergreifen, da kein Verstoß vorliegt.
c) Begründung des Gerichts:
Zulässigkeit der Datenübermittlung (Art. 6 Abs. 1 lit. f DSGVO):
- Der VN darf den Namen des Unfallgeschädigten zur Schadensabwicklung an seinen Versicherer/VV übermitteln, da dies ein berechtigtes Interesse darstellt.
Angemessenes Schutzniveau (Art. 32 DSGVO):
- Transportverschlüsselung (TLS) reicht aus, weil:
- Sie den Stand der Technik widerspiegelt und weit verbreitet ist.
- Die Daten während des Versands verschlüsselt werden (wenn auch nicht auf allen Knotenpunkten).
- Ende-zu-Ende-Verschlüsselung ist nur bei hohen Risiken (z. B. sensible Daten wie Gesundheitsinformationen) erforderlich.
- Name und Firma sind keine sensiblen Daten, selbst wenn eine Auskunftssperre im Melderegister besteht.
- Die Gefahr eines Missbrauchs (z. B. Entführung, Raub) ist nicht erhöht, da die Daten ohnehin öffentlich sind und keine private Anschrift preisgegeben wird.
Kein hohes Risiko (Art. 35 DSGVO):
- Da keine erhebliche Gefahr für die Rechte der betroffenen Person besteht, ist keine Folgenabschätzung nötig.
Keine Maßnahmen des Datenschutzbeauftragten (Art. 58 DSGVO):
- Da kein Verstoß gegen die DSGVO vorliegt, darf der Beauftragte keine Anweisungen (z. B. zur Verschlüsselung) erteilen.