Das Urteil konkretisiert die risikobasierte Prüfung nach Art. 32 DSGVO beim Versand personenbezogener Daten per E-Mail.
I. Sachverhalt
Dem Urteil des VG Düsseldorf vom 02.04.2026, Az. 29 K 7351/23, lag ein datenschutzrechtlicher Streit im Anschluss an einen Verkehrsunfall zugrunde. Der Kläger war mit seinem Pkw in einen Unfall mit einem Bus verwickelt. Für ihn war wegen Gefahren für Leib und Leben eine Auskunftssperre im Melderegister nach § 51 BMG eingetragen. Das beteiligte Busunternehmen meldete den Unfall per E-Mail an seine Kfz-Haftpflichtversicherung. Zudem leitete es ein rechtsanwaltliches Schreiben des Klägers ebenfalls per E-Mail an die Versicherung bzw. den zuständigen Versicherungsvertreter weiter.
Der Kläger sah hierin einen Datenschutzverstoß. Er machte geltend, seine personenbezogenen Daten hätten wegen seiner besonderen Gefährdungslage nur mit einer Ende-zu-Ende-Verschlüsselung elektronisch übermittelt werden dürfen. Die bloße Transportverschlüsselung genüge nicht. Außerdem verlangte er ein aufsichtsbehördliches Einschreiten, insbesondere eine Beschränkung bzw. Anweisung dahingehend, dass das Busunternehmen in der Unfallsache nur noch Ende-zu-Ende-verschlüsselt kommunizieren dürfe. Hilfsweise begehrte er eine Verwarnung sowie die Verhängung einer Geldbuße.
Die Datenschutzaufsichtsbehörde sah dagegen keinen Verstoß gegen die DSGVO. Sie ging davon aus, dass bei Verarbeitungssituationen mit normalen Risiken eine Transportverschlüsselung ausreiche. Ein erhöhtes Risiko sei im konkreten Fall nicht erkennbar, zumal aus den E-Mails kein Bezug zur privaten Anschrift des Klägers hergestellt werden könne.
II. Verfahrensgang und Tenor
Das VG Düsseldorf gab der Klage nur in einem Nebenpunkt statt. Die Aufsichtsbehörde muss die Beschwerde neu bescheiden, soweit es um eine verspätete Auskunftserteilung nach Art. 15 DSGVO ging. Hinsichtlich des zentralen Begehrens, nämlich der geltend gemachten Pflicht zur Ende-zu-Ende-Verschlüsselung und der hieran anknüpfenden aufsichtsrechtlichen Maßnahmen, wies das Gericht die Klage ab.
Eine Verpflichtung der Aufsichtsbehörde, gegenüber dem Busunternehmen eine Beschränkung, Anweisung, Verwarnung oder Geldbuße zu erlassen, bestand nach Auffassung des Gerichts nicht. Denn ein Datenschutzverstoß lag insoweit nicht vor.
III. Entscheidungsgründe
Das VG Düsseldorf stellte zunächst klar, dass die Übermittlung der personenbezogenen Daten an die Haftpflichtversicherung dem Grunde nach zulässig war. Die Busunternehmung durfte als Versicherungsnehmerin den Namen des Klägers als Unfallgeschädigten zum Zweck der Schadensabwicklung an ihre Versicherung weitergeben. Rechtsgrundlage war Art. 6 Abs. 1 Satz 1 lit. f DSGVO.
Auch die Art der Übermittlung per E-Mail verstieß nach Auffassung des Gerichts nicht gegen Art. 5 Abs. 1 lit. f DSGVO und Art. 32 DSGVO. Maßgeblich sei, dass Art. 32 DSGVO kein starres technisches Mindestprogramm vorschreibt, sondern ein dem Risiko angemessenes Schutzniveau verlangt. Zu berücksichtigen seien insbesondere Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung, die Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten der betroffenen Person.
Die Kammer ging davon aus, dass die beteiligten E-Mail-Anbieter beim Versand eine Transportverschlüsselung, etwa über TLS, einsetzten. Zwar erkannte das Gericht die Grenzen dieser Technik ausdrücklich an: Anders als bei einer Ende-zu-Ende-Verschlüsselung werde nicht die E-Mail selbst durchgehend verschlüsselt; vielmehr könne sie an bestimmten Knotenpunkten oder bei beteiligten E-Mail-Anbietern im Klartext vorliegen. Daraus folge aber nicht automatisch, dass die Transportverschlüsselung unzureichend sei.
Entscheidend war für das Gericht die konkrete Risikobewertung. Übermittelt worden seien im Wesentlichen der Name des Klägers und Angaben zum Verkehrsunfall. Diese Informationen seien nicht besonders sensibel. Auch die melderechtliche Auskunftssperre ändere daran im konkreten Fall nichts. Der Name des Klägers sei nicht geheim, sondern im Internet frei zugänglich. Die Auskunftssperre verhindere gerade, dass Dritte Zugang zu den Meldedaten, insbesondere zur privaten Anschrift, erhalten. Ein solcher Bezug zur privaten Anschrift sei durch die streitgegenständlichen E-Mails nicht hergestellt worden.
Vor diesem Hintergrund sah das Gericht kein erhöhtes Risiko, das eine Ende-zu-Ende-Verschlüsselung erforderlich gemacht hätte. Die vom Kläger angenommene Gefahr, Dritte könnten ihn aufgrund seiner beruflichen Tätigkeit entführen oder berauben, habe sich durch die bloße Nennung seines Namens in den E-Mails nicht erhöht. Da kein hohes Risiko für die Rechte und Freiheiten des Klägers bestand, war auch keine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Ebenso fehlte es an einem meldepflichtigen Datenschutzverstoß nach Art. 33 DSGVO.
IV. Einordnung in die übrige Rechtsprechung
Die Entscheidung des VG Düsseldorf fügt sich in eine inzwischen erkennbar gefestigte verwaltungsgerichtliche Linie ein: Art. 32 DSGVO begründet keine generelle Pflicht zur Ende-zu-Ende-Verschlüsselung beim E-Mail-Versand personenbezogener Daten. Maßgeblich bleibt vielmehr eine einzelfallbezogene Risikobewertung.
Zuvor hatte bereits das VG Mainz, Urteil vom 17.12.2020, Az. 1 K 778/19.MZ, entschieden, dass eine obligatorische Transportverschlüsselung grundsätzlich auch bei Berufsgeheimnisträgern, etwa Rechtsanwälten, ein angemessenes Schutzniveau darstellen kann, solange keine besonderen Anhaltspunkte für einen erhöhten Schutzbedarf bestehen. Das Gericht betonte schon damals, dass weder der Umstand einer mandatsbezogenen Kommunikation noch die Eigenschaft als Berufsgeheimnisträger automatisch eine Ende-zu-Ende-Verschlüsselung erforderlich machen.
In dieselbe Richtung geht der Beschluss des OVG NRW vom 20.02.2025, Az. 16 B 288/23. Auch dort verlangte der Antragsteller, dass eine Behörde personenbezogene Daten nur Ende-zu-Ende-verschlüsselt übermitteln dürfe. Das OVG lehnte dies ab. Art. 32 DSGVO verlange geeignete technische und organisatorische Maßnahmen, enthalte aber keine spezifische Vorgabe, dass gerade Ende-zu-Ende-Verschlüsselung eingesetzt werden müsse. Ohne glaubhaft gemachtes besonderes Risiko lasse sich eine solche Pflicht nicht herleiten.
Das Urteil des OLG Schleswig vom 18.12.2024, Az. 12 U 9/24, steht hierzu nur auf den ersten Blick im Widerspruch. Dort ging es um eine manipulierte Schlussrechnung im B2C-Bereich und ein erhebliches finanzielles Risiko von rund 15.000 Euro. Das OLG hielt in dieser besonderen Konstellation eine bloße Transportverschlüsselung für unzureichend und sah Ende-zu-Ende-Verschlüsselung als „Mittel der Wahl“ an. Diese Entscheidung ist daher nicht so sehr als allgemeiner Gegenentwurf, sondern vielmehr als Sonderfall einer erhöhten Risikolage zu verstehen, bei der nicht nur Vertraulichkeit, sondern auch Integrität und Manipulationsschutz einer zahlungsauslösenden Rechnung im Mittelpunkt standen.
Für die Praxis bestätigt das VG Düsseldorf: Verantwortliche müssen den E-Mail-Versand nicht schematisch auf Ende-zu-Ende-Verschlüsselung umstellen. Bei normalen personenbezogenen Daten und normalem Risiko kann Transportverschlüsselung weiterhin ausreichen. Anders kann es aber sein, wenn besondere Kategorien personenbezogener Daten, Berufsgeheimnisse mit konkret erhöhtem Schutzbedarf, erhebliche finanzielle Risiken, Manipulationsgefahren oder sonstige besondere Umstände hinzutreten. Entscheidend bleibt eine nachvollziehbare, dokumentierte Risikoabwägung nach Art. 32 DSGVO.
Dr. Harald Schneider
Rechtsanwalt
Fachanwalt für IT-Recht
