Inhaltsverzeichnis:
Die DSGVO bildet seit Mai 2018 die in Europa verbindliche Rechtsgrundlage zur Verarbeitung personenbezogener Daten. Die Verordnung enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Neben der Frage der grundsätzlichen Rechtmäßigkeit der Verarbeitung personenbezogener Daten sind im eigentlichen Verarbeitungsprozess geeignete technische und organisatorische Maßnahmen (TOM) umzusetzen. Ein wesentliches Element bildet hierbei die Verschlüsselung personenbezogener Daten.
In einem Urteil hat das VG Düsseldorf zur Verschlüsselung personenbezogener Daten im Rahmen des E-Mail Versands Stellung genommen.
Rechtsrahmen gem. DSGVO
Die DSGVO gilt für den gesamten Verarbeitungsprozess personenbezogener Daten, beginnend mit der Ersterhebung bis zur finalen Löschung. Die Sicherheit der Verarbeitung personenbezogener Daten muss über den gesamten Verarbeitungszyklus hinweg gewährleistet sein. Im Artikel 32 DSGVO (Sicherheit der Verarbeitung) werden die wesentlichen Anforderungen in dieser Verordnung definiert.
Im Artikel 32 Abs. 1 Buchstabe a) wird als Maßnahmeempfehlung des Gesetzgebers die Pseudonymisierung und Verschlüsselung aufgeführt. Die Verschlüsselung bezieht sich hier allgemein auf die Verarbeitungsprozesse, sie gilt somit auch beim Versand personenbezogener Daten per E-Mail. Hierbei wurde in der Vergangenheit oftmals die Meinung vertreten, dass zwingend eine Ende-zu-Ende Verschlüsselung einzusetzen ist.
Rechtsprechung des VG Düsseldorf
Wir haben die wesentlichsten Aspekte des Urteils für Sie zusammengefasst:
Das VG Düsseldorf (Urt. v. 02.04.2026 – 29 K 7351/23) bestätigt: Für die Übermittlung personenbezogener Daten per E Mail genügt regelmäßig eine aktuelle Transportverschlüsselung (TLS). Eine Ende zu Ende Verschlüsselung ist nicht zwingend erforderlich, sofern keine besonderen Risiken oder außergewöhnlich schutzwürdigen Daten vorliegen.
Bedeutung des Urteils für Datenschutzbeauftragte
Das Urteil ist für betriebliche und behördliche Datenschutzbeauftragte relevant, weil es die praktische Auslegung von Art. 32 DSGVO konkretisiert – insbesondere die Frage, welches Schutzniveau beim Versand personenbezogener Daten per E-Mail erforderlich ist.
Das Gericht stellt klar:
Transportverschlüsselung (TLS) ist ein angemessenes Sicherheitsniveau nach Art. 32 DSGVO.
Eine Pflicht zur Ende zu Ende Verschlüsselung besteht nicht automatisch.
Maßgeblich ist eine Risikoabwägung, die die Art der Daten, die Bedrohungslage und die technischen Möglichkeiten berücksichtigt.
Aufsichtsbehörden dürfen nicht pauschal strengere Maßnahmen verlangen, sondern müssen konkret begründen, warum im Einzelfall höhere Anforderungen gelten sollen.
Hintergrund des Falls
Der Kläger verfügte über eine Melderegister-Sperre nach § 51 BMG, da für ihn eine Gefährdungslage bestand. Trotzdem übermittelte ein Busunternehmen seine personenbezogenen Daten (Name, Anschrift) per E-Mail an die Haftpflichtversicherung. Der Kläger sah darin einen Verstoß gegen die DSGVO und verlangte ein aufsichtsrechtliches Einschreiten.
Das Gericht entschied:
- Die Aufsichtsbehörde muss den Fall teilweise neu bescheiden, weil die Auskunft nach Art. 15 DSGVO nicht fristgerecht erteilt wurde.
- Im Übrigen wurde die Klage abgewiesen – insbesondere hinsichtlich der Frage, ob die E-Mail-Übermittlung datenschutzwidrig war.
- Die Transportverschlüsselung des Unternehmens wurde als ausreichend bewertet.
Datenschutz Seminare für Einsteiger und Fortgeschrittene
Die Datenschutzexperten der KEDUA GmbH bietet für Einsteiger und Fortgeschrittene entsprechende Datenschutzseminare an.
Nicht nur gesetzliche Richtlinien, sondern auch umfangreiche branchen- und bereichsspezifische Informationen gilt es beim Thema Datenschutz zu kennen. Vom Grundlagenseminar bis hin zum tief greifenden Aufbauseminar ermöglichen wir Ihnen zahlreiches Datenschutz-Wissen.
Kernaussagen des Gerichts
1. Transportverschlüsselung reicht aus
Das Gericht folgt der Linie mehrerer Verwaltungsgerichte und Aufsichtsbehörden: TLS ist heute Stand der Technik und erfüllt die Anforderungen des Art. 32 DSGVO, sofern keine besonderen Risiken bestehen
2. Keine generelle Pflicht zur Ende zu Ende Verschlüsselung
Eine E2E-Verschlüsselung kann sinnvoll sein, ist aber nur bei besonders sensiblen Daten oder besonderen Bedrohungslagen zwingend.
3. Risikoorientierter Ansatz
Die DSGVO verlangt keine absolute Sicherheit, sondern ein angemessenes Schutzniveau. Das Gericht betont die Verhältnismäßigkeit:
- Art der Daten
- mögliche Folgen eines Datenabflusses
- technische und organisatorische Möglichkeiten
- wirtschaftliche Zumutbarkeit
4. Aufsichtsbehörden müssen konkret begründen
Ein pauschaler Hinweis „E2E-Verschlüsselung ist erforderlich“ reicht nicht. Es braucht eine Einzelfallprüfung.
Handlungsempfehlungen für die Praxis
- TLS als Standard: Stellen Sie sicher, dass Ihr E-Mail-System aktuelle TLS-Versionen nutzt und korrekt konfiguriert ist. → TLS-Konfiguration prüfen
- Risikobewertung dokumentieren: Führen Sie eine kurze Risikoanalyse durch, wenn personenbezogene Daten per E-Mail versendet werden. → Risikoanalyse erstellen
- Besondere Daten gesondert schützen: Bei Gesundheitsdaten, Daten mit Gefährdungspotenzial oder besonders sensiblen Informationen kann E2E-Verschlüsselung sinnvoll oder notwendig sein. → E2E-Verschlüsselung bewerten
- Kommunikation mit Aufsichtsbehörden: Verweisen Sie bei pauschalen Forderungen auf die Rechtsprechung und verlangen Sie eine konkrete Begründung.
- Schulung der Mitarbeiter: Vermitteln Sie, wann E-Mail geeignet ist – und wann nicht.
Fazit
Das Urteil des VG Düsseldorf bringt Rechtssicherheit: Für die meisten E-Mail-Kommunikationen reicht Transportverschlüsselung aus. Datenschutzbeauftragte können sich auf eine risikobasierte, pragmatische Auslegung stützen – ohne pauschal auf komplexe Ende zu Ende Lösungen ausweichen zu müssen.
Link zum Urteil
Das komplette Urteil finden Sie unter dem folgenden Link:
https://nrwe.justiz.nrw.de/ovgs/vg_duesseldorf/j2026/29_K_7351_23_Urteil_20260402.html
Sie haben weitere Fragen oder benötigen Hilfe?
Unsere Datenschutz-Experten unterstützen Sie, geben Hilfestellung und bieten maßgeschneiderte, individuelle Lösungen für Ihr Unternehmen. Wir kümmern uns um Ihren Datenschutz – von der einfachen Beratung, bis hin zur Erstellung eines Datenschutz-Managementkonzeptes.
FAQ
Grundsätzlich ja. Der Art. 32 der DSGVO (Sicherheit der Verarbeitung) schreibt grundsätzlich eine Verschlüsselung bei der Verarbeitung personenbezogener Daten vor.
Der Gesetzgeber schreibt eine Ende-zu-Ende Verschlüsselung beim Versand personenbezogener Daten nicht explizit vor. Bisher wurde jedoch, insbesondere seitens der Aufsichtsbehörden, die Ende-zu-Ende Verschlüsselung als zwingend erforderlich betrachtet. Mit dem Urteil 29 K 7351/23 vom 02.04.26 stellte das Verwaltungsgericht Düsseldorf fest, dass bei einem geringen Risiko eine Transportverschlüsselung durchaus ausreichend sein kann.
Das Verwaltungsgericht Düsseldorf folgte hier dem risikobasierten Ansatz. Sofern die Übermittlung mit einem geringen Risiko für die betroffene Person verbunden ist, genügt eine Transportverschlüsselung. Das Gericht folgte hier den Vorgaben der DSGVO, wonach die zu treffenden technischen und organisatorischen Maßnahmen unter anderem im Verhältnis zum Risiko für die Rechte und Freiheiten der betroffenen Personen stehen soll.