Personenbezogene Daten dürfen nicht per Fax versandt werden

Faxgeräte sind vom Aussterben bedroht und das zu Recht. Denn einerseits stehen technisch einfacher zu handhabende Lösungen parat und andererseits ist so ein Fax datenschutzrechtlich problematisch. Immerhin werden Faxe in der Regel unverschlüsselt versandt. Ein Beschluss des Oberverwaltungsgerichts (OVG) Lüneburg sollte Versicherungsvermittler aufhorchen lassen, die immer noch ein Faxgerät nutzen. Zwar ging es im Verfahren um eine Behörde, die sensible Informationen per Fax versandte, aber die Entscheidung könnte auch für andere Professionen richtungsweisend sein.

Sprengstoffhändler kommuniziert mit Behörde

Ein Händler für Sprengstoffe befand sich im Austausch mit einer Behörde, um den Transport von Sprengstofflieferungen abzuklären. Die Behörde war zuständig für die Genehmigung und Verlängerung von Sperrvermerken für die Lkws, mit denen die Sprengstofflieferungen durchgeführt wurden.

Unverschlüsseltes Fax trotz Widerspruch erhalten

Ab 2015 hatte der Händler nachweislich der Übersendung von Faxen mit unverschlüsselten Daten widersprochen. Im Zuge dessen hatte er auch auf die Gefahr hingewiesen, die entstünde, sobald Kriminelle von den konkreten Sprengstofflieferungen erfahren würden. Doch im Jahre 2017 erhielt der Anwalt des Händlers einen Bescheid per Fax, der nicht nur vereinzelte sensible Informationen enthielt, sondern neben persönlichen Angaben über den Inhaber sogar die Identifikationsnummern der Fahrzeuge auswies, die für den Transport des Sprengstoffs herangezogen wurden.

Behörde ist Wiederholungstäter

Der Händler wollte das seiner Ansicht nach unverantwortliche Vorgehen der Behörde unterbinden und klagte gegen sie vor dem Verwaltungsgericht (VG) Osnabrück. Das VG gab dem Händler Recht. Auch das VG selbst und das höherinstanzliche OVG Lüneburg hatten von der Behörde bereits ähnliche Faxe erhalten. Aus Sicht des Gerichts bestand dementsprechend Wiederholungsgefahr.

OVG lässt Berufung nicht zu

Die Behörde beabsichtigte gegen die Entscheidung vorzugehen, doch das OVG Lüneburg ließ die Berufung mit dem vorliegenden Beschluss nicht zu. Das Gericht war der Meinung, dass die Behörde das von ihr einzuhaltende Schutzniveau nicht erfüllt habe. Der Datenschutzbeauftragte des Landes Nordrhein-Westfalen habe den Faxversand mit dem Versand einer offenen Postkarte verglichen. Die Daten werden per Fax unverschlüsselt übermittelt und könnten abgegriffen werden. Des Weiteren besteht die Gefahr, sensible Daten versehentlich an eine falsche Nummer zu senden.

Sind sicherere Methoden verfügbar?

Grundsätzlich ginge es laut OVG bei der Beurteilung, ob etwaige Sicherungsvorkehrungen ausreichend seien, darum, ob sicherere Methoden zur Informationsübermittlung verfügbar seien. Das war unter den konkreten Umständen zweifellos der Fall. Immerhin lag die Kanzlei des adressierten Anwalts lediglich 150 Meter von der Behörde entfernt und war somit beispielsweise für Boten schnell erreichbar. Auch die Zuhilfenahme von Verschlüsselungstechnik hätte das Gericht als ausreichende Absicherung gelten lassen.

Auswirkungen umstritten

Inwiefern die Entscheidung auch Einfluss auf andere Berufsgruppen hat, wird aktuell sowohl in Fachkreisen als auch von interessierten Laien diskutiert. Das Gericht hatte in seiner Beschlussbegründung festgeschrieben, dass bei der Übermittlung von personenbezogenen Daten Sicherungsvorkehrungen zu treffen sind. Diese variierten je nach Schutzniveau der Information. Das Gericht schreibt dazu: „Welches Schutzniveau dabei einzuhalten ist, richtet sich nach der Sensibilität und Bedeutung der zu übermittelnden Daten, den potentiellen Gefahren bei der Faxübermittlung, dem Grad der Schutzbedürftigkeit des Betroffenen und dem mit den Sicherungsmaßnahmen verbundenen Aufwand.“

Unter Umständen übertragbar

Wenngleich sich die Entscheidung des Gerichts nur auf die Datenschutzpflichten von Behörden bezieht, legt die Argumentation des Gerichts mit dem Grundrecht auf informationelle Selbstbestimmung nahe, dass auch andere Institutionen, an ähnliche Vorgaben gebunden sein könnten. Zumindest bei denjenigen Einrichtungen, die mit sensiblen personenbezogenen Daten arbeiten, wie Kanzleien, Arztpraxen und auch Vermittlerbüros, liegt dieser Schluss immerhin nahe. (tku)

OVG Lüneburg, Beschluss vom 22.07.2020, Az.: 11 LA 104/19