Skip to content

OVG Lüneburg: Behörde muss bei Übermittlung personenbezogener Daten per Fax zur Gewährleistung des Grundrechts auf informationelle Selbstbestimmung Sicherungsvorkehrungen treffen

OVG Lüneburg
Beschluss vom 22.07.2020
11 LA 104/19


Das OVG Lüneburg hat entschieden, dass eine Behörde bei Übermittlung personenbezogener Daten per Fax zur Gewährleistung des Grundrechts auf informationelle Selbstbestimmung des Betroffenen Sicherungsvorkehrungen treffen muss.

Leitsätze des Gerichts:

1. Ob die Übermittlung eines Bescheides, der personenbezogene Daten enthält, durch die Behörde per Fax rechtswidrig war, kann im Wege einer Feststellungsklage bei Vorliegen eines Feststellungsinteresses zur Überprüfung gestellt werden.

2. Bei der Übermittlung von personenbezogenen Daten per Fax muss die Behörde zur Gewährleistung des Grundrechts auf informationelle Selbstbestimmung des Betroffenen Sicherungsvorkehrungen treffen. Welches Schutzniveau dabei einzuhalten ist, richtet sich nach der Sensibilität und Bedeutung der zu übermittelnden Daten, den potentiellen Gefahren bei der Faxübermittlung, dem Grad der Schutzbedürftigkeit des Betroffenen und dem mit den Sicherungsmaßnahmen verbundenen Aufwand.

Aus den Entscheidungsgründen:

"Hier liegt ein Sachverhalt vor, der einer Norm zugeordnet werden kann. Streitgegenständlich ist die von der Beklagten vorgenommene Übermittlung des Bescheides vom 3. Februar 2017 per Fax an ihren Prozessbevollmächtigten am 7. Februar 2017. Entgegen der Ansicht der Beklagten geht es dem Kläger nicht nur um die rechtliche Qualifikation des Handelns der Beklagten als rechtswidrig oder rechtmäßig - ein derartiges Begehren unterfiele als nicht feststellungsfähige Rechtsfrage nicht der Feststellungsklage im Sinne von § 43 VwGO (Bayerischer VGH, Urt. v. 9.4.2003 - 24 B 02.646 -, juris, Rn. 22, Sodan, in: Sodan/Ziekow, VwGO, 5. Aufl. 2018, § 43, Rn. 35) -, sondern um seine Rechtsposition, die durch die Weitergabe seiner personenbezogenen Daten möglicherweise berührt ist.

Der Kläger hat auch ein Feststellungsinteresse wegen Wiederholungsgefahr. Eine Wiederholungsgefahr begründet ein berechtigtes Interesse im Sinne des § 43 Abs. 1 VwGO, wenn hinreichend konkrete Anhaltspunkte dafür vorliegen, dass die beanstandete hoheitliche Maßnahme erneut vorgenommen wird (Bayerischer VGH, Urt. v. 15.2.2012 - 1 B 09.2157 -, juris, Rn. 31). Die Beklagte macht geltend, sie habe die angeordneten Übermittlungssperren zwischenzeitlich sofort vollziehbar aufgehoben. Die Übermittlungssperren könnten deshalb nicht zur Begründung eines besonders hohen Schutzniveaus herangezogen werden. Der Kläger sei auch nicht besonderen Gefahren ausgesetzt. Mit diesem Vortrag dringt die Beklagte nicht durch.

Das Verwaltungsgericht hat die Wiederholungsgefahr damit begründet, dass die Beklagte wiederholt Faxe ohne Verschlüsselung versandt habe. Hierzu verweist das Verwaltungsgericht neben der streitgegenständlichen Faxübersendung auf zwei Schreiben vom 22. Juni 2016 und 19. August 2016 in gerichtlichen Verfahren, die beide unverschlüsselt mit personenbezogenen Daten des Klägers an das Verwaltungsgericht bzw. an das Oberverwaltungsgericht übermittelt worden sind. Daraus schließt das erstinstanzliche Gericht zu Recht, dass auch zukünftig die beschriebene Gefahr droht.

Ob der Kläger besonderen oder erheblichen Gefahren ausgesetzt ist und deshalb bei der Übermittlung seiner personenbezogenen Daten ein bestimmtes Schutzniveau gewährleistet sein muss, ist eine Frage der Begründetheit der Klage. Zudem ist zu berücksichtigen, dass der 12. Senat des Niedersächsischen Oberverwaltungsgerichts mit Urteil vom 19. Mai - H. - ein Urteil des Verwaltungsgerichts bestätigt hat, mit dem die Beklagte verpflichtet wurde, dem Kläger für ein von ihm gehaltenes Fahrzeug eine Übermittlungssperre nach § 41 Abs. 2 StVG ohne generelle Ausnahme von Anfragen von Polizei und Bußgeldstellen und ohne Befristung auf fünf Jahre zu erteilen. Der Senat hat ausgeführt, dass § 41 Abs. 2 StVG eine glaubhaft gemachte Beeinträchtigung der schutzwürdigen Interessen des Betroffenen durch die Übermittlung der Halterdaten voraussetze. Der Kläger habe glaubhaft gemacht, dass er berufsbedingt allgemein einem deutlich höheren Angriffsrisiko ausgesetzt sei, und zwar zur Ermöglichung eines illegalen Zugriffes auf „seine“ Sprengstoffe. Der Umgang des Klägers mit riskanten und gerade für militante Straftäter nützlichen, daher von ihnen begehrten Produkten, wie Sprengstoffen, führe zu einer gegenüber einem durchschnittlichen Fahrzeughalter deutlich erhöhten Wahrscheinlichkeit der Beeinträchtigung seiner Rechte. Dies gelte insbesondere für das Risiko, Opfer einer Straftat zu werden.

Soweit das Verwaltungsgericht das Feststellungsinteresse des Klägers auch wegen der Möglichkeit bejaht hat, durch die unverschlüsselte Faxübermittlung, ein Ereignis, das auf eine Zeitspanne beschränkt ist, in der Rechtsschutz kaum erlangt werden kann, tiefgreifend in einem Grundrecht verletzt worden zu sein, wird diese Annahme von der Beklagten mit der Zulassungsbegründung nicht in Frage gestellt.

Die Beklagte hat in ihren Ausführungen zur Begründetheit der Klage nicht dargelegt, dass die Auffassung des Verwaltungsgerichts, die Faxübermittlung am 7. Februar 2017 sei rechtswidrig und verletze den Kläger in seinen Rechten, ernstlichen Zweifeln unterliegt.

Der Kläger kann sich darauf berufen, dass die Beklagte zur Gewährleistung seines Grundrechts auf informationelle Selbstbestimmung bei der Übermittlung von personenbezogenen Daten Schutzvorkehrungen trifft, damit seine personenbezogenen Daten nicht unbefugt an Dritte gelangen. Das in Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 GG wurzelnde Grundrecht auf informationelle Selbstbestimmung verpflichtet den Gesetzgeber, für notwendige Sicherungsvorkehrungen Sorge zu tragen (BVerfG, Urt. v. 15.12.1983 - 1 BvR 209/83 u.a. -, BVerfGE 65, 1, juris, Rn. 191, „Volkszählungsurteil“). Insbesondere sind die betroffenen Daten vor unbefugtem Zugriff Dritter und vor missbräuchlicher Nutzung zu schützen (Senatsurt. v. 14.1.2020 - 11 LC 191/17 -, juris, Rn. 49). Der niedersächsische Gesetzgeber hat hierzu in § 7 Abs. 1 des Niedersächsischen Datenschutzgesetzes vom 29. Januar 2002 (Nds. GVBl. 2002, 22, i.d. Änderungsfassung v. 12.12.2012, Nds. GVBl. 2012, 589 - NDSG a.F. -) geregelt, dass öffentliche Stellen die technischen und organisatorischen Maßnahmen zu treffen haben, um eine den Vorschriften dieses Gesetzes entsprechende Verarbeitung personenbezogener Daten sicherzustellen (Satz 1). Der Aufwand für die Maßnahmen muss unter Berücksichtigung des Standes der Technik in einem angemessenen Verhältnis zu dem angestrebten Zweck stehen (Satz 2). Diese Gestaltungsregeln richten sich an die Beklagte als öffentliche Stelle (§ 2 Abs. 1 Satz 1 Nr. 2 NDSG a.F.) und beziehen sich auch auf die Übermittlung von personenbezogenen Daten. § 7 Abs. 2 NDSG a.F. regelt elf Kontrollmaßnahmen bei der automatisierten Verarbeitung von personenbezogenen Daten. Nach § 7 Abs. 2 NDSG a.F. sind Maßnahmen zu treffen, die je nach Art der Daten und ihrer Verwendung geeignet sind, nach Nr. 10 zu gewährleisten, dass bei der Übertragung von Daten sowie beim Transport von Datenträgern diese nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können (Transportkontrolle), und nach Nr. 11 die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird (Organisationskontrolle). Der Umfang der Kontrolle ist über eine Abwägung zwischen der Sensibilität und Bedeutung der Daten, den potentiellen Gefahren, dem Grad der Schutzbedürftigkeit und dem mit den Sicherungsmaßnahmen verbundenen Aufwand zu bestimmen (Der Landesbeauftragte für den Datenschutz Niedersachsen, Erläuterungen zur Anwendung des NDSG, 3. Aufl. 2008, § 7, zu Abs. 2). Daran gemessen hat die Beklagte mit der nicht verschlüsselten Übermittlung des nicht anonymisierten Bescheides vom 3. Februar 2017 über ein Faxgerät an ihren Prozessbevollmächtigten nicht den gebotenen Schutz gewährleistet und dadurch den Kläger in seinem Grundrecht verletzt.

Der Kläger ist besonders schutzbedürftig. Der Kläger ist erheblichen Gefahren ausgesetzt, weil er berufsbedingt mit explosionsgefährlichen Sprengstoffen umgeht. Wie bereits zur Zulässigkeit der Feststellungsklage ausgeführt, ist der Kläger dadurch einem deutlich erhöhten Angriffsrisiko durch militante Straftäter ausgesetzt, die auf von ihm vertriebene Sprengstoffe zugreifen wollen.

Die in dem übermittelten Bescheid enthaltenen personenbezogenen Daten (Name und Adresse des Klägers, Fahrzeugidentifikationsnummer und das amtliche Kennzeichen des Fahrzeugs) sind besonders sensibel. Der Senat teilt die Auffassung des 12. Senats in seinem Urteil vom 19. Mai 2020 - H. -, dass die Kenntnis dieser personenbezogenen Daten das Risiko des Klägers, Opfer einer Straftat zu werden, deutlich erhöht.

Daraus folgt, dass die Beklagte bei der Übermittlung der personenbezogenen Daten des Klägers ein angemessenes Schutzniveau gewährleisten muss. Soweit die Beklagte geltend macht, der Kläger habe in an sie gerichteten Telefaxschreiben personenbezogene Daten preisgegeben und dieser Kommunikationsform zugestimmt, überzeugt dieser Einwand nicht. Die Beklagte bezieht sich dabei auf Faxdokumente aus den Jahren 2011 und 2012 (Schreiben v. 10.2.2011 und 9.9.2012). Der Kläger hat bereits mit Schreiben vom 9. Dezember 2015 an die Beklagte der unverschlüsselten Übermittlung von personenbezogenen Daten widersprochen. Der Vortrag des Klägers, jedenfalls für den Zeitraum nach dem 9. Dezember 2015 habe er einer Übersendung per Fax nicht zugestimmt, ist unwidersprochen geblieben. Zudem hat die Beklagte dem Kläger mit Schreiben vom 25. Februar 2016 bestätigt, dass sich der Umgang mit personenbezogenen Daten in der zuständigen Abteilung nach den geltenden datenschutzrechtlichen Vorgaben richte und auf nichtverschlüsseltem elektronischem Weg personenbezogene Daten nicht übermittelt würden.

Angesichts der besonderen Schutzbedürftigkeit des Klägers und seiner personenbezogenen Daten ist bei der hier vorliegenden Verarbeitung mit Hilfe einer Datenverarbeitungsanlage ein erhöhtes Schutzniveau einzuhalten. Eine unverschlüsselte Übermittlung von personenbezogenen Daten des Klägers per Fax unterschreitet das einzuhaltende Schutzniveau. Das Verwaltungsgericht weist zu Recht darauf hin, dass bei einer Übermittlung per Fax kein Hindernis für die Wahrnehmung der Daten durch Unbefugte besteht. Diese Einschätzung des erstinstanzlichen Gerichts wird bestätigt durch Informationen des Landesbeauftragten für Datenschutz und Informationssicherheit Nordrhein-Westfalen auf seiner Internetseite (https://www.ldi.nrw.de/[...] ). Danach handelt es sich bei dem Telefaxverkehr um einen Dienst, der im Regelfall keine Datensicherheitsmaßnahmen enthält. Die Informationen werden „offen“ (unverschlüsselt) übertragen. Eine Telefaxübersendung sei deshalb mit dem Versand einer offenen Postkarte vergleichbar. Der Datenschutzbeauftragte der Beklagten kommt in seiner Auskunft an den Kläger vom 11. April 2017 zu einer vergleichbaren Bewertung. Seiner Ansicht nach dürfen sensible personenbezogene Daten nicht ohne Sicherungen (z.B. Verschlüsselungsgeräte) gefaxt werden. Er merkt an, dass sensible personenbezogene Daten bei der Beklagten ausschließlich per Post zu versenden sind. Danach bestand bei der unverschlüsselten Übermittlung des Bescheides vom 3. Februar 2017 per Fax die Gefahr der Wahrnehmung von personenbezogenen Daten des Klägers durch unbefugte Dritte.

Der vorstehend beschriebenen Gefahr hätte die Beklagte durch Sicherungsmaßnahmen bei der Übermittlung des Bescheides vom 3. Februar 2017 begegnen müssen. Solche Maßnahmen standen zur Verfügung und hätten ohne großen Aufwand eingesetzt werden können. Im vorliegenden Fall hätte die Beklagte den Bescheid per Post versenden können oder mit Hilfe eines Boten in die nur 150 Meter entfernt liegende Kanzlei ihres Prozessbevollmächtigten überbringen können. Bei der auf Ausnahmefälle beschränkten Benutzung von Telefaxgeräten für die Übermittlung sind die von dem Datenschutzbeauftragten der Beklagten angesprochenen Sicherungen (z.B. Verschlüsselungsgeräte) zu verwenden. Ob die Benutzung eines Telefaxgeräts dem Stand der Technik entspricht, ist unmaßgeblich. Entscheidungserheblich ist, ob die Sicherungsmaßnahmen verfügbar sind und dem Stand der Technik entsprechen. Davon ist hier auszugehen.

Unerheblich ist auch, dass der Bescheid per Fax nicht an einen beliebigen Dritten, sondern an den Prozessbevollmächtigten der Beklagten übersandt wurde, der wie seine Mitarbeiter der Verschwiegenheitspflicht unterliegt. Es besteht die Gefahr des Missbrauchs durch unbefugte Dritte, die sich jederzeit realisieren kann. Zudem bestehen auch Risiken außerhalb des unmittelbaren Übertragungsvorgangs, zum Beispiel durch Adressierungsfehler oder Fehlleitungen aufgrund von veralteten Anschlussnummern oder aktivierten Anrufumleitungen bzw. -weiterleitungen (vgl. hierzu die Informationen des Landesbeauftragten für Datenschutz und Informationssicherheit Nordrhein-Westfalen auf der bezeichneten Internetseite)."


Den Volltext der Entscheidung finden Sie hier: