Faxgerät-Nutzung kann Verstoß gegen die DSGVO bedeuten

Bereits im August 2020 hatte das Oberverwaltungsgericht Lüneburg (OVG) hervorgehoben, dass das Verschicken von personenbezogenen Daten nicht unverschlüsselt erfolgen darf: und damit auch nicht nach dem heutigen Fax-Standard (Az.: 11 LA 104/19). Dem lassen nun die Behörden der Freien Hansestadt Bremen Taten folgen. Sie verbietet, für das Versenden personenbezogener Daten Telefax zu verwenden, denn das sei ein Verstoß gegen die Datenschutzgrundverordnung (DSGVO).

Digitalisierung: Faxe nun unverschlüsselt

Dass Bremen Faxe für personenbezogene Daten verboten hat, ist ausgerechnet eine Folge der Digitalisierung. Diese nämlich macht auch vor dem Faxgerät nicht Halt. Bisher wurden beim Versand von Faxen exklusive Ende-zu-Ende-Telefonleitungen genutzt. Das aber ist vorbei. Nun werden keine exklusiven Leitungen mehr genutzt, sondern die Daten paketweise in Netzen transportiert werden, die auf Internet-Technologie beruhen.

Das hat Auswirkungen auf die Datensicherheit. War entsprechend der „alten“ Technik auf Seiten des Empfängers ein reales Faxgerät vorhanden, werden nun ausgehende Faxe automatisch in Emails umgewandelt und in Postfächer weitergeleitet. „Aufgrund dieser Umstände hat ein Fax hinsichtlich der Vertraulichkeit das gleiche Sicherheitsniveau wie eine unverschlüsselte E-Mail (welche oftmals mit der offen einsehbaren Postkarte verglichen wird)“, berichtet Imke Sommer, die Datenschutzbeauftragte des Landes Bremen. Das bedeutet: Vertraulichkeit ist nicht garantiert, es wird gegen Datenschutz verstoßen. Die neue Faxtechnik ist nicht dazu geeignet, sensible Daten auszutauschen.

“Für den Versand personenbezogener Daten müssen daher alternative, sichere und damit geeignete Verfahren, wie etwa Ende-zu-Ende verschlüsselte E-Mails oder – im Zweifel – auch die herkömmliche Post genutzt werden“, schreibt Sommer auf der Webseite des Bremer Datenschutzes.

Auch Gesundheits- und biometrische Daten betroffen

Das betreffe besonders Daten, die in Artikel 9, Absatz 1 der DSGVO aufgeführt seien, berichtet die Bremer Behörde weiter. Hier sollten auch Versicherer sowie Vermittler hellhörig werden. Das Faxverbot gilt folglich nicht nur für personenbezogene Daten, aus denen laut Gesetz „die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit“ hervorgehen. Sondern auch „genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person“.

Nach dieser Interpretation wäre es folglich auch heikel, zum Beispiel Anträge für Berufsunfähigkeits-Policen oder Gesundheitsdaten für private Krankenversicherungen per Fax zu verschicken. Schließlich haben Informationen nichts in der Öffentlichkeit zu suchen, ob eine Person zum Beispiel in psychologischer Behandlung ist, eine seltene Erbkrankheit hat oder einen Gelenkschaden: Informationen, die im Zweifel Job und Karriere gefährden.

Schutzniveau verletzt

Hier lohnt nochmal ein Blick auf das Urteil des Oberverwaltungsgerichtes Lüneburg. Es hatte einer Behörde untersagt, einem Händler Genehmigungen für Sprengstoff-Transporte per Telefax zu erteilen: Dies verletze sein Schutzniveau. Welches Schutzniveau bei Informationen einzuhalten sei, „richtet sich nach der Sensibilität und Bedeutung der zu übermittelnden Daten, den potentiellen Gefahren bei der Faxübermittlung, dem Grad der Schutzbedürftigkeit des Betroffenen und dem mit den Sicherungsmaßnahmen verbundenen Aufwand“, heißt es in der Urteilsbegründung.

Bereits nach dem Lüneburger Urteil empfahl Fachjuristin Anne Dopheide von der Leipziger Invers GmbH, dass Versicherungsmaklerinnen und -makler ihre Nutzung des Faxgerätes überprüfen. "Auch wenn man unserer Auffassung nach nicht von einem generellen Verbot sprechen kann, so sollte doch stets eine gehörige Portion Vorsicht bei der Benutzung von Faxgeräten mitschwingen. Mithin haben sensible persönliche Daten auf einem Fax nichts zu suchen", sagte die Juristin dem Versicherungsboten. Das Verbot der Bremer Behörden ist ein weiterer Hinweis, dass hier mit ernsten Folgen gerechnet werden muss.