Hessischer Datenschutzbeauftragter: Neues zum Faxgerät

Bereits im Juni dieses Jahres teilte der Bremer Datenschutzbeauftragte mit, dass der Einsatz des Telefaxes nicht datenschutzkonform möglich sei. Die Nutzung dieses technisch etwas in die Jahre gekommenen Geräts ist nichtsdestotrotz, insbesondere bei Behörden und Gerichten, ein weit verbreitetes technisches Mittel zur Versendung von Dokumenten. Mit seiner Stellungnahme vom 14.09.2021 äußerte sich nun auch der Hessische Datenschutzbeauftragte zur Nutzung des Faxgeräts und vertritt dabei sogar eine noch strengere datenschutzrechtliche Auffassung.

Voraussetzungen der Verarbeitung personenbezogener Daten

In Art. 5 Datenschutz-Grundverordnung finden sich die Grundsätze für die Verarbeitung personenbezogener Daten. Dabei heißt es unter anderem in Art. 5 Abs. 1 lit. f. DSGVO, dass personenbezogene Daten in einer Weise verarbeitet werden müssen, die eine angemessene Sicherheit für die Daten gewährleistet. Hierbei handelt es sich um den Grundsatz der Integrität und Vertraulichkeit. Dieser Grundsatz wird u.a. konkretisiert durch Art. 32 DSGVO. Danach haben der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko für die Rechte und Freiheiten natürlicher Personen angemessenes Schutzniveau gewährleisten zu können. Folglich bedarf es einer Risikoabwägung, in die neben der Eintrittswahrscheinlichkeit auch das Ausmaß der Folgen einer Verletzung des Schutzes personenbezogener Daten mit einzubeziehen ist. Das Ergebnis der Risikoabwägung wird demzufolge maßgeblich auch durch die Kategorien der verarbeiteten personenbezogenen Daten mitbestimmt.

Eines der entscheidenden Kriterien im Rahmen der Risikoabwägung ist nach Ansicht des Hessischen Datenschutzbeauftragten demnach die Sensibilität des personenbezogenen Datums:

„Je sensibler die personenbezogenen Daten sind, desto größer ist auch der Schutzbedarf, der bei der Auswahl der zu treffenden Maßnahmen zugrunde zu legen ist.“

Besonders zu schützen sind demzufolge nicht nur die besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO, sondern darüber hinaus auch solche Daten, die von Berufsgeheimnisträgern verarbeitet werden und demnach ebenfalls als sensibel einzustufen sind.

Risiken bei der Übermittlung personenbezogener Daten mittels Fax

Das Risiko bei der Übermittlung personenbezogener Daten mittels Faxgeräts ist im Wesentlichen vergleichbar mit dem unverschlüsselten Versand einer E-Mail. Nach den Ausführungen des Hessischen Datenschutzbeauftragten sind dabei insbesondere die folgenden Risiken hervorzuheben:

• Personenbezogenen Daten könnten wegen einer nicht korrekten Eingabe der Zielfaxnummer Dritten unbefugt offenbart werden.
• Der Absender hat in der Regel keine Informationen zur Empfängerseite, z.B. wo ein etwaiges Empfangsgerät steht und wer Zugang zu diesem hat.
• Bei der heutzutage weit überwiegend genutzten paketvermittelten Übertragungsmethode als Fax over IP (FoIP) über das Internet, oder bei der Nutzung von Diensten, die Faxe automatisiert in E-Mails umwandeln, werden die Daten in der Regel nicht verschlüsselt und damit ungeschützt übertragen. Durch die Übertragung über mehrere verteilte Zwischenstellen besteht dabei grundsätzlich eine Zugriffsmöglichkeit für unbefugte Dritte.

Die Übermittlung von personenbezogenen Daten mittels Telefax ist daher mit dem Risiko der Verletzung des Grundsatzes der Vertraulichkeit verbunden. Nach Ansicht des Hessischen Datenschutzbeauftragten sollten:

„personenbezogene Daten, die einen besonderen Schutzbedarf aufweisen, daher grundsätzlich nicht per Fax übertragen werden, wenn keine zusätzlichen Schutzmaßnahmen bei den Versendern und Empfängern implementiert sind.“

Als zusätzliche Schutzmaßnahme kommt dabei vor allem der Einsatz standardisierter Verschlüsselungstechnologien für den Verbindungsaufbau und die Übertragung von Daten in Betracht. Daneben besteht jedoch auch die Möglichkeit als Verantwortlicher auf die bestehenden Risiken beim Faxversand hinzuweisen und sich für etwaige Übermittlungen eine den Anforderungen der DSGVO entsprechende Einwilligung der betroffenen Personen einzuholen.

Ausnahmen und alternative Kommunikationsmittel

In Ausnahmefällen könne das Faxgerät nach Ansicht des Hessischen Datenschutzbeauftragten dennoch als Kommunikationsmittel genutzt werden. Dies gelte jedoch nur, wenn bspw. die besondere Eilbedürftigkeit der Information die Übermittlung erforderlich mache und darüber hinaus sichergestellt ist, dass die Sendung nur dem richtigen Empfänger zugeht. In diesem Fall könne sogar auch die Übersendung besonders schutzbedürftiger personenbezogener Daten mittels Fax rechtmäßig sein. Diese Ausnahme soll jedoch nur dann gelten, wenn kein alternatives, datenschutzkonformes Kommunikationsmittel zur Verfügung steht. Als alternative Kommunikationsmittel kommen u.a. die folgenden in Betracht:

• Versand inhaltsverschlüsselter E-Mail-Nachrichten (PGP oder S/MIME)
• DE-Mail
• bereichsspezifische digitale Kommunikationsdienste, z. B.:
  Infrastruktur des elektronischen Rechtsverkehrs (EGVP/beA/beN/beBPo) über die Infrastruktur des Elektronischen Gerichts- und Verwaltungspostfachs (EGVP) können in den Varianten besonderes elektronisches Anwaltspostfach (beA), besonderes Notarpostfach (beN) sowie besonderes Behördenpostfach (beBPo) Nachrichten verschlüsselt und mit einer qualifizierten elektronischen Signatur versehen übertragen werden.

Auswirkungen für die Praxis

Der Hessische Datenschutzbeauftragte geht im Rahmen seiner Stellungnahme damit noch über die Ansicht des Bremer Datenschutzbeauftragten hinaus. Unzulässig ist demzufolge nicht nur die Nutzung von Fax-Diensten zur Übertragung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO. Bereits die Übermittlung sensibler personenbezogener Daten kann gegen die DSGVO verstoßen. Dies sei nur dann zu verneinen, wenn ein Ausnahmefall angenommen werden kann. Ob der erneute Hinweis auf die Gefahr der Verletzung des Schutzes personenbezogener Daten im Rahmen der Nutzung von Faxgeräten zu einem Wandel führen kann, wird sich in Zukunft zeigen.