Das VG Düsseldorf (Urt. v. 02.04.2026, Az. 29 K 7351/23) hatte über die Reichweite aufsichtsbehördlicher Einschreitenspflichten nach einer Datenschutzbeschwerde zu entscheiden. Der Kläger begehrte insbesondere ein aufsichtsrechtliches Einschreiten gegen ein Busunternehmen, das seinen Namen im Zusammenhang mit einem Verkehrsunfall per E-Mail an die Haftpflichtversicherung beziehungsweise den Versicherungsvertreter übermittelt hatte. Das Gericht hat die Klage nur teilweise für begründet erachtet: Hinsichtlich der verlangten Maßnahmen wegen der E-Mail-Kommunikation blieb sie ohne Erfolg; lediglich wegen einer verspäteten Auskunftserteilung nach Art. 15 DSGVO war die Beschwerde neu zu bescheiden.
In materiell-rechtlicher Hinsicht stellt das Gericht zunächst klar, dass die Weitergabe des Namens des Geschädigten an die Haftpflichtversicherung zur Schadensabwicklung nach Art. 6 Abs. 1 Satz 1 lit. f DSGVO zulässig war. Das Busunternehmen durfte als Versicherungsnehmerin den Schadenfall anzeigen; darin liege ein berechtigtes Interesse, das die Offenlegung der Daten trage.
Den Schwerpunkt der Entscheidung bildet sodann die Auslegung von Art. 5 Abs. 1 lit. f und Art. 32 DSGVO. Das Gericht verneint einen Datenschutzverstoß, weil die eingesetzte Transportverschlüsselung im konkreten Fall als risikoadäquat angesehen wird. Maßgeblich ist insoweit die konkrete Sensibilität der Daten: Übermittelt wurde nach den gerichtlichen Feststellungen im Wesentlichen nur der Name des Klägers; ein Bezug zu seiner Privatanschrift habe nicht hergestellt werden können. Auch die für den Kläger bestehende Auskunftssperre nach § 51 BMG führe nach Ansicht des Gerichts nicht dazu, dass bereits deshalb ein höheres Schutzniveau oder gar zwingend eine Ende-zu-Ende-Verschlüsselung geboten wäre. Ein „hohes Risiko“ im Sinne der DSGVO verneint das Gericht daher ebenso wie die Erforderlichkeit einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.
Verwaltungsprozessual und aufsichtsrechtlich bedeutsam ist ferner, dass das Gericht die abschließende Beschwerdeentscheidung der Datenschutzaufsicht als Verwaltungsakt einordnet und die gerichtliche Kontrolle an § 114 Abs. 1 VwGO ausrichtet. Danach besitzt die Aufsichtsbehörde bei der Untersuchung einer Beschwerde und bei der Auswahl von Abhilfemaßnahmen zwar Ermessen; sie muss den Beschwerdegegenstand aber mit der gebotenen Sorgfalt untersuchen und einen festgestellten Verstoß in ihre Ermessensausübung einstellen.
Gerade daran fehlte es nach Auffassung des Gerichts beim Auskunftsanspruch. Zwischen dem Auskunftsantrag vom 12.04.2022 und der erteilten Auskunft mit anwaltlicher Stellungnahme vom 26.10.2022 lag eine deutliche Überschreitung der Monatsfrist des Art. 12 Abs. 3 Satz 1 DSGVO; zudem war der Kläger trotz fehlender Privatanschrift anhand des vorangegangenen Schriftverkehrs und des konkret bezeichneten Unfallgeschehens ohne Weiteres identifizierbar. Weil die Aufsichtsbehörde diesen Verstoß im Ausgangsbescheid nicht erkannt und deshalb ihr Auswahlermessen insoweit nicht ausgeübt hatte, sprach das Gericht lediglich einen Anspruch auf Neubescheidung zu, nicht aber unmittelbar auf Verhängung einer Geldbuße nach Art. 58 Abs. 2 lit. i DSGVO. Eine Ermessensreduzierung auf Null verneinte das Gericht ausdrücklich.
Die Entscheidung ist vor allem deshalb praxisrelevant, weil sie eine deutlich kontextbezogene Anwendung des Art. 32 DSGVO bestätigt. Das Gericht lehnt ein schematisches Verständnis ab, wonach bei jeder E-Mail-Kommunikation über personenbezogene Daten eine Ende-zu-Ende-Verschlüsselung erforderlich wäre. Vielmehr knüpft es – unionsrechtskonform – an das konkrete Risiko für die Rechte und Freiheiten der betroffenen Person an. Für Verantwortliche bedeutet dies, dass Verschlüsselungsanforderungen nicht abstrakt, sondern anhand der Sensibilität der Daten, der Eingriffsintensität und der wahrscheinlichen Schadensfolgen zu bestimmen sind.
Ebenso hervorzuheben ist die zweite Aussage der Entscheidung: Die Datenschutzaufsicht darf eine Beschwerde nicht mit pauschalen Erwägungen erledigen, wenn ein naheliegender Verstoß gegen die Auskunftsfristen der DSGVO im Raum steht. Insoweit stärkt das Urteil die subjektiv-öffentliche Rechtsposition des Beschwerdeführers aus Art. 57 Abs. 1 lit. f, Art. 77 Abs. 1 DSGVO, ohne die behördliche Ermessensstruktur des Art. 58 Abs. 2 DSGVO aufzugeben.
