Im Alltag, und gerade beim Versand von Unterlagen, muss es oft schnell gehen. Hier kommt es immer noch häufig vor, dass das Fax als Übertragungsmedium genutzt wird. Jedoch ist dem Versender nicht bewusst, wo das Faxgerät vom Empfänger steht oder wer Zugriff auf das Gerät hat – das ist auch ein datenschutzrechtliches Risiko.

Wie man mit diesen Risiken umgeht, erläutert Marco Eck, Berater Datenschutz bei der Curacon GmbH Wirtschaftsprüfungsgesellschaft, in seinem Beitrag.

Die Konferenz der Diözesandatenschutzbeauftragten der Katholischen Kirche Deutschlands hat auf der Sitzung vom 17. und 18.04.2018 einen Leitfaden „Externe Datenspeicherung und elektronische Kommunikation“ entwickelt und für das Telefax nachfolgendes Risiko beschrieben:

„Historisch ein sicheres und zugelassenes Medium, solange die Übertragung auf der klassischen analogen Telefonie basierte. Wegen der immer weiter verbreiteten (und für den Anwender transparenten) Verbreitung der digitalen Übertragung (IP) ähnelt das Telefax in Datenschutz-Hinsicht inzwischen der E-Mail. Durch Integration in Kombi-Geräte (Gemeinschaftsdrucker) kann die Vertraulichkeit zusätzlich kompromittiert werden.“

Nun erfolgt weiter eine flächendeckende Umstellung der Faxgeräte auf die IP-basierte Telefonie und dies stellt nach dem Leitfaden der Konferenz der Diözesandatenschutzbeauftragten ein Risiko für die Vertraulichkeit der personenbezogenen Daten dar. Ebenso hat die Landesbeauftragte für Datenschutz der Freien Hansestadt Bremen sich jüngst geäußert und „die Gegenseite“ (Empfänger) als Kern des Problems beschrieben. Der Absender kann nicht wissen, welche Übertragungstechnik der Empfänger einsetzt. Daher ist das Schutzniveau eines Faxes genauso zu sehen wie eine unverschlüsselte E-Mail („offene Postkarte“).

Aus diesem Grund ist der Versand von personenbezogenen Daten, insbesondere der besonderen Kategorien, als nicht datenschutzkonform zu bewerten. Das OVG Lüneburg hat am 22.07.2020 festgestellt, dass die unverschlüsselte Übermittlung per Fax von personenbezogenen Daten eine rechtswidrige Handlung darstellt.

Empfehlung zur datenschutzkonformen Nutzung von Faxen

Erfolgte das Faxen früher noch über Ende-zu-Ende-Telefonleitungen, werden diese mittlerweile in der Regel IP-basiert versandt. Durch die in den vergangenen Jahren vollzogenen technischen Änderungen in den Telefonnetzen ist das Versenden eines einfachen Faxes daher nicht mehr zulässig, da die Vertraulichkeit nicht gewahrt werden kann.

Daher dürfen nur noch gewisse Daten über das Fax versendet werden.

• Anonymisierte Daten: Hierbei handelt es sich gemäß § 4 Ziffer 7 KDG um Daten, die sich nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand auf eine identifizierbare natürliche Person beziehen lassen.
• Pseudonymisierte Daten: Diese fallen zwar unter die Datenschutzvorschriften, da die Daten durch Hinzuziehung zusätzlicher Informationen zu einer Depseudonymisierung führen können (vgl. § 4 Ziffer 6 KDG). Durch die Entfernung der personenbezogenen Daten und der Nennung eines vorher mit dem Empfänger vereinbarten Schlüsselwortes, ist aber eine Depseudonymisierung nur mit einem hohen Aufwand möglich.

Diese beiden Methoden erlauben das Faxen unter der Wahrung der Vertraulichkeit.

Durch die Verschlüsselung der Signalisierung in Verbindung mit einem sicheren Medientransport durch eine Transportverschlüsselung (TLS), können auch Daten geschützt gefaxt werden, die nicht anonymisiert oder pseudonymisiert sind. Hier bedarf es jedoch einer technischen Prüfung und Anpassung der Kommunikationsanlage beim Versender genauso wie beim Empfänger, um die Integrität und Vertraulichkeit der Daten sicherzustellen. (Vgl. dazu die Hinweise des BSI.)

Spezielle Anforderungen im Katholischen Datenschutzrecht

Die Durchführungsverordnung zum Gesetz über den Kirchlichen Datenschutz (KDG-DVO) hat für die Übermittlung personenbezogener Daten per Fax im § 24 KDG-DVO besondere Vorgaben definiert:

(1) Faxgeräte sind so aufzustellen und einzurichten, dass Unbefugte keine Kenntnis vom Inhalt eingehender oder übertragener Nachrichten erhalten können.

(2) Sowohl die per Fax übermittelten als auch die in Sende-/Empfangsprotokollen enthaltenen personenbezogenen Daten unterliegen dem Datenschutz. Protokolle sind entsprechend sorgfältig zu behandeln.

(3) Um eine datenschutzrechtlich unzulässige Übermittlung möglichst zu verhindern, ist bei Faxgeräten, die in Kommunikationsanlagen (Telefonanlagen) eingesetzt sind, eine Anrufumleitung und -weiterschaltung auszuschließen.

(4) Daten der Datenschutzklassen II und III dürfen grundsätzlich nur unter Einhaltung zusätzlicher Sicherheitsvorkehrungen per Fax übertragen werden. So sind insbesondere mit dem Empfänger der Sendezeitpunkt und das Empfangsgerät abzustimmen, damit das Fax direkt entgegengenommen werden kann.

Ebenso ist die Bereitstellung von Verfahrensanweisungen zur Bedienung von Faxgeräten zu prüfen, um Fehler beim Versand von Faxen zu vermeiden. Die Katholische Datenschutzaufsicht Ost hat das Fehlen solcher organisatorischen Maßnahmen im Tätigkeitsbericht 2020 bereits moniert:

„Das Fehlen solcher organisatorischen Maßnahmen führt zu einer Beanstandung durch die Datenschutzaufsicht. Wenn das Fehlen solcher Maßnahmen ursächlich für einen Datenschutzverstoß wird, weil ein Mitarbeiter die objektiv erforderliche Sorgfalt nicht eingehalten hat, wird dies immer mit einem Bußgeld geahndet werden.“ (Tätigkeitsbericht 2020 KDSA Ost)

Welche Alternativen zum Fax gibt es?

Immer noch eine der ersten Alternativen zu einem Fax ist das Versenden eines Briefes. Wenn die Übermittlung jedoch kurzfristig erfolgen muss, ist der Postweg keine wirkliche Alternative. Eine weitere Möglichkeit ist das Versenden einer verschlüsselten E-Mail, hierbei gibt es zwei wesentliche Verschlüsselungsmethoden:

1. Die Transportverschlüsselung: Die Daten werden durch einen Tunnel versendet, dieser ist verschlüsselt, sodass Daten auf dem Weg vom Versender zum Empfänger nicht lesbar sind. Jedoch können an Knotenpunkten im Web die Daten kurzzeitig offen verfügbar sein und durch einen sogenannten Man-in-the-Middle Angriff abgefangen werden. (Vgl. dazu auch das BSI.)
2. Die Inhaltsverschlüsselung: Bei dieser Methode wird der Inhalt der E-Mail verschlüsselt, es sind lediglich die Meta-Informationen wie Empfänger und Betreff sowie der Absender noch identifizierbar.

Damit nun ein datenschutzkonformer Datentransfer sichergestellt werden kann, ist eine Kombination beider Methoden zu nutzen.

Wichtig an der Stelle ist, dass der Empfänger die Maßnahmen mitträgt. Hier gibt es Empfänger die einen inhaltsverschlüsselten Empfang von E-Mails kategorisch ablehnen, dass kann an einer technischen Einschränkung der Empfänger liegen oder an den fehlenden EDV-technischen Kenntnissen des Empfängers. Hier bedarf es immer noch Pionierarbeit des Versenders, um die Vorgaben der einschlägigen Datenschutzvorschriften stringent umsetzen zu können.

Fazit

Das Telefax wird noch immer in vielen Bereichen nahezu flächendeckend eingesetzt. Der Versand per Fax ist aber aufgrund der Unsicherheiten beim Transport und beim Empfang als nicht datenschutzkonform einzustufen. Daher obliegt es dem Versender geeignete Alternativen zu nutzen oder technische Anpassungen vorzunehmen, die einen datenschutzkonformen Datenversand sicherstellen. Als Alternative neben dem herkömmlichen, aber langwierigen Versand über den Postweg, ist zuerst die verschlüsselte E-Mail zu nennen. Hier bedarf es jedoch in manchen Empfängerkreisen noch Aufklärungsarbeit, um einen nachhaltig datenschutzkonformen Datentransfer und -empfang sicherzustellen.

Mehr zum Thema: Der Datenschutz hat das Faxen dicke – auch mit einem Blick auf die evangelische Rechtslage nach dem DSG-EKD.