Faxen und Datenschutz: was die Aufsicht sagt und was stattdessen geht

Die DSGVO nennt das Fax nicht. Nach Ansicht mehrerer Datenschutzaufsichten ist ein Fax heute aber so sicher wie eine unverschlüsselte Mail. Für Gesundheitsdaten und andere besonders geschützte Daten raten sie deshalb davon ab, Bremen hält es dafür sogar für unzulässig. Für andere personenbezogene Daten hält Bremen das Fax in der Regel für ungeeignet. Bei weniger heiklen Inhalten müssen Faxgeräte nach Ansicht der Aufsicht in Rheinland-Pfalz nicht abgeschaltet werden, sie rät aber auch dort zu anderen Wegen.

Ihre Begründung leiten die Behörden aus Art. 5 und Art. 32 DSGVO ab. Danach muss jede Verarbeitung „eine angemessene Sicherheit der personenbezogenen Daten“ gewährleisten, und was angemessen ist, richtet sich nach dem Risiko.

Früher lief ein Fax über eine eigene Leitung von Gerät zu Gerät, bis einschließlich ISDN. Heute wird es nach der Beschreibung der hessischen Aufsicht in Datenpakete zerlegt und über viele Zwischenstellen geschickt, in der Regel ohne Verschlüsselung. Laut BfDI hängt seine Sicherheit damit an den beteiligten Netzbetreibern.

Den Kern des Problems sieht Bremen auf der Gegenseite. Beim Empfänger steht heute meist ein Kopierer mit Faxfunktion oder ein Faxserver, der das Fax als Mail weiterleitet. Ob diese Mail verschlüsselt ist, kann der Absender nicht feststellen.

Deshalb hat ein Fax nach Bremer Ansicht beim Schutz vor Mitlesen „das gleiche Sicherheitsniveau wie eine unverschlüsselte E-Mail“. Für die Aufsicht in NRW ist der Faxversand „nicht mehr als uneingeschränkt sicheres Kommunikationsmittel anzusehen“.

Eine falsch gewählte Nummer oder eine falsch gespeicherte Kurzwahl schickt das Fax laut BSI zu Leuten, die es nicht lesen dürfen. Wie Sie vorgehen, wenn etwas beim falschen Empfänger landet, steht unter Datenpanne im Betrieb.

Wie vorsichtig Sie sein müssen, richtet sich nach dem Inhalt. Je sensibler die Daten, desto höher ist nach der hessischen Handreichung der Schutzbedarf. Das gilt vor allem für Gesundheitsdaten und die anderen Daten, die Art. 9 DSGVO besonders schützt, und für alles, was Berufsgeheimnisträger verarbeiten.

Die Aufsicht in NRW nennt dafür die Rechts- und Steuerberatung, Arztpraxen und Apotheken. Diese Berufe müssen nach ihrer Ansicht vor dem Versand bestimmen, wie heikel die Daten sind, und danach den Weg wählen.

Ein Fax mit heiklen Daten ist aber nicht nach jeder Aufsicht in jedem Fall ausgeschlossen. Nach Hessen kann es in Ausnahmen rechtmäßig sein, etwa wenn es eilt und das Fax sicher beim richtigen Empfänger ankommt. Das gilt dort nur, solange kein anderer sicherer Weg zur Verfügung steht.

Wie das für Ihre eigenen Faxe aussieht, klären Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt.

Am häufigsten nennen die Behörden die verschlüsselte Mail. Fünf der Aufsichten nennen dabei die Ende-zu-Ende-Verschlüsselung, Rheinland-Pfalz und NRW auch die Transportverschlüsselung. Welche Stufe die Aufsicht wann erwartet, steht unter E-Mail-Verschlüsselung. Hessen und NRW nennen außerdem Portale, über die beide Seiten Dokumente verschlüsselt ablegen und abholen. Bremen nennt im Zweifel auch die Post, Niedersachsen für Gesundheitsdaten den Brief und die persönliche Übergabe.

Im Gesundheitswesen nennen Hessen und Niedersachsen KIM, die Kommunikation im Medizinwesen über die Telematikinfrastruktur. Für Anwälte nennt Hessen das beA und den elektronischen Rechtsverkehr dahinter. Das Sicherheitsniveau dort sieht Hessen als „deutlich höher“ an als beim Fax.

Das Fax selbst zu verschlüsseln, klappt nach Angaben der Aufsicht in Rheinland-Pfalz nur mit festen Partnern und nicht mit wechselnden Empfängern. Beim Umstieg erinnert sie daran, dass manche Schriftstücke eine bestimmte Form brauchen.

Für diesen Fall hat das BSI einen eigenen Baustein im IT-Grundschutz, und nach dem BSI sollten seine Anforderungen auch beim Fax über das Internet umgesetzt werden. Als Basis-Anforderung sieht er vor, dass Unbefugte eingehende Faxe am Gerät weder lesen noch mitnehmen können.

Andere Anforderungen kommen ohne neue Technik aus. Gespeicherte Kurzwahlziele sollen regelmäßig geprüft werden, Sendungen ein Deckblatt tragen und Sende- und Empfangsprotokolle eingeschaltet sein. Wer weiter faxt, bekommt von Hessen Prüffragen mit, etwa ob sich das Faxen auf einzelne Beschäftigte und Vorgänge begrenzen lässt.

Ein Faxserver stellt eingehende Faxe laut BSI häufig per Mail zu. Dann liest mit, wer in dieses Postfach schaut. Wer bei Ihnen in ein gemeinsames Postfach darf, steht unter freigegebenes Postfach.

Wir sind die externe IT-Abteilung für Betriebe und Vereine im Raum Köln, die keine eigene haben.

Wir kümmern uns um den IT-technischen Teil, die rechtlichen Dinge laufen über einen Datenschutzpartner.

Telefonanlage und Drucker gehören zu dem, was wir machen. Manche unserer Kunden faxen noch. Bei ihnen richten wir es in der Regel so ein, dass Faxe als Mail ankommen und aus dem Postfach rausgehen. Für heikle Daten ersetzt das die Wege der Aufsicht nicht.

Bei KIM und beA erledigen wir alles drumherum am Arbeitsplatz. Mit den jeweiligen Stellen und Anbietern stimmen wir uns ab, bis es läuft.

Welche Faxe bei Ihnen noch rausgehen und welcher Weg sie ersetzen kann, schauen wir uns im Erstgespräch gemeinsam an.

Wie wir abrechnen, lesen Sie unter So rechnen wir ab.