Wenn der Briefträger den Datenschutz vernachlässigt

Überquellende Briefkästen sind beliebte Gelegenheiten für Übeltäter, sich anzuschauen, was Nachbarn oder völlig Fremde so zugestellt bekommen. Auch im Hinblick auf personenbezogene Daten sind sie ein echtes Sicherheitsrisiko. Da machen auch elektronisch zugestellte Sendungen seit neuestem keine Ausnahme mehr.

Hausbriefkasten als Gefahrenquelle

In vielen Hausfluren dasselbe Bild: Der große Briefkasten mit einzelnen Fächern zeigt Briefumschläge aller Formate, die nicht mehr in die Box passen und ganz einfach mit einem Griff zu entwenden wären. Auch die Zahl von Falschzustellungen sorgt für Datenunsicherheit allerorten. Persönliche Briefe sind gleich im Bündel in den schmalen Schlitz gestopft worden und drohen wegen unterlassener Leerung herunterzufallen. Stefan Brink, der Datenschutz-Landesbeauftragte in Baden-Württemberg, berichtet davon in seinem Tätigkeitsbericht zum Jahr 2021 (PDF) und wartet dort mit einem einschlägigen Fall auf: Unter der Überschrift „Der unzureichende Briefkasten“ wurde geprüft, ob beim Postfach eines Amtsgerichts unzureichende technisch-organisatorische Maßnahmen nach Art. 32 DSGVO vorlagen. Denn hier ist die Post, die zum Zugreifen animiert, regelmäßig von äußerst brisantem Inhalt, was den Datenschutz angeht.

Die Prüfung ergab, dass hier Gerichtspost ohne nennenswerten Aufwand entwendet werden könnte und keinerlei wirksame Schutzmaßnahmen vorhanden sind. Das Gericht gab zu, dies könne dann passieren, wenn der Briefkasten um Mitternacht die Post über eine Klappe in einen zweiten Behälter leite (Nachtbriefkasten). Insbesondere größere Briefsendungen würden sich am Behälter verfangen und könnten dann aus dem Briefkasten entnommen werden. Das Problem trete jedoch nur in den frühen Morgenstunden in einem kurzen Zeitfenster von höchstens zwei Stunden auf. Selbst in dieser Stoßzeit seien die Briefschlitze zwar so vollgepfropft, dass die Sendungen kaum mehr zu entnehmen seien, dennoch sind die überprüfenden Datenschützer der Ansicht, dass dies keinen wirksamen Schutz gegen das Zugreifen Unberechtigter darstellt.

Häufigere Leerung angeraten

Das Gericht selbst vertritt die Ansicht, dass die Pflicht für eine gefahrlose Zustellung beim Absender einer Briefnachricht liege. Ein Irrtum, auf den es von der Datenschutzbehörde hingewiesen wurde. Schließlich sei die Post mit erfolgtem Einwurf im Einflussbereich des Amtsgerichts, weshalb dieses auch für die Durchsetzung des Datenschutzrechts am Briefkasten verantwortlich im Sinne von Art. 4 Ziffer 7 DSGVO sei. Und nach Art. 32 DSGVO hat das Gericht die empfangenen Briefe vor den Zugriffen Unbefugter zu schützen, aber auch vor einem unbeabsichtigten Verlust.

Mit seiner Nonchalance beim Postempfang habe das Gericht gegen den Grundsatz der Integrität und Vertraulichkeit verstoßen, wie er in Art. 5 Abs. 1 lit. f DSGVO formuliert ist. Zuletzt ließ es sich der oberste Datenschützer von Baden-Württemberg nicht nehmen, einen Verbesserungsvorschlag zu machen. Er empfiehlt dem Gericht einen „ausreichend dimensionierten“ Briefkasten und dessen mehrmalige Leerung. Auch wenn das bei Beobachtern zu Schmunzeln führte, ist der gutgemeinte Rat im Kern eine Überlegung wert, das gilt nicht nur für sensible Gerichtspost, sondern für prinzipiell jeden Briefkasten.

Ankündigung von Briefpost per Smartphone

Der Fall hat inzwischen eine digitale Dimension hinzugewonnen: Die Deutsche Post gab bekannt, dass sie die Funktion „Briefankündigung“ der Post&DHL-App bis auf Weiteres deaktiviert hat, um eine Störung zu beheben. Diese digitale Funktion war erst seit Januar 2022 verfügbar. Mit ihr konnten sich User digital ankündigen lassen, dass spätestens am Folgetag Post im Briefkasten liegen würde. Dazu waren in der App Fotos dieser Briefumschläge zu sehen. Doch dann war der Post von einem Nutzer berichtet worden, der das Bild eines fremden, also nicht an ihn adressierten Briefs abrufen konnte. Laut Post war dies ein einmaliges Vorkommnis, das dennoch einer gründlichen Untersuchung unterzogen wird.