Aktuelle Kurz-Information 61: Datenschutz beim Versand von Brief und Paket

Stichwörter: Briefversand - CD/DVD - Einschreiben - förmliche Zustellung - Paketversand - Postdienstleistung - Postversand - USB-Stick | Stand: 1. April 2025

Was sind die Kernaussagen dieser Aktuellen Kurz-Information?

Bayerische öffentliche Stellen müssen technisch-organisatorische Maßnahmen zum Schutz personenbezogener Daten auch beim Postversand treffen.
Was zu tun ist, hängt vom Schutzbedarf der Daten ab, die sich in einer Sendung befinden. Zu achten ist insbesondere auf eine geeignete Versandvorbereitung, die Auswahl eines geeigneten Dienstleisters sowie des passenden Postprodukts.
Bayerische öffentliche Stellen sollten unkomplizierte Prüfroutinen einsetzen, um Missgriffe zu vermeiden.

Die Digitalisierung schreitet fort. Gleichwohl versenden bayerische öffentliche Stellen Tag für Tag zahllose Briefe und Pakete. Viele Sendungen enthalten personenbezogene Daten nicht nur auf dem Adressfeld. Dokumente, ganze Akten oder elektronische Speichermedien, die mit der Post transportiert werden, haben mitunter einen ganz erheblichen Schutzbedarf - wie etwa ein Datenträger mit medizinischen Befunden.

Beim Bayerischen Landesbeauftragten für den Datenschutz eingehende Meldungen von Datenpannen, Beschwerden, aber auch Beratungsanfragen bayerischer öffentlicher Stellen zeigen, dass beim Postversand personenbezogener Daten einiges schiefgehen kann. Die möglichen Risiken dabei sind eigentlich überschaubar und gut bewältigbar: Es braucht nur etwas Wissen und sachgerechte Routinen. Der vorliegende Beitrag ruft in Erinnerung, was aus Datenschutzsicht beim Postversand geschieht (1.), zeigt häufige Datenschutzvorfälle auf (2.) und bietet einen Fragenkatalog zur Fehlervermeidung (3.).

1. Verarbeitung personenbezogener Daten beim klassischen (analogen) Versand von Briefen und Paketen

Briefe und Pakete können neben der Absender- und Empfängeradresse auch inhaltlich - also eingepackt - personenbezogene Daten enthalten. Im Einzelfall können diese sehr sensibel sein. Beim herkömmlichen Postversand erstellt die bayerische öffentliche Stelle den Inhalt, verpackt ihn in einen Brief oder ein Paket und versieht diese "Hülle" mit einer Adressierung. Dabei verarbeitet sie personenbezogene Daten aufgrund einer Rechtsgrundlage des bereichsspezifischen oder des allgemeinen Datenschutzrechts. Geht die Sendung an eine natürliche Person, ist der konventionelle Transport durch einen Postdienstleister (vgl. § 4 Abs. 1 Postgesetz - PostG) datenschutzrechtlich mit einer Verarbeitung von Adressdaten verknüpft. Dabei gilt der Postdienstleister als eigenständiger Verantwortlicher. Der Postdienstleister verarbeitet die Adressdaten nicht im Auftrag und nach Weisung des Absenders; daher ist er nicht Auftragsverarbeiter, sondern ein eigenständiger Verantwortlicher.

Der Postdienstleister nimmt zum Zweck der Zustellung von den jeweiligen Adressdaten Kenntnis. Die Verarbeitung personenbezogener Daten muss er auf eine Rechtsgrundlage nach Art. 6 Abs. 1 UAbs. 1 Datenschutz-Grundverordnung (DSGVO) stützen können. § 68 Abs. 3 Satz 1 PostG enthält eine Rechtsgrundlage, die sich auf die Verarbeitung der Adressdaten zum Zwecke der ordnungsgemäßen Zustellung von Postsendungen bezieht. Der Inhalt der Postsendung geht den Postdienstleister grundsätzlich nichts an; er ist durch das Postgeheimnis nach § 64 PostG sowie die Strafbewehrung des § 206 Strafgesetzbuch geschützt.

Klassischer (analoger) Versand

Klassischer (analoger) Versand

Der Versand von Hybridbriefen unterscheidet sich vom klassischen Briefversand durch seine Mehrstufigkeit. Zu diesem Thema liegt bereits eine Aktuelle Kurz-Information vor.

2. Häufig auftretende Datenschutzvorfälle

Neben Versehen bei der Zuordnung Inhalt - Adressat (etwa Angabe des falschen Adressaten auf dem Umschlag, unbeabsichtigtes Einkuvertieren mehrerer, an unterschiedliche Personen gerichteter Dokumente) stellt der Landesbeauftragte im Zusammenhang mit dem Postversand immer wieder Datenschutzvorfälle fest, die ihren Grund in der Gestaltung von Geschäftsprozessen oder dafür eingesetzten Ressourcen finden.

Dies betrifft beispielsweise den Entwurf von Vordrucken, wenn der Inhalt eines Schreibens zum Teil - etwa mit einer aussagekräftigen Rechtsnorm oder dem Hinweis auf eine Organisationseinheit der öffentlichen Stelle - bereits im Adressfenster oder auf dem Briefumschlag sichtbar wird und damit auch ohne weitere Kenntnisse Rückschlüsse auf die Umstände der behördlichen Befassung mit dem Adressaten möglich werden. Auch die Wahl des Materials, die Ausführung und Ausgestaltung von Briefumschlägen - insbesondere die Lage der Sichtfenster in Relation zu Briefbogen oder Vordruck sowie eine auffällige Kenntlichmachung, beispielsweise mit eindeutigen Logos -, ferner die Verwendung modifizierter Vordrucke kann die Ursache dafür sein, dass Zusteller, Familienangehörige, Nachbarn oder sonst an eine Postsendung gelangende Personen mehr als für den Versand an den Adressaten nötig erfahren.

Bei einer förmlichen Zustellung durch die Post mit Zustellungsurkunde ist für den notwendigen verschlossenen inneren Umschlag gemäß Art. 3 Abs. 2 Satz 3 Bayerisches Verwaltungszustellungs- und Vollstreckungsgesetz (VwZVG) der Vordruck nach der Zustellungsvordruckverordnung (ZustVV) zu verwenden. Aus Anlage 2 zu § 1 Nr. 2 ZustVV sind die zulässigen (und damit allein datenschutzkonformen) Angaben ersichtlich. Alle eigenmächtigen zusätzlichen Angaben auf dem inneren Umschlag können unerlaubt Rückschlüsse auf den Inhalt zulassen und sind deshalb datenschutzrechtlich unzulässig.

Auch das automatische Verschließen und Frankieren ausgehender Post verläuft nicht immer problemlos. Offen versandte Briefumschläge oder nicht zum Inhalt passende Umschläge kommen auch hier vor. Viele Meldungen nach Art. 33 DSGVO zeigen, dass Kuvertiermaschinen nicht immer fehlerfrei arbeiten.

Seit infolge der Marktliberalisierung zahlreiche Unternehmen Postdienstleistungen erbringen, erreichen den Landesbeauftragten auch immer wieder Hinweise zu Defiziten bei der Zuverlässigkeit einzelner Anbieter: dabei geht es zum Beispiel um Einwürfe in falsche Briefkästen oder die Nichtzustellung eingelieferter Sendungen. Auch ganze Pakete mit Akten gehen teilweise auf dem Transportweg verloren.

Hinweis: Die Datenschutzaufsicht bei gewerblichen Anbietern von Postdienstleistungen liegt nach § 71 Abs. 1 PostG bei der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit.

3. Prüfschritte zur Gewährleistung eines angemessenen Schutzniveaus vor Postversand

Jede bayerische öffentliche Stelle ist nach Art. 24 Abs.1, Art. 25 Abs.1 und Art. 32 Abs. 1 DSGVO gehalten, mittels einer wirksamen Umsetzung von Schutzmaßnahmen ein dem Verarbeitungsrisiko beim Versand angemessenes Schutzniveau zu gewährleisten. Vor dem Versand von Schriftstücken oder Speichermedien mit personenbezogenen Daten ist zu prüfen, welche Schutzmaßnahmen erforderlich sind, um Risiken adäquat entgegentreten zu können. Folgende einfache Fragen können dabei helfen:

Frage 1: Wie sensibel sind die Daten, die versandt werden sollen?

Die erforderlichen technisch-organisatorischen Maßnahmen richten sich nach der Sensibilität und dem Umfang der zu versendenden Daten. Hier kommt es zum einen auf den Umfang des Datenpakets an, zum anderen auf die Frage, ob beispielsweise von Art. 9 Abs. 1 DSGVO erfasste Daten (etwa Gesundheitsdaten) oder sonst besonders schutzbedürftige Daten (etwa Steuerdaten oder Personalaktendaten) verschickt werden sollen.

Frage 2: Welcher Versanddienstleister ist geeignet?

Bei der Auswahl eines Postdienstleisters sollte dessen Zuverlässigkeit im Blick behalten werden. Neben eigenen Erfahrungen können hier insbesondere anbieter- und ortsbezogen veröffentlichte Prüfungserkenntnisse der Bundesnetzagentur hilfreich sein. Alternativ können auch Kurierdienste oder eigenes Personal genutzt werden. Auch hier muss allerdings die Eignung geprüft und die Zuverlässigkeit sichergestellt werden.

Frage 3: Wird eine Nachverfolgbarkeit der Auslieferung benötigt?

Wurde bei Frage 1 festgestellt, dass auf Grund der Sensibilität der Daten besondere Schutzmaßnahmen erforderlich sind, ist insbesondere zu prüfen, ob hier die einfache Versandart als gewöhnlicher Brief ausreicht, oder ob eine Nachverfolgbarkeit der Auslieferung durch Einschreiben (zu unterscheiden sind hier das günstigere Postprodukt "Einschreiben Einwurf" und das Postprodukt "Einschreiben" - früher als Übergabe-Einschreiben bezeichnet - , das noch um die Zusatzleistung "Rückschein" ergänzt werden kann), förmlich mit Zustellungsurkunde oder aber Paketversand vorzuziehen ist.

Einfache Briefe werden in der Regel ohne Sendungsverfolgung transportiert. Daher kann nicht festgestellt werden, ob die Sendung dem Empfänger auch tatsächlich zugestellt wurde und wo es gegebenenfalls verloren gegangen ist. Die Deutsche Post AG bietet mittlerweile Briefmarken mit QR-Code an, die eine Basis-Sendungsverfolgung vom Einlieferungspostzentrum zum Auslieferungspostzentrum ermöglichen, nicht jedoch bis zum eigentlichen Empfänger. Bei der Nachforschung nach einer verloren gegangenen Sendung wäre dann zwar feststellbar, dass diese tatsächlich bei der öffentlichen Stelle ausgelaufen ist und von der Post zum Auslieferungspostzentrum weitertransportiert wurde; daraus könnte jedoch nur geschlossen werden, dass ein Verlust auf dem Weg von diesem Postzentrum zum eigentlichen Empfänger eingetreten sein muss. Ob die Sendung tatsächlich beim Zusteller verloren gegangen ist oder etwa der Empfänger die Sendung versehentlich entsorgt hat, bliebe aber offen. Eine lückenlose Sendungsverfolgung "Ende-zu-Ende" bietet die Basis-Sendungsverfolgung also nicht.

Bei dem Postprodukt "Einschreiben Einwurf" ist dagegen das Einlegen in den Briefkasten des Empfängers nachweisbar, bei einem (Übergabe-)Einschreiben die Übergabe an den Empfänger oder einen sonst Empfangsberechtigten; mit der Zusatzleistung "Rückschein" erhält der Absender zudem eine schriftliche Bestätigung der Zustellung mit Zustelldatum, Auslieferungsbeleg und einem Sendungsbild.

Die Standard-Sendungsverfolgung von Paketen dokumentiert typischerweise die Zustellung an eine Person, an einem vom Empfänger ausgewählten Ablageort oder an eine Packstation. Die Qualität des Nachweises kann je nach Anbieter mit Zusatzleistungen - wie etwa einer Zustellung gegen Unterschrift oder mit Identitätsprüfung - gesteigert werden.

Hinweis: Für Päckchen bietet die Deutsche Post AG im nationalen Verkehr keine Sendungsverfolgung an; sie kann auch nicht zugebucht werden. Da Päckchen nicht mehr mit Briefmarken freigemacht werden dürfen, steht die Basis-Sendungsverfolgung (Rn. 16) ebenfalls nicht zur Verfügung.

Die Behörden und Gerichten vorbehaltene förmliche Zustellung mit Zustellungsurkunde bietet einen Nachweis, der vollen Beweis der darin bezeugten Tatsachen begründet (vgl. Art. 3 Abs. 2 Satz 1 VwZVG, § 182 Abs. 1 Satz 2, § 418 Abs. 1 Zivilprozessordnung).

Frage 4: Welche Verpackung ist geeignet? Ist die Sendung verschlossen?

Je nach Umfang und Größe der zu versendenden Schriftstücke (einzelne oder mehrere Blätter, umfangreiche Anlagen, Gehefte, einzelne oder mehrere Aktenordner) ist auf eine ordentliche und stabile Verpackung Wert zu legen.

Bei der Verpackung ist darauf zu achten, dass der Inhalt gegen unbefugten Zugriff gesichert ist (Zukleben des Umschlages, Verwendung eines speziellen Sicherheitsklebebandes zum Verschluss eines Kartons oder Verplombung von Transportkisten) und ein Aufreißen oder Aufplatzen durch Verwendung entsprechend geeigneter Verpackungen sowie fachgerechtes Einpacken verhindert oder wenigstens erschwert wird. Im Zweifelsfall sollte immer eine höherwertige Verpackung gewählt werden.

Gerade bei einer automatischen Kuvertierung sollte auch geprüft werden, ob die Sendungen tatsächlich ordnungsgemäß verschlossen sind. Zudem sollte eine regelmäßige Wartung der entsprechenden Geräte erfolgen.

Frage 5: Ist die Sendung korrekt adressiert und datensparsam beschriftet?

Bei der Beschriftung der gewählten Versandform ist im Sinne der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO) auf die für die Postzustellung tatsächlich erforderlichen Daten des Adressaten abzustellen. Darüber hinausgehende Informationen können eine unbefugte Offenlegung von personenbezogenen Daten zur Folge haben (siehe oben Rn. 6 ff.). Insbesondere im Gesundheitsbereich sollte durch eine neutrale Gestaltung von Postsendungen dafür Sorge getragen werden, dass keine Informationen über den Gesundheitszustand oder mögliche Erkrankungen des Empfängers abgeleitet werden können.

Frage 6: Ist bei Verwendung eines elektronischen Speichermediums eine Verschlüsselung erfolgt?

Gerade im Bereich der Krankenhäuser werden häufiger Patientendaten auf elektronischen Speichermedien verschickt (CD, DVD, USB-Stick usw.), wenn zum Beispiel ein Patient Einsicht in seine Patientenakte haben möchte. Dabei ist zum einen auf eine geeignete Verpackung (Umschläge aus reißfestem Material, Luftpolsterumschläge oder fest verschlossene Kartonagen) zu achten. Zum anderen ist beim postalischen Versand eines elektronischen Mediums eine sachgerechte Verschlüsselung der Dateien, die auf dem Medium gespeichert sind, oder die Verschlüsselung des Mediums selbst eine Schutzmaßnahme, die das Risiko einer Vertraulichkeitsverletzung auf dem Versandweg deutlich vermindert. Sind die Kosten für eine Verschlüsselung nach dem Stand der Technik - was regelmäßig der Fall sein dürfte - verhältnismäßig, wird eine solche Verschlüsselung empfohlen. Hierbei ist auch zu berücksichtigen, dass dem Empfänger Passwörter zum Entschlüsseln der Daten nicht in derselben Sendung zur Verfügung gestellt werden wie die Inhalte, die mit ihnen entschlüsselt werden sollen.

Frage 7: Ist die Sendung bis zur Abholung durch den Dienstleister sicher gelagert?

Insbesondere bei einer größeren Menge personenbezogener Daten (etwa einer Vielzahl sozialrechtlicher Leistungsbescheide) muss auch die sichere Lagerung bis zur Abholung durch den Dienstleister gewährleistet sein. Ein für den Parteiverkehr oder Besucher zugänglicher Bereich ist dafür ungeeignet.

Frage 8: Sind die für den Versand zuständigen Beschäftigten hinsichtlich der möglichen Datenschutzrisiken und Versandarten ausreichend geschult?

Alle Empfehlungen helfen wenig, wenn keiner an sie denkt. Daher sollte auch darauf geachtet werden, dass die erforderlichen Prozesse und Abläufe entsprechend dokumentiert sind (Prozessbeschreibungen, Dienstanweisungen, Dienstvereinbarungen), dieses Wissen des aktuell mit dem Postversand beauftragten Personals regelmäßig aufgefrischt wird und neues Personal eine Einweisung erhält, was beim Postversand zu beachten ist. Dies betrifft insbesondere auch vorübergehend beschäftigte Personen wie Aushilfskräfte oder Praktikanten.

Bayerischer Landesbeauftragter für den Datenschutz, Versand von Hybridbriefen durch bayerische öffentliche Stellen, Aktuelle Kurz-Information 44, Stand 11/2022, Internet: https://www.datenschutz-bayern.de, Rubrik "Infothek". [Zurück]
Beispiel aus der Praxis: Einladung zum Mammografie-Screening, Bayerischer Landesbeauftragter für den Datenschutz, 29. Tätigkeitsbericht 2019, Nr. 7.3. [Zurück]
Näher Bayerischer Landesbeauftragter für den Datenschutz, 33. Tätigkeitsbericht 2023, Nr. 11.6. [Zurück]
Vertiefend dazu https://www.bfdi.bund.de/DE/Buerger/Privatwirtschaft/Post/Post_node.html. [Zurück]
Abrufbar unter https://www.bundesnetzagentur.de/DE/Vportal/Post/AufgabenMassnahmen/start.html. [Zurück]
Zur Basis-Sendungsverfolgung der Deutschen Post AG https://www.deutschepost.de/de/b/briefmarke-mit-matrixcode.html. [Zurück]
Zu Einschreiben und zur Zusatzleistung "Rückschein" am Beispiel der Deutschen Post AG https://www.deutschepost.de/de/e/einschreiben/haeufige-fragen.html. [Zurück]
Siehe für Geschäftskunden etwa Nr. 4 Allgemeine Geschäftsbedingungen DHL Paket/Express (National), Stand 4/2022, Internet: https://www.dhl.de/de/geschaeftskunden/paket/rund-um-den-versand/agb.html. [Zurück]