Keine Pflicht zur Ende-zu-Ende-Verschlüsselung

Das LG Karlsruhe (Urt. v. 20. Mai 2026, 8 O 266/25) hat entschieden, dass keine Pflicht zur Verwendung einer Ende-zu-Ende-Verschlüsselung im geschäftlichen E-Mail-Verkehr besteht, weder nach der DSGVO noch nach allgemeinen zivilrechtlichen Nebenpflichten, sofern keine besonderen Sicherheitsanforderungen vereinbart wurden.

Gegenstand des Klageverfahrens war die Lieferung von insgesamt 42 Feingoldbarren für einen Kaufpreis von 109.185,00 €. Der Käufer zahlte den Kaufpreis auf die ihm per E-Mail zugeschickten Kontodaten. Es stellte sich heraus, dass dem Käufer eine manipulierte Rechnung per E-Mail zugeschickt wurde. Das Geld ist nie beim Verkäufer angekommen. Er fordert weiter die Zahlung. Der Käufer ist der Ansicht, der Verkäufer sei für die Fehlüberweisung verantwortlich, da er die Rechnungen nicht verschlüsselt versendet und diese so manipuliert werden konnten.

Das LG stellte klar, dass durch die Zahlung an das falsche Konto keine Erfüllung eingetreten ist, sodass die Käufer zur Leistung des Kaufpreises nach wie vor verpflichtet ist.

Der Verkäufer hat auch nicht seine Nebenpflichten aus dem Kaufvertrag verletzt, da die Rechnung nicht Ende-zu-Ende verschlüsselt versendet wurde. Der Verkäufer war bei Übersendung der Rechnung vertraglich nicht dazu verpflichtet, eine Ende-zu-Ende-Verschlüsselung zu verwenden, um einem entsprechenden Missbrauch vorzubeugen. Konkrete gesetzliche Vorgaben für Sicherheitsvorkehrungen beim Versand von E-Mails im geschäftlichen Verkehr gibt es nicht. Welches Maß an Sicherheitsvorkehrungen zu treffen sind, bestimmt sich daher nach den berechtigten Sicherheitserwartungen des Verkehrs unter Berücksichtigung der Zumutbarkeit.

Auch ein Schadensersatzanspruch aus Art. 82 DSGVO besteht nicht, da der sachliche Anwendungsbereich der DSGVO nicht eröffnet ist: Es wurden nicht personenbezogene Daten des Käufers, sondern lediglich die Bankverbindung des Verkäufers manipuliert.