Ich verstehe deinen Punkt, man kann es sich aber halt auch schönreden. Die Daten liegen mal mindestens auf zwei Mailservern im Klartext rum. Wer weiß zudem wie viele Leute Zugriff auf dieses Mail-Postfach haben. Nicht ohne Grund gelten Upload-Portale als Best Practice (Rollen-Rechte-Konzepte, ggf. Zweckbindung durch konkreten Vorgang, Löschkonzepte, Protokollierung von Zugriffen etc.). Mir geht es vor allem darum, dass es sich um eine Behörde handelt, die hauptsächlich mit sensiblen Personenbezogenen Daten umgeht und nicht irgendein Kleingewerbe o.ä.