Warum EU-Hosting bei der Dokumentenverarbeitung zählt (DSGVO für Entwickler erklärt)
Ihre Nutzer laden Dokumente in Ihre App hoch: Rechnungen, Verträge, Ausweise, Krankenakten. Bevor Sie einen Dokumentenverarbeitungsschritt hinzufügen, ist die Frage, wo diese Verarbeitung stattfindet, keine Fußnote — sie ist eine Design-Entscheidung mit rechtlichen Folgen.
Wenn Ihre App EU-Kunden bedient, gilt die DSGVO für Sie unabhängig davon, wo Ihr Unternehmen registriert ist. Und wenn Sie Kundendokumente an einen Drittanbieter zur Verarbeitung senden, ist dieser Anbieter ein Auftragsverarbeiter im Sinne der DSGVO — mit Pflichten, und mit Ihnen als Verantwortlichem, der weiterhin haftet.
Was die DSGVO für die Dokumentenverarbeitung tatsächlich verlangt
Die Verordnung verbietet die Verarbeitung außerhalb der EU nicht. Sie setzt Bedingungen. Für die Dokumentenverarbeitung sind in der Praxis drei Dinge wichtig:
- Rechtsgrundlage und Zweck — Sie müssen eine Rechtsgrundlage für die Verarbeitung des Dokuments haben (Vertrag, Einwilligung, rechtliche Verpflichtung) und dem Nutzer mitteilen, was damit geschieht
- Datenminimierung — verarbeiten Sie nur, was Sie brauchen; bewahren Sie das Rohfoto nicht länger auf als nötig
- Angemessene Garantien für Übermittlungen — wenn Daten die EU verlassen, brauchen Sie einen Angemessenheitsbeschluss, Standardvertragsklauseln oder gleichwertige Garantien
Für einen Scan-Schritt ist die praktische Lesart einfach: Je weniger das Dokument bewegt wird, desto weniger Pflichten entstehen. Wenn der Scan in der EU stattfindet und der Roh-Upload nach der Verarbeitung gelöscht wird, haben Sie sowohl die Daten als auch die Übermittlungsfläche minimiert.
Was Sie einen Dokumentenverarbeitungs-Anbieter fragen sollten
Ob Sie den Scan-Schritt selbst bauen oder eine API nutzen — dieselben Fragen gelten:
- Wo wird verarbeitet? Nicht wo das Unternehmen registriert ist — wo die Server die Daten verarbeiten. EU-Hosting bedeutet keine internationale Übermittlung für diesen Schritt.
- Was wird verschlüsselt, und wo? Bei der Übertragung ist der Standard (TLS). Wenn der Anbieter auch im Ruhezustand verschlüsselt und zeitnah löscht, umso besser.
- Wann wird das Dokument gelöscht? „Nach der Verarbeitung gelöscht" ist eine starke Zusage; „30 Tage zu Debugging-Zwecken gespeichert" ist eine andere. Fragen Sie, und lesen Sie die Antwort.
- Sind Sie Verantwortlicher oder Auftragsverarbeiter? Sie brauchen den Anbieter als Auftragsverarbeiter, der nach Ihren Weisungen handelt — idealerweise mit verfügbarer Auftragsverarbeitungsvereinbarung (AVV).
Das praktische Muster: in der EU scannen, die Rohdaten löschen
Ein Dokumenten-Scan-Schritt kann bewusst eng gefasst sein. Das Foto geht hinein, der bereinigte Scan kommt heraus, und nichts anderes wird aufbewahrt:
Upload (TLS) → Verarbeitung in der EU → bereinigter Scan zurück → Roh-Upload gelöscht
ScanKit ist auf genau dieses Muster gebaut: EU-Hosting, TLS bei der Übertragung, Löschung nach der Verarbeitung. Nur der bereinigte Scan verlässt die Anfrage — das Originalfoto wird nicht gespeichert, nicht protokolliert, nicht für Training genutzt. Damit ist der Scan-Schritt sicher vor OCR und Extraktion zu platzieren, auch für HR-Unterlagen, Verträge und Kundenausweise.
Das zählt am meisten in dokumentenintensiven Workflows: KYC-Onboarding, Kreditorenbuchhaltung, Außendienstberichte. In allen dreien ist das Dokument selbst das sensible Gut — und der Scan-Schritt ist der Punkt, an dem es am stärksten exponiert ist, weil hier aus einem Foto ein Dokument wird.
Bauen Sie die Checkliste in Ihre Architektur ein
- Wählen Sie EU-gehostete Komponenten für alles, was Dokumentinhalte berührt
- Speichern Sie nichts, was Sie nicht brauchen; machen Sie Löschung zum Standard, nicht zur Ausnahme
- Halten Sie den Scan-Schritt getrennt von der Extraktion, damit die Datenflüsse prüffähig sind
- Fragen Sie jeden Anbieter vor der Integration nach Hosting-Region, Aufbewahrung und AVV
Das Fazit: Die DSGVO macht Dokumentenverarbeitung nicht unmöglich — sie macht wo und wie Sie verarbeiten zur Design-Entscheidung. Ein EU-gehosteter Scan-Schritt, der den Roh-Upload löscht, minimiert Ihre Daten, Ihre Übermittlungsfläche und Ihre Compliance-Last — damit sich der Rest Ihrer Pipeline auf Extraktion, Automatisierung und Wachstum konzentrieren kann.
Probieren Sie den EU-gehosteten Scan-Schritt mit 50 kostenlosen Credits, ganz ohne Kreditkarte: kostenloses ScanKit-Konto erstellen.
Bereit, mit ScanKit zu starten?
Bauen Sie noch heute leistungsstarke Dokumentenscan-Funktionen in Ihre Anwendungen ein.