Dokumentenerfassung und die DSGVO: die Entscheidungen vor dem Start

Die meisten Teams behandeln den Scan-Schritt als Detail der Oberfläche: eine Kameraansicht, ein Zuschneide-Rahmen, ein sauberes Bild. Rechtlich ist es etwas anderes. Es ist der Moment, in dem aus einem Dokument personenbezogene Daten in Ihrem System werden — mit allem, was daran hängt, von der Rechtsgrundlage bis zur Löschung.

Es geht nicht darum, Dokumentenverarbeitung zu vermeiden. Es geht um die wenigen Entscheidungen, die jetzt günstig sind und später teuer werden. Wenn Sie ohnehin in der EU hosten, ist dies das praktische Gegenstück zu dieser Wahl.

Der Scan-Schritt ist eine Verarbeitung

In dem Moment, in dem ein Foto einer Rechnung, eines Lieferscheins oder eines Ausweises Ihre Server erreicht, verarbeiten Sie personenbezogene Daten, und Artikel 6 verlangt dafür eine Rechtsgrundlage. In der Praxis ist das meist die Vertragserfüllung (der Kunde hat Sie mit dem Dokument beauftragt) oder ein berechtigtes Interesse, seltener eine Einwilligung — die ist am leichtesten zu bekommen und am schwersten durchzuhalten, weil sie widerrufen werden kann.

Drei Pflichten kommen mit: alle drei sind Zurückhaltung.

• Zweckbindung — verarbeiten Sie das Dokument zu dem Zweck, den Sie dem Nutzer genannt haben, nicht für alles, wofür die Daten sonst noch taugen.
• Datenminimierung — wenn Sie vier Felder aus der Rechnung brauchen, brauchen Sie diese vier Felder und nicht für immer eine Kopie des Dokuments.
• Speicherbegrenzung — legen Sie vor dem ersten Upload fest, wie lange Sie das Bild behalten, nicht erst nach der ersten Anfrage.

Bei der Löschung werden Anbieter gern ungenau

„Sicher gespeichert" sagt nichts. Die nützlichen Fragen haben kurze Antworten:

• Wann genau wird das Bild gelöscht? „Nach der Verarbeitung" ist eine Zusage, auf die man einen Anbieter festnageln kann. „30 Tage zur Fehlersuche gespeichert" ist ein anderes Produkt — und kann in Ordnung sein, solange Sie es wissen.
• Gibt es eine Kopie in einem Protokoll, einer Warteschlange, einem Backup? Eine Löschung, die die Nutzdaten im Fehlerprotokoll zurücklässt, ist keine Löschung.
• Können Sie es belegen? Eine dokumentierte Aufbewahrungsregel und ein Auftragsverarbeitungsvertrag, den Sie Ihren eigenen Unterlagen beilegen können, sind mehr wert als ein Marketingsatz.

Auf unserer Seite: Uploads werden nicht gespeichert, das Bild wird nach der Verarbeitung gelöscht. Das ist eine Design-Entscheidung, keine Einstellung — und der Grund, warum wir die Frage oben in einem Satz beantworten können.

Die Unterlagen, auf die es wirklich ankommt

Wenn Sie für den Scan-Schritt eine API oder einen gehosteten Dienst nutzen, ist dieser Anbieter Ihr Auftragsverarbeiter, und Artikel 28 verlangt dafür einen Vertrag. Hinein gehört:

• Rollen — wer Verantwortlicher ist, wer Auftragsverarbeiter, und ob Unterauftragsverarbeiter existieren.
• Gegenstand und Dauer — was wird verarbeitet, wie lange.
• Technische und organisatorische Maßnahmen — Verschlüsselung bei der Übertragung, Zugriffskontrolle, Löschung. Artikel 32 verlangt dem Risiko angemessene Maßnahmen; „angemessen" muss also ausgefüllt werden.
• Unterstützungspflichten — Hilfe bei Betroffenenanfragen und bei Ihrer eigenen Rechenschaftspflicht.
• Übermittlungen — wenn etwas die EU verlässt, auf welcher Grundlage.

Ein Auftragsverarbeitungsvertrag, den Sie nicht finden können, ist schlechter als keiner, weil Sie trotzdem für das Vorhandensein verantwortlich sind. Unserer steht unter scankit.io/dpa, neben der Datenschutzerklärung, sodass er ohne Verkaufsgespräch zu Ihren Unterlagen kann.

Der Standort, in einem Absatz

Wo die Daten verarbeitet werden, zählt mehr als wo das Unternehmen gemeldet ist. Stehen die Server in der EU, entfällt die Übermittlungsfrage weitgehend; stehen sie es nicht, brauchen Sie einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Wir hosten in der EU und verarbeiten Bilder in der EU — deshalb steht das hier am Anfang und nicht in einer Fußnote.

Besondere Kategorien brauchen eine eigene Entscheidung

Manche Dokumente tragen mehr als Kontaktdaten: Gesundheitsakten, Ausweisdokumente, Gewerkschaftszugehörigkeit, biometrische Daten. Dann gilt Artikel 9, und die Hürde für eine Rechtsgrundlage ist höher. Drei praktische Regeln:

• Nicht senden, wenn es nicht sein muss. Ein Schritt, der eine Adresse ausliest, funktioniert oft über ein Formular statt über das Foto eines Ausweises.
• Den Weg verkürzen. Wenn es sein muss: in derselben Jurisdiktion verarbeiten, schneller löschen, den Zugriff auf die Beschränken, die ihn brauchen.
• Sagen, was passiert. Nutzer sind erkennbar eher bereit, ein Dokument zu fotografieren, wenn die Aufbewahrungsregel ein Satz ist, den sie lesen können.

Eine Liste, die Sie an einem Nachmittag abarbeiten

1. Zweck des Scan-Schritts und Rechtsgrundlage aufschreiben — je ein Satz.
2. Aufbewahrungsregel für das Rohbild aufschreiben und prüfen, ob sie umgesetzt ist und nicht nur beabsichtigt.
3. Auftragsverarbeitungsvertrag einholen und zu den Unterlagen legen.
4. Hosting- und Verarbeitungsstandorte notieren.
5. Verschlüsselung bei der Übertragung bestätigen, und im Ruhezustand, wenn Sie das Ergebnis auch speichern.
6. Prüfen, was Ihre Fehlerprotokolle behalten. Nutzdaten gehören nicht hinein.
7. Entscheiden, ob Artikel-9-Dokumente in den Ablauf dürfen, und wenn ja, wie sie anders behandelt werden.
8. Dem Nutzer einen sichtbaren Weg geben, nach seinem Dokument zu fragen.
9. Die Löschregel in Ihre eigenen Notizen schreiben, damit die nächste Person die Entscheidung erbt und nicht das Rätselraten.
10. Einmal im Jahr nachlesen. Die Regel kostet Minuten; sie später zu rekonstruieren kostet Tage.

Nichts davon verlangt für jede Zeile einen Anwalt. Es verlangt, die vier oder fünf Punkte oben zu entscheiden, bevor das erste echte Dokument ankommt, und sie dort aufzuschreiben, wo Ihr Team sie findet.