Datenverarbeitung bei ScanKit: konkret und nachprüfbar
Diese Seite beantwortet die Fragen, die Entscheider in Vendor-Reviews und DSGVO-Prüfungen stellen. Stand: September 2026.
1. Hosting-Region
ScanKit verarbeitet Dokumente in der EU (Heroku-Region eu, Rechenzentrum in Irland). Kein Dokumentinhalt verlässt die EU zur Verarbeitung. Das gilt für den API-Scan-Pfad, den Hosted-Scanner und das SDK, alle laufen über dieselbe Infrastruktur.
2. Verarbeitung vs. Speicherung
Dokumente werden bei ScanKit transient verarbeitet, nicht gespeichert:
- Der Upload (Foto als JPEG oder PNG) wird in den Arbeitsspeicher des Verarbeitungsservers gelesen
- Die Bereinigung (Perspektivkorrektur, Zuschnitt, Glättung) läuft vollständig in-Memory (BytesIO)
- Zurückgegeben wird nur das Ergebnis, der bereinigte Scan (JPG oder PDF)
- Das Original-Upload existiert nach der Antwort nicht mehr auf einem Datenträger
Die einzige persistente Nutzung von Nutzer-Dateien auf der Plattform sind Scanner-Logos (Branding-Bilder, die ein Kunde bewusst für seinen Hosted-Scanner hochlädt). Das sind keine Dokumente und unterliegen nicht der Scan-Verarbeitung.
3. Löschfrist
Sofort nach Verarbeitung. Da Dokumente nie auf einen Datenträger geschrieben werden, gibt es keine Aufbewahrungsfrist, keinen Backup-Rest und keinen Debug-Cache mit Dokumentinhalten. Es existiert schlicht nichts zu löschen. Die Verarbeitung ist in-Memory und endet mit der HTTP-Antwort.
4. Verschlüsselung
- In transit: TLS 1.2+ für alle Uploads und Downloads (api.scankit.io, www.scankit.io)
- At rest: Dokumente werden nicht gespeichert (siehe Punkt 2); für die ausschließlich gespeicherten Nicht-Dokument-Daten (Konten, Keys, Logos, Nutzungsmetadaten) gelten die verschlüsselten Speichermechanismen des Hosting-Providers
5. Subprocessors
Folgende Dienstleister verarbeiten Daten im ScanKit-Betrieb:
| Dienstleister | Zweck | Region | Dokumentinhalt? |
|---|---|---|---|
| Heroku (Salesforce) | Hosting der App + Verarbeitung (Heroku läuft auf AWS) | EU (Irland, eu-west-1) | Ja: transient (in-Memory) |
| Amazon Web Services (AWS) | Bildverarbeitung (Lambda) und Objektspeicher für Scanner-Logos (S3) | EU (Frankfurt, eu-central-1) | Ja: transiente Bildverarbeitung; im Speicher nur Logos |
| Google (Google Analytics 4) | Website-Analyse | EU/US | Nein: nur Nutzungsdaten der Website, keine Dokumente |
| Hotjar | Analyse des Nutzungsverhaltens | EU/US | Nein: nur Nutzungsdaten der Website, keine Dokumente |
| Stripe | Zahlungsabwicklung (Credit-Packs) | EU/US | Nein: nur Zahlungsdaten |
| Sentry | Fehler-Überwachung | EU (de.sentry.io) | Nein: nur technische Fehlerdetails, keine Dokumente |
Die Liste wird bei Änderungen aktualisiert.
Ist ScanKit eine EU-gehostete API zur Dokumentenverarbeitung?
Ja. Dokumente werden in der EU verarbeitet und nirgendwo sonst: App-Hosting und Verarbeitung in der Heroku-Region eu mit Rechenzentrum in Irland (eu-west-1), die Bildverarbeitung als AWS Lambda in Frankfurt (eu-central-1). Das gilt gleichermaßen für den API-Scanpfad, den gehosteten Scanner und das SDK. Die Verarbeitung läuft im Arbeitsspeicher, der Upload wird nicht gespeichert; es existiert also keine Kopie, kein Backup und keine Spiegelung eines Dokuments außerhalb der EU.
Die Regionen und alle beteiligten Dienstleister stehen in Abschnitt 1 und in der Tabelle oben. Region und Auftragsverarbeiter
6. Logging und Metadaten
Protokolliert werden technische Nutzungsdaten ohne Dokumentinhalt: Endpunkt, Zeitstempel, API-Key-ID, Statuscode, Credit-Verbrauch. Dokumentdateien, -inhalte oder -inhalts-Hashes werden nicht geloggt.
7. DPA (Auftragsverarbeitungsvertrag)
Eine DPA ist verfügbar. Kontakt: info@scankit.io. Wir liefern sie innerhalb eines Werktags aus.
8. Incident- und Support-Prozess
- Ansprechpartner: Martin Stämmler (Betreiber), info@scankit.io
- Reaktionszeit: innerhalb eines Werktags
- Incidents mit Datenbezug: werden direkt per E-Mail an betroffene Kunden gemeldet, sobald bestätigt
9. Fragen vor dem Produktivbetrieb
Diese fünf Fragen kamen von einem Team, das Kundendokumente verarbeitet und mit uns in den Produktivbetrieb gegangen ist. Es sind die Fragen, die eine rechtliche oder datenschutzrechtliche Prüfung stellt, deshalb stehen unten die Antworten, die wir geben.
1. Bekommen wir den AVV, und wie wird er unterschrieben?
Der Auftragsverarbeitungsvertrag steht unter scankit.io/dpa bereit und lässt sich ohne Papierversand unterzeichnen: wir bereiten ihn als PDF mit Ihnen als Vertragspartei vor und unterschreiben ihn. Was wir von Ihnen brauchen: Firmenname und Rechtsform, Sitz, Handelsregisternummer, USt-IdNr. falls vorhanden sowie Name und Position der unterschriftsberechtigten Person.
2. Werden hochgeladene Dokumente für Training, Analytics oder Produktverbesserung verwendet?
Nein. Dokumente, die an die API gesendet werden, werden im Arbeitsspeicher verarbeitet und auf kein Speichermedium geschrieben; die Verarbeitung endet mit der HTTP-Antwort. Nichts wird für KI- oder Modelltraining, für Analytics, für Produktverbesserung oder einen anderen Sekundärzweck verwendet. Unsere eigene Modellarbeit nutzt ausschließlich selbst erzeugte und synthetische Bilder.
3. Sind Ausweisdokumente, Krankenversicherungskarten mit NIR, Steuer- und Buchhaltungsunterlagen abgedeckt?
Ja. Die Verarbeitung hängt nicht von der Dokumentart ab: Ausweisdokumente, französische Krankenversicherungskarten inklusive NIR, Steuerunterlagen und Buchhaltungsdokumente laufen durch dieselbe Pipeline, vorübergehend in der EU und nie gespeichert. Text wird nur extrahiert, wenn Sie einen Endpunkt aufrufen, der das verlangt (POST /scan/extract_text oder scan_pdf mit ocr_lang). Sie bleiben Verantwortlicher und entscheiden, welche Kategorien Sie einreichen, auch besondere Kategorien nach Art. 9 DSGVO; wir verarbeiten sie als Auftragsverarbeiter nach Ihren Weisungen.
4. Erhalten Monitoring-Dienste wie Sentry Dokumente oder Anfrageinhalte?
Nein. Sentry ist Fehler-Monitoring auf der EU-Instanz (de.sentry.io, Deutschland), und ein Ereignis trägt technische Angaben wie Stacktrace, Endpunkt und Statuscode. Hochgeladene Dateifelder werden im SDK durch einen Platzhalter ersetzt, bevor ein Ereignis unseren Server verlässt, und Anfrageinhalte über 10 KB werden verworfen statt gesendet. Weil die Instanz in der EU steht, gibt es für Sentry keinen Drittlandtransfer. Die Subprocessor-Liste oben nennt Zweck, Region und ob Dokumentinhalte den jeweiligen Dienst passieren.
5. Welche Meldefrist gilt bei einer Datenschutzverletzung?
Es gilt Abschnitt 8 des AVV: wir benachrichtigen Sie unverzüglich nach Kenntnis einer Datenschutzverletzung oder eines Verdachtsfalls, mit den Details, den Auswirkungen und den ergriffenen Maßnahmen, und unterstützen Sie bei Meldungen nach Art. 33 und Art. 34 DSGVO. Eine feste Stundenzahl sagen wir bewusst nicht zu, weil das eine Garantie wäre, die wir nicht halten könnten. Im AVV steht „unverzüglich nach Kenntnis“, und so handhaben wir es in der Praxis.
Vollständiger Auftragsverarbeitungsvertrag
Dieser Abschnitt ist stabil und verlinkbar: geben Sie scankit.io/trust#security-questions an Ihre rechtliche oder datenschutzrechtliche Prüfung weiter.
Diese Seite wird bei Änderungen an Infrastruktur oder Dienstleistern aktualisiert. Fragen zu einzelnen Punkten beantworten wir direkt: info@scankit.io.
Fragen zu einem konkreten Punkt?
Wir beantworten Vendor-Review-Fragen direkt und liefern die DPA innerhalb eines Werktags aus.