Die Datenschutz-Grundverordnung (DSGVO) ist die Datenschutzverordnung der Europäischen Union, die am 25. Mai 2018 in Kraft trat. Sie regelt, wie Organisationen personenbezogene Daten erheben, speichern, verarbeiten und weitergeben dürfen. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – darunter Namen, E-Mail-Adressen, Identifikationsnummern oder Standortdaten.

Ein neuer Mitarbeiter schickt seinen Reisepass-Scan per E-Mail an drei Kollegen. Ein Vertriebsleiter nimmt die Kundenliste mit nach Hause. Niemand möchte alte Projektordner löschen. Datenschutzprobleme beginnen nur selten mit einem Hackerangriff. Meistens entstehen sie, weil jemand seine Arbeit vor dem Wochenende einfach noch schnell erledigen möchte.

Die DSGVO schafft den rechtlichen Rahmen dafür, wie Unternehmen Dokumente mit personenbezogenen Daten verwalten müssen. Ich stelle dabei immer vier grundlegende Fragen:

• Wo befindet sich die Datei?
• Warum wird sie aufbewahrt?
• Wer darf darauf zugreifen?
• Wann muss sie gelöscht werden?

Schauen wir uns diese Fragen genauer an. Beachten Sie jedoch, dass je nach Land zusätzliche gesetzliche Anforderungen gelten können.

Was ist die DSGVO und warum betrifft sie das Dokumentenmanagement?

Die DSGVO ist das zentrale Datenschutzgesetz Europas. Ihr Unternehmen muss sich nicht innerhalb der Europäischen Union befinden, um von ihr betroffen zu sein. Bereits der Verkauf von Produkten oder Dienstleistungen an Personen in der EU oder das Nachverfolgen ihres Online-Verhaltens kann ausreichen, damit die Verordnung Anwendung findet.

Dokumente sind der Ort, an dem personenbezogene Daten tatsächlich gespeichert werden. Informationen zu einem einzigen Kunden können gleichzeitig in einem Vertrag, mehreren Rechnungen und einer unübersichtlichen E-Mail-Konversation vorkommen. Mitarbeiterdaten verteilen sich auf Bewerbungsunterlagen, Personalakten, Krankmeldungen und Leistungsbeurteilungen. Auch Papierdokumente fallen unter die DSGVO.

Die größte Herausforderung besteht darin, sämtliche Kopien im Blick zu behalten. Welche Version wurde freigegeben? Hat ein Mitarbeiter, der das Unternehmen bereits verlassen hat, noch Zugriff auf bestimmte Dateien? Gibt es überhaupt einen rechtmäßigen Grund, die Dokumente weiterhin aufzubewahren?

Der Umstieg auf ein elektronisches Dokumentenmanagementsystem (DMS) hilft dabei, dieses Chaos zu beseitigen. Dokumente werden zentral indexiert, lassen sich schnell durchsuchen und erhalten eindeutige Verantwortlichkeiten. Das ist deutlich effizienter, als in Ordnern mit Namen wie „Final_Version_2“ nach der richtigen Datei zu suchen.

Personenbezogene Daten in Unternehmensdokumenten verstehen

Personenbezogene Daten umfassen weit mehr als nur Namen oder E-Mail-Adressen. Auch IP-Adressen, Bankverbindungen, Gerätekennungen oder die Kommentare eines Vorgesetzten können Rückschlüsse auf eine bestimmte Person zulassen. Gesundheitsdaten oder biometrische Informationen zählen zu den besonderen Kategorien personenbezogener Daten und erfordern einen besonders hohen Schutz.

Verlassen Sie sich niemals auf Dateinamen. Hinter einer Datei mit dem Titel „Besprechungsnotizen“ können sich medizinische Informationen verbergen. Ein Lieferantenvertrag kann eine Privatadresse enthalten. Deshalb sollte jede Datei geprüft werden, bevor sie klassifiziert wird. Abteilungsbezeichnungen oder Dateinamen vermitteln oft ein falsches Bild – entscheidend ist immer der tatsächliche Inhalt.

Wie ein Dokumentenmanagementsystem (DMS) die DSGVO-Compliance unterstützt

Ein Dokumentenmanagementsystem (DMS) ist eine Software zur elektronischen Erfassung, Verwaltung, Nachverfolgung und Archivierung von Dokumenten. Es steuert Zugriffsrechte, dokumentiert Versionen und ermöglicht eine vollständige Nachvollziehbarkeit aller Änderungen. Idealerweise umfasst es außerdem Genehmigungsprozesse, Prüfintervalle und Audit-Protokolle in einer zentralen Ansicht.

Ein Dokumentenmanagementsystem schafft die technische Grundlage für eine nachhaltige DSGVO-Compliance. Mitarbeitende arbeiten mit einer zentralen, durchsuchbaren Version jedes Dokuments. Administratoren behalten den Überblick über Zugriffsrechte. Metadaten dokumentieren Verantwortliche, Verarbeitungszwecke und Überprüfungstermine.

Dennoch kann Software nicht selbst entscheiden, ob ein Dokument fünf Jahre lang aufbewahrt werden darf oder ob ein Sachbearbeiter Zugriff auf eine Personalbeschwerde erhalten sollte. Diese Entscheidungen treffen Menschen. Das System setzt die definierten Regeln um und dokumentiert alle Aktivitäten zuverlässig.

Wesentliche Anforderungen der DSGVO an das Dokumentenmanagement

Die DSGVO schreibt keine bestimmte Software oder Technologie vor. Stattdessen verlangt sie technische und organisatorische Maßnahmen, die dem jeweiligen Zweck, der Art der Daten und dem bestehenden Risiko angemessen sind. Für den täglichen Umgang mit Dokumenten bedeutet das, mehrere Schutzmaßnahmen miteinander zu kombinieren.

Keine dieser Maßnahmen ist für sich allein ausreichend. Zugriffsrechte verlieren ihren Wert, wenn Mitarbeitende Dateien auf privaten Geräten speichern. Audit-Protokolle helfen wenig, wenn sie niemand überprüft. Wirksame Dokumentensicherheit basiert auf klaren Verantwortlichkeiten, regelmäßigen Schulungen und einem erprobten Reaktionsplan für Sicherheitsvorfälle.

Richtlinien zur Datenaufbewahrung: Wie lange sollten Unternehmensdokumente gespeichert werden?

Sobald der ursprüngliche Zweck der Datenverarbeitung entfällt, sollten personenbezogene Daten gelöscht werden. Bevor jedoch eine Aufbewahrungsfrist festgelegt wird, müssen Dokumententyp sowie steuerliche, arbeitsrechtliche oder branchenspezifische Vorschriften berücksichtigt werden.

Mein Aufbewahrungsplan beantwortet für jeden Dokumententyp vier Fragen:

• Um welchen Datensatz handelt es sich?
• Warum wird er gespeichert?
• Welches Ereignis startet die Aufbewahrungsfrist?
• Was geschieht nach ihrem Ablauf?

Die Annahme, dass ein Dokument „vielleicht irgendwann noch nützlich sein könnte“, ist kein ausreichender Grund für seine Aufbewahrung.

Nach Ablauf der Aufbewahrungsfrist sollte eine Datenaufbewahrungsrichtlinie die automatische Löschung oder Anonymisierung personenbezogener Daten auslösen. Laufende Gerichtsverfahren oder behördliche Untersuchungen können eine Löschung jedoch vorübergehend aussetzen. In anderen Fällen werden Dokumente in ein eingeschränkt zugängliches Archiv verschoben. Dabei dürfen auch Sicherungskopien und Duplikate nicht außer Acht gelassen werden.

Automatisierte Aufbewahrungsregeln reduzieren den manuellen Aufwand erheblich. Dennoch sollten sie regelmäßig überprüft werden. Ändern sich gesetzliche Vorgaben oder interne Prozesse, muss auch der Aufbewahrungsplan entsprechend angepasst werden.

Betroffenenrechte: Löschung, Auskunft und Datenübertragbarkeit

Jede betroffene Person hat das Recht, Auskunft über ihre gespeicherten personenbezogenen Daten zu verlangen, unrichtige Daten berichtigen zu lassen, ihre Löschung zu beantragen oder ihre Daten in einem übertragbaren Format zu erhalten. Ein Auskunftsersuchen (Subject Access Request – SAR) muss in der Regel innerhalb eines Monats beantwortet werden. Bei besonders komplexen Fällen kann diese Frist verlängert werden, sofern die betroffene Person darüber informiert wird.

Das Recht auf Löschung bedeutet nicht automatisch, dass sämtliche Daten entfernt werden müssen. Gesetzliche Aufbewahrungspflichten oder laufende Rechtsstreitigkeiten können eine weitere Speicherung erforderlich machen. Das Recht auf Datenübertragbarkeit bezieht sich in erster Linie auf Daten, die die betroffene Person selbst bereitgestellt hat.

Ein ehemaliger Mitarbeiter kann beispielsweise in Gehaltsabrechnungen, E-Mails, Besprechungsnotizen und Personalbeschwerden auftauchen. Unternehmen müssen zunächst die Identität der anfragenden Person überprüfen, anschließend sämtliche relevanten Daten finden, die Rechte anderer Personen schützen, entscheiden, welche Informationen herausgegeben werden dürfen, und den gesamten Vorgang dokumentieren. Ein Dokumentenmanagementsystem erleichtert diesen Prozess erheblich – die endgültige Entscheidung bleibt jedoch Aufgabe qualifizierter Mitarbeitender.

Die Rolle des Datenschutzbeauftragten im Dokumentenmanagement

Ein Datenschutzbeauftragter (DSB) ist dafür verantwortlich, die Einhaltung der DSGVO zu überwachen und als Ansprechpartner für Aufsichtsbehörden zu fungieren. Nicht jedes Unternehmen benötigt einen Datenschutzbeauftragten. Ausschlaggebend sind insbesondere umfangreiche Überwachungstätigkeiten oder die Verarbeitung sensibler personenbezogener Daten.

Der Datenschutzbeauftragte überwacht den Umgang mit Dokumenten, die personenbezogene Daten enthalten, und stellt sicher, dass alle Prozesse den Anforderungen der DSGVO entsprechen. Er kann beispielsweise hinterfragen, warum Finanzunterlagen für alle Mitarbeitenden zugänglich sind oder weshalb Bewerbungsunterlagen übermäßig lange gespeichert werden. Um diese Aufgabe wirksam erfüllen zu können, muss die Rolle unabhängig sein und Missstände offen ansprechen dürfen.

Datenschutz-Folgenabschätzung (DPIA) durchführen

Eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment – DPIA) ist ein strukturierter Prozess zur Identifizierung, Bewertung und Minimierung von Datenschutzrisiken, bevor eine Verarbeitung mit hohem Risiko beginnt. Immer wenn ein neues Dokumentenmanagement oder ein Verarbeitungsprozess die Rechte und Freiheiten betroffener Personen erheblich beeinträchtigen könnte, ist eine Datenschutz-Folgenabschätzung erforderlich.

Angenommen, die Personalabteilung möchte alte Personalakten digitalisieren und die extrahierten Daten bei einem neuen Cloud-Anbieter speichern. Eine DPIA dokumentiert den Datenfluss, bewertet mögliche Risiken für betroffene Personen, prüft die Notwendigkeit der Verarbeitung und definiert geeignete Schutzmaßnahmen.

Eine Datenschutz-Folgenabschätzung ist kein einmaliger Vorgang. Ändern sich Technologie, Dienstleister oder Art der verarbeiteten Daten, sollte sie überprüft und aktualisiert werden. Dokumentieren Sie dabei nicht nur die getroffenen Maßnahmen, sondern auch die Gründe für Ihre Entscheidungen.

Einwilligungsmanagement und Dokumentation der Rechtsgrundlage

Für jede Verarbeitung personenbezogener Daten benötigen Unternehmen eine gültige Rechtsgrundlage. Artikel 6 der DSGVO nennt sechs mögliche Rechtsgrundlagen: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen. Für besondere Kategorien personenbezogener Daten ist zusätzlich eine Voraussetzung nach Artikel 9 erforderlich. Beruht die Verarbeitung auf einer Einwilligung, muss diese freiwillig, eindeutig, informiert und jederzeit widerrufbar sein. Vorausgewählte Kontrollkästchen oder versteckte Formulierungen reichen nicht aus.

Die gewählte Rechtsgrundlage sollte gemeinsam mit dem Verarbeitungszweck, dem Verantwortlichen und der Aufbewahrungsfrist dokumentiert werden. Eine Kundenliste, die ursprünglich zur Vertragsabwicklung erstellt wurde, darf nicht ohne Weiteres für Marketingzwecke verwendet werden.

Bewahren Sie Nachweise sorgfältig auf. Ein angekreuztes Kästchen ohne Datum oder dokumentierten Einwilligungstext genügt im Streitfall nicht als Beleg. Stützen Sie sich auf berechtigte Interessen, sollte auch die entsprechende Interessenabwägung dokumentiert werden.

Reaktion auf Datenschutzverletzungen: Die 72-Stunden-Regel

Stellen Sie sich vor, ein Laptop bleibt im Zug liegen, eine E-Mail wird versehentlich an den falschen Empfänger gesendet oder eine Datenbank wird irrtümlich überschrieben. Jeder dieser Vorfälle kann die Vertraulichkeit, Integrität oder Verfügbarkeit personenbezogener Daten beeinträchtigen.

Kommt es zu einer Datenschutzverletzung mit personenbezogenen Daten, verpflichtet die DSGVO Unternehmen dazu, die zuständige Aufsichtsbehörde innerhalb von 72 Stunden zu informieren – sofern voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Ist dieses Risiko hoch, müssen unter Umständen auch die betroffenen Personen unverzüglich benachrichtigt werden.

Ein gut eingerichtetes Dokumentenmanagementsystem erleichtert die Reaktion erheblich. Audit-Protokolle zeigen, wer auf eine Datei zugegriffen hat, Zugriffsrechte können sofort entzogen werden, und Dokumentenverantwortliche wissen, welche Informationen betroffen sind. Unternehmen sollten ihren Ablauf für Meldung, Eindämmung, Risikobewertung und Benachrichtigung regelmäßig testen.

Verzeichnis von Verarbeitungstätigkeiten (ROPA)

Das Verzeichnis von Verarbeitungstätigkeiten (Record of Processing Activities – ROPA) ist nach Artikel 30 DSGVO in vielen Fällen verpflichtend. Es dokumentiert unter anderem den Zweck der Verarbeitung, betroffene Personengruppen, Empfänger, internationale Datenübermittlungen, Aufbewahrungsfristen und technische Sicherheitsmaßnahmen. Die Ausnahmeregelung für kleine Unternehmen greift nur in wenigen Fällen, insbesondere nicht bei regelmäßiger oder risikoreicher Datenverarbeitung.

Ein häufiger Fehler besteht darin, das ROPA als rein formales Dokument zu behandeln, das nicht mit den tatsächlichen Arbeitsabläufen übereinstimmt.

Nutzen Sie den Lebenszyklus Ihrer Dokumente als Plausibilitätsprüfung. Er zeigt, welchen Weg ein Dokument von seiner Erstellung bis zur Löschung tatsächlich nimmt. Wird ein neuer Dienstleister eingesetzt, eine zusätzliche Anwendung eingeführt oder ein Arbeitsprozess verändert, muss auch das ROPA entsprechend aktualisiert werden. Fragen Sie anschließend die Mitarbeitenden, die täglich mit diesen Prozessen arbeiten, ob die Dokumentation der Realität entspricht.

Auswahl eines DSGVO-konformen Dokumentenmanagementsystems

Der Kauf einer Software allein garantiert noch keine DSGVO-Compliance. Entscheidend sind die richtige Konfiguration, klare Verträge und das Verhalten der Mitarbeitenden. Ein geeignetes Dokumentenmanagementsystem reduziert jedoch viele Risiken, die durch E-Mail-Anhänge oder unkontrollierte Netzwerkordner entstehen.

Bevor Sie sich für einen Anbieter entscheiden, sollten Sie unter anderem folgende Fragen stellen:

Führen Sie nach Möglichkeit keinen reinen Produktdemo-Termin durch, sondern einen Pilotbetrieb. Testen Sie die Suche nach den Daten einer einzelnen Person, entziehen Sie Zugriffsrechte, lösen Sie eine Aufbewahrungsregel aus, exportieren Sie Audit Protokolle und stellen Sie eine ältere Dokumentenversion wieder her. So werden Schwachstellen schnell sichtbar. Für Erinnerungen, Freigaben und regelmäßige Prüfungen kann Compliance-Automatisierung viele Aufgaben übernehmen – die Verantwortung für Entscheidungen bleibt jedoch immer beim Menschen.

Häufige Fehler im DSGVO-Dokumentenmanagement und wie Sie sie vermeiden

Der häufigste Fehler besteht darin, die Cloud als Allheilmittel zu betrachten. Wer ein unübersichtliches Dokumentenarchiv lediglich in die Cloud verschiebt, erhält am Ende lediglich ein unübersichtliches Cloud-Archiv. Analysieren Sie zunächst Ihre vorhandenen Dokumente, entscheiden Sie, welche aufbewahrt, geschützt oder gelöscht werden sollen, und digitalisieren Sie erst anschließend.

Ein weiteres Problem sind zu weit gefasste Zugriffsrechte. Was zunächst bequem erscheint, kann dazu führen, dass beispielsweise Zeitarbeitskräfte Zugriff auf sämtliche Lieferantenverträge erhalten. Starten Sie daher immer mit dem Prinzip der minimalen Berechtigung und erweitern Sie Zugriffe nur dort, wo sie tatsächlich erforderlich sind.

Auch eine Aufbewahrungsrichtlinie als PDF-Dokument genügt nicht. Jede Regel benötigt einen Verantwortlichen, einen klar definierten Auslöser, eine festgelegte Löschmethode sowie eine Regelung für Sicherungskopien. Beobachten Sie außerdem das tatsächliche Verhalten Ihrer Mitarbeitenden. Ist das freigegebene System zu kompliziert oder zu langsam, speichern viele Nutzer Dokumente wieder lokal. Ein einfacher und praxistauglicher Prozess ist meist deutlich sicherer als ein perfektes System, das niemand verwendet.

DSGVO-Bußgelder und Sanktionen bei Verstößen

Viele Unternehmen verbinden die DSGVO vor allem mit der bekannten Höchststrafe von 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Tatsächlich verfügen Datenschutzbehörden jedoch über weitere Maßnahmen. Sie können Unternehmen verwarnen, Änderungen anordnen oder bestimmte Verarbeitungstätigkeiten untersagen.

Wenn Sie Ihre DSGVO-Prozesse überprüfen, sollten Sie gleichzeitig auch Ihr Dokumentenmanagement bewerten. KORTO bietet eine sichere Dokumentenmanagement-Lösung, mit der Unternehmen ihre Dokumente zentral organisieren, sensible Informationen schützen und die DSGVO-Compliance unterstützen können – ohne unnötige Komplexität. Erfahren Sie, wie Korto Ihrem Unternehmen helfen kann, effizienter und datenschutzkonform zu arbeiten.