DSGVO-Konformität ist kein Kästchen, das man einmal abhakt. Es ist eine laufende Gewohnheit im Umgang damit, wie personenbezogene Daten – auch solche, die in ganz gewöhnlichen Geschäftsdokumenten wie Rechnungen, Verträgen oder Personalunterlagen auftauchen – erfasst, gespeichert, weitergegeben und schließlich gelöscht werden. Diese Checkliste behandelt die dokumentenbezogene Seite dieser Arbeit: die praktischen Fragen, die sich für Ihr tägliches Archiv lohnen – unabhängig von einer bestimmten Software.
Allgemeine Information versus Produktverhalten: Die folgenden Punkte beschreiben, worüber die DSGVO (öffnet eine externe Seite) – Verordnung (EU) 2016/679 – Organisationen nachdenken lässt. Wo Paperplanes eigene Funktionen zu einem Punkt passen, ist das gesondert und ausdrücklich gekennzeichnet, damit klar bleibt, was rechtlicher Hintergrund und was Produkteigenschaft ist.
1. Personenbezogene Daten in Ihren Dokumenten kennen
Die meisten Organisationen unterschätzen, wie viele personenbezogene Daten in ganz normalen Dokumenten stecken: Namen und Adressen auf Rechnungen, Bankdaten in Verträgen, Gesundheitsdaten in Personalakten, Unterschriften auf Formularen. Die Datenschutzgrundsätze der DSGVO – darunter Datenminimierung und Zweckbindung – gelten für diese Daten genauso wie für eine strukturierte Datenbank. Beginnen Sie damit, herauszufinden, welche Dokumenttypen in Ihrem Archiv typischerweise personenbezogene Daten enthalten, statt anzunehmen, dass nur Ihr CRM- oder HR-System zählt.
2. Rechtsgrundlage und Zweck festlegen
Die Verarbeitung personenbezogener Daten nach der DSGVO setzt eine Rechtsgrundlage voraus (etwa einen Vertrag, eine rechtliche Verpflichtung oder ein berechtigtes Interesse) sowie einen festgelegten Zweck. Für Dokumentenarchive bedeutet das meist: Eine Rechnung wird aufbewahrt, weil das Steuerrecht es verlangt, ein unterschriebener Vertrag, weil er eine Vereinbarung dokumentiert – nicht „weil es vielleicht einmal nützlich sein könnte“. Dokumentieren Sie, warum jede größere Dokumentenkategorie aufbewahrt wird – das erleichtert spätere Entscheidungen über Aufbewahrung und Löschung erheblich.
3. Aufbewahrungsfristen festlegen – und einhalten
Die DSGVO verlangt, dass personenbezogene Daten nicht länger aufbewahrt werden, als für den Zweck ihrer Erhebung notwendig ist (Grundsatz der Speicherbegrenzung). In der Praxis bedeutet das: Aufbewahrungsfristen pro Dokumenttyp festlegen (Geschäftskorrespondenz, steuerrelevante Unterlagen, Personalakten) und Dokumente nach Ablauf dieser Fristen tatsächlich löschen oder aus dem aktiven Archiv entfernen, statt alles unbegrenzt „sicherheitshalber“ zu sammeln. Die konkreten Aufbewahrungsfristen ergeben sich oft aus anderen Gesetzen (Steuerrecht, Arbeitsrecht, Unternehmensrecht), die mit der DSGVO zusammenwirken, sie aber nicht ersetzen – eine allgemeine Checkliste kann Ihnen nicht die genaue Anzahl an Jahren für Ihre Rechtsordnung und Ihren Dokumenttyp nennen, das müssen Sie für Ihren konkreten Fall klären.
4. Kontrollieren, wer auf welche Dokumente zugreifen kann
Der Zugriff sollte auf Personen beschränkt sein, die ihn für einen legitimen Zweck benötigen – eine naheliegende Anwendung des Datenminimierungsgrundsatzes der DSGVO auf interne Zugriffe, nicht nur auf externe Weitergabe. Praktische Prüffragen: Werden Zugriffsrechte ausgeschiedener Mitarbeiter tatsächlich entzogen? Kann jeder im Unternehmen HR- oder Gehaltsordner öffnen? Sind Kundendaten für Personen sichtbar, die nicht mit diesem Kunden arbeiten?
Wo Paperplane ansetzt: Dokumente, die mit Personen außerhalb Ihres Workspace geteilt werden, gehen über schreibgeschützte Freigabelinks hinaus, die Sie jederzeit widerrufen können, nicht über offene Ordner oder E-Mail-Anhänge. Ein Link kann für alle mit dem Link gelten (optional mit Passwort), auf bestimmte E-Mail-Empfänger:innen beschränkt sein, die sich mit einem Einmalcode bestätigen, oder auf Personen in Ihrem Workspace. Innerhalb des Workspace schränken Rollen (Mitglied, Administrator) und Zugriffsgruppen ein, wer ein bestimmtes Dokument öffnen kann, ohne dass Sie diese Kontrolle selbst bauen müssen.
5. Auf Betroffenenanfragen vorbereitet sein
Die DSGVO gibt Einzelpersonen Rechte, darunter Auskunft, Berichtigung und Löschung ihrer personenbezogenen Daten. Fragt jemand „welche Dokumente haben Sie über mich“, braucht Ihre Organisation eine realistische Möglichkeit, Dokumente zu finden und herauszugeben (oder zu löschen), die diese Person betreffen – nicht nur strukturierte Datenbankeinträge. Ein Dokumentenarchiv mit echter Volltextsuche macht das erheblich praktikabler, als Ordnernamen zu durchsuchen und zu hoffen.
6. Dokumente absichern, ohne zu viel zu versprechen
Angemessene technische und organisatorische Sicherheitsmaßnahmen sind eine DSGVO-Anforderung, aber die Details (Verschlüsselungsstandards, Schlüsselverwaltung, Speicherort, Zertifizierungen) sind Umsetzungsdetails, die je nach Anbieter und Bereitstellung variieren. Fragen Sie jeden Dokumentenmanagement-Anbieter direkt, was er zu Verschlüsselung, Backups und Speicherort belegen kann – akzeptieren Sie keine vage Beruhigung und nehmen Sie kein Feature an, nur weil es plausibel klingt. Paperplane stellt sich nicht als DSGVO-zertifiziert dar, und kein Softwareanbieter kann eine Organisation allein DSGVO-konform machen – Compliance ist eine organisatorische Verantwortung, die Software unterstützen, aber nicht ersetzen kann.
7. Auftragsverarbeiter im Blick behalten
Wenn ein Dokumentenmanagement-Anbieter (oder seine Schnittstellen, sein Hosting oder seine KI-Funktionen) andere Unternehmen einbindet, die Daten in Ihrem Auftrag verarbeiten, verlangt die DSGVO, dass dies unter geeigneten Verträgen geschieht und dass Sie Einsicht haben, wer diese Auftragsverarbeiter sind. Fragen Sie Ihren Anbieter danach, statt anzunehmen, das gelte nicht, weil das Produkt „ja nur Dateien speichert“.
8. Vorgänge bei sensiblen Dokumenten protokollieren
Nachweisen zu können, wann ein Dokument aufgerufen, geteilt oder unterschrieben wurde – und von wem – unterstützt sowohl die Rechenschaftspflicht (einen zentralen DSGVO-Grundsatz) als auch Ihre eigene Fähigkeit, einen Vorfall zu untersuchen. Signaturanfragen und Freigabelinks mit einem Statusverlauf sind hier besonders nützlich, weil sie diese Nachvollziehbarkeit ohne zusätzliche manuelle Protokollierung schaffen.
9. Für den Ernstfall planen, nicht nur für die Vorbeugung
Die DSGVO verlangt, bestimmte Verletzungen des Schutzes personenbezogener Daten innerhalb strenger Fristen den Aufsichtsbehörden zu melden, mitunter auch betroffene Personen direkt zu informieren. Eine Checkliste zum Dokumentenumgang sollte enthalten: Wer wird intern informiert, wenn ein Freigabelink oder ein Konto kompromittiert wird, und wie schnell könnten Sie feststellen, welche Dokumente betroffen waren?
10. Diese Checkliste regelmäßig überprüfen
Aufbewahrungsbedarf, Teamstruktur und eingesetzte Werkzeuge ändern sich. Eine Checkliste, die einmal beim Onboarding geprüft und danach nie wieder angeschaut wird, verliert mit der Zeit an Relevanz. Überprüfen Sie sie mindestens jährlich oder immer dann, wenn Sie Ihr Dokumentenmanagement-Tool wechseln oder eine neue Schnittstelle anbinden.
Hinweis: keine Rechtsberatung
Diese Checkliste fasst allgemeine DSGVO-Konzepte für den Dokumentenumgang zusammen und ist keine Rechtsberatung. Sie berücksichtigt weder Ihre konkrete Branche noch Ihre Rechtsordnung, Ihre Verträge oder Ihr Risikoprofil. Für eine verbindliche Einschätzung Ihrer Pflichten wenden Sie sich an eine qualifizierte Datenschutzfachperson oder Rechtsberatung, und beachten Sie den vollständigen Verordnungstext (öffnet eine externe Seite) sowie die Datenschutz-Informationen der Europäischen Kommission (öffnet eine externe Seite) für den aktuellen amtlichen Wortlaut.