Dokumentenverarbeitung: Datenschutz, Löschung und Zugriffe

Einen Beleg verfolgen. Verfolgen Sie einen typischen Beleg vom Postfach bis zur Ablage im Zielsystem. Neben dem Original entstehen häufig Vorschaubilder, OCR-Text, strukturierte Felder, Aufgaben, E-Mails und technische Protokolle. Jedes dieser Objekte kann personenbezogene Daten enthalten. Eine Löschregel, die nur das ursprüngliche PDF berücksichtigt, ist deshalb unvollständig.

Jeden Übergang festhalten. Zeichnen Sie für jeden Übergang auf, welches System sendet, welches empfängt, warum die Übertragung nötig ist und wie lange die jeweilige Kopie gebraucht wird. Ergänzen Sie Administratorzugriffe, Supportzugänge und Sicherungen. Die Datenbewegung ist auch dann relevant, wenn sie innerhalb einer scheinbar einheitlichen Benutzeroberfläche stattfindet.

Ein hilfreicher Start ist eine Tabelle zum Datenfluss der Dokumentenverarbeitung mit sechs Spalten:

• Datenobjekt
• Zweck
• Speicherort
• zugriffsberechtigte Rolle
• Dienstleister
• Löschereignis

Die Tabelle soll den tatsächlichen Betrieb beschreiben. Ungeklärte Felder sind Arbeitsaufträge an die Verantwortlichen und keine Lücken, die man mit allgemeinen Marketingaussagen füllen sollte.

Testdaten

Halten Sie außerdem fest, wie Testdaten ausgewählt werden. Eine produktive Rechnung, die in ein Demonstrationskonto kopiert wird, schafft einen weiteren Verarbeitungskontext. Bevorzugen Sie synthetische oder entsprechend aufbereitete Beispiele, bis die vorgesehene Testumgebung und die Zugriffsregelungen freigegeben sind.

Grundsätze und Artikel. Für personenbezogene Daten gelten im Anwendungsbereich der DSGVO unter anderem Zweckbindung, Datenminimierung und Speicherbegrenzung. Weitere zentrale Prüfbereiche sind Rechtsgrundlage, Auftragsverarbeitung, Sicherheit und gegebenenfalls Drittlandübermittlung oder Datenschutz-Folgenabschätzung. Maßgeblich sind insbesondere Artikel 5, 6, 28, 32, 35 und 44 ff. Offizieller Text der DSGVO.

Keine einheitliche Rechtsgrundlage. Daraus folgt keine einheitliche Rechtsgrundlage für jedes OCR-Projekt. Eine Buchhaltungsrechnung, eine Personalakte und eine medizinische Unterlage haben unterschiedliche Zwecke und Risiken. Die zuständige Organisation muss den konkreten Fall beurteilen. Einwilligung ist ebenfalls kein universeller Ersatz für diese Einordnung.

Fachleute früh einbeziehen. Beziehen Sie Fachbereich und Datenschutzverantwortliche früh ein. Besondere Kategorien personenbezogener Daten oder berufsrechtliche Verschwiegenheit können zusätzliche Anforderungen auslösen. Dieser Leitfaden dient der technischen und organisatorischen Vorbereitung; er bescheinigt keine Zulässigkeit eines individuellen Verfahrens.

Schweizer Recht gilt auch für KI. In der Schweiz ist das Datenschutzgesetz auch auf KI-gestützte Bearbeitung anwendbar. Der EDÖB betont dies ausdrücklich. EDÖB: KI und Datenschutz. Übernehmen Sie deshalb weder deutsche Bezeichnungen noch eine DSGVO-Checkliste ungeprüft als vollständige Schweizer Bewertung.

Auslagerung überträgt keine Verantwortung. Der EDÖB erläutert außerdem, dass die Verantwortung bei einer Auslagerung nicht einfach auf den Cloud-Anbieter übergeht. EDÖB: Datenbearbeitungen in der Cloud. Klären Sie insbesondere den tatsächlichen Bearbeitungsumfang und welche weiteren Anbieter beteiligt sind. Bei grenzüberschreitenden Vorgängen können mehrere Regelwerke zu berücksichtigen sein.

Dieselbe praktische Transparenz. Praktisch sollten Schweizer Betriebe dieselbe technische Transparenz verlangen: Welche Daten verlassen den eigenen Bereich, welche Personen können sie einsehen und wie werden Auskunft, Berichtigung und Löschung unterstützt? Die rechtliche Bewertung erfolgt anhand des konkreten Sachverhalts, nicht anhand des Herkunftslands eines Produktnamens.

Prüfen Sie Antworten für den konkreten Tarif, die verwendete API und Region. Eine Aussage zu einem Unternehmensprodukt gilt nicht automatisch für ein kostenloses Chatkonto desselben Anbieters. Ebenso sind „keine Nutzung zum Modelltraining“ und „keine Speicherung“ unterschiedliche Eigenschaften.

Diese sechs Fragen helfen, einen OCR-, KI- oder Integrationsanbieter zu beurteilen, jeweils mit dem passenden Nachweis:

Übersetzen Sie Zusagen in Einstellungen und Nachweise. Ist eine vorübergehende Speicherung konfigurierbar, halten Sie den gewählten Wert fest. Erfordert ein Supportzugriff die Zustimmung des Kunden, klären Sie, wer sie erteilen kann und wie dieser Zugriff protokolliert wird. Erst dadurch wird die Bewertung für den Betrieb nützlich.

Erster Entwurf. Ein Unternehmen möchte Rechnungen aus einem gemeinsamen Postfach auslesen. Im ersten Entwurf werden das gesamte E-Mail-Postfach synchronisiert, PDF-Dateien an einen Erkennungsdienst gesendet und alle Antworten vollständig in einem Diagnoseprotokoll gespeichert. Zusätzlich erhält ein allgemeiner Teamkanal Kopien zur Prüfung.

Überarbeiteter Entwurf. Die Überarbeitung begrenzt den Eingang auf das Rechnungsfach. Die Integration übernimmt nur benötigte Anhänge und eine Referenz zur Nachricht. Die Prüfansicht verlinkt die kontrollierte Ablage, statt eine weitere Kopie in einen breit zugänglichen Kanal zu senden. Das Diagnoseprotokoll enthält Status und Vorgangskennung; Beleginhalte werden nur bei einem begründeten, begrenzten Fehleranalysefall zugänglich gemacht.

Was das Beispiel zeigt. Dieses erfundene Beispiel zeigt Datenminimierung als konkrete Designentscheidung. Es behauptet keine vollständige rechtliche Zulässigkeit. Die verbleibende Verarbeitung muss weiterhin begründet, vertraglich eingeordnet und angemessen geschützt werden. Weniger Kopien erleichtern jedoch Rechteprüfung und spätere Löschung.

Unterschiedliche Objekte. Nicht jedes Datenobjekt benötigt dieselbe Frist. Das aufzubewahrende Geschäftsoriginal, eine kurzlebige Modellantwort und ein technisches Diagnoseprotokoll erfüllen unterschiedliche Zwecke. Definieren Sie daher je Objekt den Auslöser und die zuständige Person für Löschung oder weitere Aufbewahrung. Gesetzliche Aufbewahrungspflichten und besondere Sperrgründe müssen fachlich geprüft werden.

Löschung testen. Testen Sie die Löschung mit einem freigegebenen Testvorgang. Suchen Sie anschließend in Ablage, Suchindex, Prüfliste und Integration nach verbliebenen Kopien. Dokumentieren Sie, wie Sicherungen behandelt werden und wie wiederhergestellte Daten erneut den vorgesehenen Regeln unterliegen. Eine Schaltfläche „Löschen“ beweist nicht, dass der gesamte Datenfluss berücksichtigt ist.

Vor dem Start. Für den Start sollten Datenfluss, Verantwortlichkeiten, Verträge, Rollen und Löschregeln freigegeben sein. Wiederholen Sie die Prüfung, wenn ein neues Modell, ein weiterer Dienstleister oder eine andere Dokumentart hinzukommt. Datenschutz wird damit zu einem überprüfbaren Bestandteil des Betriebs, der mit dem tatsächlichen Workflow Schritt hält.

Diese Leitfäden und Leistungsseiten behandeln die Entscheidungen rund um den Datenschutz in der Dokumentenverarbeitung:

• KI-Dokumentenverarbeitung: vom Eingang bis zur Freigabe
• Outlook-Anhänge automatisch in SharePoint ablegen
• Vertragsdaten auslesen: Fristen und Felder mit Quellenbezug
• KI-Verordnung für KMU: konkrete Nutzung und Pflichten prüfen

Für eine konkrete Ablaufprüfung reichen zunächst eine Prozessbeschreibung, die beteiligten Systeme und typische Ausnahmen. Mit modernagents besprechen.