DSGVO: 5 Prüfungen vor dem Versand personenbezogener Daten

Ein gescannter Ausweis, eine Personalakte, eine Kundenliste: Sobald eine Datei Daten enthält, die eine Person identifizierbar machen, ist ihr Versand eine Verarbeitung personenbezogener Daten im Sinne der DSGVO — und das verwendete Tool wird zu einem Glied dieser Kette. Hier sind die fünf Prüfungen, die Sie vor dem Klick auf „Senden“ durchführen sollten.

Betrifft Sie das? (Spoiler: ja)

Die DSGVO gilt nicht nur für große Plattformen: die Steuerkanzlei, die Gehaltsabrechnungen erhält, der Fotograf, der Porträts liefert, das kleine Unternehmen, das eine Personalakte übermittelt — sie alle verarbeiten personenbezogene Daten. Die Verantwortung lässt sich nicht an das Tool delegieren, aber die Wahl des Tools ist bindend.

1. Wo die Daten gehostet werden

Die erste Frage an Ihren Übertragungsdienst: Wo werden die Dateien gespeichert? Hosting innerhalb des Europäischen Wirtschaftsraums vereinfacht die Compliance radikal; eine Übermittlung außerhalb des EWR erfordert zusätzliche Garantien (Angemessenheitsbeschluss, Standardvertragsklauseln). TransferNow hostet in Europa, mit Regionswahl je nach Tarif.

2. Der vertragliche Rahmen (DPA)

Wenn Sie im Auftrag einer juristischen Person handeln, ist der Übertragungsdienst Ihr Auftragsverarbeiter im Sinne von Artikel 28: Ein Auftragsverarbeitungsvertrag (DPA) muss die Beziehung regeln. Prüfen Sie, dass er existiert und zugänglich ist — es ist ein Dokument, das Ihr Datenschutzbeauftragter anfordern wird. Unserer ist öffentlich und in unserer Datenschutzerklärung verlinkt.

3. Die Aufbewahrungsdauer

Die DSGVO verlangt, Daten nicht länger als nötig aufzubewahren. Übersetzt in Dateiübertragung: Ein ablaufender Link ist ein Compliance-Vorteil. Bevorzugen Sie eine Dauer, die dem tatsächlichen Bedarf entspricht — 7 Tage reichen oft aus — und einen Dienst, mit dem Sie den Link deaktivieren können, sobald die Übergabe erledigt ist.

4. Die Nachvollziehbarkeit

Kommt eine Frage auf — von einem Kunden, von einer Behörde — müssen Sie sagen können, wer Zugriff auf die Daten hatte. Eine namentliche Benachrichtigung bei jedem Download liefert diesen Nachweis ohne zusätzliches Verfahren: wer die Datei abgerufen hat, und wann.

5. Die Datenminimierung

Das einfachste und am häufigsten vergessene Prinzip: Senden Sie nur, was nötig ist. Der komplette Ordner „für alle Fälle“ vervielfacht das Risiko. Vor jedem sensiblen Versand eine Frage: Braucht dieser Empfänger alle diese Dateien?

Diese fünf Punkte ersetzen keine Rechtsberatung — aber sie decken ab, was ein Datenschutzbeauftragter zuerst prüfen wird. Für den technischen Teil ergänzt unsere Sicherheits-Checkliste diese hier.