DSGVO-konforme Dokumentensammlung

Der Grundsatz der Datenminimierung der DSGVO (Art. 5 Abs. 1 lit. c) verlangt, nur die personenbezogenen Daten anzufragen, die für den jeweiligen Zweck unbedingt erforderlich sind – nicht jedes Dokument, das eine Vorlage routinemäßig enthält. Fragen Sie sich vor der Veröffentlichung einer Checkliste, welche Entscheidung jeder Punkt stützt; lässt sich das nicht klar beantworten, streichen Sie den Punkt.

Eine wiederverwendbare Formularvorlage, die standardmäßig eine vollständige Ausweiskopie, einen kompletten Kontoauszug oder eine ganze Rechnung anfordert, birgt ein Minimierungsrisiko, wenn tatsächlich nur ein einzelnes Feld dieses Dokuments benötigt wird. Fragen Sie, wo möglich, gezielt nach dem konkreten Nachweis (eine maskierte IBAN, eine einzelne Adresszeile) statt nach dem vollständigen Quelldokument.

Dokumentieren Sie den Zweck jedes Checklistenpunkts einmalig auf Vorlagenebene, damit Prüfende und Kundinnen und Kunden gleichermaßen verstehen, warum danach gefragt wird. Diese schriftliche Begründung ist auch das, was Sie bereithalten möchten, falls eine Aufsichtsbehörde oder ein Kunde einmal danach fragt.

Wo Daten liegen, bestimmt, welche Übermittlungsgarantien Sie benötigen. Das Hosting von Kundenakten und zugehörigen Metadaten bei einem Anbieter mit Sitz in der EU vermeidet die zusätzlichen vertraglichen und technischen Maßnahmen, die für Übermittlungen in Länder ohne Angemessenheitsbeschluss erforderlich sind.

Das betrifft die gesamte Kette, nicht nur die primäre Speicherung: Auch der E-Mail-Versand für Magic Links, Backups sowie jedes Protokollierungs- oder Analyse-Tool sollten innerhalb der EU bleiben oder durch einen gültigen Übermittlungsmechanismus abgedeckt sein. Prüfen Sie Ihre vollständige Liste der Subunternehmer, nicht nur die Marketing-Seite Ihres Hauptanbieters.

Arbeiten Sie mit externen Subunternehmern oder Prüfenden zusammen, stellen Sie sicher, dass diese über das Portal auf Dokumente zugreifen – mit Protokollierung und widerrufbarem Zugriff – statt Dateien herunterzuladen und weiterzuleiten. Genau dort verliert eine ansonsten EU-gehostete Konfiguration ihre Garantien meist unbemerkt.

Ein gemeinsames Postfach oder ein generischer Transferlink kennt kein Konzept davon, wer was sehen darf. Rollenbasierter Zugriff – Unternehmensadministration, einzelne prüfende Person, Kunde – stellt sicher, dass eine prüfende Person nur die ihr zugewiesenen Akten sieht und ein Kunde nur seine eigene Anfrage.

Die Authentifizierung per Magic Link gibt jedem Kunden einen eindeutigen, zeitlich begrenzten Zugang, statt eines geteilten Passworts oder eines weiterleitbaren öffentlichen Links. In Kombination mit einer zeilenbasierten Zugriffskontrolle im Backend bleiben so die Akten eines Unternehmens für ein anderes Unternehmen auf derselben Plattform unsichtbar.

Überprüfen Sie Zugriffsrechte regelmäßig, nicht nur bei der Einrichtung: Wechselt eine prüfende Person das Team oder verlässt das Unternehmen, muss ihr Zugriff auf frühere Kundenakten sofort widerrufen werden – nicht aktiv bleiben, nur weil sich niemand mehr an den gemeinsamen Ordner erinnert.

Der Grundsatz der Rechenschaftspflicht der DSGVO (Art. 5 Abs. 2) verlangt, die Einhaltung nachweisen zu können, nicht nur zu behaupten. Ein Prüfverlauf – wer ein Dokument angefordert hat, wann es eingereicht wurde, wer es eingesehen oder freigegeben hat und wann sich sein Status änderte – macht diesen Nachweis erst möglich.

Der Status pro Eintrag (angefordert, eingegangen, freigegeben, abgelehnt) dient als dieser Nachweis, sobald er mit Zeitstempel versehen und einem bestimmten Nutzer zugeordnet ist. Das ist eine deutliche Verbesserung gegenüber einem E-Mail-Verlauf, in dem dieselbe Information über Antworten, Weiterleitungen und Anhänge verstreut ist, ohne eine einzige verlässliche Quelle.

Halten Sie das Prüfprotokoll selbst zugriffsbeschränkt und getrennt von den beschriebenen Dokumenten, damit die Klärung von „wer hat was getan“ nicht das erneute Öffnen der personenbezogenen Daten jedes Kunden erfordert.

Personenbezogene Daten sollten nicht standardmäßig unbegrenzt aufbewahrt werden. Legen Sie eine Aufbewahrungsfrist fest, die sich am Zweck der Erhebung orientiert (Dauer eines Auftrags, gesetzliche Aufbewahrungspflicht usw.), und wenden Sie sie konsequent auf alle Vorgänge an, statt alte Kundenakten sich anhäufen zu lassen.

Das Recht auf Löschung der DSGVO (Art. 17) erlaubt es einem Kunden, die Löschung seiner personenbezogenen Daten zu verlangen, sobald sie für den Zweck ihrer Erhebung nicht mehr benötigt werden. Ein Portal, in dem Dokumente in einer eindeutig identifizierbaren Akte liegen – statt verstreut über Postfächer, Download-Ordner und Backups –, macht diese Anfrage tatsächlich erfüllbar.

Entscheiden Sie beim Abschluss eines Vorgangs ausdrücklich, ob die zugehörigen Dokumente archiviert, anonymisiert oder gelöscht werden, und halten Sie diese Entscheidung fest. Eine vorhersehbare, von der Plattform angewendete Aufbewahrungsregel lässt sich weit besser begründen als eine gelegentliche Bereinigung durch diejenige Person, die zufällig daran denkt.