DSGVO-konforme Dateiübertragung: Der komplette Leitfaden

DSGVO-konforme Dateiübertragungen setzen vier Dinge voraus: eine dokumentierte Rechtsgrundlage gemäß Artikel 6, angemessene technische Schutzmaßnahmen (Verschlüsselung im Ruhezustand und bei der Übertragung), einen Auftragsverarbeitungsvertrag mit dem Dienstanbieter gemäß Artikel 28 sowie einen nachvollziehbaren Nachweis darüber, wer was wann an wen gesendet hat. Verlassen personenbezogene Daten den EWR, sind zusätzlich Transferinstrumente aus Kapitel V erforderlich — Standardvertragsklauseln oder ein Angemessenheitsbeschluss. Fehlt eine dieser Voraussetzungen, drohen Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro — je nachdem, welcher Betrag höher ist.

Rechtsgrundlage nach Artikel 6 vor dem Dateianhang

Jede Übermittlung personenbezogener Daten braucht eine schriftlich festgehaltene Rechtsgrundlage, bevor die Datei das eigene System verlässt. Für interne HR-Dokumente gilt Artikel 6 Abs. 1 lit. b (Vertragserfüllung mit Beschäftigten). Kundendokumente fallen in der Regel ebenfalls darunter. Marketinglisten werden über Einwilligung (lit. a) oder berechtigte Interessen (lit. f) nach einem Abwägungstest übermittelt. Wer einen 500-MB-Ordner mit Bewerbungsunterlagen an ein Recruiting-Unternehmen sendet, ohne die anwendbare Rechtsgrundlage zu dokumentieren, verstößt bereits gegen das Rechenschaftsprinzip aus Artikel 5 Abs. 2. Eine kurze Begründung im Ticketsystem oder im gemeinsamen Laufwerk reicht — Aufsichtsbehörden fragen genau danach.

Verschlüsselungsanforderungen nach Artikel 32

Artikel 32 Abs. 1 lit. a nennt Verschlüsselung ausdrücklich als geeignete technische Maßnahme. Die Datenschutzbehörden BfDI, CNIL und ICO interpretieren „geeignet" als AES-256 im Ruhezustand und TLS 1.3 bei der Übertragung. Ende-zu-Ende-Verschlüsselung mit AES-256-GCM und per PBKDF2-SHA-256 (600.000 Iterationen) oder Argon2id abgeleiteten Schlüsseln erfüllt die Anforderungen selbst für besondere Kategorien personenbezogener Daten nach Artikel 9. Dienste, die TLS serverseitig terminieren und auf Applikationsebene neu verschlüsseln — wie WeTransfer oder Dropbox Transfer — sind DSGVO-konform, qualifizieren sich aber nicht für die Meldepflichtausnahme nach Erwägungsgrund 87, wie es bei echter Ende-zu-Ende-Verschlüsselung der Fall wäre.

Auftragsverarbeitungspflichten nach Artikel 28

Sobald ein Drittanbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, benötigen Sie einen schriftlichen Vertrag, der die acht Pflichtinhalte aus Artikel 28 Abs. 3 abdeckt: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen, Pflichten und Rechte des Verantwortlichen, Unterauftragnehmerregelungen sowie Löschung oder Rückgabe am Vertragsende. Seriöse Anbieter — SwissTransfer, Tresorit, Proton Drive — stellen einen vorbereiteten AVV zur Unterzeichnung bereit. Verweigert ein Anbieter den Abschluss oder fehlen im AVV die Auditrechte nach Artikel 28 Abs. 3 lit. h, sollten Sie den Dienst nicht nutzen.

Datensparsamkeit auf Dateiebene

Artikel 5 Abs. 1 lit. c schreibt vor, Daten auf das notwendige Minimum zu beschränken. Das gilt für den Inhalt der .xlsx-Datei, nicht nur für die Übertragungsschicht. Wenn das Marketing eine Liste aktiver Kunden anfordert, schicken Sie nicht den vollständigen CRM-Export mit Telefonnummern, Geburtsdaten und Kaufhistorie — filtern Sie zuerst auf Name und E-Mail. Entfernen Sie GPS-EXIF-Koordinaten aus Fotos vor dem Versand. Schwärzen Sie Sozialversicherungsnummern in gescannten PDFs mit echten Schwärzungswerkzeugen, nicht mit schwarzen Balken, die lediglich übergeblendet sind. Die Übertragung ist die letzte Schutzschicht, nicht die einzige.

Kapitel-V-Transfers außerhalb des EWR

Wird eine Datei an einen Dienstleister in den USA, Indien oder in ein anderes Land ohne Angemessenheitsbeschluss gesendet, greift Kapitel V. Seit Schrems II (Juli 2020) und dem EU-US-Datenschutzrahmen (Juli 2023) verläuft der Weg für US-Transfers entweder über DPF-zertifizierte Empfänger oder über Standardvertragsklauseln 2021 plus eine Datentransfer-Folgenabschätzung (TIA). Die TIA dokumentiert, ob US-Überwachungsgesetze (FISA 702, EO 12333) Zugang zu Ihren Daten erzwingen könnten und welche ergänzenden Maßnahmen Sie ergriffen haben — typischerweise clientseitige Verschlüsselung, auf die der Anbieter keinen Zugriff hat. Eine clientseitig verschlüsselte Übertragung erfüllt die Anforderungen an ergänzende Maßnahmen, weil der US-Auftragsverarbeiter nur Chiffretext hält.

Meldepflicht innerhalb von 72 Stunden

Artikel 33 DSGVO gibt Ihnen 72 Stunden ab Kenntnisnahme, um die Aufsichtsbehörde über eine Datenschutzverletzung zu informieren. Wenn ein Mitarbeiter die falsche .csv-Datei an den falschen Empfänger sendet, ist das ein Vorfall. Ihr Dateiübertragungsdienst sollte ausreichend protokollieren, um den Vorgang zu rekonstruieren: Absender, Empfänger, Datei-Hash, Zeitstempel, IP-Adresse und ob der Link vor dem Widerruf geöffnet wurde. Das Online-Meldeformular des BfDI und der CNIL fragt genau diese Felder ab. Dienste mit Link-Ablauf-Kontrollen und Zugriffsprotokollen — darunter HexaTransfer, das Links nach sieben Tagen ablaufen lässt und Download-Ereignisse erfasst — erleichtern die Einhaltung des 72-Stunden-Fensters erheblich.

Betroffenenrechte bei geteilten Dateien

Die Artikel 15 bis 22 DSGVO verleihen betroffenen Personen Rechte über ihre Daten, unabhängig davon, wo diese sich befinden — auch innerhalb eines Übertragungslinks. Stellt jemand einen Löschantrag nach Artikel 17 und befindet sich sein Lebenslauf in einem freigegebenen Ordner, der an drei Personalvermittler weitergeleitet wurde, müssen Sie das Original löschen und dokumentieren, dass nachgelagerte Kopien außerhalb Ihrer Kontrolle liegen — sofern Sie nachweisen können, dass Sie die Empfänger informiert haben (Artikel 17 Abs. 2). Dienste mit automatischem Link-Ablauf erledigen dies strukturell: Sobald der Link abläuft, ist auch die Kopie beim Dienstanbieter weg. Selbst gehostete SFTP-Server und gemeinsame Cloud-Laufwerke erfordern manuelle Bereinigung und ein Register der Empfänger.

Verzeichnis der Verarbeitungstätigkeiten

Artikel 30 DSGVO verpflichtet Verantwortliche mit mindestens 250 Beschäftigten — sowie kleinere Organisationen, die regelmäßig oder mit besonderen Datenkategorien arbeiten — zur Führung eines Verzeichnisses der Verarbeitungstätigkeiten. Dateiübertragungen gehören in dieses Verzeichnis. Für jeden wiederkehrenden Datenstrom dokumentieren Sie: Zweck, Kategorien betroffener Personen und Daten, Empfänger, internationale Übermittlungen, Aufbewahrungsfristen und Schutzmaßnahmen. Eine clientseitig verschlüsselte Übertragung mit sieben Tagen Ablauf und AES-256-GCM lässt sich in einem einzigen Eintrag beschreiben: „Kundenlieferungen via [Anbieter], E2EE, automatische Löschung nach 7 Tagen, EWR-Speicherung." Das ist die Präzision, die Aufsichtsbehörden erwarten.

Praktische Compliance-Checkliste

Bevor Sie ein Dateiübertragungstool organisationsweit einführen, prüfen Sie: (1) Der AVV deckt alle acht Anforderungen des Artikels 28 Abs. 3 vollständig ab; (2) Verschlüsselung erfolgt mit mindestens AES-256 im Ruhezustand und TLS 1.3 bei der Übertragung; (3) Der Datenspeicherort ist dokumentiert und vertraglich festgehalten; (4) Zugriffs- und Download-Protokolle werden mindestens sechs Monate aufbewahrt; (5) Link-Ablauf und Widerruf funktionieren wie angegeben; (6) Der Anbieter veröffentlicht Unterauftragnehmer-Listen und informiert rechtzeitig über Änderungen; (7) Eine DSFA nach Artikel 35 liegt vor, wenn Übertragungen besondere Datenkategorien oder umfangreiche Profilerstellungen betreffen.

Führen Sie diese sieben Prüfpunkte einmal pro Quartal durch und halten Sie die Ergebnisse im Compliance-Register fest. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.