Rechtskonforme Dokumentenübertragung: Das müssen Sie wissen

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat 2023 Bußgelder von insgesamt über 28 Millionen Euro für Datenschutzverstöße verhängt — darunter zahlreiche Fälle, in denen personenbezogene Daten ungesichert übertragen wurden. Rechtskonforme Dokumentenübertragung erfordert, jede Übertragung dem anwendbaren Regelwerk zuzuordnen: DSGVO Art. 5, 32 und Kapitel V für personenbezogene EU-Daten, TTDSG für Telekommunikation, BDSG für nationale Ergänzungen, BSI-Mindestanforderungen für kritische Infrastruktur und branchenspezifische Regeln. Die meisten Übertragungen berühren gleichzeitig zwei oder drei dieser Rahmenwerke, und die Kontrollen, die das strengste anwendbare Rahmenwerk erfüllen, erfüllen in der Regel auch die übrigen.

Ihre Daten ihren Regulierungen zuordnen

Bevor Sie Übertragungskontrollen auswählen, klassifizieren Sie die Daten. Ein einziges Dokument kann mehrere Rahmenwerke auslösen:

Eine medizinische Rechnung für einen EU-Patienten: DSGVO + nationale Datenschutzgesetze
Ein Vertrag mit einem EU-ansässigen Anbieter, der Mitarbeiterdaten enthält: DSGVO + HGB
Ein Kreditantrag: BDSG + branchenspezifische Datenschutzregeln
Eine Studentenakte: DSGVO + Landesdatenschutzgesetze für Bildung
Eine Behördenlieferung: BSI IT-Grundschutz + spezifische vertragliche Anforderungen

Die Klassifizierung bestimmt alles Nachgelagerte — Verschlüsselungsanforderungen, Prüfinhalt, Aufbewahrungsfrist, Meldepflichten.

Verschlüsselungsstandards nach Rahmenwerk

Regulierungen spezifizieren selten Algorithmen, aber Begleitguidance weist auf technische Standards hin:

DSGVO Art. 32 — "geeignete technische Maßnahmen" einschließlich Verschlüsselung; ENISA-Guidance verweist auf AES-256-Familie
BSI IT-Grundschutz — empfiehlt AES-256-GCM für Daten im Ruhezustand und TLS 1.3 für Daten bei der Übertragung
TTDSG § 19 — angemessene technische Maßnahmen für Telekommunikationsanbieter
BDSG § 64 — technisch-organisatorische Maßnahmen für öffentliche Stellen
PCI DSS 4.0 (für Zahlungsdaten) — Anforderung 4.2 verlangt starke Kryptografie für die Übertragung

AES-256-GCM für Daten im Ruhezustand und TLS 1.3 für den Transport erfüllt in der Regel alle wesentlichen Rahmenwerke. Das regulatorisch überzeugende Detail ist die Validierung — dokumentiertes Schlüsselmanagement für alle Fälle, BSI-konforme Module für Bundesbehörden.

Auftragsverarbeitungsverträge und Geschäftspartnervereinbarungen

Die meisten Rahmenwerke verlangen vertragliche Zusagen zwischen dem Dateneigentümer und jedem Dritten, der die Daten verarbeitet:

DSGVO Art. 28 Auftragsverarbeitungsvertrag (AVV) für jeden Auftragsverarbeiter
BDSG § 62 — entsprechende Vertragsanforderungen für öffentliche Stellen
TTDSG — Dienstleistervereinbarungen für Telekommunikationsdienstleistungen
Branchenspezifische Unterauftragnehmer-Durchführungsklauseln für Bundesauftragnehmer

Ihr Übertragungsanbieter muss die entsprechende Vereinbarung unterzeichnen, bevor er regulierte Daten verarbeitet. Kostenlose Tiers von Verbraucherdiensten (Dropbox personal, WeTransfer free, Google Drive personal) unterzeichnen in der Regel keinen AVV. Unternehmenstiers tun dies, aber lesen Sie die Vereinbarung — manche schränken die Haftung ein oder schließen bestimmte Verletzungsszenarien aus.

Grenzüberschreitende Übertragungen und DSGVO Kapitel V

DSGVO Kapitel V beschränkt die Übertragung von EU-personenbezogenen Daten außerhalb des EWR. Mechanismen:

Angemessenheitsbeschluss (Art. 45) — aktuelle Beschlüsse für UK, Schweiz, Japan, Südkorea, Kanada (kommerziell), Israel, Neuseeland. USA abgedeckt durch das EU-US-Datenschutzrahmen seit Juli 2023.
Standardvertragsklauseln (Art. 46 Abs. 2 Buchst. c) — EU-Kommissionsbeschluss vom Juni 2021.
Verbindliche Unternehmensregeln (Art. 47) — für konzerninterne Übertragungen.
Ausnahmen (Art. 49) — ausdrückliche Einwilligung, Vertragsnotwendigkeit; eng ausgelegt.

Nach dem Schrems-II-Urteil (EuGH C-311/18) reichen Standardvertragsklauseln allein nicht aus. Die EDPB-Empfehlungen 01/2020 verlangen ergänzende Maßnahmen, wenn das Recht des Empfängerlands keinen im Wesentlichen gleichwertigen Schutz bietet. Clientseitige Verschlüsselung, bei der der Anbieter nicht entschlüsseln kann, ist die sauberste ergänzende Maßnahme.

Aufbewahrung und Sicherungspflicht

Regulierungen setzen sowohl Höchst- als auch Mindestaufbewahrungsfristen:

HGB § 257 — 10 Jahre für Handelsbücher, Inventare, Eröffnungsbilanzen, Jahresabschlüsse, Geschäftsbriefe
AO § 147 — 10 Jahre für steuerlich relevante Unterlagen, 6 Jahre für Geschäftsbriefe
DSGVO Art. 5 Abs. 1 Buchst. e — nicht länger als erforderlich; Speicherbegrenzungsprinzip
SGB X — Sozialdaten bis zu 10 Jahre nach Abschluss des Verwaltungsverfahrens
Archivgesetze — öffentliche Stellen nach Bundes- und Landesarchivgesetz

Gerichtliche Sicherungsanordnungen überlagern die routinemäßige Vernichtung. Ihr Transfersystem sollte ausgerichtet sein: Arbeitskopien automatisch ablaufen lassen, aber die autoritative Kopie und das Prüfprotokoll für die anwendbare Aufbewahrungsfrist aufbewahren.

Prüfungsanforderungen, die tatsächlich genutzt werden

Prüfprotokolle werden in drei Situationen untersucht: Regulierungsuntersuchung, Sicherheitsvorfall und Rechtsstreit. Gestalten Sie Protokolle für alle drei:

Benutzeridentität (authentifizierter eindeutiger Bezeichner, kein gemeinsames Konto)
Zeitstempel UTC plus lokale Quelle
Aktion (Hochladen, Herunterladen, Anzeigen, Widerrufen, Ablaufen)
Objektreferenz (Datei-Hash, Transfer-ID)
Quell-IP und User-Agent
Erfolg oder Fehler mit Fehlergrund
Rechtsgrundlage oder Zweckcode gemäß DSGVO Art. 6

Protokolle für den längeren der anwendbaren regulatorischen Zeiträume oder den Verjährungszeitraum für verwandte Ansprüche aufbewahren. Für DSGVO mindestens bis zur Löschung der zugehörigen Daten.

HexaTransfer erfasst diese Grundlagen für jeden Transfer, sodass bei einem Compliance-Anfragen der Nachweis vorhanden ist. Ende-zu-Ende-Verschlüsselung mit AES-256-GCM stellt sicher, dass der Anbieter nicht auf den Inhalt zugreifen kann. Kostenlos testen unter https://hexatransfer.com.

Datenpannenmeldepflichten und Uhren

Verschiedene Rahmenwerke setzen unterschiedliche Meldepflichten:

DSGVO Art. 33 — 72 Stunden an Aufsichtsbehörde ab Kenntnis; in Deutschland der BfDI oder die jeweilige Landesbehörde
DSGVO Art. 34 — unverzügliche Meldung an betroffene Personen bei hohem Risiko
BDSG § 65 — entsprechende Anforderungen für öffentliche Stellen
TTDSG § 23 — Meldung von Sicherheitsverletzungen an die Bundesnetzagentur
BSI-Gesetz § 8b — Meldepflicht für Betreiber kritischer Infrastrukturen

Kommen Sie den Fristen zuvor: Reaktionsplan für Vorfälle, vorab entworfene Benachrichtigungsvorlagen, Forensikfirma auf Abruf, externer Rechtsanwalt für Datenpannen, vorab genehmigtes PR-Unternehmen. Das Prüfprotokoll Ihres Transfersystems speist die Pannenbewertung: "Welche Daten wurden möglicherweise offengelegt?" beantwortet sich aus den hash-indizierten Transferaufzeichnungen.

Branchenspezifische Regeln

Einige Regulierungen richten sich an spezifische Branchen:

Finanzdienstleistungen — KWG, BAIT, MaRisk, WpHG für Wertpapierdienstleistungen
Gesundheitswesen — SGB V, KHZG, Musterberufsordnung für Ärzte
Bildung — Landesdatenschutzgesetze für Schulen, DSGVO für Hochschulen
Bundesauftragnehmer — BSI IT-Grundschutz, VSA für Verschlusssachen
Kritische Infrastruktur — KRITIS-Anforderungen nach BSI-Gesetz, NIS-2-Richtlinie (EU 2022/2555)

Ordnen Sie Ihre Dokumentenübertragungen den anwendbaren Branchenregeln zu und nehmen Sie diese Anforderungen in die Übertragungsrichtlinie auf.

Staatliche und europäische Datenschutzgesetze

Als EU-Mitglied unterliegt Deutschland direkt der DSGVO sowie dem BDSG als Ergänzungsgesetz. Landesdatenschutzgesetze ergänzen für öffentliche Stellen auf Landesebene. Die NIS-2-Richtlinie (Umsetzungsfrist Oktober 2024) erhöht die Sicherheitsanforderungen für wesentliche und wichtige Einrichtungen erheblich — einschließlich Anforderungen an die Sicherheit der Lieferkette, die Übertragungstools direkt betreffen.

Der pragmatische Ansatz: Das strengste anwendbare Gesetz einhalten, die Compliance dokumentieren und diese auf andere Rahmenwerke übertragen.

Compliance als kontinuierliches Programm

Compliance ist kein einmaliges Projekt. Es ist ein kontinuierliches Programm:

Jährliche Richtlinienüberprüfung mit regulatorischen Aktualisierungen
Vierteljährliche Schulungen für Mitarbeiter, die regulierte Daten verarbeiten
Monatliche Zugriffsüberprüfung für Verfahrensrepositories
Wöchentliche Meldungen über anomale Übertragungsmuster
Tägliche Backup-Verifizierung
Halbjährliche Übungen zu Sicherheitsvorfällen

Rechtskonforme Dokumentenübertragung ist letztlich das Abgleichen von Kontrollen mit Verpflichtungen, das Dokumentieren beider und das Reagieren, wenn etwas schiefgeht. Bauen Sie das Programm einmal auf, pflegen Sie es gezielt, und die nächste regulatorische Anfrage wird zur Routine statt zur Katastrophe.