Du stehst oft vor praktischen Fragen, wenn Papierdokumente digital werden sollen. Personalakten, Eingangsrechnungen oder Kundenunterlagen landen im Scanner. Dann tauchen sofort Datenschutzfragen auf. Wer hat später Zugriff auf die Dateien? Wohin werden die Scans geschickt? Welche Informationen stecken unsichtbar in den Dateien als Metadaten?
Gerade für Entscheider in kleinen und mittleren Unternehmen, IT‑Verantwortliche und Büroleiter sind das zentrale Punkte. Scannen ist kein rein technischer Vorgang. Es ist ein Prozess mit Risiken für die personenbezogenen Daten deiner Mitarbeitenden und Kundinnen. Typische Risiken sind Unbefugter Zugriff, wenn Geräte oder Ordner nicht ausreichend geschützt sind. Speicherung in der Cloud schafft häufig zusätzliche Übermittlungs- und Zugriffspfade. Und Metadaten in PDF oder Bilddateien können sensible Hinweise enthalten, die du leicht übersiehst.
Dieser Text hilft dir, diese Risiken systematisch zu bewerten. Du bekommst klare Kriterien, um Scanner und Workflows zu prüfen. Du lernst, welche Einstellungen sofort sicherer machen. Du erhältst Hinweise zu Zugriffskontrollen, Verschlüsselung und zur Löschfristenverwaltung. Außerdem erfährst du, welche Nachweise du für die DSGVO‑Dokumentation brauchst.
Das Ziel ist praktisch. Du sollst nach dem Lesen konkrete Schritte machen können. Dazu zählen einfache Konfigurationsänderungen, Prüfpunkte für Anbieterverträge und eine kurze Checkliste für die tägliche Nutzung der Scanner. So wird Scannen datenschutzgerecht und handhabbar für deinen Betrieb.
Worauf du bei der DSGVO-Bewertung eines Scanners achten musst
Bei der Frage, ob ein Scanner die DSGVO-Anforderungen erfüllt, geht es um mehrere konkrete Sicherheits- und Organisationskriterien. Entscheidend sind Zugriffskontrollen, also wer Dateien anlegt und wer sie öffnen darf. Es kommt auf Verschlüsselung bei der Übertragung und bei der Speicherung an. Wichtig sind auch Protokollierung und Nachvollziehbarkeit, damit du Zugriff und Änderungshistorien belegen kannst. Weitere Kriterien sind Datenminimierung, die Möglichkeit, Speicherorte zu konfigurieren, und bindende Regeln zur Auftragsverarbeitung mit Herstellern oder Cloud-Anbietern. Schließlich zählt die Handhabbarkeit von Metadaten und OCR-Resultaten zu den Prüfmerkmalen.
Die folgende Tabelle zeigt konkrete Prüfpunkte. Du findest kurze Prüfhinweise und direkte Empfehlungen, die du sofort anwenden kannst.
| Merkmal / Prüfpunkt | So prüfst du das | Konsequenz / Empfehlung |
|---|---|---|
| Zugriffssteuerung und Benutzerkonten | Prüfe, ob der Scanner Nutzerkonten, Passwortrichtlinien oder AD/LDAP unterstützt. | Aktiviere rollenbasierte Zugriffe. Keine gemeinsam genutzten Admin-Accounts. |
| Verschlüsselung bei Übertragung | Teste, ob beim Senden an Server TLS/HTTPS genutzt wird. Prüfe Zertifikate. | Erzwinge TLS. Deaktiviere unverschlüsselte Protokolle wie FTP oder SMB ohne TLS. |
| Verschlüsselung im Speicher | Ermittle, ob lokale Festplatten oder interne Speicher verschlüsselt sind. | Nutze Geräte mit Festplattenverschlüsselung oder sichere Zielsysteme mit Verschlüsselung. |
| Protokollierung und Audit | Schau nach Logfunktionen. Werden Scan-Aktionen, Nutzer und Ziele aufgezeichnet? | Aktiviere Logs und sichere sie extern. Lege Aufbewahrungsfristen fest. |
| Metadaten, OCR und Datenminimierung | Prüfe, welche Metadaten in PDFs gespeichert werden. Teste OCR-Funktionen. | Deaktiviere unnötige Metadaten. OCR nur aktivieren, wenn es nötig ist, und Ergebnisse prüfen. |
| Speicherorte und Cloud-Integration | Kontrolliere, wohin Scans gesendet werden. Gibt es automatische Cloud-Uploads? | Konfiguriere lokale, firmeninterne Ziele. Wenn Cloud, dann nur mit DPA und klarer Datenroute. |
| Auftragsverarbeitung (DPA) und Herstellerzugriff | Lies die Vertragsbedingungen. Hat der Hersteller Remotezugriff oder Telemetrie? | Schließe eine schriftliche Vereinbarung zur Auftragsverarbeitung ab. Verbiete unnötigen Herstellerzugriff. |
| Software-Updates und Sicherheits-Patching | Prüfe Update-Mechanismen. Werden Firmware und App regelmäßig gepatcht? | Setze einen Update-Prozess fest. Teste Updates vor Produktionseinführung. |
Fazit: Ein Scanner erfüllt die DSGVO-Anforderungen nicht durch ein einzelnes Merkmal. Du brauchst eine Kombination aus technischer Absicherung, klaren Prozessen und vertraglichen Nachweisen. Arbeite die Tabelle Punkt für Punkt durch. Dokumentiere die Prüfergebnisse. Stelle bei Abweichungen Maßnahmen und Fristen bereit. So kannst du das Risiko für dein Unternehmen deutlich reduzieren.
Entscheidungshilfe: Ist der Scanner DSGVO-konform genug für deinen Einsatz?
Wer hat Zugriff auf die Scans?
Wichtig ist, zu bestimmen, welche Personen oder Systeme die Scans sehen oder weiterverarbeiten können. Achte auf lokale Zugriffsrechte, Nutzerkonten und Integration in Verzeichnisdienste wie AD oder LDAP. Prüfe, ob es gemeinsame Konten gibt oder ob jeder Nutzer ein eigenes Konto verwendet. Unsicherheiten entstehen, wenn Scanner mehrere Ziele bedienen oder Scan-Aufträge per E-Mail verschickt werden.
Praktische Empfehlungen: Frage nach, welche Authentifizierungsmethoden der Scanner bietet. Kontrolliere die Nutzerliste am Gerät. Setze rollenbasierte Zugriffsrechte und entferne Standardpasswörter. Checklistpunkt: Keine geteilten Admin-Accounts.
Wo werden die Daten gespeichert und wie sind sie geschützt?
Kläre, ob Scans lokal, auf einem Firmenserver oder in der Cloud landen. Prüfe Übertragungswege. Achte auf TLS bei Netzwerkübertragung und auf Speicher-Verschlüsselung am Ziel. Unsicher ist oft die Telemetrie. Manche Geräte senden Diagnosedaten an den Hersteller.
Praktische Empfehlungen: Konfiguriere feste, interne Ziele. Wenn Cloud notwendig ist, fordere Informationen zur Datenhaltung und Verschlüsselung an. Checklistpunkt: TLS aktiv. Server- oder Cloud-Verschlüsselung nachweisbar.
Gibt es eine schriftliche Vereinbarung zur Auftragsverarbeitung und Remotezugriff?
Du brauchst einen AV-Vertrag mit dem Anbieter, sobald personenbezogene Daten betroffen sind und der Anbieter Zugriff oder Verarbeitung übernimmt. Kläre, ob der Hersteller Remote-Wartung, Telemetrie oder Supportzugang hat. Unsicherheiten liegen oft in den AGB und in automatischen Updates.
Praktische Empfehlungen: Fordere einen DPA. Lass dir Remotezugriffe dokumentieren und begrenzen. Checklistpunkt: Kein Herstellerzugriff ohne ausdrückliche Freigabe.
Fazit: Beantworte alle Leitfragen mit klaren Nachweisen. Nutze die Checklistenpunkte als Prüfmaßstab. Bewertungsskala: Einsatz möglich Wenn alle Fragen klar positiv beantwortet sind und Nachweise vorliegen. Maßnahmen nötig Wenn technische Lücken oder fehlende Verträge bestehen, die sich kurzfristig schließen lassen. Nicht geeignet Wenn grundlegende Sicherheits- oder Vertragsanforderungen fehlen oder nicht umsetzbar sind.
Wichtige Grundlagen: Was du zur DSGVO und Scannern wissen musst
Hier bekommst du die grundlegenden Begriffe und Zusammenhänge einfach erklärt. So kannst du einschätzen, welche Anforderungen für einen Scanner relevant sind. Ich spreche in einfachen Sätzen und nenne konkrete Beispiele aus dem Büroalltag.
Was sind personenbezogene Daten?
Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören Namen, Adressen, Geburtsdaten, aber auch Rechnungen oder Personalakten. Wenn ein Scan solche Informationen enthält, fällt er unter die DSGVO.
Was bedeutet Auftragsverarbeitung (AV)?
Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten für dich verarbeitet. Das kann ein Cloud-Anbieter sein. Du brauchst dann einen schriftlichen Vertrag. In diesem Vertrag steht, was der Anbieter darf und wie er die Daten schützt.
Einwilligung versus Rechtsgrundlage
Einwilligung ist eine mögliche Rechtsgrundlage. Sie ist freiwillig und muss dokumentiert werden. Häufig kommt aber eine andere Rechtsgrundlage zum Tragen. Beispiele sind die Erfüllung eines Vertrags oder eine gesetzliche Verpflichtung. Prüfe also, welche Grundlage für deine Scans passt. Verlasse dich nicht allein auf generelle Einwilligungen für Arbeitsunterlagen.
Was sind Technische und organisatorische Maßnahmen (TOM)?
TOM sind Maßnahmen, mit denen du Daten schützt. Praktische Beispiele sind Zugangskontrollen, Verschlüsselung, Backups, Protokollierung und regelmäßige Updates. TOM müssen sinnvoll dokumentiert sein. So zeigst du, dass du Risiken bedacht hast.
Technische Aspekte von Scannern kurz erklärt
Lokale Speicherung bedeutet, Scans liegen auf dem Gerät oder auf einem Firmenserver. Du hast mehr Kontrolle. Cloud-Speicherung erleichtert Zugriff und Automatisierung. Sie bringt aber zusätzliche Übermittlungswege und damit Pflichten.
Verschlüsselung gibt es in zwei Formen. Auf der Übertragung schützt TLS vor Abhören. Im Ruhezustand schützt die Verschlüsselung gespeicherter Dateien oder Festplatten. Achte darauf, dass weder unverschlüsselte Protokolle noch Standardpasswörter verwendet werden.
Protokollierung bedeutet, dass Aktionen wie Scans, Nutzer und Ziele geloggt werden. Logs helfen bei Vorfällen. Sie müssen geschützt und aufbewahrt werden.
Weitere Punkte sind Metadaten in PDFs und OCR. OCR erzeugt durchsuchbaren Text. Das erleichtert Arbeit. Es kann aber zusätzliche personenbezogene Informationen offenlegen. Prüfe, welche Metadaten gespeichert werden.
Kurz: Wenn ein Scanner personenbezogene Daten verarbeitet, musst du technische Schutzmaßnahmen umsetzen. Du brauchst klare Prozesse und vertragliche Regelungen bei Fremdanbietern. Dokumentiere alles schrittweise, damit du im Zweifel nachweisen kannst, wie die Daten geschützt werden.
Häufige Fragen zur DSGVO-Konformität von Scannern
Wer haftet bei einer Datenpanne mit gescannten Dokumenten?
Grundsätzlich haftet der für die Verarbeitung Verantwortliche. Wenn du die Scanner betreibst oder entscheidest, wohin Scans gehen, bist du meist der Verantwortliche. Externe Anbieter können als Auftragsverarbeiter haften, wenn sie ihre Pflichten verletzen. Suche rechtlichen Rat, wenn die Panne groß ist, sensible Daten betroffen sind oder grenzüberschreitende Komponenten im Spiel sind.
Ist Cloud-Scanning unsicherer als lokale Speicherung?
Cloud bedeutet mehr Übertragungs- und Zugriffsstellen. Das ist kein Automatismus für Unsicherheit. Mit TLS, ausreichender Verschlüsselung und einem passenden AV-Vertrag kann Cloud betriebssicher sein. Lass einen Experten prüfen, wenn Daten in Drittländer gelangen oder du über Datenresidenz unsicher bist.
Welche Vertragsklauseln braucht ein AVV mit Hersteller oder Cloud-Anbieter?
Der Vertrag sollte Zweck und Umfang der Verarbeitung, technische und organisatorische Maßnahmen, Regelungen zu Unterauftragsverarbeitern, Meldepflichten bei Vorfällen und Löschfristen enthalten. Fordere Audit- und Prüfrechte sowie klare Regeln zu Remotezugriff und Telemetrie. Zieh rechtliche Unterstützung hinzu, wenn der Anbieter Standard‑AGB ohne DPA anbietet oder kritische Klauseln vage bleiben.
Welche Protokollierung ist notwendig und wie lange sollten Logs aufbewahrt werden?
Logs sollten Nutzeridentität, Zeitstempel, Zielort der Scans und erfolgte Aktionen erfassen. Schütze Logs gegen unbefugten Zugriff und lege klare Aufbewahrungsfristen fest. Bewahre Logs so kurz wie möglich und so lange wie nötig auf. Konsultiere IT und Datenschutzbeauftragte, wenn Logs selbst personenbezogene Daten in großem Umfang enthalten.
Reicht Verschlüsselung allein, um DSGVO-Anforderungen zu erfüllen?
Verschlüsselung ist ein wichtiges Element. Sie schützt Daten bei Übertragung und im Ruhezustand. Entscheidend sind auch Schlüsselverwaltung, Zugangskontrollen und die gesamte Prozesskette. Hol dir rechtlichen Rat, wenn die Schlüsselverwaltung beim Anbieter liegt oder du im Zweifel bist, ob die Maßnahmen ausreichend dokumentiert sind.
Do’s & Don’ts beim Kauf und Betrieb von Scannern
Die Tabelle hilft dir, typische Fehler zu vermeiden und schnell wirksame Kontrollen umzusetzen. Sie ist als praktische Handlungshilfe gedacht. Du findest sofort anwendbare Maßnahmen und kurze Begründungen.
| Don’t (Fehler) | Do (Empfehlung) |
|---|---|
| Gerät mit Standardpasswörtern betreiben | Starke Authentifizierung einrichten und Standardpasswörter sofort ändern. Nutze individuelle Nutzerkonten und regelmäßige Passwortwechsel. |
| Direkte Cloud-Uploads ohne schriftliche Vereinbarung | Cloud-Verarbeitung nur mit einem AVV zulassen und Datenresidenz klären. Fordere Nachweise zu Sicherheitsmaßnahmen an. |
| Keine Protokollierung aktivieren | Logging einschalten und Logs sicher speichern. Protokolle helfen bei Vorfällen und der Nachweisführung. |
| Metadaten und OCR-Ergebnisse ungeprüft übernehmen | Metadaten minimieren und OCR nur bei Bedarf aktivieren. So reduzierst du unbeabsichtigte Datenweitergaben. |
| Firmware-Updates ignorieren | Updates zeitnah und geprüft einspielen. Teste wichtige Updates in einer Testumgebung vor dem Rollout. |
| Hersteller-Remotezugriff pauschal erlauben | Remotezugriffe begrenzen und vertraglich regeln. Protokolliere Zugriffe und erteile sie nur bei konkretem Bedarf. |
Warum das wichtig ist: Jede Maßnahme reduziert konkrete Risiken wie unbefugten Zugriff oder unerwünschte Datenübermittlung. Arbeite die Liste beim Einkauf und im Betrieb ab. Dokumentiere die Kontrollen für die DSGVO‑Nachweisführung.
Rechtliche Rahmenbedingungen für Scannerbetreiber und Einkäufer
Die DSGVO ist die zentrale Rechtsgrundlage. Sie legt fest, wer welche Pflichten hat, wenn personenbezogene Daten verarbeitet werden. Als Einkäufer oder Betreiber musst du verstehen, welche Rollen im Spiel sind. Du brauchst geeignete Verträge und dokumentierte technische Maßnahmen.
Verantwortlicher versus Auftragsverarbeiter
Verantwortlicher entscheidet über Zweck und Mittel der Verarbeitung. In der Regel bist du als Unternehmen der Verantwortliche, wenn Scans von Mitarbeitenden oder Kundinnen erstellt werden. Auftragsverarbeiter handelt nur nach Weisung. Wenn ein Cloud-Anbieter Scans speichert, ist er meist Auftragsverarbeiter. Prüfe die Rollen immer schriftlich.
Art. 28 DSGVO: Auftragsverarbeitungsvertrag
Ein AV‑Vertrag ist Pflicht, wenn ein Dritter personenbezogene Daten für dich verarbeitet. Er muss Zweck, Dauer, Art der Daten, Sicherheitsmaßnahmen und Regeln für Unterauftragsverarbeiter enthalten. Beispiel: Wenn Scans automatisch in eine Cloud hochgeladen werden, schließe vor dem Start einen AVV und fordere Nachweise zu Sicherheitsmaßnahmen an.
Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25)
Wähle Geräte und Dienste so, dass standardmäßig möglichst wenig Daten preisgegeben werden. Beispiele sind deaktivierte Telemetrie, werkseitig deaktivierte Cloud‑Uploads oder voreingestellte starke Authentifizierung. Dokumentiere, welche Voreinstellungen du nutzt.
Meldepflichten bei Datenschutzverletzungen
Bei einer Datenpanne musst du die Aufsichtsbehörde in der Regel binnen 72 Stunden informieren. Bei hohem Risiko für Betroffene musst du zusätzlich die Betroffenen benachrichtigen. Lege ein Incident-Response-Verfahren fest und übe es. Halte Protokolle bereit.
Weitere Pflichten und praktische Anwendung
Führe ein Verzeichnis von Verarbeitungstätigkeiten. Prüfe, ob eine Datenschutz-Folgenabschätzung (DPIA) nötig ist, etwa bei großflächiger Digitalisierung sensibler Personalakten. Dokumentiere technische und organisatorische Maßnahmen wie Zugriffskontrolle, Verschlüsselung, Logging und Update‑Management.
Dokumentation und Vertragsklauseln
Wichtige Klauseln im AVV sind Zweckbeschreibung, Sicherheitsmaßnahmen, Meldepflichten, Lösch- und Rückgaberegeln, Auditrechte und Unterauftragsverarbeiter‑Regelungen. Ergänze dies durch interne Richtlinien, Risiko- und Testprotokolle.
Wann du externe Rechtsberatung brauchst
Hole rechtlichen Rat, wenn Daten grenzüberschreitend übertragen werden, wenn unklare Verantwortlichkeiten zwischen mehreren Parteien bestehen oder bei großen Mengen speziell sensibler Daten. Auch bei komplexen AVV-Verhandlungen ist juristische Unterstützung sinnvoll.
Wer schreibt hier?
