Kurzantwort: Nach der DSGVO ist ein Fax eine personenbezogene Verarbeitung wie jede andere. Der Verantwortliche kartiert seine Flüsse — eingehende wie ausgehende —, hält Zweck, Rechtsgrundlage und Frist je Fluss fest, trägt sie ins Verarbeitungsverzeichnis ein, bindet den Online-Versanddienst durch einen Auftragsverarbeitungsvertrag und weiß, wie er Auskunft oder Löschung zu archivierten Faxen beantwortet. Ein halber Tag reicht für ein KMU — hier die Methode, samt kopierfähiger Verzeichniszeile.
Flüsse kartieren, bevor das Verzeichnis gefüllt wird
Ein Verzeichnis beschreibt nicht „das Fax“ im Allgemeinen, sondern reale Verarbeitungen, Fluss für Fluss. Beginnen Sie mit einer ehrlichen Inventur:
- ausgehende Flüsse: signierte Angebote, Bestellungen, Zahlungserinnerungen, Schreiben an Partner — gesendet vom Faxgerät am Empfang oder über einen Online-Versanddienst;
- eingehende Flüsse: zurückgesandte Verträge, Nachweise, Unterlagen von Kollegen und Lieferanten — ausgedruckt in einem offenen Fach oder als PDF in ein gemeinsames Postfach geliefert.
Notieren Sie je Fluss die tatsächlich übertragenen Daten: Identität und Kontaktdaten fast immer; Lohn, Gesundheit oder Bankdaten mitunter. Überzeugen Sie die Leitung mit Zahlen: Ein KMU, das 40 Faxe im Monat austauscht, bewegt 480 im Jahr; bei fünf personenbezogenen Angaben pro Seite sind das 2 400 exponierte Datenpunkte jährlich, irgendwo zwischen Papierfach und Kundenordner. Diese Flusskarte — wer sendet was an wen, wo landet das Dokument, wer kann es wieder öffnen — bestimmt, was im Verzeichnis steht. Den Rahmen beschreibt unsere Seite zur DSGVO beim Faxversand; dieser Artikel ist deren praktische Umsetzung.
Rechtsgrundlage und Zweck: je Fluss eine Antwort
Ein Fluss, ein Zweck, eine Rechtsgrundlage — nie eine einzige Antwort für das ganze Gerät:
- Vertragserfüllung: Angebote, Bestellungen, Lieferverfolgung zwischen Ihnen und Ihren Kunden;
- gesetzliche Pflicht: Buchungsbelege, Lohndaten — die Frist folgt dann der anwendbaren Norm, nicht Ihrem Ermessen;
- berechtigtes Interesse: Zahlungserinnerungen, Bearbeitung eines Streitfalls, mit dokumentierter Abwägung;
- Einwilligung: fast nie die richtige Grundlage für einen beruflichen Faxfluss, weil sich die Einwilligung Fax für Fax kaum belegen lässt.
Gesundheitsdaten unterliegen einem verschärften Regime: Nur die Flüsse, die für die Betreuung eines Patienten nötig sind, rechtfertigen sie. Die Seite zu Fax und Gesundheitsdaten beschreibt die erwarteten Vorkehrungen.
Minimieren, was das Fax transportiert
Das Deckblatt ist die günstigste Datenminimierung: Name des Empfängers, Aktenzeichen — sonst nichts. Eine Diagnose, ein Kontostand oder ein Angebotsbetrag gehört nicht auf die erste Seite, die jeder Empfang sieht. Unsere Fax-Deckblatt-Vorlage ist in einer Minute ausgefüllt und fragt keine überflüssigen Daten ab.
Zwei Reflexe ergänzen das Deckblatt:
- die nötigen Seiten faxen, nicht den ganzen Akt: drei gezielte Seiten exponieren weniger Daten als eine zehnseitige Zusammenfassung;
- die Nummer vor jedem Sendevorgang prüfen: ein an eine falsche Nummer gesendetes Fax legt Daten bei einem unbekannten Dritten offen; der Verstoß wird dokumentiert, und die Meldung an die Aufsichtsbehörde kann binnen 72 Stunden fällig sein.
Die Verzeichniszeile in der Praxis
Je Fluss eine Zeile, nicht eine Zeile für „das Fax“. Kopierfähiges Beispiel für einen typischen ausgehenden Fluss:
| Verzeichnisfeld | Beispiel: „Versand signierter Angebote an Kunden“ |
|---|---|
| Zweck | kaufmännische Verwaltung, Auftragsverfolgung |
| Rechtsgrundlage | Vertragserfüllung (vorgelagerte Anbahnung) |
| Kategorien betroffener Personen | Kunden, Interessenten |
| Verarbeitete Daten | Identität, Kontaktdaten, Angebotsnummer und -betrag |
| Empfänger | der Kunde; der Online-Versanddienst als Auftragsverarbeiter |
| Speicherfrist | Geschäftsbeziehung, danach die anwendbare Verjährungsfrist |
| Schutzmaßnahmen | verschlüsselte Übertragung beim Anbieter, Zugriff nur im Vertrieb |
Auch unter 250 Beschäftigten entfällt das Verzeichnis nur bei gelegentlichen Verarbeitungen: wöchentliche Faxflüsse sind keine. Für die Spalte der Maßnahmen beschreibt die Sicherheit der Faxübertragung, was ein Faxfluss ernsthaft zusagen kann.
Auftragsverarbeiter: der Online-Versanddienst nach Art. 28
Das gekaufte Faxgerät steht in Ihren Räumen: kein Dritter, kein Auftragsverarbeiter. Ein Online-Dienst, der Ihre Dokumente in Ihrem Auftrag übermittelt, ist einer — er verarbeitet Daten nach Ihren Weisungen, genau wie Ihr E-Mail-Anbieter.
Vor dem ersten Versand vier Gewissheiten:
- ein Auftragsverarbeitungsvertrag nach Art. 28 — eine eigene Vereinbarung, nicht drei Zeilen in allgemeinen Geschäftsbedingungen;
- der Serverstandort: Hosting in der Union erspart die Standardvertragsklauseln, die Übermittlungen in Drittländer erfordern;
- die Kette weiterer Auftragsverarbeiter, mit Ankündigung und Widerspruchsrecht;
- zwei operative Zusagen: rasche Meldung von Verstößen und das Schicksal der Daten nach Vertragsende.
Der Name des Anbieters wandert anschließend in die Empfängerspalte des Verzeichnisses. Ein Dienst ohne Registrierung begrenzt zudem von vornherein, was Sie ihm anvertrauen: Zur Übermittlung eines Dokuments braucht kein Anbieter das vollständige Kundenverzeichnis.
Betroffenenrechte bei archivierten Faxen
Ein Auskunftsanspruch geht ein: Sie müssen jedes Fax zur betreffenden Person finden, Sendebericht inbegriffen. Ohne Ablagegrundsätze unmöglich — ein Ordner je Geschäftspartner, ein einheitliches Namensschema, ein dokumentiertes Faxarchiv mit tatsächlich gelebten Fristen.
Der Löschungsanspruch folgt einer anderen Logik: Faxen der Person löschen, außer eine gesetzliche Pflicht verlangt die Aufbewahrung — ein Buchungsbeleg wird nicht vor Fristablauf gelöscht. Antworten Sie mit Verweis auf die Pflicht, löschen Sie Arbeitskopien ohne Beweiswert und protokollieren Sie die Antwort. Die Frist beträgt stets einen Monat, bei komplexen Anfragen verlängerbar: datieren, ablegen, aufheben.
Checkliste für den Datenschutzbeauftragten im KMU
- Flusskarte der ein- und ausgehenden Faxe, bei jedem Umbau aktualisiert;
- Zweck und Rechtsgrundlage je Fluss notiert, Abwägung wo nötig dokumentiert;
- je Fluss eine Verzeichniszeile, Speicherfrist inbegriffen;
- neutrales Deckblatt bei jedem Versand, ohne überflüssige sensible Daten;
- AV-Vertrag mit dem Versanddienst geschlossen, Datenstandort geprüft;
- Verfahren für Auskunft und Löschung einmal jährlich an echten Faxen getestet;
- jährliche Prüfung an der Löschfristenliste, Vernichtungen protokolliert.
Ein halber Tag für das Fax — der Rest des Verzeichnisses folgt derselben Logik, Fluss für Fluss. Das Versandformular von Faxeroo arbeitet ohne Registrierung, und jede Sendung kann einen zeitstempelten PDF-Sendebericht mitbringen.
Schlagwörterfaxrgpdsecuritedocumentsorganisation
