DSGVO und Fax

Vier Orientierungspunkte für ein konformes Fax

Die Verordnung argumentiert in Verarbeitungsvorgängen und Risikostufen, niemals in Technologien. Ob Fax oder E-Mail: Die folgenden Orientierungspunkte gelten gleichermaßen.

• Jedes Fax ist eine Datenverarbeitung

  Die „Offenlegung durch Übermittlung“ steht wörtlich unter den in Artikel 4 Nummer 2 genannten Verarbeitungsvorgängen. Der Versand eines personenbezogenen Angebots, einer Gehaltsabrechnung oder eines Rezepts per Fax fällt damit vollständig unter die Verordnung.

• Eine Rechtsgrundlage für jeden Versand

  Artikel 6 führt sechs auf: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, Schutz lebenswichtiger Interessen, öffentliches Interesse und berechtigtes Interesse. Ein Arbeitgeber, der einer Sozialeinrichtung eine Bescheinigung übersendet, stützt sich in der Regel auf die rechtliche Verpflichtung.

• Keine überflüssigen Daten auf den Seiten

  Der in Artikel 5 Absatz 1 Buchstabe c festgelegte Grundsatz der Datensparsamkeit erlaubt nur den Austausch solcher Daten, die für den verfolgten Zweck erforderlich und verhältnismäßig sind. Entfernen Sie vor der Erstellung des PDF alles, auf das der Empfänger verzichten kann.

• Ein Empfänger außerhalb des EWR löst Kapitel V aus

  Jeder Versand in ein Drittland fällt unter Kapitel V, jenes über die Übermittlungen (Artikel 44 bis 49). In Kanada hat die Europäische Kommission für Organisationen, die unter das PIPEDA, das kanadische Bundesgesetz, fallen, eine angemessene Schutzbestimmung festgestellt (Entscheidung 2002/2/EG); für andere kanadische Empfänger — insbesondere einige Provinzverwaltungen — prüfen Sie die geltenden Garantien.

Fehlerhafter Empfänger: Das abzuarbeitende Protokoll

Eine personenbezogene Seite, die bei einem Dritten ankommt: Das ist eine Verletzung des Datenschutzes im Sinne von Artikel 4 Nummer 12 — weder Absicht noch guter Glaube ändern daran etwas. Die folgenden Schritte sind in der genannten Reihenfolge abzuarbeiten.

1. 1

   Den Schaden zuerst begrenzen

   Rufen Sie den unabsichtlichen Empfänger an und fordern Sie die Vernichtung der Seiten sowie, wenn möglich, eine schriftliche Bestätigung. Diese Schritte begrenzen das Risiko und stützen Ihre interne Dokumentation.

2. 2

   Den Verstoß im Verzeichnis dokumentieren

   Artikel 33 Absatz 5 verpflichtet dazu, jeden Verstoß festzuhalten: Sachverhalt, eingetretene Auswirkungen und Korrekturmaßnahmen. Diese Pflicht gilt auch dann, wenn letztlich keine Meldung erforderlich ist.

3. 3

   Die CNIL bei Bedarf innerhalb von 72 Stunden benachrichtigen

   Sofern die Umstände kein vernachlässigbares oder unwahrscheinliches Risiko für die betroffenen Personen erkennen lassen, muss der Verstoß der Aufsichtsbehörde — in Frankreich der CNIL — ohne unangemessene Verzögerung und nach Möglichkeit innerhalb von 72 Stunden nach seiner Entdeckung gemeldet werden (Artikel 33 Absatz 1). Bei späterer Meldung muss die Verzögerung begründet werden.

4. 4

   Bei hohem Risiko die betroffenen Personen informieren

   Hohes Risiko — etwa bei medizinischen Daten, Bankdaten oder Angaben, die einen Identitätsdiebstahl erleichtern: Die betroffenen Personen werden unverzüglich in klarem, verständlichem Wortlaut informiert (Artikel 34). Der Auftragsverarbeiter schreibt dafür nicht selbst an die Betroffenen, sondern benachrichtigt umgehend den Verantwortlichen (Artikel 33 Absatz 2).

Fünf Maßnahmen für Ihre Organisation

Ein Verzeichnis geprüfter Nummern

Führen Sie Ihre Stammkontakte — geprüft und mit Datum versehen — in einer Liste: Krankenkassen, Labore, Gerichtskanzleien, Versicherer. Gefaxt wird ausschließlich aus dieser Liste, niemals dem Gedächtnis entnommen.

Zwei Augenpaare für sensible Sendungen

Medizinische oder bankbezogene Unterlagen: Lassen Sie Nummer und Inhalt vor dem Versand von einer zweiten Person gegenlesen. Zwei Minuten Kontrolle verhindern die meisten Fehler.

Ein standardisiertes Fax-Deckblatt

Name des Empfängers, Seitenzahl, Ihre Kontaktdaten und die Anweisung für den Fall, dass das Fax in falsche Hände gerät: Wenn dieses Deckblatt der Sendung vorangestellt ist, ist sofort klar, wem die Seiten gelten und was bei einer Verwechslung zu tun ist.

Empfangsgeräte unter Kontrolle

Auf der Empfangsseite: Stellen Sie das Gerät in einen Raum mit beschränktem Zugang oder — bei Modellen, die dies unterstützen — leiten Sie eingehende Faxe über einen per Code gesicherten Zwischenspeicher. Löschen Sie vor der Rückgabe eines geliehenen Geräts sowohl die Festplatte als auch den Speicher vollständig.

Das Fax im Verzeichnis erfassen (Artikel 30)

Wenn die Telekopie Teil Ihres laufenden Datenverkehrs ist, tragen Sie sie in das Verzeichnis nach Artikel 30 ein: zu welchem Zweck, mit welchen Datenkategorien und Empfängerkategorien, in welche Länder, für welchen Zeitraum und mit welchen Schutzvorkehrungen.

Fragen und Antworten

Dürfen medizinische Daten per Fax versendet werden?

Ja, kein europäischer Rechtstext verbietet dies. Diese Informationen zählen zu den besonderen Kategorien nach Artikel 9: Ihre Verarbeitung setzt eine der dort vorgesehenen Ausnahmen voraus — etwa die medizinische Behandlung — sowie erhöhte Sorgfalt. In Frankreich kommen die ärztliche Schweigepflicht und die berufsbezogenen Regeln für Gesundheitsberufe hinzu. Für Ihren konkreten Tätigkeitsbereich wenden Sie sich am besten an Ihren Datenschutzbeauftragten oder Ihre Berufskammer.

Ist ein Vertrag mit einem Fax-Dienst erforderlich?

Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, verlangt Artikel 28 einen Vertrag, der den Auftrag klar umgrenzt: die zu befolgenden Weisungen, die Vertraulichkeit, die Sicherheit und das Schicksal der Daten nach Abschluss der Leistung. Wenn Sie Faxeroo regelmäßig im Namen einer Organisation nutzen, schreiben Sie an contact@faxeroo.com, um diesen Rahmen zu prüfen.

Wie lange werden meine Dateien bei Faxeroo gespeichert?

Das hochgeladene PDF wird ausschließlich für den Versand genutzt und anschließend automatisch aus unserem System entfernt. Die Kartenzahlung, sofern es eine gibt, läuft über Stripe. Legen Sie selbst eine Aufbewahrungsfrist für die von Ihnen gespeicherten Kopien und PDF-Sendeberichte fest (Artikel 5 Absatz 1 Buchstabe e); beim Empfänger gilt dessen eigene Politik.

Können die betroffenen Personen Rechte geltend machen?

Ja: Ob Auskunft, Berichtigung, Löschung oder Widerspruch — die in den Artikeln 15 bis 22 festgelegten Rechte richten sich an den Verantwortlichen, also an die Organisation, die die Entscheidung zum Versand getroffen hat. Die Antwort muss innerhalb eines Monats erfolgen; bei komplexen oder umfangreichen Anträgen kann die Frist um zwei Monate verlängert werden (Artikel 12 Absatz 3).