DSGVO und Fax

Vier Orientierungspunkte für ein konformes Fax

Die Verordnung argumentiert in Verarbeitungsvorgängen und Risikostufen, niemals in Technologien. Ob Fax oder E-Mail: Die folgenden Orientierungspunkte gelten gleichermaßen.

• Jedes Fax ist eine Datenverarbeitung

  Die „Offenlegung durch Übermittlung“ steht wörtlich unter den in Artikel 4 Nummer 2 genannten Verarbeitungsvorgängen. Der Versand eines personenbezogenen Angebots, einer Gehaltsabrechnung oder eines Rezepts per Fax fällt damit vollständig unter die Verordnung.

• Eine Rechtsgrundlage für jeden Versand

  Artikel 6 führt sechs auf: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, Schutz lebenswichtiger Interessen, öffentliches Interesse und berechtigtes Interesse. Ein Arbeitgeber, der einer Sozialeinrichtung eine Bescheinigung übersendet, stützt sich in der Regel auf die rechtliche Verpflichtung.

• Keine überflüssigen Daten auf den Seiten

  Der in Artikel 5 Absatz 1 Buchstabe c festgelegte Grundsatz der Datensparsamkeit erlaubt nur den Austausch solcher Daten, die für den verfolgten Zweck erforderlich und verhältnismäßig sind. Entfernen Sie vor der Erstellung des PDF alles, auf das der Empfänger verzichten kann.

• Ein Empfänger außerhalb des EWR löst Kapitel V aus

  Jeder Versand in ein Drittland fällt unter Kapitel V, jenes über die Übermittlungen (Artikel 44 bis 49). In Kanada hat die Europäische Kommission für Organisationen, die unter das PIPEDA, das kanadische Bundesgesetz, fallen, eine angemessene Schutzbestimmung festgestellt (Entscheidung 2002/2/EG); für andere kanadische Empfänger — insbesondere einige Provinzverwaltungen — prüfen Sie die geltenden Garantien.

Fehlerhafter Empfänger: Das abzuarbeitende Protokoll

Eine personenbezogene Seite, die bei einer Dritten empfangen wird: Das gilt als Datenschutzverstoß gemäß Artikel 4 Nummer 12 — weder Absicht noch guter Glaube ändern daran etwas. Die nachfolgenden Schritte sind in dieser Reihenfolge umzusetzen.

1. 1

   Den Schaden zuerst begrenzen

   Rufen Sie den unabsichtlichen Empfänger an und fordern Sie die Vernichtung der Seiten sowie, wenn möglich, eine schriftliche Bestätigung. Diese Schritte begrenzen das Risiko und stützen Ihre interne Dokumentation.

2. 2

   Den Verstoß im Verzeichnis dokumentieren

   Artikel 33 Absatz 5 verpflichtet dazu, jeden Verstoß festzuhalten: Sachverhalt, eingetretene Auswirkungen und Korrekturmaßnahmen. Diese Pflicht gilt auch dann, wenn letztlich keine Meldung erforderlich ist.

3. 3

   Die CNIL bei Bedarf innerhalb von 72 Stunden benachrichtigen

   Ergibt sich aus den Umständen kein vernachlässigbares oder unwahrscheinliches Risiko für die betroffenen Personen, muss ein Verstoß der Aufsichtsbehörde — in Frankreich der CNIL — gemeldet werden: ohne unangemessene Verzögerung, bestenfalls binnen 72 Stunden seit seiner Entdeckung (Artikel 33 Absatz 1). Wird später gemeldet, muss die Verzögerung begründet werden.

4. 4

   Bei hohem Risiko die betroffenen Personen informieren

   Hohes Risiko — etwa bei medizinischen Daten, Bankdaten oder Angaben, die einen Identitätsdiebstahl erleichtern: Die betroffenen Personen werden unverzüglich in klarem, verständlichem Wortlaut informiert (Artikel 34). Der Auftragsverarbeiter schreibt dafür nicht selbst an die Betroffenen, sondern benachrichtigt umgehend den Verantwortlichen (Artikel 33 Absatz 2).

Fünf Maßnahmen für Ihre Organisation

Ein Verzeichnis geprüfter Nummern

Führen Sie Ihre Stammkontakte — geprüft und mit Datum versehen — in einer Liste: Krankenkassen, Labore, Gerichtskanzleien, Versicherer. Gefaxt wird ausschließlich aus dieser Liste, niemals dem Gedächtnis entnommen.

Zwei Augenpaare für sensible Sendungen

Medizinische oder bankrelevanten Unterlagen: Bitten Sie vor dem Versand eine zweite Person, Nummer und Inhalt zu durchlesen. Nur zwei Minuten Prüfung verhindern die meisten Ungenauigkeiten.

Ein standardisiertes Fax-Deckblatt

Name des Empfängers, Seitenzahl, Ihre Kontaktdaten und die Anweisung für den Fall, dass das Fax in falsche Hände gerät: Wenn dieses Deckblatt der Sendung vorangestellt ist, ist sofort klar, wem die Seiten gelten und was bei einer Verwechslung zu tun ist.

Empfangsgeräte unter Kontrolle

Auf der Empfangsseite: Legen Sie das Gerät in einen Raum mit eingeschränktem Zugang oder — bei Geräten, die diese Funktion unterstützen — leiten Sie ankommende Faxe über einen per Code geschützten Zwischenspeicher. Beim Rückgabe eines ausgeliehenen Geräts löschen Sie Festplatte und Speicher vollständig.

Das Fax im Verzeichnis erfassen (Artikel 30)

Gehört die Telekopie zu Ihrem laufenden Datenverkehr, erfassen Sie sie gemäß Artikel 30 in Ihrem Verzeichnis: zu welchem Zweck, mit welchen Datenkategorien und Empfängerkategorien, in welche Länder, für welchen Zeitraum und mit welchen Schutzvorkehrungen.

Fragen und Antworten

Dürfen medizinische Daten per Fax versendet werden?

Ja, kein europäischer Rechtstext verbietet dies. Artikel 9 erfasst diese Angaben: Ihre Verarbeitung setzt eine der dort genannten Ausnahmen voraus — etwa die medizinische Behandlung — sowie erhöhte Sorgfalt. In Frankreich kommen die ärztliche Schweigepflicht und die berufsbezogenen Regeln für Gesundheitsberufe hinzu. Für Ihren konkreten Tätigkeitsbereich wenden Sie sich am besten an Ihren Datenschutzbeauftragten oder Ihre Berufskammer.

Ist ein Vertrag mit einem Fax-Dienst erforderlich?

Sobald ein Dienstleister in Ihrem Namen personenbezogene Daten verarbeitet, verlangt Artikel 28 einen Vertrag, der den Auftrag klar umgrenzt: die zu befolgenden Weisungen, die Vertraulichkeit, die Sicherheit und das Schicksal der Daten nach Abschluss der Leistung. Wenn Sie Faxeroo regelmäßig im Namen einer Organisation nutzen, schreiben Sie an contact@faxeroo.com, um diesen Rahmen zu prüfen.

Wie lange werden meine Dateien bei Faxeroo gespeichert?

Das hochgeladene PDF wird ausschließlich zum Versand verwendet und danach automatisch aus unserem System entfernt. Die Kartenzahlung, sofern es eine gibt, läuft über Stripe. Sie bestimmen selbst, wie lange Sie Ihre gespeicherten Kopien und PDF-Sendeberichte aufbewahren (Artikel 5 Absatz 1 Buchstabe e); beim Empfänger richtet man sich nach dessen internen Vorgaben.

Können die betroffenen Personen Rechte geltend machen?

Ja: Ob Auskunft, Berichtigung, Löschung oder Widerspruch — die in den Artikeln 15 bis 22 festgelegten Rechte gelten gegenüber dem Verantwortlichen, also der Organisation, die die Entscheidung zum Versand getroffen hat. Auf die Anfrage ist innerhalb eines Monats zu antworten; bei komplexen oder umfangreichen Anträgen kann die Frist um zwei Monate verlängert werden (Artikel 12 Absatz 3).