Datenschutz von Anfang an

Wenig erhobene Daten, kurze Speicherung und klare Hinweise zum Faxen personenbezogener Angaben.

Aktualisiert am:

Die DSGVO (Verordnung (EU) 2016/679) kennt den Begriff Fax nicht, gilt aber auch dafür: Wer ein Dokument über eine identifizierbare Person versendet, verarbeitet personenbezogene Daten. CaptainFax wird von Frankreich aus betrieben, daher gelten für uns die europäischen Regeln. Das hochgeladene Dokument behalten wir nur bis zum Versand des Faxes, ein Konto verlangen wir nicht, und Kartenzahlungen laufen über Stripe. Wenn Sie personenbezogene Daten faxen, sind in der Regel Sie der Verantwortliche. Die folgenden Abschnitte erläutern, was das bedeutet, besonders für die Sicherheit und für ein Fax an die falsche Person.

Vier Ausgangspunkte

Die DSGVO denkt in Daten und Risiken, nicht in Technik. Diese Punkte gelten für ein Fax ebenso wie für eine E-Mail oder einen Brief.

  • Übermitteln ist Verarbeiten

    In Artikel 4 Nummer 2 wird die Offenlegung durch Übermittlung ausdrücklich als Verarbeitung aufgeführt. Wer eine Gehaltsabrechnung, ein Arztformular oder eine Kundenakte faxt, unterliegt deshalb der Verordnung.

  • Eine Rechtsgrundlage ist nötig

    Artikel 6 nennt sechs: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse und berechtigte Interessen. Welche passt, hängt vom Grund des Versands und vom Empfänger ab.

  • Das Nötige, nicht mehr

    Nach dem Grundsatz der Datenminimierung (Artikel 5 Absatz 1 Buchstabe c) müssen Daten angemessen, erheblich und auf den Zweck beschränkt sein. Entfernen Sie überflüssige Seiten und Angaben, bevor Sie das PDF erstellen.

  • Übermittlungen außerhalb der EU unterliegen Bedingungen

    Ein Fax in ein Land außerhalb des Europäischen Wirtschaftsraums ist eine Übermittlung im Sinne von Kapitel V (Artikel 44 bis 49). Für Kanada, eines unserer Zielländer, gibt es einen Angemessenheitsbeschluss der Europäischen Kommission für kommerzielle Organisationen, die unter das PIPEDA fallen (Beschluss 2002/2/EG). Bei anderen Empfängern dort prüfen Sie, welche Garantie greift.

Was Artikel 32 für ein Fax bedeutet

Nach Artikel 32 müssen Verantwortliche wie Auftragsverarbeiter technische und organisatorische Maßnahmen treffen, die dem Risiko angemessen sind, wobei Stand der Technik, Kosten und die Art der Daten zu berücksichtigen sind. Verschlüsselung wird dort als eine mögliche Maßnahme genannt, neben Pseudonymisierung und regelmäßigen Überprüfungen.

Beim Fax deckt Verschlüsselung nur den ersten Teil des Wegs ab. Bei CaptainFax erfolgt das Hochladen per HTTPS, und nach dem Versand wird die Datei entfernt. Die Telefonstrecke bleibt unverschlüsselt, wie bei jedem Fax. Den Rest müssen organisatorische Maßnahmen leisten: geprüfte Nummern, ein Vier-Augen-Prinzip bei sensiblen Faxen, ein vorheriger Anruf beim Empfänger und anonymisierte Seiten, wo der Zweck es erlaubt.

Halten Sie Ihre Entscheidungen schriftlich fest. Artikel 5 Absatz 2 verlangt, dass Sie die Einhaltung nachweisen können, und eine kurze Notiz, warum für einen bestimmten Vorgang ein Fax genutzt wird und welche Vorkehrungen dazugehören, erfüllt diesen Zweck. Kommt Ihre Risikobewertung zu dem Ergebnis, dass ein Fax ohne Ende-zu-Ende-Verschlüsselung für bestimmte Inhalte zu riskant ist, wählen Sie dafür einen anderen Weg.

Ein Fax ging an die falsche Person

Gelangt eine Seite mit personenbezogenen Daten an einen unbeteiligten Empfänger, handelt es sich um eine Datenschutzverletzung nach Artikel 4 Nummer 12, auch wenn nur ein Versehen dahintersteckt. Arbeiten Sie die folgenden Schritte nacheinander ab.

  1. Den Schaden begrenzen

    Nehmen Sie Kontakt mit dem unbeabsichtigten Empfänger auf, bitten Sie ihn, die Seiten zu vernichten, und wenn möglich, das schriftlich zu bestätigen. Bewahren Sie diese Schritte nachvollziehbar auf.

  2. Intern dokumentieren

    Artikel 33 Absatz 5 verlangt, jede Verletzung zu dokumentieren: die Fakten, die Auswirkungen und die ergriffenen Maßnahmen. Das gilt auch, wenn keine Meldung nötig ist.

  3. Bei Bedarf binnen 72 Stunden die Aufsichtsbehörde informieren

    Sofern die Verletzung voraussichtlich kein Risiko für die Betroffenen mit sich bringt, melden Sie sie ohne schuldhaftes Zögern, nach Möglichkeit innerhalb von 72 Stunden nach Kenntnis, an die zuständige Aufsichtsbehörde (Artikel 33 Absatz 1). Erfolgt die Meldung später, ist die Verzögerung zu begründen.

  4. Betroffene bei hohem Risiko benachrichtigen

    Besteht ein hohes Risiko, zum Beispiel bei Gesundheits- oder Finanzdaten oder bei Angaben, die einen Identitätsdiebstahl ermöglichen, müssen die Betroffenen unverzüglich und in klarer Sprache benachrichtigt werden (Artikel 34). Ein Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren (Artikel 33 Absatz 2).

Was Sie in Ihrer Organisation einrichten sollten

Eine Liste geprüfter Nummern
Führen Sie regelmäßige Empfänger wie Versicherer, Labor oder Gerichtsgeschäftsstelle in einer geprüften und datierten Liste. Die Nummer wird dort entnommen, nie aus dem Gedächtnis.
Ein zweiter Blick bei sensiblen Faxen
Medizinische oder finanzielle Unterlagen sollte vor dem Absenden eine zweite Person auf Nummer und Inhalt kontrollieren. Der Aufwand von zwei Minuten verhindert die meisten Fehler.
Ein Standard-Deckblatt
Name des Empfängers, Seitenzahl, Absenderangaben und was bei einer Fehlzustellung zu tun ist. Als erste Seite jeder Sendung sagt es dem Finder, was er tun soll.
Kontrolle über die eigenen Geräte
Stellen Sie das Gerät für eingehende Faxe in einen abschließbaren Raum oder aktivieren Sie den Empfang in einen PIN-geschützten Speicher, wenn das Modell es unterstützt. Löschen Sie Speicher oder Festplatte, bevor Sie ein Leihgerät zurückgeben.
Ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten
Läuft das Faxen regelmäßig mit, nehmen Sie es in das Verzeichnis nach Artikel 30 auf: mit Zweck, Datenkategorien, Empfängern, Übermittlungen, Fristen zur Speicherung und Sicherheitsmaßnahmen.

Häufige Fragen

Darf ich Gesundheitsdaten faxen?
Die DSGVO verbietet es nicht. Gesundheitsdaten gehören zu den besonderen Kategorien des Artikels 9: Sie brauchen einen der dort aufgeführten Ausnahmetatbestände, zum Beispiel die Gesundheitsversorgung, und ein höheres Maß an Sorgfalt. Hinzu kommen nationale Regeln wie die ärztliche Schweigepflicht. Ihr Datenschutzbeauftragter oder Ihre Berufsvertretung kann sagen, was für Ihre Tätigkeit gilt.
Brauche ich einen Vertrag mit CaptainFax?
Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, verlangt Artikel 28 einen Vertrag über Weisungen, Vertraulichkeit, Sicherheit sowie Rückgabe oder Löschung der Daten, sobald die Leistung endet. Wenn Ihre Organisation CaptainFax regelmäßig für Dokumente mit personenbezogenen Daten nutzen will, schreiben Sie uns über die Kontaktseite, damit wir das gemeinsam prüfen.
Wie lange werden meine Dokumente aufbewahrt?
Bei CaptainFax dient die hochgeladene Datei dem Versand des Faxes und wird danach automatisch gelöscht. Kartenzahlungen übernimmt Stripe. Wie lange Sie eigene Kopien und Belege aufbewahren, legen Sie selbst fest (Artikel 5 Absatz 1 Buchstabe e). Der Empfänger richtet sich nach seiner eigenen Aufbewahrungspolitik.
Kann eine im Fax genannte Person ihre Rechte ausüben?
Ja. Die Rechte auf Auskunft, Berichtigung, Löschung, Widerspruch und die weiteren aus den Artikeln 15 bis 22 sind gegenüber dem Verantwortlichen geltend zu machen, also der Organisation, die das Dokument versenden ließ. Sie muss binnen eines Monats reagieren; bei komplexen oder sehr vielen Anträgen verlängerbar um weitere zwei Monate (Artikel 12 Absatz 3).

Weiterlesen

Einige Seiten, die zu dem passen, was Sie gerade gelesen haben.

Verwandte Fragen