DSGVO-Compliance für Unternehmensdokumente — eine Checkliste für 2026

DSGVO-Compliance für Unternehmensdokumente bedeutet, dass jedes Dokument mit personenbezogenen Daten auf einer rechtmäßigen Grundlage erfasst, nur so lange wie nötig aufbewahrt, durch geeignete technische und organisatorische Maßnahmen geschützt und auf Anfrage nachweislich löschbar ist. Die eelik d.o.o. liefert DSGVO-konforme DMS-Deployments in EU-Rechenzentren für Kunden im DACH-Raum und deckt sowohl die technische Konfiguration als auch das Prozessdesign ab, das Aufsichtsbehörden tatsächlich auditieren. 2026 hat sich die Messlatte von „Sind Sie auf Datenpannen vorbereitet?" hin zu „Können Sie Ihre Aufbewahrungs-, Zugriffs- und Löschpraxis im laufenden Betrieb nachweisen?" verschoben.

Warum hat sich die DSGVO-Durchsetzung 2026 verändert?

Aufsichtsbehörden — die zuständige Landesdatenschutzbehörde in Deutschland (z. B. LfDI BW, BayLDA, HmbBfDI, je nach Sitz des Verantwortlichen), DSB in Österreich, AZOP in Kroatien — führen heute routinemäßige Audits von Aufbewahrungs- und Zugriffspraktiken durch, nicht nur Ermittlungen nach Vorfällen. Bußgelder für systematische Verstöße sind gestiegen: Der CMS GDPR Enforcement Tracker verzeichnet bis März 2026 2.685 Bußgelder mit einer kumulierten Summe von 6,11 Mrd. EUR und einen stetigen Anstieg siebenstelliger Strafen. Die größten Fälle betreffen zwar Fragen der Rechtsgrundlage und allgemeiner Verarbeitungsgrundsätze, doch Versäumnisse bei Löschrechten Betroffener (z. B. Clearview AI, 30,5 Mio. EUR) und unzureichende Aufbewahrungs-/Zugriffskontrollen bleiben ein wiederkehrendes Prüfthema.

Was verlangt die DSGVO für Dokumente konkret?

Drei Artikel leisten die Hauptarbeit für das Dokumentenmanagement:

• Artikel 5 — Grundsätze. Dokumente müssen rechtmäßig verarbeitet werden, mit Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht.
• Artikel 17 — Recht auf Löschung. Auf gültiges Verlangen sind personenbezogene Daten zu löschen, sofern keine rechtliche Aufbewahrungspflicht entgegensteht.
• Artikel 32 — Sicherheit der Verarbeitung. Geeignete technische und organisatorische Maßnahmen: Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit und regelmäßige Tests.

Ein DMS macht Sie nicht allein konform — Prozesse und Governance tun das —, doch es liefert die technischen Bausteine (Aufbewahrungsregeln, Audit-Trails, Zugriffskontrolle, Verschlüsselung, Löschworkflows), die Compliance nachweisbar statt nur erwünscht machen.

Die Checkliste 2026

Die folgenden zwölf Punkte decken ab, worauf wir in einer DSGVO-Reifebewertung für einen Unternehmensdokumentenbestand achten.

1. Dateninventar. Jede Dokumentklasse ist im Verzeichnis von Verarbeitungstätigkeiten (Art. 30) erfasst: welche personenbezogenen Daten sie enthält, Rechtsgrundlage, Aufbewahrungsdauer, Empfänger, Ablageort. Können Sie Ihre Dokumentklassen nicht auf einer Seite auflisten, fangen Sie hier an.
2. Aufbewahrungsrichtlinie im DMS. Jede Dokumentklasse hat eine Aufbewahrungsregel im DMS konfiguriert (z. B. HR-Personalakte: 10 Jahre nach Beschäftigungsende; Lieferantenrechnung: 8 Jahre gemäß HGB §257 (DE, seit 1. Januar 2025 von 10 auf 8 Jahre verkürzt durch das Bürokratieentlastungsgesetz IV), 7 Jahre gemäß BAO §132 (AT, allgemeine Geschäftsunterlagen); Videoüberwachung: 72 Stunden). Regeln werden automatisch ausgeführt — manuelle Aufbewahrung ist keine Aufbewahrung.
3. Audit-Trail. Jeder Zugriff, jede Änderung, jeder Download und jede Löschung wird mit Nutzer, Zeitstempel und Aktion protokolliert. Logs sind manipulationssicher und mindestens ein Jahr lang, idealerweise über die Lebensdauer des Dokuments aufbewahrt.
4. Zugriffskontrollen. Rollenbasierter Zugriff, Least Privilege, Funktionstrennung zwischen IT-Administratoren und Dokumenteneignern. Administratoren haben Systemzugriff; sie sollten keinen unmittelbaren Zugang zu Inhalten von Personalakten oder Patientenakten haben.
5. Verschlüsselung im Ruhezustand und während der Übertragung. AES-256 at rest, TLS 1.2+ in transit (TLS 1.3 empfohlen für neue Deployments). Schlüsselmanagement dokumentiert, mit Rotationsverfahren und Trennung von Daten und Schlüsseln.
6. Auftragsverarbeitungsvertrag (AVV) mit Cloud-Anbietern. Ein unterzeichneter Vertrag nach Art. 28 für jeden Auftragsverarbeiter und Subunternehmer. Die aktuellen Versionen der AVVs von Microsoft, AWS, Hetzner und Google erfüllen die formalen Anforderungen; prüfen Sie, ob Ihre unterzeichnete Version aktuell ist.
7. Datenresidenz. Produktivdaten und Backups in EU-Regionen. Hetzner (Nürnberg, Falkenstein, Helsinki), Azure (Germany West Central, Sweden Central), AWS (Frankfurt, Irland, Stockholm) sind allesamt vertretbare Optionen. Achten Sie auf versteckte Übermittlungen über Support- und Telemetriekanäle.
8. Incident-Response-Prozess. Dokumentierter 72-Stunden-Meldeprozess an die Aufsichtsbehörde und, wo erforderlich, an betroffene Personen. Einmal jährlich mit einer Tabletop-Übung testen.
9. Löschworkflow auf Anfrage. Definierter Prozess zum Empfang, zur Validierung und Ausführung von Art.-17-Anfragen innerhalb eines Monats (Art. 12 Abs. 3 DSGVO, bei komplexen Anfragen um weitere zwei Monate verlängerbar). Das DMS muss tatsächliches Löschen unterstützen, nicht nur Ausblenden, und festhalten, was, von wem und wann gelöscht wurde. Ausnahmen aufgrund von Legal Hold müssen explizit dokumentiert sein.
10. Mitarbeiterschulung. Jährliche, rollenspezifische Schulung für alle, die Zugriff auf personenbezogene Daten haben. Teilnahme dokumentieren und nach wesentlichen Änderungen auffrischen.
11. Liste der Subunternehmer. Aktuelle öffentliche Liste der Subunternehmer mit Änderungsmitteilung. Für B2B-Verträge erforderlich und generell gute Praxis.
12. Regelmäßige Audits. Internes Audit mindestens jährlich, externes Audit (ISO 27001, SOC 2 oder ein fokussiertes DSGVO-Audit) alle zwei bis drei Jahre. Feststellungen werden bis zum Abschluss nachverfolgt.

Wie adressiert ein DMS jede Lücke?

Checklisten-Punkt	Typische Fileserver-Lücke	DMS-Funktion
Dateninventar	Dokumente über Freigaben verstreut	Dokumentklassen mit verpflichtenden Metadaten
Aufbewahrungsrichtlinie	Manuell, oft ignoriert	Regelbasiert, automatisch
Audit-Trail	Nur auf OS-Ebene	Auf Anwendungsebene, manipulationssicher
Zugriffskontrollen	Ordner-ACLs, im Lauf der Zeit verwässert	Rollenbasiert, geprüft
Verschlüsselung at rest	Optional, häufig deaktiviert	Standard, pro Klasse konfigurierbar
Löschung auf Anfrage	Manuell, fehleranfällig	Workflow mit Audit-Eintrag
Datenresidenz	Wo der Fileserver eben steht	Explizit pro Repository
Audit-Nachweis	Aus Backups rekonstruiert	Compliance-Report auf Knopfdruck

Ein DMS ersetzt nicht die Notwendigkeit von Governance, doch es verwandelt Governance in etwas Konfigurierbares und Auditierbares — statt in einen Ordner mit Richtlinien, deren Befolgung niemand nachweisen kann.

Welche Compliance-Lücken sehen wir am häufigsten?

• Personalakten auf einem Netzlaufwerk mit informeller Zugriffskontrolle und ohne Aufbewahrungsregel. Das häufigste Einzelproblem.
• E-Mail-Anhänge als faktisches Archiv. Outlook-PST-Dateien mit jahrelangen Verträgen, die niemand durchsuchen oder löschen kann.
• Backups jenseits der Aufbewahrungsfrist. Aus der Produktion gelöschte Dokumente, die jahrelang auf Bändern bleiben. Backups sind nach DSGVO Verarbeitung und müssen derselben Aufbewahrungslogik folgen.
• Videoüberwachung und Besucherprotokolle ohne Löschplan. Häufig einmal konfiguriert und vergessen; Aufsichtsbehörden fragen beim ersten Besuch danach.
• Subunternehmer-Änderungen nicht nachverfolgt. Spiegelt Ihre AVV-Kette nicht die aktuellen Subunternehmer wider, ist der Vertrag unvollständig.
• Kein dokumentierter Prozess für Art.-17-Anfragen. Ad hoc bearbeitet, häufig außerhalb der gesetzlichen Monatsfrist.

Was ist mit KI und grenzüberschreitenden Übermittlungen?

KI-gestützte Dokumentenverarbeitung wirft Fragen nach Art. 22 (automatisierte Entscheidungsfindung) und dem EU AI Act auf. Bei der Rechnungsautomatisierung ist das Risiko gering; bei HR-Dokumentenklassifikation oder Lebenslaufprüfung müssen Sie die Logik dokumentieren, eine menschliche Überprüfung ermöglichen und prüfen, ob das System nach dem AI Act als hochriskant einzustufen ist. Für grenzüberschreitende Übermittlungen ist die sicherste DACH-Basislinie die Nutzung von EU-Regionen EU-ansässiger Anbieter (Hetzner, IONOS) oder EU-Regionen US-Hyperscaler unter dem aktuellen EU-US Data Privacy Framework. Gestalten Sie die Architektur so, dass ein Regionswechsel möglich bleibt.

Wie liefert die eelik d.o.o. ein DSGVO-konformes DMS?

Ein typisches Engagement umfasst vier parallel laufende Arbeitsstränge:

• Technik: DMS-Deployment in EU-Region, Verschlüsselung, Zugriffsmodell, Anbindung an Identity Provider, Konfiguration der Aufbewahrung.
• Prozess: Aufbewahrungskatalog, Löschworkflow, Incident-Playbook, Subunternehmer-Register.
• Dokumentation: Verzeichnis von Verarbeitungstätigkeiten, DSFA wo erforderlich, AI-Act-Bewertung für automatisierte Verarbeitung.
• Schulung: rollenspezifische Schulungen für Administratoren, Dokumenteneigner und Endanwender.

Die vollständige Leistung beschreibt die Seite Service Dokumentenmanagement, die zugehörigen Cloud-Architekturentscheidungen die Seite Service Cloud-Infrastruktur. Für eine branchenspezifische regulatorische Bewertung ist der Service IT-Beratung der richtige Einstiegspunkt.

Häufig gestellte Fragen

Ist Microsoft 365 standardmäßig DSGVO-konform?

Microsoft 365 in EU-Tenants erfüllt die formalen Anforderungen, wenn es korrekt konfiguriert ist, doch die Standardkonfiguration ist nicht ausreichend. Aufbewahrungs- und Purview-Richtlinien, Conditional Access und Audit-Retention verlangen jeweils explizite Konfiguration. Ein Standard-Tenant ist ein Ausgangspunkt, kein konformes Dokumentarchiv.

Wie lange dürfen wir personenbezogene Daten aufbewahren?

Nur so lange, wie es der Zweck erfordert oder das Gesetz vorschreibt. Steuerrelevante Dokumente: 8 Jahre in Deutschland (HGB §257, seit 1. Januar 2025 von 10 auf 8 Jahre verkürzt), 7 Jahre in Österreich (BAO §132 allgemein; 22 Jahre für Grundstücksunterlagen), 10 Jahre in der Schweiz (OR Art. 958f). Personalakten häufig 10 Jahre nach Austritt, Lebensläufe abgelehnter Bewerber 6 Monate, Videoüberwachung in der Regel 72 Stunden (nach Hinweisen der Landesdatenschutzbehörden). Konfigurieren Sie jede Klasse explizit; „wir bewahren alles zehn Jahre auf" ist keine vertretbare Richtlinie.

Was, wenn ein Kunde Löschung verlangt, wir aber einer rechtlichen Aufbewahrungspflicht unterliegen?

Sie informieren den Kunden, dokumentieren den Konflikt, setzen die weitere Verarbeitung über das gesetzlich Erforderliche hinaus aus und führen die Löschung in dem Moment aus, in dem die Pflicht erlischt. Das DMS muss dieses „Delete-on-expiry"-Muster unterstützen — manuelle Wiedervorlagen halten einem Audit nicht stand.

Können wir ein DSGVO-konformes DMS in AWS oder Azure betreiben?

Ja, in EU-Regionen mit dem aktuellen AVV und Standardvertragsklauseln sowie mit dokumentierten technischen Maßnahmen (Verschlüsselung mit kundenseitig verwalteten Schlüsseln ist die stärkste Position). Die Wahl zwischen Hetzner, Azure und AWS wird damit zur Kosten- und Integrationsfrage, nicht zur Compliance-Frage — vorausgesetzt, die Konfiguration ist korrekt. Kontaktieren Sie die eelik d.o.o. für eine DSGVO-Reifebewertung.