← Alle Artikel

DSGVO-konformes Dokumentenmanagement: Der vollständige Leitfaden

Dominik Raffetseder · 26. März 2026

Seit der DSGVO im Mai 2018 müssen Unternehmen personenbezogene Daten schützen - auch und besonders in digitalen Dokumenten. Wer ein Dokumentenmanagementsystem (DMS) einführt oder wechselt, muss einige kritische Fragen beantworten. Dieser Leitfaden hilft Ihnen dabei.

1. Wo werden Ihre Daten gespeichert?

Die wichtigste Frage zuerst: In welchem Land stehen die Server?

Nach dem Schrems-II-Urteil des EuGH ist die Übermittlung personenbezogener Daten in die USA problematisch. Zwar gibt es seit Juli 2023 das EU-US Data Privacy Framework, doch viele Datenschutzexperten sehen dies als unsichere Grundlage.

Die sichere Wahl: Ein Anbieter mit Rechenzentren in der EU - idealerweise in Österreich oder Deutschland. Bei DocuWise werden alle Daten ausschließlich auf österreichischen Servern verarbeitet und gespeichert.

Checkliste Serverstandort:

  • Server in der EU (idealerweise DACH-Region)
  • Kein Sub-Processing in Drittländern
  • Auftragsverarbeitungsvertrag (AVV) verfügbar
  • Technische und organisatorische Maßnahmen (TOMs) dokumentiert

2. Verschlüsselung: Doppelt hält besser

Ein DSGVO-konformes DMS muss Daten sowohl bei der Übertragung als auch bei der Speicherung schützen:

Transportverschlüsselung: Alle Verbindungen müssen über TLS 1.2 oder höher laufen. TLS 1.3 ist der aktuelle Standard und bietet die beste Sicherheit.

Speicherverschlüsselung: Dokumente sollten auch im Ruhezustand verschlüsselt sein. Falls ein Server physisch kompromittiert wird, bleiben die Daten unlesbar.

3. Zugriffskontrolle und Rollenverwaltung

Nicht jeder Mitarbeiter braucht Zugriff auf alle Dokumente. Die DSGVO fordert das Prinzip der Datenminimierung - nur so viel Zugriff wie nötig.

Ein gutes DMS bietet:

  • Rollenbasierte Zugriffskontrolle: Admin, Editor, Viewer
  • Mandantentrennung: Bei SaaS-Lösungen müssen die Daten verschiedener Kunden strikt getrennt sein
  • Audit-Logs: Nachvollziehbarkeit, wer wann auf welche Dokumente zugegriffen hat

4. Löschkonzept: Das Recht auf Vergessenwerden

Artikel 17 DSGVO gibt Betroffenen das Recht auf Löschung ihrer personenbezogenen Daten. Ihr DMS muss in der Lage sein:

  • Dokumente gezielt und vollständig zu löschen
  • Löschvorgänge zu protokollieren
  • Aufbewahrungsfristen automatisch zu überwachen
  • Bei Vertragsende alle Daten zu exportieren und zu löschen

Wichtig: Löschen bedeutet auch, dass Daten aus Backups und Suchindizes entfernt werden müssen.

5. KI und Datenschutz: Werden meine Daten für Training verwendet?

Bei KI-gestützten Systemen stellt sich eine zusätzliche Frage: Werden meine Dokumente zum Training der KI verwendet?

Viele Cloud-KI-Dienste (ChatGPT, Google Gemini) nutzen eingegebene Daten zur Modellverbesserung - ein klarer DSGVO-Verstoß, wenn personenbezogene Daten betroffen sind.

DocuWise-Ansatz: Wir setzen auf selbst gehostete KI-Modelle. Ihre Daten verlassen nie den Server und werden nicht für KI-Training verwendet. Die KI verarbeitet Ihre Anfragen in Echtzeit und speichert keine Trainingsdaten.

6. Auftragsverarbeitungsvertrag (AVV)

Jeder Cloud-DMS-Anbieter ist ein Auftragsverarbeiter im Sinne der DSGVO. Sie benötigen:

  • Einen schriftlichen AVV gemäß Art. 28 DSGVO
  • Dokumentation der technischen und organisatorischen Maßnahmen
  • Klare Regelungen zu Sub-Processoren
  • Meldepflichten bei Datenpannen

7. Praktische Umsetzung

Schritt-für-Schritt:

1. Bestandsaufnahme: Welche Dokumente enthalten personenbezogene Daten? 2. Anbieter-Evaluation: Prüfe Serverstandort, Verschlüsselung, Zertifizierungen 3. AVV abschließen: Vor der ersten Nutzung 4. Rollen definieren: Wer braucht welchen Zugriff? 5. Mitarbeiter schulen: Datenschutzbewusstsein ist der beste Schutz 6. Regelmäßig prüfen: Jährliche Datenschutz-Audits

Fazit

DSGVO-konformes Dokumentenmanagement ist kein Hexenwerk - aber es erfordert die bewusste Wahl der richtigen Werkzeuge. Achten Sie auf EU-Serverstandort, Verschlüsselung, granulare Zugriffsrechte und ein sauberes Löschkonzept.

DocuWise wurde von Grund auf für DSGVO-Konformität entwickelt. Jetzt 14 Tage kostenlos testen - Hosting in Österreich, keine Datenweiterleitung an Dritte.