Dokumentenmanagement und Datenschutz gehören zusammen

Ein Dokumentenmanagementsystem verarbeitet zwangsläufig personenbezogene Daten – Rechnungen mit Kundennamen, Personalunterlagen, Verträge. Damit unterliegt der gesamte Umgang mit diesen Dokumenten der DSGVO, nicht nur die eigentliche IT-Sicherheit.

Löschfristen: nicht alles darf ewig bleiben

Ein häufiges Missverständnis: „Digital gespeichert, also können wir es einfach behalten.“ Tatsächlich gilt der datenschutzrechtliche Grundsatz der Speicherbegrenzung auch im DMS. Buchhaltungsrelevante Belege unterliegen der zehnjährigen GoBD-Aufbewahrungspflicht, andere personenbezogene Dokumente – etwa Bewerbungsunterlagen abgelehnter Kandidatinnen und Kandidaten – müssen dagegen deutlich früher gelöscht werden, wenn kein weiterer Zweck mehr besteht.

Zugriffsrechte granular statt pauschal

• Nicht jede Mitarbeiterin und jeder Mitarbeiter braucht Zugriff auf alle Dokumente.
• Personalakten sollten ausschließlich für HR und die jeweils zuständige Führungskraft einsehbar sein.
• Zugriffe sollten protokolliert werden, um im Zweifel nachweisen zu können, wer wann auf welches Dokument zugegriffen hat.

Auftragsverarbeitung beim Cloud-DMS

Wird das DMS als Cloud-Lösung betrieben, verarbeitet der Anbieter personenbezogene Daten im Auftrag des Unternehmens. Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist in diesem Fall Pflicht – inklusive klarer Regelungen zu Serverstandort, Subunternehmern und technisch-organisatorischen Maßnahmen.

Wie sich das praktisch umsetzen lässt

Mit DocuWare von BES Software lassen sich Zugriffsrechte granular je Dokumentenart und Rolle vergeben, Löschfristen automatisiert hinterlegen und Zugriffe lückenlos protokollieren. Das reduziert nicht nur das Risiko bei einer Datenschutzprüfung, sondern schafft auch intern Klarheit, wer wofür verantwortlich ist.

Fazit

Ein DMS ist datenschutzrechtlich kein neutrales Werkzeug, sondern muss aktiv so konfiguriert werden, dass Löschfristen, Zugriffsrechte und Auftragsverarbeitung DSGVO-konform abgebildet sind – am besten von Anfang an mitgedacht, statt nachträglich korrigiert.