Datenschutz, Datenminimierung und sichere digitale Fallakte

Eine digitale Fallakte bündelt häufig Identitätsdaten, Verträge, Steuerunterlagen, Gesundheitsangaben, Familieninformationen, Bankdaten und Kommunikation. Gerade diese Bündelung schafft Nutzen – und ein erhöhtes Schadenspotenzial. Eine rechtssichere Akte wird deshalb vom Zweck und Lebenszyklus der Daten her gebaut, nicht von einem möglichst großen Uploadordner.

Das Wichtigste im Überblick

• Zweck vor Datenerhebung: Für jedes Feld und Dokument muss feststehen, wofür es erforderlich ist und auf welcher Rechtsgrundlage es verarbeitet wird.
• Datenminimierung gilt auch für Anhänge: Nicht die gesamte Urkunde, E-Mail-Kette oder Ausweiskopie speichern, wenn einzelne Angaben oder eine geschwärzte Fassung genügen.
• Besondere Daten brauchen besondere Prüfung: Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, politische oder religiöse Angaben und weitere Kategorien des Artikels 9 DSGVO dürfen nur unter einer zusätzlichen Ausnahme verarbeitet werden. Angaben zu strafrechtlichen Verurteilungen und Straftaten folgen gesondert Artikel 10 DSGVO und dem anwendbaren nationalen Recht.
• Einwilligung ist nicht die Universalgrundlage: Vertrag, rechtliche Pflicht, berechtigtes Interesse oder öffentliche Aufgabe können passender sein. Bei besonderen Datenkategorien kann die erforderliche Verarbeitung für Rechtsansprüche zusätzlich eine Ausnahme nach Art. 9 Abs. 2 Buchst. f DSGVO begründen. Eine Einwilligung muss freiwillig und widerrufbar sein.
• Rollen müssen geklärt sein: Verantwortlicher, gemeinsam Verantwortliche, Auftragsverarbeiter und eigenständig Verantwortliche haben unterschiedliche Pflichten.
• Privacy by Design und Default: Standardmäßig dürfen nur erforderliche Personen, Funktionen, Fristen und Daten aktiviert sein.
• Sicherheit ist risikobezogen: Zugriffskontrolle, Mehrfaktor-Authentisierung, Verschlüsselung, Protokollierung, Backups, Wiederherstellung und Patchmanagement müssen zum Risiko passen.
• Aufbewahrung braucht ein Ende: „Für alle Fälle“ ist kein Löschkonzept. Gesetzliche Fristen, Rechtsverteidigung und Mandatszwecke sind datenbezogen zu bestimmen.
• Vorfälle haben eine 72-Stunden-Uhr: Eine meldepflichtige Datenschutzverletzung ist grundsätzlich binnen 72 Stunden nach Kenntnis an die Aufsichtsbehörde zu melden; bei hohem Risiko sind auch Betroffene zu informieren.
• ENS ist kein allgemeines Privatwirtschaftsgesetz: Das spanische Esquema Nacional de Seguridad gilt insbesondere für öffentliche Stellen und für private Systeme, die im vertraglichen Auftrag öffentliche Dienste oder Lösungen erbringen.

1. Was eine digitale Fallakte datenschutzrechtlich ist

Datenschutzrechtlich ist die Fallakte kein einheitlicher Datenblock. Sie besteht aus Verarbeitungsvorgängen: Aufnahme, Identitätsprüfung, Beratung, Kommunikation, Vertragsdurchführung, Rechnungsstellung, Archivierung, Rechtsverteidigung und Löschung. Für jeden Vorgang sind Zweck, Daten, Personen, Empfänger und Frist zu bestimmen.

Ein sinnvolles Verzeichnis beginnt mit folgenden Kategorien:

Geheimhaltungs- und Berufsrecht können zusätzlich gelten. Die DSGVO ist Mindeststruktur, nicht die einzige Schutzquelle.

2. Verantwortlichkeit und Rollen

Verantwortlicher

Verantwortlicher ist, wer über Zwecke und wesentliche Mittel der Verarbeitung entscheidet. Er muss Rechtsgrundlage, Informationspflichten, Technik, Dienstleister, Rechteverfahren und Nachweisführung organisieren.

Auftragsverarbeiter

Ein Cloudanbieter, Scanservice oder IT-Support kann Auftragsverarbeiter sein, wenn er Daten nur nach dokumentierter Weisung verarbeitet. Artikel 28 DSGVO verlangt einen Vertrag mit Mindestinhalten, insbesondere Gegenstand, Dauer, Art, Zweck, Datenarten, Betroffene, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung und Löschung oder Rückgabe.

Der Vertrag ersetzt keine Prüfung. Der Verantwortliche muss Eignung, Standorte, Unterauftragnehmer, Sicherheitsmaßnahmen und Drittlandtransfer bewerten.

Gemeinsam oder eigenständig Verantwortliche

Entscheiden zwei Stellen gemeinsam über Zweck und Mittel, kann Artikel 26 DSGVO greifen. Ein externer Rechtsanwalt, Steuerberater, Notar oder Arzt ist für seine fachliche Tätigkeit häufig eigenständig verantwortlich und nicht bloß Auftragsverarbeiter. Die Rolle folgt der tatsächlichen Entscheidungsbefugnis, nicht einer Vertragsüberschrift.

3. Rechtsgrundlage je Zweck

Artikel 6 DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage. Häufig relevant sind:

• vorvertragliche Maßnahmen und Vertragserfüllung;
• gesetzliche Pflichten, etwa Buchhaltung oder Geldwäscheprüfung;
• Schutz lebenswichtiger Interessen in echten Notfällen;
• öffentliche Aufgabe oder hoheitliche Befugnis;
• berechtigtes Interesse nach Interessenabwägung;
• Einwilligung.

Ein Zweckwechsel muss erneut geprüft werden. Unterlagen, die für einen Immobilienkauf erhoben wurden, dürfen nicht ohne weiteres für Marketing, Bonitätsprofile oder andere Mandate genutzt werden.

Besondere Kategorien

Gesundheitsdaten und die weiteren Daten des Artikels 9 Absatz 1 sind grundsätzlich verboten, solange keine Ausnahme nach Absatz 2 greift. Je nach Fall können ausdrückliche Einwilligung, Gesundheitsversorgung, Sozialschutz, lebenswichtige Interessen oder Geltendmachung und Verteidigung von Rechtsansprüchen einschlägig sein. Die Ausnahme muss dokumentiert werden; eine bloße Art.-6-Grundlage reicht nicht.

Angaben über strafrechtliche Verurteilungen und Straftaten folgen Artikel 10 und den nationalen Voraussetzungen. Sie dürfen nicht routinemäßig als allgemeines Risikoprofil gespeichert werden.

4. Datenminimierung in der Praxis

Datenminimierung bedeutet angemessen, erheblich und auf das notwendige Maß beschränkt. Sie wirkt in vier Richtungen:

1. Felder: Nur Angaben abfragen, die der aktuelle Prozess benötigt.
2. Dokumente: Ausschnitte, geschwärzte Kopien oder strukturierte Daten statt vollständiger Unterlagen verwenden, wenn ausreichend.
3. Zugriffe: Nur die Personen und Systeme freischalten, die den Fall tatsächlich bearbeiten.
4. Zeit: Daten nicht länger behalten, als Zweck, Pflicht oder Rechtsverteidigung erfordern.

Beispiele:

• Für eine Altersprüfung kann ein Geburtsdatum genügen; eine dauerhafte Passkopie ist nicht immer nötig.
• Eine Bankverbindung benötigt nicht automatisch Kontoauszüge der letzten Jahre.
• Ein Vollmachtsnachweis kann ohne nicht erforderliche Vermögensanhänge gespeichert werden.
• Medizinische Unterlagen gehören in einen besonders geschützten Bereich, nicht in die allgemeine Kundenansicht.

Ein Pflichtfeld „Sonstige Informationen“ lädt zu übermäßigen Freitextdaten ein. Besser sind definierte Kategorien und Warnhinweise gegen unnötige besondere Daten.

5. Datenschutz durch Technikgestaltung und Voreinstellungen

Artikel 25 DSGVO verlangt technische und organisatorische Maßnahmen bereits bei Planung und standardmäßig datenschutzfreundliche Einstellungen. Für eine Fallakte bedeutet das:

• neue Nutzer starten ohne globale Leserechte;
• besonders sensible Bereiche benötigen zusätzliche Freigabe;
• externe Freigabelinks sind befristet und möglichst passwortgeschützt;
• Downloads und Exporte werden begrenzt und protokolliert;
• Testsysteme nutzen keine echten Daten, soweit vermeidbar;
• Suchfunktionen zeigen nur berechtigte Treffer;
• Lösch- und Überprüfungsfristen werden technisch unterstützt;
• Standardberichte enthalten keine unnötigen personenbezogenen Details;
• mobile Geräte können gesperrt und bei Verlust verwaltet werden.

Pseudonymisierung kann Risiken senken, hebt den Personenbezug aber nicht automatisch auf. Anonymisierung muss eine Identifizierung unter Berücksichtigung aller vernünftigerweise einsetzbaren Mittel ausschließen (Erwägungsgrund 26 DSGVO).

6. Angemessene Sicherheit nach Artikel 32 DSGVO

Die DSGVO schreibt keine identische Technik für jede Akte vor. Sie verlangt ein dem Risiko angemessenes Schutzniveau unter Berücksichtigung von Stand der Technik, Kosten, Umfang, Kontext und Eintrittswahrscheinlichkeit beziehungsweise Schwere möglicher Schäden.

Ein belastbares Mindestkonzept umfasst regelmäßig:

• Mehrfaktor-Authentisierung für privilegierte und externe Zugriffe;
• rollenbasierte Berechtigungen und regelmäßige Rezertifizierung;
• Verschlüsselung bei Übertragung und, risikobezogen, im Speicher;
• getrennte Verwaltung von Schlüsseln und Administratorrechten;
• Protokollierung von Zugriff, Export, Änderung und Löschung;
• sichere Backups und getestete Wiederherstellung;
• Patch- und Schwachstellenmanagement;
• Malware- und Phishing-Schutz;
• Mandanten- oder Falltrennung;
• sichere Löschung und Geräteentsorgung;
• Notfall-, Vertretungs- und Wiederanlaufplan;
• regelmäßige Wirksamkeitstests.

Verschlüsselung allein hilft nicht, wenn alle Mitarbeiter denselben Zugang nutzen oder Exporte unkontrolliert per E-Mail versandt werden.

7. Berechtigungsmodell und Protokollierung

Rollen sollten nach Aufgaben statt Hierarchie vergeben werden. Ein mögliches Modell:

Protokolle müssen selbst geschützt, zweckgebunden und zeitlich begrenzt sein. Ein Log ist kein Freibrief für permanente Mitarbeiterüberwachung. Es dient Sicherheit, Nachweis und Aufklärung.

8. Aufbewahrung und Löschung

Eine Fallakte benötigt einen Fristenplan je Dokumentart. Ausgangspunkt sind:

• laufender Vertrags- oder Mandatszweck;
• handels-, steuer-, geldwäsche- oder berufsrechtliche Pflichten;
• Verjährungs- und Rechtsverteidigungsfristen;
• Einwilligungswiderruf, soweit Einwilligung Grundlage ist;
• offene Streitigkeiten oder Behördenverfahren.

Nach Zweckende sind Daten zu löschen, soweit weder eine gesetzliche Aufbewahrungspflicht noch ein erforderlicher Rechtsverteidigungszweck die weitere Speicherung rechtfertigt. Bei Löschung oder Berichtigung ist grundsätzlich die Datensperre nach Art. 32 Ley Orgánica 3/2018 zu beachten: Gesperrte Daten dürfen nur noch Gerichten, Staatsanwaltschaft und zuständigen Behörden zur Klärung möglicher Verantwortlichkeiten aus der Verarbeitung bereitgestellt werden; nach Ablauf der dafür maßgeblichen Verjährungsfristen sind sie zu vernichten. „Könnte irgendwann nützlich sein“ ist keine ausreichende Begründung.

Löschung muss Kopien, Exporte, Papier, E-Mail-Postfächer, temporäre Verzeichnisse und Dienstleister einbeziehen. Backups können nach einem dokumentierten Rotationskonzept zeitversetzt überschrieben werden; sie dürfen nicht als frei nutzbares Archiv dienen.

9. Datenschutzverletzungen

Eine Datenschutzverletzung ist eine Sicherheitsverletzung, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugang führt. Beispiele sind Fehlversand, verlorenes Gerät, kompromittiertes Konto, Ransomware oder offen zugänglicher Freigabelink.

Der Prozess muss sofort klären:

1. Was ist passiert und seit wann?
2. Welche Personen, Daten und Mengen sind betroffen?
3. Sind Daten lesbar, kopiert oder verändert worden?
4. Welche Folgen sind wahrscheinlich?
5. Welche Sofortmaßnahmen begrenzen den Schaden?
6. Ist die AEPD binnen 72 Stunden zu informieren?
7. Besteht ein hohes Risiko, das eine Benachrichtigung der Betroffenen verlangt?
8. Wie wird der Vorfall unabhängig von einer Meldung dokumentiert?

Die Meldung ist unverzüglich und möglichst binnen 72 Stunden ab Kenntnis des Verantwortlichen vorzunehmen, nicht erst nach vollständiger Forensik. Fehlende Details können ohne unangemessene weitere Verzögerung nachgereicht werden.

10. Datenschutz-Folgenabschätzung

Artikel 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko verursacht. Bei Fallakten sprechen dafür insbesondere:

• umfangreiche Gesundheits- oder andere besonders sensible Daten;
• systematische Bewertung oder Profilbildung;
• Überwachung vulnerabler Personen;
• große Datenmengen und viele Empfänger;
• neue Technologien oder verknüpfte Datenquellen;
• Entscheidungen mit erheblicher Wirkung.

Die Folgenabschätzung beschreibt Verarbeitung, Notwendigkeit, Verhältnismäßigkeit, Risiken und Schutzmaßnahmen. Sie ist vor Aufnahme der risikoreichen Verarbeitung durchzuführen und bei Änderungen zu aktualisieren.

11. Drittlandtransfer und Cloud

Cloudspeicherung außerhalb des Europäischen Wirtschaftsraums oder Zugriff aus Drittländern löst die Artikel 44 ff. DSGVO aus, wenn die Daten einem anderen Verantwortlichen oder Auftragsverarbeiter im Drittland zugänglich gemacht werden. Der Zugriff eigener Beschäftigter auf Dienstreise ist dagegen nicht allein deshalb eine Drittlandübermittlung; die Sicherheitsanforderungen der DSGVO gelten weiterhin. Zu prüfen sind Angemessenheitsbeschluss, Standardvertragsklauseln, ergänzende Maßnahmen, Unterauftragnehmer und tatsächliche Zugriffsmöglichkeiten.

Der Sitz des Vertragsanbieters genügt nicht. Datenstandorte, Supportzugriffe, Telemetrie, Backups und Konzernzugriffe müssen erfasst werden. Eine europäische Serverregion kann weiterhin Drittlandzugriffe ermöglichen.

12. Esquema Nacional de Seguridad

Das spanische ENS nach Real Decreto 311/2022 gilt für Informationssysteme des öffentlichen Sektors. Es erfasst außerdem bestimmte private Anbieter, wenn sie Lösungen oder Dienstleistungen für öffentliche Stellen erbringen und der Anwendungsbereich beziehungsweise Vertrag dies verlangt.

Eine rein private Fallakte wird nicht allein wegen sensibler Daten automatisch ENS-pflichtig. Gleichwohl können ENS-Prinzipien – Risikomanagement, Schutzschichten, Kontinuität und Audit – als Sicherheitsmaßstab nützlich sein. Wer mit einer spanischen Behörde arbeitet, muss Vertragsunterlagen und Systemkategorie konkret prüfen.

13. Praxisbeispiele

Beispiel 1: Ausweiskopien für jeden Interessenten

Ein Immobilienberater verlangt schon vor dem ersten Besichtigungstermin vollständige Passkopien aller Interessenten. Zweck und Erforderlichkeit sind zweifelhaft. Eine gestufte Identitätsprüfung mit späterer Dokumentenerhebung kann datenärmer sein.

Beispiel 2: Medizinische Vollmacht im allgemeinen Kundenordner

Eine Vorsorgeakte enthält Gesundheitsdaten und ist für Abrechnung und Marketing sichtbar. Rollen- und Zwecktrennung fehlen. Die Daten gehören in einen besonders geschützten Bereich mit eigenständiger Rechtsgrundlage und begrenztem Zugriff.

Beispiel 3: Falsch adressierter Freigabelink

Ein Link mit Steuerbescheiden wird an die falsche E-Mail-Adresse geschickt. Zugriff wird sofort gesperrt, Protokolle werden geprüft und Risiko bewertet. Auch wenn kein Download nachweisbar ist, muss der Vorfall dokumentiert und die Meldepflicht beurteilt werden.

14. Typische Fehler

• alle Daten eines Falls unter einer pauschalen Vertragsgrundlage zu speichern.
• Einwilligung zu verwenden, obwohl sie nicht freiwillig oder jederzeit widerrufbar ist.
• vollständige Dokumente statt erforderlicher Angaben zu sammeln.
• Cloudanbieter ohne Artikel-28-Vertrag und Unterauftragnehmerprüfung einzusetzen.
• Administratoren dauerhaften fachlichen Vollzugriff zu geben.
• keine Löschfristen für E-Mail, Exporte und Backups festzulegen.
• einen Vorfall erst nach vollständiger technischer Untersuchung zu eskalieren.
• jede private Akte als ENS-pflichtig oder umgekehrt Behördenaufträge als reine DSGVO-Frage zu behandeln.

15. Häufige Fragen

Darf ich eine Passkopie speichern?

Nur wenn sie für einen bestimmten Zweck erforderlich und rechtlich zulässig ist. Häufig genügen eine Identitätsprüfung, ausgewählte Angaben oder eine geschwärzte Kopie.

Ist Verschlüsselung zwingend?

Die DSGVO verlangt angemessene Sicherheit, nennt Verschlüsselung als wichtige Maßnahme. Ob und wie sie einzusetzen ist, folgt der Risikobewertung; bei hochsensiblen Fallakten ist sie regelmäßig zentral.

Brauche ich für jeden Dienstleister einen Auftragsverarbeitungsvertrag?

Nur wenn er personenbezogene Daten weisungsgebunden für den Verantwortlichen verarbeitet. Eigenständig Verantwortliche benötigen eine andere Rechts- und Vertragsgrundlage.

Muss jeder Vorfall an die AEPD gemeldet werden?

Nein. Eine Meldung ist grundsätzlich erforderlich; sie entfällt nur, wenn die Datenschutzverletzung voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten führt. Jeder Vorfall muss jedoch bewertet und dokumentiert werden.

Gilt das ENS für mein privates Unternehmen?

Nicht automatisch. Es gilt insbesondere im öffentlichen Sektor und kann private Auftragnehmer erfassen, die Systeme oder Dienste für öffentliche Stellen bereitstellen. Vertrag und konkrete Leistung entscheiden.

Amtliche Quellen und Rechtsstand

Rechtsstand und letzter Quellenabgleich: 16. September 2026.

Verwendet wurden die folgenden amtlichen Primärquellen und offiziellen Verfahrensinformationen:

1. Europäische Union – Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung, amtliche spanische Veröffentlichung im BOE. Fundstelle/Locator: Erwägungsgrund 26; Art. 5, 6, 9–10, 24–35 und 44 ff. Prüfstand: 16. September 2026. URL: https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807
2. Agencia Estatal Boletín Oficial del Estado – Ley Orgánica 3/2018 über Datenschutz und digitale Rechte. Fundstelle/Locator: Ergänzende spanische Datenschutzvorschriften. Prüfstand: 16. September 2026. URL: https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673
3. Agencia Estatal Boletín Oficial del Estado – Real Decreto 311/2022 über das Esquema Nacional de Seguridad. Fundstelle/Locator: Art. 2, Grundprinzipien, Sicherheitsanforderungen und private Auftragnehmer. Prüfstand: 16. September 2026. URL: https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191
4. Europäischer Datenschutzausschuss – Guidelines 05/2021, Version 2.0 vom 14. Februar 2023, zum Verhältnis von Artikel 3 und Kapitel V DSGVO. Fundstelle/Locator: Rn. 9, 16–20, Beispiel 8 und Abschnitt 4. Prüfstand: 16. September 2026. URL: https://www.edpb.europa.eu/system/files/2023-02/edpb_guidelines_05-2021_interplay_between_the_application_of_art3-chapter_v_of_the_gdpr_v2_en_0.pdf

Gesetzesänderungen, neue Verwaltungsanweisungen, Übergangsregelungen und die konkrete Gestaltung des Einzelfalls können zu einem anderen Ergebnis führen. Vor einer fristgebundenen, vermögensrelevanten oder grenzüberschreitenden Umsetzung ist der aktuelle Norm- und Verfahrensstand erneut zu prüfen.