GDPR-konformes
Dokumentenmanagement
Nicht nur ein GDPR-Häkchen. Jede architektonische Entscheidung – wo Daten liegen, wie die AI sie verarbeitet, wie Verschlüsselung funktioniert – wurde mit Blick auf das EU-Recht getroffen. Weil wir ein EU-Unternehmen sind und dies der einzige Weg ist, wie wir es bauen würden.
Zuletzt aktualisiert: April 2026
Brauchen Sie wirklich ein GDPR-konformes DMS?
- → Wenn Ihr Unternehmen Dokumente speichert, die personenbezogene Daten enthalten – Namen, Adressen, Finanzdaten, Beschäftigungsnachweise – gilt die GDPR für Sie. Es spielt keine Rolle, ob Sie 5 oder 50.000 Kunden haben. Die Bußgelder erreichten allein im Jahr 2025 die Summe von 1,145 Milliarden Euro, und die Aufsichtsbehörden nehmen zunehmend KMU ins Visier, nicht nur Big Tech.
- → Ein GDPR-konformes Dokumentenmanagement-System macht Sie nicht automatisch konform. Aber es beseitigt die technischen Barrieren, die Konformität unmöglich machen: wissen, welche Daten man hat, sie auf Anfrage finden, den Zugriff kontrollieren und sie bei Bedarf löschen.
- Fazit: Wenn Sie Dokumente mit personenbezogenen Daten in Google Drive, Dropbox oder einem geteilten NAS-Ordner speichern, haben Sie ein GDPR-Problem, dessen Sie sich vielleicht nicht bewusst sind. Ein zweckgebundenes DMS mit EU-Hosting, Verschlüsselung und Audit-Trails bietet Ihnen das technische Fundament, das die Verordnung verlangt.
Die 7 GDPR-Prinzipien und was sie für das Dokumentenmanagement bedeuten
Artikel 5 der GDPR definiert sieben Prinzipien, die jegliche Verarbeitung personenbezogener Daten regeln. Jedes Dokumentenmanagement-System, das Sie nutzen, muss diese Prinzipien unterstützen – andernfalls bauen Sie Ihre Compliance auf einem Fundament, das nicht hält. Hier ist, was jedes Prinzip in der Praxis bedeutet, wenn Sie Dokumente mit personenbezogenen Daten speichern, organisieren und abrufen.
| Prinzip | GDPR-Artikel | Bedeutung für das Dokumentenmanagement |
|---|---|---|
| Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz | Art. 5(1)(a) | Sie müssen eine Rechtsgrundlage für die Speicherung jedes Dokuments mit personenbezogenen Daten haben. Ihr DMS sollte klar machen, welche Daten gespeichert sind, warum und wie sie verarbeitet werden – Audit-Trails und Aktivitätsprotokolle dienen dieser Transparenzanforderung. |
| Zweckbindung | Art. 5(1)(b) | Dokumente, die für einen Zweck erhoben wurden (z. B. Vertragserfüllung), dürfen ohne neue Rechtsgrundlage nicht für andere Zwecke verwendet werden. Ihr DMS darf Dokumenteninhalte nicht für fachfremde Zwecke nutzen – wie etwa das Training von AI-Modellen mit Ihren Daten. |
| Datenminimierung | Art. 5(1)(c) | Speichern Sie nur Dokumente, die angemessen, relevant und notwendig sind. Ein DMS mit Volltextsuche und AI-Klassifizierung hilft Ihnen, redundante oder unnötige Dokumente zu identifizieren und zu entfernen – statt alles „für alle Fälle“ aufzuheben. |
| Richtigkeit | Art. 5(1)(d) | Personenbezogene Daten müssen sachlich richtig und auf dem neuesten Stand sein. Wenn eine betroffene Person eine Berichtigung nach Art. 16 verlangt, müssen Sie jedes Dokument finden, das veraltete Informationen enthält. Eine Volltextsuche über Ihr gesamtes Archiv macht dies erst möglich. |
| Speicherbegrenzung | Art. 5(1)(e) | Personenbezogene Daten dürfen nicht länger als nötig aufbewahrt werden. Dies erfordert Aufbewahrungsfristen und die Fähigkeit, Dokumente nach Datum, Typ und betroffener Person zu finden und zu löschen. Ohne DMS ist die Durchsetzung von Löschfristen über verstreute Ordner hinweg praktisch unmöglich. |
| Integrität und Vertraulichkeit | Art. 5(1)(f) | Dokumente müssen vor unbefugtem Zugriff, unbeabsichtigtem Verlust oder Zerstörung geschützt werden. Das bedeutet Verschlüsselung (at rest & in transit), rollenbasierte Zugriffskontrolle und Infrastruktursicherheit – nicht nur ein Passwort für einen geteilten Ordner. |
| Rechenschaftspflicht | Art. 5(2) | Sie müssen die Einhaltung der Vorschriften nachweisen können – nicht nur behaupten. Audit-Trails, die protokollieren, wer wann auf welches Dokument zugegriffen hat und welche Aktion durchgeführt wurde, sind unerlässlich. Wenn eine Aufsichtsbehörde nach Beweisen fragt, ist „wir folgen Best Practices“ keine ausreichende Antwort. |
Technische Anforderungen für GDPR-konformes Dokumentenmanagement
Die GDPR schreibt keine spezifischen Technologien vor – Artikel 32 verlangt „geeignete technische und organisatorische Maßnahmen“ unter Berücksichtigung des Stands der Technik, der Kosten und des Risikos. In der Praxis sind für DMS-Systeme, die personenbezogene Daten verarbeiten, vier technische Fähigkeiten zum Standard geworden, den Aufsichtsbehörden erwarten. Das standardisierte DPIA-Template des EDPB vom März 2026 (v1.0) bekräftigt dies, indem es von Verantwortlichen verlangt, genau diese Maßnahmen bei der Bewertung des Verarbeitungsrisikos zu dokumentieren.
Verschlüsselung bei Speicherung und Übertragung
Artikel 32(1)(a) nennt Verschlüsselung als geeignete Sicherheitsmaßnahme. Industriestandard ist die AES-256-Verschlüsselung bei der Speicherung und TLS 1.2+ bei der Übertragung. Veluvanto nutzt SSE-C (Server-Side Encryption mit vom Kunden bereitgestellten Schlüsseln) für gespeicherte Daten und TLS für alle Daten während der Übertragung. Ihre Dokumente sind vom Verlassen des Browsers bis zur Speicherung verschlüsselt – und die Schlüssel werden nicht mit dem Infrastruktur-Provider geteilt.
Zugriffskontrollen und Authentifizierung
Artikel 32(1)(b) verlangt die Fähigkeit, die Vertraulichkeit der Verarbeitungssysteme auf Dauer sicherzustellen. In der Praxis bedeutet dies eine rollenbasierte Zugriffskontrolle (RBAC): Nicht jeder in Ihrer Organisation sollte jedes Dokument sehen können. Veluvanto implementiert Berechtigungen auf Arbeitsbereich-Ebene mit den Rollen Admin, Editor und Betrachter. Jeder Nutzer authentifiziert sich individuell – keine geteilten Logins, kein anonymer Zugriff. Jede Aktion ist an eine verifizierte Identität gebunden.
Audit-Trails und Verarbeitungsverzeichnisse
Artikel 30 verpflichtet Verantwortliche, Verzeichnisse von Verarbeitungstätigkeiten zu führen. Für das Dokumentenmanagement bedeutet dies die automatische Protokollierung, wer wann auf welches Dokument zugegriffen hat und welche Aktion durchgeführt wurde (Ansehen, Bearbeiten, Herunterladen, Löschen). Veluvanto führt Aktivitätsprotokolle pro Arbeitsbereich, die als Grundlage für Ihre Aufzeichnungen nach Art. 30 dienen. Diese Protokolle sind nicht editierbar und können von Arbeitsbereich-Mitgliedern nicht gelöscht werden.
Auftragsverarbeitungsverträge und Unter-Auftragsverarbeiter
Artikel 28 verlangt einen Auftragsverarbeitungsvertrag (AVV) mit jedem Verarbeiter, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Dies schließt Ihren DMS-Anbieter, dessen Cloud-Infrastruktur-Provider und alle für die Dokumentenverarbeitung genutzten AI-Dienste ein. Die AI-Verarbeitung von Veluvanto nutzt die Gemini Enterprise API von Google unter einem Zero-Retention-AVV – Ihre Dokumente werden im Arbeitsspeicher verarbeitet und sofort verworfen. Sie werden niemals auf Google-Servern gespeichert und nie für das Modelltraining verwendet.
Umgang mit Anfragen betroffener Personen: Ein 4-Schritte-Prozess
Unter der GDPR haben Einzelpersonen das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17) und Datenübertragbarkeit (Art. 20). Sie müssen innerhalb von 30 Tagen antworten. Für Unternehmen, die auf E-Mail-Archive, Netzlaufwerke oder Papierablagen setzen, kann schon das Finden aller Dokumente zu einer Person Tage dauern. Ein DMS mit Volltextsuche reduziert dies auf Minuten.
Identifizieren: Jedes Dokument mit Daten der betroffenen Person finden
Suchen Sie nach dem Namen, der E-Mail-Adresse oder anderen Identifikatoren der Person in Ihrem gesamten Archiv. Die Volltextsuche von Veluvanto erfasst den Inhalt jedes Dokuments – einschließlich gescannter PDFs via OCR. So finden Sie Rechnungen, Verträge, Korrespondenz und jedes andere Dokument, in dem die Person erwähnt wird, unabhängig vom Dateinamen oder Speicherort.
Prüfen: Was muss offengelegt, behalten oder gelöscht werden?
Nicht jedes Dokument muss offengelegt oder gelöscht werden. Rechtliche Verpflichtungen (steuerliche Aufbewahrungsfristen, laufende Verträge) können das Recht auf Löschung nach Art. 17(3) außer Kraft setzen. Prüfen Sie die Suchergebnisse und kategorisieren Sie: Dokumente zur Offenlegung bei Auskunftsanfragen, Dokumente zur Löschung und Dokumente, die Sie gesetzlich behalten müssen. Dokumentieren Sie Ihre Begründung – das Rechenschaftsprinzip nach Art. 5(2) verlangt dies.
Handeln: Exportieren, berichtigen oder löschen – mit Audit-Trail
Für Auskunftsanfragen (Art. 15): Exportieren Sie die relevanten Dokumente in einem gängigen Format. Der Export von Veluvanto liefert Originaldateien plus strukturierte Metadaten. Für Berichtigungen (Art. 16): Aktualisieren oder ersetzen Sie die fehlerhaften Dokumente. Für Löschungen (Art. 17): Löschen Sie die identifizierten Dokumente. Jede Aktion – Export, Bearbeitung, Löschung – wird im Aktivitätsprotokoll von Veluvanto mit Zeitstempel und Nutzeridentität geloggt.
Bestätigen: Der betroffenen Person antworten und Nachweis aufbewahren
Antworten Sie der betroffenen Person innerhalb der 30-Tage-Frist und bestätigen Sie die getroffenen Maßnahmen. Bewahren Sie die Einträge im Audit-Trail als Beweis dafür auf, dass Sie der Anfrage nachgekommen sind. Falls eine Aufsichtsbehörde später ermittelt, müssen Sie nicht nur nachweisen, dass Sie geantwortet haben, sondern auch, wie Sie gesucht haben, was Sie gefunden haben und was Sie daraufhin unternommen haben. Das Aktivitätsprotokoll dient als dieser Beweis.
EU- vs. US-Hosting: Rechtliche Folgen für das Dokumentenmanagement
Der Standort Ihrer DMS-Server ist nicht nur ein technisches Detail – es ist eine rechtliche Entscheidung mit realen Konsequenzen. Unter dem US CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) können US-Behörden jedes Unternehmen mit Hauptsitz in den USA zwingen, auf seinen Servern gespeicherte Daten herauszugeben, unabhängig davon, wo sich diese Server physisch befinden. Das bedeutet, dass die Speicherung von Dokumenten bei Google Drive, Dropbox, OneDrive oder Notion – alles US-Unternehmen – Ihre Daten dem potenziellen Zugriff der US-Regierung aussetzt, selbst wenn die Server in der EU stehen. Das Schrems-II-Urteil (EuGH, Juli 2020) erklärte das EU-US Privacy Shield genau aus diesem Grund für ungültig: Die US-Überwachungsgesetze wurden als unvereinbar mit den EU-Grundrechten befunden. Das 2023 verabschiedete EU-US Data Privacy Framework bietet einen neuen Angemessenheitsbeschluss, aber rechtliche Anfechtungen dauern an, und der Europäische Datenschutzausschuss empfiehlt weiterhin zusätzliche Maßnahmen für jeglichen Datentransfer von der EU in die USA.
Veluvanto beseitigt diese rechtliche Komplexität vollständig. Als tschechisches Unternehmen, das nach EU-Recht registriert ist und operiert, speichert Veluvanto alle Daten ausschließlich in EU-Rechenzentren. Es gibt keine US-Muttergesellschaft, keine US-Tochtergesellschaft und keine Unternehmensstruktur, die Ihre Daten dem CLOUD Act unterwerfen würde. Die AI-Verarbeitung nutzt die Gemini Enterprise API von Google unter einem Zero-Retention-Abkommen – Dokumente werden im Arbeitsspeicher in der EU verarbeitet und sofort verworfen. Zu keinem Zeitpunkt werden personenbezogene Daten in die USA übertragen oder dort gespeichert. Für Organisationen, die gegenüber Kunden, Partnern oder Aufsichtsbehörden GDPR-Konformität nachweisen müssen, ist das reine EU-Hosting durch ein in der EU ansässiges Unternehmen die rechtlich sicherste Position.
GDPR-Compliance-Checkliste: Wie Veluvanto abschneidet
Transparenz schafft Vertrauen. Anstatt pauschale Konformität zu behaupten, finden Sie hier eine ehrliche Einschätzung, wie Veluvanto die wichtigsten GDPR-Anforderungen für das Dokumentenmanagement erfüllt. Wo wir Lücken haben, sagen wir es offen.
Wann Veluvanto nicht die richtige Wahl für GDPR-Compliance ist
Veluvanto ist ein Dokumentenmanagement-System für Freelancer, Familien und kleine Unternehmen. Es deckt das technische Fundament für GDPR-konforme Speicherung und Abruf von Dokumenten ab. Es ist jedoch keine Enterprise-Compliance-Plattform, und es gibt Szenarien, in denen es nicht ausreicht.
Ehrlich mit Einschränkungen umzugehen, ist Teil des Vertrauensaufbaus. Wenn Ihre Anforderungen über das Angebot von Veluvanto hinausgehen, sagen wir Ihnen das lieber im Vorfeld, als dass Sie es erst nach der Migration Ihrer Dokumente entdecken. Für die meisten Freelancer, Familien und kleinen Unternehmen bietet Veluvanto ein starkes GDPR-konformes Fundament. Für regulierte Großunternehmen mit komplexen Compliance-Anforderungen sind spezialisierte Enterprise-Plattformen die bessere Wahl.
Passende Ratgeber
Digitale Dokumentenarchivierung
Aufbewahrung, Audit-Trails und Langzeitspeicherung – wie digitale Archivierung die GDPR-Konformität unterstützt.
Dokumentenmanagement-Software
Was DMS-Software leistet, wie man eine auswählt und warum AI im Jahr 2026 alles verändert.
NIS2-Richtlinie & Dokumentenmanagement
NIS2 und DSGVO überschneiden sich erheblich bei den Dokumentationsanforderungen — hier erfahren Sie, was die Cybersicherheitsrichtlinie hinzufügt.