Fax und Datenschutz

Der Rahmen in vier Grundsätzen

Die DSGVO denkt in Verarbeitungen und Risiken, nie in Technologien. Diese vier Orientierungspunkte gelten für das Fax wie für jeden anderen Versandweg.

• Senden ist Verarbeiten

  Art. 4 Nr. 2 nennt die „Offenlegung durch Übermittlung“ ausdrücklich als Verarbeitungsvorgang. Wer einen Kundendatensatz, eine Gehaltsabrechnung oder ein Rezept faxt, bewegt sich also voll im Anwendungsbereich der Verordnung.

• Jedes Fax braucht eine Rechtsgrundlage

  Art. 6 sieht sechs vor: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe, berechtigte Interessen. Ein Arbeitgeber, der einer Sozialversicherungsstelle eine Bescheinigung schickt, erfüllt meist eine rechtliche Verpflichtung.

• Nur das Nötige geht auf die Reise

  Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c) verlangt, dass übermittelte Daten dem Zweck angemessen, erheblich und auf das Notwendige beschränkt sind. Entfernen Sie vor dem Erstellen des PDFs Seiten und Angaben, die der Empfänger nicht braucht.

• Außerhalb des Europäischen Wirtschaftsraums gelten zusätzliche Regeln

  Ein Fax in ein Drittland ist eine Übermittlung nach Kapitel V (Art. 44 bis 49). Für Kanada hat die Europäische Kommission Organisationen, die dem Bundesgesetz PIPEDA unterliegen, ein angemessenes Schutzniveau bescheinigt (Entscheidung 2002/2/EG); bei anderen kanadischen Empfängern, etwa manchen Provinzbehörden, prüfen Sie die geltenden Garantien.

Fax an den falschen Empfänger: so gehen Sie vor

Eine Seite mit personenbezogenen Daten, die bei einem Außenstehenden landet, stellt nach Art. 4 Nr. 12 eine Datenschutzverletzung dar, auch wenn der Fehler versehentlich geschah und der Dritte gutgläubig ist. Das sind die Schritte, in dieser Reihenfolge.

1. 1

   Den Vorfall eindämmen

   Melden Sie sich bei der Person, die das Fax irrtümlich erhielt, lassen Sie die Seiten vernichten und bitten Sie möglichst um eine schriftliche Bestätigung. Das senkt das Risiko und gehört in Ihre Dokumentation.

2. 2

   Die Verletzung intern erfassen

   Art. 33 Abs. 5 verlangt, jede Verletzung zu dokumentieren: Sachverhalt, Auswirkungen, ergriffene Abhilfemaßnahmen. Das gilt auch dann, wenn keine Meldung erforderlich ist.

3. 3

   Bei Bedarf binnen 72 Stunden an die Aufsicht melden

   Sofern sie voraussichtlich kein Risiko für die betroffenen Personen birgt, entfällt die Meldung; andernfalls geht sie ohne schuldhaftes Zögern und möglichst innerhalb von 72 Stunden ab Kenntnis an die zuständige Datenschutzaufsichtsbehörde (Art. 33 Abs. 1). Später eingereichte Meldungen müssen die Verzögerung begründen.

4. 4

   Betroffene bei hohem Risiko benachrichtigen

   Ist das Risiko hoch (Gesundheitsdaten, Bankverbindung, Angaben, die Identitätsdiebstahl ermöglichen), werden die betroffenen Personen unverzüglich und in klarer Sprache informiert (Art. 34). Ein Auftragsverarbeiter muss seinerseits den Verantwortlichen unverzüglich unterrichten (Art. 33 Abs. 2).

Maßnahmen für Ihre Organisation

Ein Verzeichnis geprüfter Nummern

Regelmäßige Kontakte (Krankenkasse, Labor, Gerichtsgeschäftsstelle, Versicherer) stehen in einer geprüften, datierten Liste. Gewählt wird aus dieser Liste, nie aus dem Gedächtnis.

Vier-Augen-Prinzip bei sensiblen Sendungen

Bei medizinischen oder finanziellen Unterlagen liest eine Kollegin oder ein Kollege Nummer und Inhalt vor dem Versand gegen. Zwei Minuten, die die meisten Fehler verhindern.

Eine Deckblattvorlage

Benannter Empfänger, Seitenzahl, Kontaktdaten des Absenders und Hinweise für den Fall einer Fehlzustellung. Vorangestellt bei jeder Übertragung, gibt sie dem Finder sofort Orientierung.

Faxgeräte unter Kontrolle

Stellen Sie das Empfangsgerät in einen abschließbaren Raum oder aktivieren Sie, sofern das Modell es erlaubt, den PIN-geschützten Speicherempfang. Löschen Sie Festplatte oder Speicher, bevor Sie geleaste Geräte zurückgeben.

Ein Eintrag im Verarbeitungsverzeichnis

Gehört das Fax zu Ihren regelmäßigen Abläufen, beschreiben Sie es im Verzeichnis nach Art. 30: Zweck, Kategorien von Daten und Empfängern, etwaige Übermittlungen, Löschfristen, Sicherheitsmaßnahmen.

Ihre Fragen

Darf ich Gesundheitsdaten faxen?

Ja, die DSGVO verbietet es nicht. Solche Daten gehören zu den besonderen Kategorien nach Art. 9: Ihre Verarbeitung erfordert eine der dort genannten Ausnahmen, etwa die Gesundheitsversorgung, sowie erhöhte Sorgfalt. Nationale Vorgaben wie die ärztliche Schweigepflicht und Berufsordnungen kommen hinzu. Ihr Datenschutzbeauftragter oder Ihre Kammer kann sagen, was für Ihre Tätigkeit gilt.

Brauche ich eine Vereinbarung mit einem Faxanbieter?

Handelt ein Anbieter in Ihrem Auftrag mit personenbezogenen Daten, verlangt Art. 28 einen Vertrag, der seine Pflichten regelt: Weisungen, Vertraulichkeit, Sicherheit, Rückgabe oder Löschung der Daten nach Ende der Leistung. Wenn Sie FaxTelecom regelmäßig für eine Organisation nutzen möchten, schreiben Sie an contact@faxtelecom.com, um das zu klären.

Wie lange werden meine Dokumente aufbewahrt?

Bei FaxTelecom dient das hochgeladene PDF nur dem Versand und wird danach automatisch gelöscht; eine Kartenzahlung, falls nötig, wickelt Stripe ab. Legen Sie Ihrerseits eine Speicherdauer für die Kopien und Belege fest, die Sie behalten (Art. 5 Abs. 1 lit. e). Beim Empfänger richtet sich die Aufbewahrung nach dessen eigenen Regeln.

Kann eine in einem Fax genannte Person ihre Rechte geltend machen?

Ja. Auskunft, Berichtigung, Löschung, Widerspruch: Die Rechte aus Art. 15 bis 22 richten sich an den Verantwortlichen, also die Organisation, die den Versand beschlossen hat. Sie muss innerhalb eines Monats antworten; bei komplexen oder zahlreichen Anträgen ist eine Verlängerung um zwei weitere Monate möglich (Art. 12 Abs. 3).