MondialFax

Fax und DSGVO

Was die Verordnung verlangt — und was sie nirgends sagt.

Die DSGVO verbietet das Fax nicht und erlaubt es auch nicht ausdrücklich: Sie spricht nicht über Kanäle, sondern über Risiken. Ein Dokument mit personenbezogenen Daten zu senden ist eine Verarbeitung, gleich mit welchem Mittel, und die Pflichten sind dieselben wie bei einer E-Mail — so wenig wie möglich übertragen, die Übertragung dem Risiko angemessen absichern und wissen, wie zu reagieren ist, wenn etwas an die falsche Stelle geht. Die Besonderheit des Fax ist allein, dass Verschlüsselung nicht zur Verfügung steht, was den Aufwand auf organisatorische Maßnahmen verlagert.

Vier Punkte, die das Wesentliche klären

Keiner davon ist faxspezifisch — und genau das ist zuerst zu verstehen.

  • Ein Fax zu senden ist eine Verarbeitung

    Die Übermittlung personenbezogener Daten ist eine Verarbeitung im Sinne der Verordnung, ebenso wie das Erheben oder Speichern. Die Wahl des Kanals nimmt den Vorgang nicht aus dem Anwendungsbereich; sie ändert nur, welche Maßnahmen ihn vertretbar machen.

  • Die Verordnung bewertet keine Kanäle

    Nirgends findet sich eine Liste erlaubter oder verbotener Mittel. Der Text verlangt Maßnahmen, die „dem Risiko angemessen“ sind — die Bewertung hängt also von der Sensibilität der Daten, vom Umfang und von den Folgen einer Offenlegung ab, nicht von einem Etikett auf der Technik.

  • Datenminimierung betrifft die Seite selbst

    Der Grundsatz der Datenminimierung gilt für die übermittelten Daten, nicht nur für die gespeicherten. Eine Seite mit vollständiger Sozialversicherungsnummer, wo Initiale und Aktenzeichen genügt hätten, geht zu weit — auch wenn die Übertragung einwandfrei läuft.

  • Eine Empfangsstelle außerhalb des EWR ist eine Übermittlung

    Ein Fax in ein Drittland fällt unter die Regeln zu internationalen Datenübermittlungen, genau wie ein elektronischer Versand. Dass die Daten über eine Telefonleitung laufen, ändert daran nichts.

Die fehlende Verschlüsselung und ihre Folgen

Die Verordnung verlangt geeignete technische und organisatorische Maßnahmen und nennt Verschlüsselung unter den Beispielen — als Beispiel, nicht als allgemeine Pflicht. Beim Fax ist die Frage vorab entschieden: Das Protokoll sieht keine vor, und die letzte Strecke zum Gerät läuft im Klartext über das Telefonnetz. Kein Anbieter kann das ändern.

Das macht das Fax nicht unzulässig; es verlagert den Aufwand. Verfügbar bleiben die organisatorischen Maßnahmen: die Nummer nach einem schriftlichen Verfahren prüfen statt aus dem Gedächtnis, die Empfangsstelle vorwarnen, damit die Seite nicht auf einem zugänglichen Gerät liegen bleibt, weniger auf die Seite schreiben und den Sendebericht als Nachweis aufbewahren, was wohin ging. Diese Maßnahmen dokumentieren Ihre Risikobewertung.

Die umgekehrte Überlegung gilt genauso: Sind die Daten so sensibel, dass nur ein verschlüsselter und authentifizierter Kanal taugt, und akzeptiert die Gegenseite einen, dann ist das Fax nicht die richtige Wahl — auch wenn es niemand verbietet.

Das Fax an die falsche Nummer

Das ist der häufigste DSGVO-Fall rund um das Fax und der, bei dem die Reflexe zählen. Eine Offenlegung gegenüber unbefugten Dritten ist eine Verletzung des Schutzes personenbezogener Daten — auch ohne Absicht und auch wenn die Empfangsstelle gutgläubig handelt.

  1. In jedem Fall dokumentieren

    Die Verordnung verlangt, jede Verletzung intern festzuhalten — Sachverhalt, Auswirkungen und ergriffene Maßnahmen —, unabhängig davon, ob sie gemeldet werden muss. Nach diesem Verzeichnis fragt die Aufsichtsbehörde zuerst.

  2. Das Risiko für die Betroffenen bewerten

    Maßstab ist nicht die Schwere des Fehlers, sondern das Risiko für die betroffenen Personen: welche Daten, wie viele Personen, welche Folgen möglich sind und wer die Seite tatsächlich erhalten hat.

  3. Bei Risiko binnen 72 Stunden melden

    Die Meldung an die Aufsichtsbehörde erfolgt unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde — es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Personen.

  4. Bei hohem Risiko die Betroffenen benachrichtigen

    Führt die Verletzung voraussichtlich zu einem hohen Risiko, sind auch die betroffenen Personen zu benachrichtigen — in klarer Sprache und mit den Schritten, die sie selbst ergreifen können.

Was eine Organisation einführen kann

Ein Verfahren zur Nummernprüfung
Schriftlich, und bei sensiblen Sendungen von einer anderen Person angewandt als der, die wählt. Das ist die Maßnahme gegen die häufigste Ursache faxbezogener Verletzungen.
Ein einheitliches Deckblatt
Mit benannter Empfangsstelle und einem Hinweis, wie bei irrtümlichem Empfang zu verfahren ist. Es bindet niemanden, wird aber gelesen und begrenzt das versehentliche Weiterlesen.
Ein beaufsichtigter Empfangsort
Ein Faxgerät in einem Bereich mit beschränktem Zugang statt im Flur. Auf der Empfangsseite ist das die wirksamste Maßnahme.
Löschung der Geräte
Multifunktionsgeräte behalten Seiten im Speicher und drucken ein Protokoll. Löschung vor jedem Weiterverkauf, jeder Reparatur und jeder Entsorgung einplanen.
Die Verarbeitung im Verzeichnis
Gehört der Faxversand zu Ihren laufenden Prozessen, steht er wie jeder andere Datenfluss im Verzeichnis von Verarbeitungstätigkeiten — mit Zweck, Empfängern und Speicherdauer.

Häufige Fragen

Verbietet die DSGVO das Faxen von Gesundheitsdaten?
Nein, keine Vorschrift verbietet es. Gesundheitsdaten gehören allerdings zu den besonderen Kategorien: Ihre Verarbeitung unterliegt strengeren Bedingungen, und ihre Offenlegung birgt ein höheres Risiko — die Anforderungen an begleitende Maßnahmen steigen entsprechend, und häufig ist es die empfangende Einrichtung selbst, die diesen Kanal verlangt. Was Ihre Einrichtung darf, klärt sich mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten.
Ist ein Fax an die falsche Nummer eine Datenschutzverletzung?
Ja, sobald es personenbezogene Daten enthält: Es ist eine unbefugte Offenlegung. Sie ist in jedem Fall intern zu dokumentieren, bei einem Risiko für die Personen der Aufsichtsbehörde zu melden und bei hohem Risiko auch den Betroffenen mitzuteilen.
Braucht es einen Vertrag mit dem genutzten Online-Faxdienst?
Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, fällt das Verhältnis unter die Regeln für Auftragsverarbeiter und verlangt eine vertragliche Grundlage. Das ist mit dem jeweils genutzten Dienst zu klären, bevor er zum regelmäßigen beruflichen Werkzeug wird.
Was behält MondialFax von meinen Sendungen?
Das Dokument wird nach Abschluss der Übertragung von unseren Servern gelöscht: weder archiviert noch indexiert noch ausgewertet. Der Dienst verlangt keine Anmeldung, es gibt also keinen persönlichen Bereich mit Ihren früheren Sendungen. Was nach dem Versand bleibt, liegt bei der Empfangsstelle und damit außerhalb unserer Reichweite.

Mehr erfahren

Die nützlichsten Seiten, um mit Ihrem Faxversand fortzufahren.