Dokumentenmanagement mit hohen Datenschutzstandards: Worauf Sie achten sollten

Ein Dokumentenmanagement-System (DMS) mit hohen Datenschutzstandards erkennen Sie an sieben Merkmalen: Verarbeitung in der EU, Vertrag zur Auftragsverarbeitung, feine Zugriffsrechte, Verschlüsselung, lückenlose Protokollierung, ein Lösch- und Aufbewahrungskonzept und revisionssichere Archivierung. Enthält das System KI-Funktionen, muss zusätzlich ausgeschlossen sein, dass Ihre Dokumente zum Training fremder Modelle verwendet werden.

Für wen hohe Datenschutzstandards besonders wichtig sind

• Soziale Träger, Pflege und Gesundheit: Gesundheits- und Sozialdaten sind besonders geschützt.
• Kanzleien und Steuerberatung: Berufsgeheimnisse und Mandantendaten.
• Kommunen und Verwaltung: Bürgerdaten und Vorgänge mit Rechtsfolgen.
• Personalabteilungen: Bewerbungen, Verträge, Gesundheitsangaben.
• Unternehmen mit Geschäftsgeheimnissen: Verträge, Kalkulationen, Konstruktionen.

Die sieben Kriterien im Detail

1. Verarbeitungsort

Wo liegen Daten, Backups und Verarbeitung? Eine Verarbeitung in Deutschland oder der EU vereinfacht die rechtliche Bewertung erheblich. Fragen Sie auch nach Support-Zugriffen aus Drittländern.

2. Auftragsverarbeitung

Ohne AVV nach Art. 28 DSGVO dürfen Sie keine personenbezogenen Dokumente in ein Cloud-DMS geben. Lassen Sie sich die Liste der Unterauftragnehmer zeigen.

3. Zugriffsrechte

Rechte sollten sich auf Ordner-, Dokument- und Rollenebene vergeben lassen. Wer ein Dokument nicht sehen darf, darf es auch nicht in Suchergebnissen oder KI-Antworten finden.

4. Verschlüsselung

Verschlüsselte Übertragung ist Pflicht, verschlüsselte Speicherung sollte Standard sein.

5. Protokollierung

Wer hat wann welches Dokument geöffnet, geändert oder gelöscht? Protokolle sind wichtig für Datenschutzanfragen, Sicherheitsvorfälle und Prüfungen.

6. Löschen und Aufbewahren

Die DSGVO verlangt, Daten zu löschen, wenn der Zweck entfällt; Handels- und Steuerrecht verlangen dagegen Aufbewahrung – für Buchungsbelege seit 2025 acht Jahre. Ein gutes DMS bildet beides mit Aufbewahrungsfristen und Löschregeln ab.

7. Revisionssicherheit

Steuerlich relevante Dokumente müssen nach den GoBD unveränderbar und nachvollziehbar archiviert werden. Mehr dazu in Digitale Archivierung im Unternehmen.

KI im DMS: zusätzliche Fragen

• Wo läuft das Sprachmodell – beim DMS-Anbieter, bei einem Drittanbieter, in der EU?
• Werden Dokumente oder Fragen zum Training verwendet?
• Respektiert die KI-Suche die Zugriffsrechte?
• Nennt die KI die Quelle ihrer Antwort?

Diese Anforderungen erfüllt unsere KI-Dokumentensuche: Verarbeitung in Deutschland, AVV, Übernahme der bestehenden Zugriffsrechte und Antworten mit Quellenangabe. Sie ersetzt kein DMS, sondern macht vorhandene Ablagen durchsuchbar. Details: KI-Dokumentensuche und DSGVO.

Open Source oder Cloud-Dienst?

Selbst betriebene Open-Source-Systeme geben maximale Kontrolle über die Daten, verlangen aber Betrieb, Updates und Backups. Cloud-Dienste nehmen diese Arbeit ab, verlangen dafür eine sorgfältige Prüfung von Verträgen und Verarbeitungsorten. Eine Mischform ist ein Open-Source-System, das ein Dienstleister in einem deutschen Rechenzentrum für Sie betreibt.

Auswahl in fünf Schritten

1. Dokumentarten und Schutzbedarf erfassen.
2. Anforderungen an Rechte, Aufbewahrung und Archivierung festlegen.
3. Anbieter mit der Kriterienliste vergleichen.
4. Datenschutzbeauftragte früh einbinden.
5. Mit einem Bereich pilotieren, dann ausweiten.

Wie Sie eine digitale Ablage sinnvoll strukturieren, beschreibt Digitales Ablagesystem für Unternehmen.

Vergleichsraster für die Auswahl

• Spalten: Kriterium · Anbieter A · Anbieter B · Anbieter C · Gewichtung
• Kriterien: Verarbeitungsort, AVV, Rechte, Verschlüsselung, Protokolle, Löschkonzept, Revisionssicherheit, KI-Funktionen, Schnittstellen, Betrieb
• Bewertung: 2 = erfüllt, 1 = teilweise, 0 = nicht erfüllt
• Gewichtung: Kriterien zum Datenschutz doppelt

Häufige Fehler bei der Einführung

• Altlasten ungefiltert übernehmen: Veraltete Dokumente vor der Migration aussortieren.
• Rechte zu grob vergeben: „Alle sehen alles“ ist bequem, aber selten zulässig.
• Kein Löschkonzept: Ohne Regeln wächst das System unkontrolliert.
• Schatten-Ablagen: Wenn das DMS umständlich ist, landen Dokumente wieder auf Desktops und in E-Mails.

Wie KI die Arbeit mit einem DMS verändert

Klassische DMS setzen auf Ordner und Schlagworte. KI ergänzt das um inhaltliche Suche: Mitarbeitende stellen eine Frage und erhalten die Antwort mit Fundstelle. Außerdem kann KI eingehende Dokumente klassifizieren, Metadaten vorschlagen und Inhalte zusammenfassen. Voraussetzung bleibt ein sauberes Rechte- und Datenschutzkonzept – denn eine KI, die alles findet, findet auch, was sie nicht anzeigen darf, wenn die Rechte nicht stimmen.

Praxisbeispiel: Wissenssuche bei einem sozialen Träger

In sozialen Einrichtungen liegen Konzepte, Qualitätshandbücher, Dienstanweisungen und Formulare oft über Laufwerke verteilt. Eine KI-Dokumentensuche kann diese Bestände durchsuchbar machen, ohne sie zu verschieben: Mitarbeitende fragen „Was ist bei einem Sturz im Nachtdienst zu dokumentieren?“ und erhalten die Antwort mit Verweis auf die Stelle im Handbuch. Weil die Rechte der Ablage übernommen werden, sieht die Pflegekraft keine Personalunterlagen und die Verwaltung keine Klientenakten. Das Beispiel ist illustrativ; die konkrete Umsetzung hängt von Ablage, Rechten und Datenschutzkonzept ab.

Über bettersorted

bettersorted ist ein KI-Beratungs- und Automatisierungsunternehmen aus Schwerin. Wir sind beim BAFA registrierter Berater, autorisierter INQA-Coach und Mitgründer des Netzwerks KI|werk MV; unsere Praxis kommt aus Sozialwirtschaft, Handwerk und Mittelstand. Unsere Lösungen laufen auf Servern in Deutschland, mit einsehbaren Workflows statt Blackbox.

Häufig gestellte Fragen

Welche Dokumentenmanagement-Software eignet sich bei hohen Datenschutzanforderungen?

Systeme mit Verarbeitung in Deutschland oder der EU, AVV nach Art. 28 DSGVO, feinen Zugriffsrechten, Verschlüsselung, Protokollierung, Löschkonzept und revisionssicherer Archivierung. Ob Open Source oder Cloud, entscheidet der Betriebsaufwand, den Sie tragen können.

Ist ein Cloud-DMS DSGVO-konform?

Es kann DSGVO-konform sein, wenn Verarbeitungsort, Auftragsverarbeitungsvertrag, Unterauftragnehmer und technische Maßnahmen stimmen. Das muss im Einzelfall geprüft werden.

Dürfen KI-Funktionen im DMS meine Dokumente zum Training nutzen?

Das sollte vertraglich ausgeschlossen sein. Seriöse Anbieter verwenden Kundendokumente nicht zum Training allgemeiner Modelle oder bieten eine eindeutige Abwahl.

Wie lange müssen Dokumente aufbewahrt werden?

Das hängt von der Dokumentart ab. Buchungsbelege wie Rechnungen seit 2025 acht Jahre, empfangene und versandte Geschäftsbriefe sechs Jahre. Für Personal-, Gesundheits- und Sozialdaten gelten eigene Regeln.

Stand: Oktober 2026.