DSGVO im DMS: Was Benutzer praktisch beachten müssen

Aktualisiert am 8. August 2026 / in Digitale Archive

Fachlicher Hinweis: Dieser Praxisbeitrag ersetzt keine individuelle Rechtsberatung. Die passende Rechtsgrundlage, Löschfrist und Zugriffsgestaltung sind für den konkreten Datenbestand anhand aktueller Primärquellen und bei Bedarf mit fachkundiger Beratung zu prüfen.

Ein DMS kann Datenschutzanforderungen unterstützen. Es macht einen Ablauf aber nicht automatisch datenschutzkonform. Entscheidend ist, welche personenbezogenen Daten verarbeitet werden, wer darauf zugreifen darf, welchem Zweck die Verarbeitung dient und wie Löschung, Export, Sicherung und Dienstleister geregelt sind.

Hinweis: Dieser Beitrag stellt allgemeine fachliche und technische Informationen bereit. Er ersetzt keine individuelle Rechts-, Datenschutz- oder Steuerberatung. Die konkrete Bewertung hängt vom Einzelfall, der Organisation, den verarbeiteten Daten, den steuerlichen Pflichten und der tatsächlichen technischen Umsetzung ab. Bei rechtlich oder steuerlich relevanten Entscheidungen sollten ein Rechtsanwalt, Datenschutzberater oder Steuerberater hinzugezogen werden.

Wer muss die DSGVO beachten?

Selbstständige und kleine Unternehmen verarbeiten regelmässig Kundendaten, Interessentendaten, Lieferantendaten, Ansprechpartner, Beschäftigtendaten, Supportinformationen und Fernwartungsdaten. Kleinunternehmerstatus oder geringer Umsatz nehmen diese Verarbeitung nicht automatisch aus dem Datenschutz heraus.

Vereine verarbeiten Mitgliederdaten, Spenderdaten, Teilnehmerlisten, Fotos, Notfallinformationen, Gesundheitsinformationen oder Daten von Übungsleitern. Verantwortlich ist nicht die private Person am Rechner, sondern der Verein, vertreten durch den Vorstand.

Private Vermieter verarbeiten Daten von Mietinteressenten, Mietern, Bürgen, Mitbewohnern, Zahlungsdaten, Mietverträge, Betriebskosten, Mängelanzeigen, Verbrauchsdaten und Zählerstände. Die rein persönliche Haushaltsausnahme passt hier regelmässig nicht, weil Daten anderer Personen im Rahmen der Vermietung verarbeitet werden.

Private Haushalte sind abzugrenzen. Rein persönliche oder familiäre Dokumente fallen regelmässig unter die Haushaltsausnahme. Trotzdem können Schutz, Verschlüsselung, Backup und klare Ordnung sinnvoll sein.

Was die Person entscheiden muss

Vor dem Speichern eines Dokuments stellen sich praktische Fragen:

• Ist die Speicherung erforderlich?
• Welche Rechtsgrundlage oder welcher legitime Zweck liegt vor?
• Wer darf das Dokument sehen?
• Enthält es besondere Kategorien personenbezogener Daten?
• Wie lange wird es benötigt?
• Muss es später gelöscht, gesperrt oder anonymisiert werden?
• Ist ein externer Dienstleister beteiligt?
• Wird die Datei exportiert, geteilt oder in ein Nebensystem kopiert?

Die DSGVO-Grundsätze aus Art. 5 DSGVO lassen sich im Alltag als einfache Kontrollfragen lesen: Ist der Zweck klar, die Datenmenge begrenzt, die Aufbewahrung nachvollziehbar und der Zugriff angemessen geschützt?

Pflichten im Alltag

Persönliche Benutzerkonten sind besser als Sammelkonten. Wer Dokumente bearbeitet, exportiert oder löscht, sollte erkennbar bleiben. Berechtigungen gehören zur Aufgabe, nicht zur Beqümlichkeit. Kasse, Vorstand, Vermieter, Steuerbuero, technische Administration und Familienmitglieder brauchen nicht automatisch dieselben Rechte.

Private und geschäftliche Bestände sollten getrennt werden. Das gilt auch für Vereine und Vermietung. Sensible Dokumente wie Bewerbungsunterlagen, Gesundheitsinformationen, Ausweiskopien, Mietinteressentendaten oder Beschäftigtendaten brauchen besondere Zurückhaltung und engere Zugriffe.

Externe Freigaben müssen kontrolliert werden. Ein freigegebener Link, ein Exportordner oder ein Anhang an eine private E-Mail kann zum eigentlichen Datenschutzproblem werden. Fernzugriff gehört abgesichert, dokumentiert und auf notwendige Personen begrenzt.

Löschen ist mehr als ein Papierkorb

Eine Löschanfrage beginnt nicht mit dem Papierkorb-Symbol. Zuerst ist zu prüfen, ob noch ein Rechtsgrund oder eine Aufbewahrungspflicht besteht. Steuerlich relevante Belege, Vertragsunterlagen oder Nachweise dürfen nicht allein deshalb sofort verschwinden, weil sie personenbezogene Daten enthalten.

Wenn gelöscht werden darf, reicht die Oberfläche nicht immer aus. Hauptsystem, Exportordner, E-Mail-Anhänge, lokale Kopien, Suchindexe, Papierausdrucke und Backups müssen als Gesamtbild betrachtet werden. Backups müssen nicht zwingend sofort technisch umgeschrieben werden, sollten aber im Schutz- und Wiederherstellungskonzept berücksichtigt sein.

Praxisfall: Eine ehemalige Mietinteressentin bittet um Löschung ihrer Unterlagen. Was sieht die Person? Bewerbungsdaten, E-Mails, Ausweiskopie oder Selbstauskunft. Was muss sie entscheiden? Ob noch Ansprüche, Fristen oder Dokumentationsgründe bestehen. Welches System ist führend? DMS oder Dateiablage für Unterlagen, E-Mail-Archiv für Kommunikation. Fehler: Nur den sichtbaren DMS-Eintrag löschen und exportierte Kopien vergessen.

Auftragsverarbeitung

Ein Dienstleister ist nicht automatisch Auftragsverarbeiter, aber die Frage muss gestellt werden. Wer entscheidet über Zweck und Mittel der Verarbeitung? Wer verarbeitet nur nach Weisung? Hoster, IT-Dienstleister, DMS-Betreiber, Cloudanbieter, Fernwartung und Backupdienste können eine Auftragsverarbeitung auslösen.

Ein AV-Vertrag ersetzt nicht die technische Prüfung. Zugriff, Verschlüsselung, Protokollierung, Standort, Löschung, Supportzugriff, Unterauftragnehmer und Wiederherstellung bleiben praktische Themen.

Backups gehören zum Datenschutz

Ein DMS ist kein Backup. Gleichzeitig gehören Backups zum Schutzkonzept, weil Verlust, Defekt oder Fehlbedienung ebenfalls Risiken für personenbezogene Daten sind. Zu sichern sind nicht nur PDF-Dateien, sondern auch Datenbank, Metadaten, Konfiguration, Benutzer- und Rechtekonzept, Schlüssel und Wiederherstellungsweg.

Praxisfall: Der Server fällt aus. Was sieht die Person? Das DMS ist nicht erreichbar. Was muss sie entscheiden? Welche Sicherung ist aktuell und vollständig? Welches System ist führend? Das Backup für Wiederherstellung, nicht das DMS. Fehler: Nur die Dokumentdateien sichern und Datenbank, Schlüssel oder Konfiguration verlieren.

Weiterführende Seiten

• DMS und GoBD bei steuerlichen Aufbewahrungspflichten.
• Paperless-ngx, MailStore und Vanderplanki für die Werkzeugrollen.
• DMS für Selbstständige, Vereine und private Vermieter für typische Zielgruppen.

Quellen und Prüfstand

Stand: 10. Juli 2026. Geprüft wurden insbesondere Art. 2, 5, 6, 24, 25, 28, 32 und 33 DSGVO in der offiziellen EUR-Lex-Fassung.

Im Wissensnetz weitergehen

• Datenschutz und Aufbewahrung im Zusammenhang
• GoBD bei Rechnungen und Belegen
• Paperless-ngx archivisch einordnen