Was die DSGVO beim Teilen verlangt
Die DSGVO kennt keinen eigenen Paragrafen „Dateien teilen“. Sie stellt Grundsätze auf, die für jede Weitergabe gelten. Die wichtigsten stehen in Art. 5 Abs. 1 DSGVO:
- Zweckbindung: Du gibst Daten nur für den Zweck weiter, für den du sie hast – etwa um einen Auftrag zu erfüllen.
- Datenminimierung: Der Empfänger bekommt nur, was er für diesen Zweck braucht. Nicht die ganze Kundenakte, wenn ein Angebot reicht.
- Speicherbegrenzung: Daten sollen nicht länger verfügbar sein als nötig. Ein Link ohne Ende widerspricht dem Gedanken.
- Integrität und Vertraulichkeit: Unbefugte dürfen nicht an die Daten kommen. Art. 32 DSGVO verlangt dafür angemessene technische und organisatorische Maßnahmen.
Außerdem braucht jede Weitergabe eine Rechtsgrundlage nach Art. 6 DSGVO – zum Beispiel, weil sie für einen Vertrag mit deiner Kundin oder deinem Kunden nötig ist. Ob das in deinem Fall zutrifft, prüfst du selbst; dieser Artikel ist eine allgemeine Orientierung, keine Rechtsberatung.
Vor dem Teilen: drei kurze Fragen
Bevor du einen Link erstellst, lohnen sich drei Fragen. Sie dauern eine Minute und verhindern die meisten Fehler:
- Muss diese Person die Daten wirklich bekommen? Manchmal reicht eine Auskunft am Telefon oder eine Zusammenfassung ohne Namen.
- Welcher Teil reicht? Ein Auszug, eine geschwärzte Kopie oder ein einzelnes Dokument statt eines ganzen Ordners.
- Wie lange braucht sie Zugriff? Für einen Rückruf am selben Tag genügt ein Link, der morgen abläuft. Für eine Zusammenarbeit über Monate passt eine Freigabe für ein Konto besser.
Aus den Antworten ergibt sich fast von selbst, welcher Weg passt.
Der passende Weg: Link, geschützter Link oder Freigabe
In SafeDoc gibt es drei Arten zu teilen – und eine vierte für den umgekehrten Fall, wenn Kundinnen und Kunden dir Unterlagen schicken sollen:
| Situation | Passender Weg | Warum |
|---|---|---|
| Angebot oder Vertrag an eine Kundin | Geschützter Link mit Passwort und Ablauf | Kein Konto nötig, endet von selbst |
| Laufendes Projekt mit einem Partnerbüro | Mit Personen teilen, auf Wunsch befristet | Nur das eingeladene Konto kommt ran |
| Unkritische Datei, z. B. ein Prospekt | Einfacher Link | Schnell, ohne Personenbezug |
| Kunde soll Unterlagen hochladen | Dateianfrage | Er lädt hoch, sieht aber nichts im Ordner |
Bei der Dateianfrage schickst du einen Link, über den andere direkt in einen Ordner von dir hochladen – ohne eigenes Konto und ohne den Inhalt des Ordners zu sehen. Sie läuft zu einem Datum ab, das du festlegst. Das ist oft besser, als sich Unterlagen per E-Mail schicken zu lassen.
Passwort, Ablaufdatum und Downloadlimit für Links gibt es ab dem Tarif Plus Bezahltarife · bald. Einfache Links, Freigaben für Personen und Dateianfragen gibt es in jedem Tarif.
Das Passwort richtig einsetzen
Ein Passwort schützt nur, wenn es nicht zusammen mit dem Link unterwegs ist. Drei Regeln reichen:
- Zwei Wege: Den Link per E-Mail, das Passwort per SMS, Anruf oder Messenger. Wer die E-Mail weiterleitet, hat dann nur die halbe Information.
- Für jeden Link ein eigenes Passwort: Nicht dasselbe Wort für alle Kunden. Ein Passwort-Generator erzeugt in Sekunden ein zufälliges.
- Lieber lang als kompliziert: SafeDoc verlangt mindestens 6 Zeichen. Für Kundendaten sind deutlich mehr sinnvoll – mehrere zufällige Wörter lassen sich gut diktieren.
Falsche Eingaben werden auf dem Server gebremst. Wer das Passwort nicht kennt, kann es also nicht in kurzer Zeit durchprobieren.
Ablaufdatum, Downloadlimit und „nur ansehen“
Diese drei Einstellungen sorgen dafür, dass ein Link nicht länger und nicht öfter wirkt als nötig:
- Ablaufdatum: In SafeDoc wählst du 1, 7 oder 30 Tage. Danach führt der Link ins Leere – auch wenn ihn jemand weitergeleitet hat.
- Downloadlimit: Du legst fest, wie oft die Datei heruntergeladen werden darf. Der Server zählt mit; auch viele gleichzeitige Aufrufe überschreiten die Grenze nicht.
- Nur ansehen: Der Empfänger kann die Datei im Browser ansehen, aber nicht herunterladen. Ein Bildschirmfoto verhindert das nicht – es hält aber Kopien klein.
Eine gute Grundeinstellung für Unterlagen mit Kundendaten: Passwort, Ablauf nach 7 Tagen und ein Downloadlimit von 2. Muss es schneller gehen, nimm 1 Tag. Die eigentliche Download-Adresse läuft ohnehin nach fünf Minuten ab; eine kopierte Adresse ist danach wertlos.
Ordner gezielt teilen
Teilst du einen Ordner, sieht der Empfänger diesen Ordner und alles darin – aber nichts darüber und nichts daneben. Leg deshalb für jede Weitergabe einen eigenen Ordner an, zum Beispiel „Kunde Meier – Angebot“. Dann teilst du genau das, was gemeint ist, und nicht aus Versehen die Unterlagen anderer Kundinnen und Kunden.
Nach dem Teilen: aufräumen und nachvollziehen
Unter „Von mir geteilt“ siehst du alle Links und Freigaben an einer Stelle – und wie oft über einen Link heruntergeladen wurde. Gewöhn dir an, dort regelmäßig aufzuräumen: Was niemand mehr braucht, löschst du mit einem Klick. Danach funktioniert der Link sofort nicht mehr.
Freigaben für Personen kannst du auf 1, 7, 30 oder 90 Tage befristen. Ist das Projekt vorbei, endet der Zugriff von selbst – auch wenn du es vergisst.
Wenn ein Link beim Falschen landet
Ein Tippfehler in der E-Mail-Adresse, eine falsche Weiterleitung – das passiert. Dann zählt, was du in der nächsten Stunde tust:
- Den Link sofort unter „Von mir geteilt“ löschen. Am Zähler siehst du, ob schon heruntergeladen wurde.
- Den Vorfall mit Datum, Uhrzeit und betroffenen Daten notieren. Art. 33 Abs. 5 DSGVO verlangt, Datenpannen zu dokumentieren.
- Prüfen, ob du ihn melden musst: Besteht ein Risiko für die Betroffenen, ist die Meldung an die Aufsichtsbehörde in der Regel binnen 72 Stunden fällig (Art. 33 DSGVO), bei hohem Risiko auch die Benachrichtigung der Betroffenen (Art. 34 DSGVO).
Ein Passwort und ein kurzes Ablaufdatum machen aus so einem Fehler oft einen kleinen: Wer nur den Link hat, kommt nicht an die Datei.
Der Speicher selbst: AV-Vertrag nicht vergessen
Liegen die Kundendaten bei einem Cloud-Speicher, verarbeitet dieser sie in deinem Auftrag. Dafür brauchst du einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO – auch als Einzelunternehmerin oder Freiberufler. Was darin steht und wann er nötig ist, erklärt die Seite AV-Vertrag.
Bei SafeDoc gibt es den AV-Vertrag in jedem bezahlten Tarif ab Plus, auch im Einzelkonto Fertig · startet mit Bezahltarifen. Dateien und Datenbank liegen in Rechenzentren in Deutschland. Die Sicherungen sind ebenfalls für Deutschland vorgesehen; sie werden gerade aufgebaut. Wir verwenden die Inhalte deiner Dateien nicht zum Training von KI-Modellen und geben sie nicht an Anbieter von KI-Diensten weiter.
Kurz-Checkliste zum Ausdrucken
- Nur teilen, was der Empfänger für den Zweck braucht.
- Eigenen Ordner für jede Weitergabe anlegen.
- Passwort setzen und auf einem zweiten Weg schicken.
- Ablaufdatum wählen – im Zweifel 7 Tage oder kürzer.
- Downloadlimit setzen, wenn nur eine Person laden soll.
- Unterlagen von Kunden per Dateianfrage einsammeln statt per E-Mail.
- Einmal im Monat unter „Von mir geteilt“ aufräumen.
- Mit dem Speicheranbieter einen AV-Vertrag abschließen.
Hinweis