Wenn Sie Dokumente per OCR verarbeiten, verarbeiten Sie personenbezogene Daten. Namen, Adressen, IBANs, Steuer-IDs — all das fällt unter die DSGVO. Trotzdem schicken viele Unternehmen ihre sensiblen Geschäftsdokumente bedenkenlos an US-amerikanische Cloud-Dienste. Das ist nicht nur ein Datenschutzrisiko — es kann richtig teuer werden.
Warum OCR ein Datenschutz-Thema ist
OCR-Software liest den Inhalt Ihrer Dokumente. Bei einer Rechnung extrahiert sie den Firmennamen, die Anschrift, die Bankverbindung und die Steuernummer. All das sind personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO.
Die rechtlichen Anforderungen im Überblick
Rechtsgrundlage (Art. 6 DSGVO)
- Vertragserfüllung (Art. 6 Abs. 1 lit. b)
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)
- Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c)
Auftragsverarbeitung (Art. 28 DSGVO)
Wenn Sie einen externen OCR-Dienst nutzen, ist dieser Ihr Auftragsverarbeiter. Sie benötigen einen AVV, Nachweis angemessener TOMs und Klarheit über Unterauftragnehmer.
Das Problem mit US-Cloud-Anbietern
CLOUD Act: Der lange Arm der US-Behörden
Der CLOUD Act von 2018 verpflichtet US-Unternehmen, US-Behörden Zugriff auf gespeicherte Daten zu gewähren — auch wenn diese Daten auf Servern in der EU liegen. Das betrifft AWS Textract, Google Cloud Vision und Microsoft Azure.
Reale Bußgelder
- Meta (Facebook): 1,2 Mrd. € Bußgeld (Mai 2023)
- Clearview AI: 20 Mio. € durch die italienische Datenschutzbehörde
- Google Analytics: Mehrere europäische Behörden haben die Nutzung als DSGVO-widrig eingestuft
Warum der Serverstandort Falkenstein, Deutschland entscheidend ist
Kein Drittlandtransfer
Wenn Ihre Daten ausschließlich in Deutschland verarbeitet werden, entfällt die gesamte Drittlandtransfer-Problematik.
Deutsche Rechtsordnung
Server in Deutschland unterliegen deutschem Recht. Das BDSG ergänzt die DSGVO mit teils strengeren Regelungen. US-Behörden haben keinen rechtlichen Zugriff.
Checkliste: Ist Ihre OCR-Lösung DSGVO-konform?
Unternehmen und Serverstandort
- Der Anbieter hat seinen Sitz in der EU/im EWR
- Die Datenverarbeitung findet ausschließlich auf Servern in der EU statt
- Es gibt keine US-Muttergesellschaft, die dem CLOUD Act unterliegt
Technische Maßnahmen
- Dokumente werden verschlüsselt übertragen (TLS 1.2+)
- Dokumente werden nach der Verarbeitung gelöscht
- Dokumente werden nicht für KI-Training verwendet
- PII-Anonymisierung ist bei Bedarf verfügbar
German-OCR: DSGVO-Konformität als Grundprinzip
Alle Daten werden ausschließlich in einem Rechenzentrum in Falkenstein, Deutschland verarbeitet. Dokumente werden nach der Verarbeitung sofort gelöscht. Das Privacy Shield Modell bietet zusätzliche PII-Anonymisierung.
Fazit
Die DSGVO-Konformität Ihrer OCR-Lösung ist kein Nice-to-have — sie ist gesetzliche Pflicht. Der Serverstandort ist der entscheidende Faktor. Mit Serverstandort Falkenstein (Deutschland), vollständigem AVV und Privacy Shield bietet German-OCR die technische Grundlage für eine Dokumentenverarbeitung, bei der Compliance keine offene Frage bleibt.