Datenschutz beim Postscan

Die Vollmacht ist kein Formalismus, sie ist der Grund, aus dem das Öffnen erlaubt ist. Rechtlich ist sie eine Bevollmächtigung nach §§ 164 ff. BGB, erteilt durch Erklärung gegenüber dem Bevollmächtigten (§ 167 Abs. 1 BGB). Für Zustellungen an einen Bevollmächtigten gilt zusätzlich § 171 ZPO.

Daraus folgt bei uns eine feste Reihenfolge:

1. Foto des Umschlags per E-Mail. Den geschlossenen Umschlag bilden wir nur von außen ab, kostenlos in allen Paketen. Du siehst Absender, Format und Datum, ohne dass jemand den Brief geöffnet hat.
2. Öffnen und Scannen nur mit Postvollmacht. Erst wenn die Vollmacht vorliegt, wird geöffnet, und nur für die Empfängernamen, die im Vertrag hinterlegt sind.
3. Keine Ausnahmen bei förmlichen Zustellungen. Gerichtspost öffnen wir nur, wenn die Vollmacht das ausdrücklich deckt. Was dabei mit Fristen passiert, steht in Einschreiben und Gerichtspost.

Den Wortlaut der Vollmacht findest Du in der Postvollmacht-Vorlage, die Erläuterung der einzelnen Klauseln unter Postvollmacht.

Auftragsverarbeitung nach Art. 28 DSGVO

Sobald ein Brief geöffnet und gescannt wird, entsteht eine Datei mit personenbezogenen Daten: Absender, Empfänger, Vorgangsnummern, oft Namen Dritter. Damit ist die DSGVO im Spiel.

Die Rollenverteilung ist klar. Du entscheidest über Zwecke und Mittel, also bist Du Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Wir verarbeiten in Deinem Auftrag und nach Deiner Weisung, also sind wir Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO. Für den Inhalt Deiner Post sind diese Rollen nicht vertauschbar. Für eigene Zwecke, etwa Vertragsdaten, Rechnungen und die Identitätsprüfung, ist der Anbieter dagegen selbst Verantwortlicher.

Art. 28 Abs. 3 DSGVO schreibt vor, was in dem Vertrag stehen muss. Prüfe jeden Anbieter an dieser Liste:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen
• Verarbeitung ausschließlich auf dokumentierte Weisung
• Vertraulichkeitsverpflichtung aller eingesetzten Personen
• technische und organisatorische Maßnahmen nach Art. 32 DSGVO
• Regeln für Unterauftragsverarbeiter, mit Genehmigungsvorbehalt nach Art. 28 Abs. 2 DSGVO
• Unterstützung bei Betroffenenrechten und bei den Pflichten aus Art. 32 bis 36 DSGVO, also auch bei einer Meldung nach Art. 33 DSGVO
• Löschung oder Rückgabe der Daten nach Ende der Leistung, nach Deiner Wahl
• Nachweise und Kontrollmöglichkeiten

Der Vertrag muss nach Art. 28 Abs. 9 DSGVO schriftlich oder in einem elektronischen Format vorliegen. Bei uns ist er Anlage zum Hauptvertrag und liegt Dir vor der Unterschrift vor, nicht versteckt hinter einem Häkchen. Den Text findest Du unter Auftragsverarbeitungsvertrag.

Konstruiertes Beispiel, keine Kundengeschichte. Eine Agentur mit vier Angestellten nutzt eine Geschäftsadresse mit Postscan. Die Steuerberatung schickt die Lohnabrechnungen in einem Sammelumschlag an die Firma, adressiert an die Geschäftsführung. Der Umschlag ist von der Postvollmacht gedeckt, also wird geöffnet und gescannt. Im Scan stehen die Gehälter aller vier Beschäftigten, und der Scan landet in einem Postfach, auf das auch der kaufmännische Mitarbeiter Zugriff hat.

Rechtlich ist das kein Fehler des Dienstleisters, sondern eine Weisungslücke des Verantwortlichen. Die Agentur hätte drei Dinge festlegen müssen: dass Sendungen dieses Absenders nicht geöffnet, sondern im Original weitergeleitet werden, dass Scans dieser Art an keine zweite Adresse weitergeleitet werden, und dass die Steuerberatung solche Unterlagen direkt und verschlüsselt übermittelt. Alle drei Punkte sind Vorgaben im Vertrag, kein Zusatzprodukt. Wer den Postscan einrichtet, sollte deshalb einmal durchgehen, welche Absender niemals geöffnet werden dürfen.

Ob Du einen Scan als Ersatz für das Papieroriginal verwenden darfst, ist keine Datenschutz-, sondern eine Steuerfrage. Sie steht unter Eingangspost scannen nach GoBD. Wie sich ein reiner Scan-Dienst von einer Geschäftsadresse mit Postservice unterscheidet, zeigt Scan-Dienst oder Geschäftsadresse. Coaches und Beratungen mit vertraulicher Post finden ihre Besonderheiten unter Geschäftsadresse für Coaches und Berater.