Datenschutz beim Postscan

Art. 9 Abs. 1 DSGVO verbietet die Verarbeitung von Daten über Gesundheit, Religion, Gewerkschaftszugehörigkeit, Sexualleben, politische Meinungen und weitere Kategorien im Grundsatz, mit engen Ausnahmen in Art. 9 Abs. 2 DSGVO. Dazu kommt bei Ärztinnen, Anwälten, Steuerberaterinnen und weiteren Berufen die Schweigepflicht aus § 203 StGB, die sich auf mitwirkende Personen erstreckt und deren Einbindung an eigene Voraussetzungen knüpft.

Unsere Regel ist deshalb einfach und ausnahmslos: Post, die erkennbar Gesundheitsdaten oder Mandantendaten enthält, öffnen und scannen wir nicht. Wir nehmen sie an, scannen den geschlossenen Umschlag und leiten sie im Original weiter oder halten sie zur Abholung bereit. Wer eine Praxis oder Kanzlei führt, braucht für diesen Teil der Post einen anderen Weg als einen Postscan.

Praxisbeispiel: die Lohnabrechnung im falschen Umschlag

Konstruiertes Beispiel, keine Kundengeschichte. Eine Agentur mit vier Angestellten nutzt eine Geschäftsadresse mit Postscan. Die Steuerberatung schickt die Lohnabrechnungen in einem Sammelumschlag an die Firma, adressiert an die Geschäftsführung. Der Umschlag ist von der Postvollmacht gedeckt, also wird geöffnet und gescannt. Im Scan stehen die Gehälter aller vier Beschäftigten, und der Scan landet in einem Postfach, auf das auch der kaufmännische Mitarbeiter Zugriff hat.

Rechtlich ist das kein Fehler des Dienstleisters, sondern eine Weisungslücke des Verantwortlichen. Die Agentur hätte drei Dinge festlegen müssen: dass Sendungen dieses Absenders nicht geöffnet, sondern im Original weitergeleitet werden, dass Scans dieser Art an keine zweite Adresse weitergeleitet werden, und dass die Steuerberatung solche Unterlagen direkt und verschlüsselt übermittelt. Alle drei Punkte sind Vorgaben im Vertrag, kein Zusatzprodukt. Wer den Postscan einrichtet, sollte deshalb einmal durchgehen, welche Absender niemals geöffnet werden dürfen.

Wenn Du Post scannen lassen willst

Für einzelne Briefe reicht das Impressum-Paket für 7,90 € netto im Monat: Umschlag-Scan am Eingangstag ist enthalten, Öffnen und Scannen kostet 1,50 € je Brief, drei Briefe im Monat sind inklusive. Wer regelmäßig Post bekommt, fährt mit dem Business-Paket für 24,90 € netto im Monat besser, dort sind zehn Voll-Scans im Monat enthalten. Wer jeden Brief am Eingangstag gescannt haben will, die Freigabe pro Brief nutzt und die Scans zusätzlich an die Steuerberatung schicken lassen will, nimmt Digital Pro für 49 € netto im Monat. Der Auftragsverarbeitungsvertrag gehört in allen Paketen dazu und kostet nichts extra. Keine Kaution, monatlich kündbar. Wenn Du wissen willst, ob Deine Postarten zu unseren Regeln passen, schreib uns über die Anfrage, am besten mit den typischen Absendern.

Wer sieht meine Scans?

Nur der Kreis, der zum Öffnen und Einlegen nötig ist, und der ist auf Vertraulichkeit verpflichtet, wie Art. 28 Abs. 3 lit. b DSGVO es verlangt. Wer eine Sendung öffnet und scannt, wird bei uns festgehalten. Auf Deiner Seite entscheidest Du, an welche E-Mail-Adressen die Scans gehen. Wenn Du willst, dass eine bestimmte Absenderin gar nicht erst geöffnet wird, ist das eine Weisung, die wir umsetzen, kein Sonderwunsch.

Bekomme ich einen Auftragsverarbeitungsvertrag?

Ja, und zwar bevor Du unterschreibst. Der AVV ist Anlage zum Hauptvertrag, nicht ein Häkchen im Formular. Inhaltlich folgt er Art. 28 Abs. 3 DSGVO mit Weisungsbindung, Vertraulichkeit, Maßnahmen nach Art. 32 DSGVO, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und einer Regelung zu Löschung oder Rückgabe am Ende. Du kannst ihn vorab lesen, ohne Kunde zu sein.

Wie lange werden die Scans gespeichert?

Die Frist steht im AVV und richtet sich nach dem Paket und nach Deiner Wahl. Wichtig ist die Blickrichtung: Der Speicher beim Dienstleister ist kein Ersatz für Dein Archiv. Steuerlich und handelsrechtlich musst Du Belege selbst aufbewahren, in der Regel zehn Jahre nach § 147 AO und § 257 HGB. Zieh Rechnungen und Verträge deshalb zeitnah in Deine eigene Ablage.

Was gilt für Post, die an eine Mitarbeiterin persönlich adressiert ist?

Persönlich adressierte Post öffnen wir nicht, auch dann nicht, wenn die Firma auf dem Umschlag steht. Maßgeblich ist, für wen die Sendung bestimmt ist, und das ist bei einer namentlichen Adressierung mit Zusatz "persönlich" oder "vertraulich" die Person, nicht das Unternehmen. Solche Sendungen bekommen einen Umschlag-Scan und werden im Original weitergeleitet oder zur Abholung bereitgelegt.

Kann ich die Postvollmacht jederzeit widerrufen?

Ja. Die Vollmacht ist nach § 168 Satz 2 BGB grundsätzlich frei widerruflich, ohne Frist und ohne Grund. Ab Zugang des Widerrufs wird kein Umschlag mehr geöffnet, die Annahme der Post läuft unverändert weiter. Wenn Du nur einen Teilbereich herausnehmen willst, etwa Gerichtspost oder Post eines bestimmten Absenders, geht das ebenfalls, dafür genügt eine Änderung der Vollmacht statt eines vollständigen Widerrufs.

Hinweis: Dieser Artikel ist keine Rechtsberatung. Er gibt den Stand vom 29.08.2026 nach den unten genannten Quellen wieder. Ob und in welchem Umfang eine Norm auf Deinen Fall passt, hängt von Deiner Postart, Deiner Branche und Deinen eigenen Datenschutzpflichten ab. Sprich im Zweifel mit einem Datenschutzbeauftragten oder einer Anwältin.