In deutschen Praxen, Kanzleien und Steuerbüros ist das Fax nicht totzukriegen. Arztbrief, Vollmacht, Lohnsteuerbescheinigung — vieles läuft weiterhin über die Faxnummer, weil die Gegenstelle es so verlangt. Nur steht auf dem Schreibtisch immer seltener ein Gerät. An seine Stelle tritt ein Online-Faxdienst, der über Browser oder E-Mail arbeitet.
Damit wandert etwas Heikles in die Cloud: personenbezogene Daten, oft besonders geschützte nach Art. 9 DSGVO — Gesundheitsdaten, Mandantengeheimnisse, Steuerunterlagen. Und plötzlich ist der Faxdienst kein Werkzeug mehr, sondern ein Auftragsverarbeiter. Dieser Beitrag klärt, was die DSGVO in diesem Fall tatsächlich fordert, wo das US-Recht HIPAA ins Spiel kommt und woran Sie einen seriösen Anbieter von Marketing-Behauptungen unterscheiden.
Der Auftragsverarbeitungsvertrag ist die Pflicht, nicht die Kür
Sobald ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). Ein Online-Faxdienst speichert Ihre gesendeten und empfangenen Dokumente, überträgt sie und hält sie in seinem Postfach vor — er verarbeitet also in Ihrem Auftrag. Ohne unterschriebenen AVV ist die Nutzung schlicht rechtswidrig, und im Ernstfall haften Sie als Verantwortlicher, nicht der Anbieter.
Der AVV ist kein Formfehler-Detail. Er regelt, was der Dienst mit Ihren Daten tun darf, welche technisch-organisatorischen Maßnahmen er trifft, ob und welche Subunternehmer eingebunden sind und wie nach Vertragsende gelöscht wird. Fragen Sie vor Vertragsschluss aktiv danach. „Der Anbieter ist DSGVO-konform” auf der Preisseite und „Wir haben einen unterschriebenen AVV in der Akte” sind zwei verschiedene Sätze — nur der zweite hilft Ihnen bei einer Prüfung durch die Aufsichtsbehörde.
Vier Punkte, die über die Konformität entscheiden
Neben dem AVV entscheidet die konkrete Ausgestaltung. Vier Dinge sollten Sie klären, bevor Geld fließt:
- Wo liegen die Daten? Die meisten Faxdienste sind US-Unternehmen. Für eine rechtssichere Übermittlung in die USA brauchen Sie eine Grundlage nach Kapitel V DSGVO — eine Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln plus Risikoabschätzung. Ein Anbieter mit EU-Rechenzentrum und Datenhaltung in Europa erspart Ihnen diese ganze Prüfung.
- Verschlüsselung. Übertragung per TLS ist Mindeststandard, Verschlüsselung der gespeicherten Dokumente (at rest) der nächste. SRFax bietet beispielsweise eine kostenlose PGP-Verschlüsselung der abgelegten Faxe an — genau die Art Maßnahme, die ein AVV unter „technisch-organisatorische Maßnahmen” verlangt.
- Zugriffskontrolle. Wer im Team darf welche Faxe sehen? Ein geteilter Sammel-Login ist ein Prüfungsbefund in Wartestellung, weil sich Zugriffe keiner Person zuordnen lassen. Getrennte Nutzerkonten und Protokolle (Audit-Trails) machen aus einem Postfach eine nachweisbare Verarbeitung.
- Löschfristen. Die DSGVO kennt kein „für alle Fälle behalten”. Steuerberater unterliegen den Aufbewahrungsfristen der AO, Praxen den berufsrechtlichen Vorgaben — danach ist zu löschen. Ein Dienst mit einstellbaren Aufbewahrungsregeln nimmt Ihnen diese Disziplin ab.
HIPAA betrifft Sie nur mit US-Bezug
An dieser Stelle taucht regelmäßig ein Begriff auf, der viele deutsche Nutzer verwirrt: HIPAA. Das ist ein US-Gesetz zum Schutz von Gesundheitsdaten. Für eine Praxis in Regensburg, die ausschließlich in Deutschland tätig ist, ist HIPAA irrelevant — hier gilt die DSGVO, Punkt.
Relevant wird HIPAA nur, wenn Sie mit den USA zu tun haben: eine Klinik, die Patientendaten mit einem US-Partner austauscht, ein Forschungsverbund mit amerikanischer Beteiligung, ein Unternehmen mit US-Tochter. Dann verlangt das US-Recht sein eigenes Pendant zum AVV, das Business Associate Agreement (BAA). Nützlich zu wissen: Ein Anbieter, der einen BAA unterschreibt, hat seine Infrastruktur meist ohnehin auf strenge Nachweispflichten getrimmt — das ist ein gutes Indiz, ersetzt aber nie den DSGVO-AVV.
Welche der von uns geführten Anbieter einen BAA zeichnen: SRFax (in den Healthcare-Tarifen), Documo (in jedem Tarif), iFax (ab dem Plus-Tarif) und eFax (im Business-Tarif). Mehr dazu auf unserer Seite zu den HIPAA-Fax-Preisen.
„Selbst erklärt” ist nicht „zertifiziert”
Die wichtigste Unterscheidung des ganzen Themas steht auf keiner Werbeseite. Es gibt keine staatliche „HIPAA-Zertifizierung” — keine US-Behörde zertifiziert Produkte. Wer damit wirbt, beschreibt etwas, das nicht existiert. Und auch bei der DSGVO gilt: Eine Konformitäts-Aussage im Fußtext ist eine Eigenerklärung, kein Prüfsiegel.
Konkret in unserem Vergleich: CocoFax bezeichnet sich auf der Website als HIPAA- und DSGVO-konform, bietet aber keinen unterschriebenen BAA — die Angaben sind selbst attestiert. Für ein privates Fax an die Gemeindeverwaltung ist das folgenlos. Für Gesundheits-, Mandanten- oder Steuerdaten fehlt damit genau das Dokument, auf das es rechtlich ankommt. Achten Sie deshalb auf belastbare Nachweise: ein unterschreibbarer AVV, unabhängige Zertifizierungen wie ISO 27001 oder SOC 2 Type II, eine benennbare Datenhaltung. Fax.Plus etwa führt ISO 27001, SOC 2 Type II und DSGVO-Unterlagen und bietet auf dem Enterprise-Tarif ausdrücklich Optionen zur Datenresidenz — nachprüfbare Substanz statt Fußnote.
Die Nummernfrage kommt zuerst
Bevor Sie über Datenschutz-Feinheiten grübeln, klären Sie eine simple Vorfrage: Vergibt der Anbieter überhaupt eine deutsche Faxnummer? Viele der günstigsten und compliance-starken US-Dienste tun das nicht. SRFax, Documo und iFax bieten ausschließlich Nummern für die USA und Kanada — für eine deutsche Ortsnummer scheiden sie aus, so überzeugend ihr BAA auch sein mag.
Deutsche Nummern gibt es bei Fax.Plus, eFax und CocoFax. Das verengt das Feld für die meisten hiesigen Praxen und Kanzleien spürbar. Filtern Sie erst nach der Nummer, dann nach dem Datenschutz — die umgekehrte Reihenfolge endet regelmäßig mit einem hervorragenden Dienst, den Sie nicht nutzen können.
Rechenbeispiel: eine Steuerkanzlei mit Datenschutzanspruch
Nehmen wir eine mittelgroße Steuerkanzlei: rund 300 Faxseiten im Monat, deutsche Nummer zwingend, personenbezogene Mandantendaten, AVV erforderlich. So sortiert sich das Feld:
| Anbieter | Passender Tarif | Preis/Monat (Jahresabo) | Deutsche Nummer | Datenschutz-Substanz |
|---|---|---|---|---|
| Fax.Plus | Premium (500 Seiten) | 13,99 $ | Ja | ISO 27001, SOC 2, DSGVO-Unterlagen; Datenresidenz erst im Enterprise |
| eFax | Business (500 Seiten) | 39,99 $ | Ja | HITRUST-zertifiziert, BAA im Tarif |
| CocoFax | Basic (200 Seiten) | 9,99 $ | Ja | nur selbst attestiert, kein BAA |
Für die Kanzlei ist Fax.Plus Premium der pragmatische Sieger: deutsche Nummer, 500 gepoolte Seiten mit Luft nach oben, geprüfte Zertifizierungen und ein verfügbarer AVV — rund 168 Dollar im Jahr. eFax Business liefert mit HITRUST und BAA das strengste Nachweispaket, kostet für dasselbe 500-Seiten-Kontingent aber fast das Dreifache. CocoFax ist mit Abstand am günstigsten, fällt für regulierte Mandantendaten aber wegen des fehlenden unterschriebenen BAA und der reinen Eigenerklärung durch. Wer wissen will, wie sich die Tarife am eigenen Volumen verhalten, füttert unseren Faxkosten-Rechner mit den echten Seitenzahlen.
Die Konfiguration entscheidet mit
Der beste Anbieter nützt wenig, wenn die Einrichtung die Konformität aushebelt. Drei Fehler sehen wir immer wieder:
- Weiterleitung an ein privates Postfach. Der AVV deckt den Faxdienst ab, nicht Ihr Gmail. Belassen Sie sensible Faxe in der Plattform oder leiten Sie nur an ein selbst kontrolliertes, ebenfalls DSGVO-konformes Mailsystem weiter.
- Falsch gewählte Nummer. Die häufigste gemeldete Datenpanne beim Faxen ist schlicht die Fehlwahl. Nutzen Sie das Adressbuch statt manueller Eingabe und aktivieren Sie die Bestätigungsseite vor dem Versand.
- Kein AVV in der Akte. Der Vertrag kommt selten automatisch — Sie müssen ihn beim Onboarding anfordern und gegenzeichnen. Legen Sie ihn dort ab, wo Ihre übrigen Auftragsverarbeitungsverträge liegen.
Fazit
DSGVO-konformes Faxen ist keine Hexerei, aber auch kein Häkchen auf der Preisseite. Klären Sie die Nummernfrage, verlangen Sie einen unterschriebenen AVV, prüfen Sie Datenhaltung und Verschlüsselung und misstrauen Sie jeder Konformitäts-Aussage ohne belastbaren Nachweis. HIPAA lassen Sie getrost beiseite, solange Sie keinen US-Bezug haben. Für die Detailrecherche helfen unser Anbietervergleich, die Steckbriefe zu Fax.Plus, SRFax und CocoFax sowie unsere Übersichten zu Fax für das Gesundheitswesen und Fax für Kanzleien. Wer zusätzlich die Preisfallen umschiffen will, findet sie in unseren Beiträgen zu den versteckten Fax-Kosten und dazu, was Online-Fax wirklich kostet.