Datei-Uploads in Formularen und die DSGVO
Ein Dateifeld macht aus einem kurzen Formular einen Dokumentenspeicher. Lebensläufe enthalten Beschäftigungsverläufe und Wohnadressen, Fotos zeigen Gesichter, eingescannte Dokumente enthalten Nummern, die Sie in einem Textfeld nie abfragen würden. Die DSGVO-Regeln sind dieselben wie für jedes andere Feld, doch der Einsatz ist höher, daher verdient jede Entscheidung einen zweiten Blick.
Ein praktischer Leitfaden, keine Rechtsberatung. Für eine Entscheidung über Ihre eigene Verarbeitung wenden Sie sich an Ihren Datenschutzbeauftragten oder an einen Anwalt.
Weniger abfragen
Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c der DSGVO) gilt für Dateien ebenso wie für Felder. Prüfen Sie vor dem Hinzufügen eines Uploads, ob das Formular die Datei überhaupt braucht:
- Oft reicht ein Link. Bewerbende können einen Lebenslauf oder ein Portfolio als Link teilen, sodass die Datei bei ihnen bleibt.
- Beschränken Sie die Dateitypen mit dem Attribut
accept, damit niemand versucht ist, ein Handyfoto eines Dokuments zu schicken, wenn ein PDF genügt. - Erklären Sie, wofür die Datei gedacht ist und was nicht enthalten sein soll, zum Beispiel „kein Foto nötig“ neben einem Lebenslauf-Upload.
- Denken Sie an die Metadaten. Fotos können Standortdaten enthalten, Dokumente Autorennamen. Das Entfernen liegt beim Absender oder bei Ihnen nach dem Download.
Wenn eine Datei sensible Daten enthält
Manche Uploads fallen unter die besonderen Kategorien von Artikel 9: ein ärztliches Attest für einen Urlaubsantrag, eine ärztliche Bescheinigung für einen Sportverein, ein Dokument, das religiöse Überzeugung oder Gewerkschaftszugehörigkeit zeigt. Für deren Verarbeitung braucht es zusätzlich zu einer Rechtsgrundlage eine Bedingung nach Artikel 9 Absatz 2, etwa ausdrückliche Einwilligung oder eine arbeitsrechtliche Pflicht.
Ein Foto einer Person ist nicht automatisch eine besondere Kategorie personenbezogener Daten. Erwägungsgrund 51 besagt, dass Fotos nur dann als biometrische Daten gelten, wenn sie mit speziellen technischen Mitteln zur eindeutigen Identifizierung einer Person verarbeitet werden. Trotzdem ist ein Foto ein personenbezogenes Datum, fragen Sie es also nur ab, wenn Sie es tatsächlich brauchen.
Wie lange Dateien aufbewahrt werden sollten
Der Grundsatz der Speicherbegrenzung (Artikel 5 Absatz 1 Buchstabe e) gilt für jede Kopie. Wählen Sie eine Aufbewahrungsfrist, die zum Zweck passt, etwa einige Monate nach Besetzung einer Stelle bei Bewerbungen, und nennen Sie sie im Formular. Stellen Sie dann sicher, dass die Löschung tatsächlich erfolgt: im Formular-Backend, im Postfach, das die Benachrichtigungen erhalten hat, und in jedem Ordner, in dem jemand die Dateien gespeichert hat.
Wer die Dateien öffnen kann
Artikel 32 verlangt Sicherheit, die dem Risiko angemessen ist. Bei Uploads bedeutet das meist:
- Dateien können nur von angemeldeten Personen mit einem Konto geöffnet werden, nicht über öffentliche Links.
- Dateien werden nicht an Benachrichtigungs-E-Mails angehängt, weil sie dort weitergeleitet und archiviert werden.
- Es werden nur die benötigten Dateitypen akzeptiert, ausführbare Dateien werden abgelehnt.
- Der Zugriff ist auf die Personen beschränkt, die das Formular bearbeiten, nicht auf das ganze Unternehmen.
So funktionieren Uploads in Formward
- Tarife. Uploads sind ab Professional verfügbar, mit bis zu 5 Dateien und 10 MB pro Datei in diesem Tarif. Business erlaubt mehr.
- Standort. Dateien werden zusammen mit der Einsendung auf Servern in Schweden gespeichert, betrieben von Hostup AB.
- Zugriff. Mitglieder des Workspace, dem das Formular gehört, laden Dateien über einen Dashboard-Link nach der Anmeldung herunter. Downloads werden immer als Anhang ausgeliefert, sodass eine hochgeladene HTML- oder SVG-Datei nicht als Seite ausgeführt werden kann.
- Benachrichtigungen. Die E-Mail nennt Dateinamen und Größen mit einem Link, nie die Dateien selbst. Wenn Benachrichtigungen nur mit Link aktiviert sind, werden auch die Namen weggelassen.
- Typen. Akzeptiert werden nur gängige Bild-, Dokument-, Tabellen- und Präsentationsformate. Archive, Skripte und ausführbare Dateien werden abgelehnt.
- Löschung. Dateien werden zusammen mit ihrer Einsendung gelöscht, manuell oder nach der Aufbewahrungsfrist des Formulars. Ab Business kann ein Dateifeld zusätzlich als sensibel markiert werden, sodass seine Dateien nach 7, 30 oder 90 Tagen entfernt werden, während der Rest der Einsendung bleibt.
Fragen
- Sind hochgeladene Dateien personenbezogene Daten?
- Meist ja. Ein Lebenslauf, ein Foto einer Person oder ein eingescannter Ausweis identifiziert einen Menschen direkt, und selbst ein gewöhnliches Dokument kann einen Namen im Text oder in den Metadaten enthalten. Behandeln Sie Uploads mit derselben Sorgfalt wie den Rest der Einsendung, oft sogar mit mehr.
- Sollte ich auf einem Formular Kopien von Ausweisdokumenten annehmen?
- Nur wenn Sie einen klaren Bedarf haben, etwa eine gesetzliche Pflicht zur Identitätsprüfung. Ausweisscans sind für Angreifer attraktiv, und in einigen Ländern gelten für nationale Identifikationsnummern nach Artikel 87 zusätzliche Regeln. Wenn Sie nur wissen müssen, dass die Person existiert, fragen Sie nach etwas weniger Sensiblem.
- Halten sich hochgeladene Dateien an die Aufbewahrungsfrist des Formulars?
- In Formward ja. Wenn eine Einsendung gelöscht wird, entweder durch Sie oder durch den Aufbewahrungsplan, werden ihre Dateien mit gelöscht. Kopien, die Sie heruntergeladen oder weitergeleitet haben, liegen außerhalb dieses Plans.
- Welche Formward-Tarife unterstützen Uploads?
- Uploads sind ab Professional verfügbar. Eine Einsendung mit Dateien an ein Formular in einem niedrigeren Tarif wird abgelehnt, der Rest des Formulars funktioniert weiter.
Uploads in Schweden gespeichert, nach Zeitplan gelöscht
Uploads sind ab Professional und in höheren Tarifen verfügbar. Dateien bleiben bei der Einsendung und werden mit ihr gelöscht.