Ist die Nutzung von Online-Komprimierungstools ein GDPR/PIPL-Compliance-Risiko?

Wo Compliance beginnt

Seit Chinas Datenschutzgesetz (DSL) und Gesetz zum Schutz personenbezogener Daten (PIPL) 2021 in Kraft traten und mit der EU-Datenschutz-Grundverordnung (GDPR) seit 2018 in Kraft, stehen Unternehmen bei der Dateiverarbeitung unter beispiellosem Compliance-Druck. Ein Vertrag, ein Finanzbericht, eine Kundenliste — jeder kann bei Übermittlung, Speicherung, Komprimierung oder Konvertierung eine rechtliche rote Linie überschreiten.

Dateikomprimierung und Formatkonvertierung sind Routineoperationen, rechtlich handelt es sich jedoch allesamt um „Datenverarbeitungstätigkeiten“. Sobald Daten erstellt, bearbeitet, übermittelt oder vernichtet werden, fallen sie in den Anwendungsbereich der DSL; sobald eine Datei personenbezogene Daten enthält, fällt sie auch in den Anwendungsbereich der PIPL (und der GDPR, wenn sie EU-Betroffene betrifft). Die Antwort auf „ist die Nutzung eines Online-Komprimierungstools ein Compliance-Verstoß?“ hängt also nicht vom Tool selbst ab. Sie hängt von drei Variablen ab: der Klassifizierungsstufe der Datei, wohin die Daten während der Verarbeitung fließen, und ob das Unternehmen seine Compliance-Pflichten erfüllt hat.

Dieser Artikel untersucht die rechtlichen Anforderungen, kartiert die Compliance-Risiken der Unternehmensdateiverarbeitung und beantwortet, wo die Compliance-Grenze von Online-Komprimierungstools liegt — sowohl im chinesischen (DSL/PIPL) als auch im internationalen (GDPR) Regulierungskontext.

---

I. Kernanforderungen der DSL, PIPL und GDPR

Das Datenschutzgesetz: Zwei Kernpflichten

Chinas Datenschutzgesetz, in Kraft seit dem 1. September 2021, errichtet den Grundrahmen für Datensicherheit. Für die Unternehmensdateiverarbeitung konzentrieren sich die Kernanforderungen auf zwei Ebenen:

Die erste ist die Datenklassifizierung und -graduierung. Das Gesetz verlangt, dass der Staat ein Schutzsystem für Datenklassifizierung und -graduierung errichtet, und Unternehmen müssen ihre eigenen Daten entsprechend klassifizieren und graduieren. Dateien müssen anhand ihrer Bedeutung und der Schwere eines potenziellen Schadens bei einer Leakage in verschiedene Stufen eingeteilt werden. Öffentliche, interne, sensible und als zentral eingestufte Informationen sollen jeweils Schutz unterschiedlicher Intensität erhalten. Dies beeinflusst die Tool-Auswahl direkt — Dateien unterschiedlicher Stufen müssen mit Verarbeitungsmethoden entsprechender Sicherheit gepaart werden.

Die zweite ist die sichere Verarbeitung über den gesamten Lebenszyklus. Dateiverarbeitung (Erstellung, Bearbeitung, Komprimierung, Konvertierung, Übermittlung, Vernichtung) stellt Datenverarbeitungstätigkeiten dar und muss in das Compliance-Management einbezogen werden. Unternehmen müssen sicherstellen, dass die Tools selbst kein Datenleck verursachen, und „ob der Datenfluss beherrschbar ist“ muss das wichtigste Bewertungskriterium sein.

Die PIPL: Vier zentrale Auflagen

Das Gesetz zum Schutz personenbezogener Daten, in Kraft seit dem 1. November 2021, stellt explizite Anforderungen an die Erhebung, Speicherung, Nutzung, Übermittlung und Löschung personenbezogener Daten. Viele Dateien, die Unternehmen verarbeiten, enthalten personenbezogene Daten: Lebensläufe von Mitarbeitern mit Ausweisnummern, Kundenverträge mit Kontaktdaten, Jahresabschlüsse mit Bankkonten. Die PIPL legt vier zentrale Auflagen fest:

• Mindestnotwendigkeit: Die Verarbeitung personenbezogener Daten ist auf das für die Verarbeitungszwecke notwendige Mindestmaß zu beschränken.
• Informierung und Einwilligung: Die Erhebung und Nutzung personenbezogener Daten erfordert die Information der betroffenen Person und die Einholung ihrer Einwilligung.
• Beschränkungen bei grenzüberschreitender Übermittlung: Die Bereitstellung personenbezogener Daten ins Ausland erfordert die Erfüllung gesetzlicher Bedingungen wie Sicherheitsbewertung, Zertifizierung oder den Abschluss eines Standardvertrags.
• Löschpflicht: Sobald der Verarbeitungszweck erreicht ist, sind personenbezogene Daten proaktiv zu löschen.

Die GDPR: Parallele Pflichten

Für Organisationen, die der GDPR unterliegen, überschneiden sich die Pflichten erheblich mit der PIPL, auch wenn die Rechtsmechanismen abweichen:

• Rechtmäßigkeit, Fairness und Transparenz (Artikel 5) spiegelt den Informations- und Einwilligungsrahmen der PIPL wider.
• Datenminimierung (Artikel 5 Abs. 1 Buchst. c) ist das GDPR-Äquivalent der Mindestnotwendigkeit: nur erheben, was angemessen und notwendig ist.
• Internationale Datenübermittlungen (Kapitel V) erfordern Garantien wie Standardvertragsklauseln (SCC), verbindliche Unternehmensregelungen oder Angemessenheitsbeschlüsse — funktional ähnlich zu den grenzüberschreitenden Bedingungen der PIPL.
• Verzeichnisse von Verarbeitungstätigkeiten (Artikel 30) verlangen, dass Verantwortliche und Auftragsverarbeiter eine Dokumentation der Verarbeitungsvorgänge führen, analog zur Protokollaufbewahrungspflicht der DSL.

Die praktische Erkenntnis ist, dass ein Unternehmen, das über mehrere Rechtsordnungen hinweg tätig ist, einem konvergierenden Satz von Pflichten gegenübersteht: Daten klassifizieren, Erhebung minimieren, grenzüberschreitende Datenflüsse kontrollieren und prüffähige Aufzeichnungen aufbewahren. Die am leichtesten übersehene Lücke ist das Hochladen von Dateien mit personenbezogenen Daten auf Online-Tools, die auf ausländischen Servern gehostet sind. Eine scheinbar gewöhnliche „Online-Komprimierung“ kann bereits eine grenzüberschreitende Übermittlung darstellen und gesetzliche Pflichten sowohl nach der PIPL als auch nach der GDPR auslösen.

---

II. Das Datenklassifizierungssystem und sein Einfluss auf die Dateiverarbeitung

Datenklassifizierung ist nicht nur eine rechtliche Anforderung; sie ist der praktische Ausgangspunkt für die Compliance der Dateiverarbeitung. Ohne Klassifizierung keinen differenzierten Schutz; ohne differenzierten Schutz keine Möglichkeit zu beurteilen, ob ein Online-Komprimierungstool verwendet werden darf.

Klassifizierungslogik

In Anlehnung an die Branchenpraxis lassen sich Unternehmensdateien generell in vier Stufen einteilen:

• Öffentliche Stufe: Bereits veröffentlichte oder veröffentlichbare Informationen, wie Website-Ankündigungen. Verarbeitung mit Online-Tools birgt kein Compliance-Risiko.
• Interne Stufe: Intern genutzte und nicht nach außen weitergegebene Informationen, wie interne Hinweise. Die Nutzung von Online-Tools erfordert die Prüfung der Qualifikation des Anbieters.
• Sensible Stufe: Dateien mit personenbezogenen Daten, Geschäftsgeheimnissen oder wichtigen Daten, wie Kundenverträge und Jahresabschlüsse. Diese müssen lokal verarbeitet werden; das Hochladen auf öffentliche Netzwerk-Tools ist untersagt.
• Zentrale Stufe: Dateien, die Staatsgeheimnisse oder zentrale Unternehmenswerte betreffen, wie Verschlusssachen. Diese müssen in einer isolierten Umgebung mit Tools verarbeitet werden, die eine spezielle Zertifizierung bestanden haben.

Verarbeitungsfluss der Datenklassifizierung

Das folgende Diagramm zeigt den vollständigen Klassifizierungsfluss von der Dateiidentifikation bis zur Wahl einer Verarbeitungsmethode:

Die Kernlogik lautet: zuerst feststellen, ob die Datei unter gesetzliche Regulierung fällt (personenbezogene Daten, wichtige Daten, Staatsgeheimnisse), dann die Stufe anhand von Umfang und grenzüberschreitendem Status bestimmen und schließlich die Verarbeitungsmethode zuordnen. Für Dateien der Stufen „sensibel“ und „zentral“ ist die Verarbeitungsmethode eine harte Einschränkung — sobald die Stufe feststeht, ist lokale Verarbeitung verpflichtend, ohne Spielraum für Debatte über Online-Tools.

---

III. Die drei großen Compliance-Risiken

Risiko 1: Risiko der grenzüberschreitenden Datenübermittlung

Bei der Nutzung ausländischer Online-Dateiverarbeitungstools werden Dateidaten an ausländische Server übermittelt, was eine grenzüberschreitende Übermittlung darstellt. Nach DSL und PIPL erfordert die Ausfuhr wichtiger Daten das Bestehen einer Sicherheitsbewertung durch die nationale Cyberspace-Verwaltung, und die Ausfuhr personenbezogener Daten erfordert die Erfüllung einer der gesetzlichen Bedingungen. Nach der GDPR (Kapitel V) erfordern Übermittlungen in Drittländer geeignete Garantien wie SCC oder einen Angemessenheitsbeschluss.

Viele Mitarbeiter nutzen aus Gewohnheit ausländische Online-Tools zur Verarbeitung von Verträgen und Berichten, ohne zu wissen, dass diese Operationen Pflichten zur grenzüberschreitenden Übermittlung ausgelöst haben könnten, die das Unternehmen nie erfüllt hat. Selbst bei Nutzung eines inländischen Anbieters können, wenn Backend-Server im Ausland stehen oder ausländische CDN- und Cloud-Knoten genutzt werden, dennoch grenzüberschreitende Übermittlungen erfolgen. Das Kriterium ist nicht „der Server, den der Nutzer sieht, steht in seinem Land“, sondern „welche Rechtsordnung die Daten tatsächlich erreichen“.

Risiko 2: Risiko der Verarbeitung durch Dritte

Online-Tools laden Dateien in der Regel auf Server Dritter hoch. Selbst wenn der Anbieter „sofortige Löschung nach Verarbeitung“ verspricht, sieht sich das Unternehmen dennoch drei Risikokategorien gegenüber:

• Datenleck-Risiko: Wenn die Sicherheitsvorkehrungen des Anbieters Lücken aufweisen, können Dateien bei Speicherung, Übermittlung oder Backup gestohlen werden. Mehrere bekannte Online-Tool-Anbieter haben in den letzten Jahren Datenlecks erlitten.
• Aufbewahrungs- und Weiterverwendungsrisiko: Die Datenschutzerklärungen einiger Anbieter behalten sich das Recht vor, hochgeladene Inhalte zur Serviceverbesserung oder zum Modelltraining zu verwenden; Dateiinhalte können aufbewahrt und zweckentfremdet werden.
• Risiko behördlicher Zwangsmaßnahmen: Die Gesetze der Rechtsordnung des Anbieters können lokalen Strafverfolgungsbehörden den Zugriff auf Serverdaten ohne Wissen des Unternehmens gestatten.

Bei sensiblen Dateien erweitert die Übergabe an einen unkontrollierbaren Dritten naturgemäß die Angriffsfläche. Selbst ohne tatsächliche Leakage bringt allein die Tatsache, dass „Daten den beherrschbaren Bereich des Unternehmens verlassen haben“, das Unternehmen bei einer Compliance-Prüfung in die Defensive.

Risiko 3: Risiko der Protokollaufbewahrung

Die DSL verlangt von Datenverarbeitern, Verarbeitungsprotokolle mindestens sechs Monate aufzubewahren. Die GDPR verlangt entsprechend Verzeichnisse von Verarbeitungstätigkeiten (Artikel 30). Unternehmen müssen festhalten, „wer welche Datei wann verarbeitet hat“, um bei einem Sicherheitsvorfall die Rückverfolgbarkeit zu ermöglichen.

Wenn Mitarbeiter persönliche Online-Tools zur Verarbeitung von Unternehmensdateien nutzen, fallen diese Operationen aus dem Protokollierungsbereich des Unternehmens und erzeugen eine Compliance-Blindstelle: der Vorgangszeitpunkt kann nicht erfasst, das Verarbeitungsziel nicht identifiziert und der Operator nicht zugeordnet werden. Tritt ein Leakage-Vorfall ein, kann das Unternehmen nicht nachweisen, dass es seinen Sicherheitsmanagement-Pflichten nachgekommen ist. Das Wesen dieses Risikos ist der „Verlust der Beherrschbarkeit“ — die Verarbeitung findet außerhalb der Unternehmensgrenze statt, und das Unternehmen kann weder die Protokolle beschaffen noch ihre Echtheit garantieren.

Fluss der Compliance-Risikobewertung

Das folgende Diagramm zeigt den Entscheidungsfluss für eine Compliance-Risikobewertung von Dateiverarbeitungsvorgängen:

Das Risikoniveau steigt mit der Dateistufe, und für sensible Dateien und darüber gibt es so gut wie keinen Spielraum für „Online-Tools“. Unternehmen sollten diesen Fluss in ihre Standards zur Tool-Auswahl und -Nutzung einbetten statt sich auf das Urteil einzelner Mitarbeiter zu verlassen.

---

IV. Lokale vs. Online-Komprimierung: ein Compliance-Vergleich

Aus Compliance-Sicht unterscheiden sich lokale und Online-Komprimierung grundlegend. Die folgende Tabelle zeigt die Unterschiede in sieben Dimensionen:

Dimension	Lokale Komprimierung	Online-Komprimierung
Datenort	Bleibt auf dem lokalen Gerät; verlässt niemals die Unternehmensgrenze	Wird auf Drittanbieter-Server hochgeladen; verlässt den beherrschbaren Bereich
Grenzüberschreitende Übermittlung	Nicht betroffen; keine Ausfuhrmeldepflicht	Kann eine Übermittlung darstellen; Serverstandort muss geprüft werden
Drittanbieter-Risiko	Keine Drittanbieter-Beteiligung; kein Leakage- oder Aufbewahrungsrisiko	Leakage-, Aufbewahrungs- und Zwangsmaßnahmenrisiken des Anbieters bestehen
Protokollbeherrschbarkeit	Unternehmen kann Zeit, Ziel und Operator vollständig erfassen	Vorgänge entziehen sich der Unternehmensprotokollierung; Compliance-Blindstelle
Netzabhängigkeit	Kein Netz erforderlich; Verarbeitung vom Netz unbeeinträchtigt	Netz erforderlich; die Netzverbindung selbst ist ein Risikopunkt
Freigabe & Rückverfolgbarkeit	In Unternehmensworkflows integrierbar; vollständig rückverfolgbar	Schwer integrierbar; schlechte Rückverfolgbarkeit
Compliance-Passung	Geeignet für alle Stufen von öffentlich bis zentral	Nur für öffentliche Dateien geeignet; für sensible und darüber verboten

Online-Komprimierung weist in vier Kern-Dimensionen (Datenort, grenzüberschreitende Übermittlung, Drittanbieter-Risiko und Protokollbeherrschbarkeit) Compliance-Defizite auf, während lokale Komprimierung die rechtlichen Anforderungen in allen vier natürlicherweise erfüllt. Das bedeutet nicht, dass Online-Komprimierung gänzlich unbrauchbar wäre; für öffentliche Dateien hat die Bequemlichkeit ihren Wert. Für interne Dateien und darüber ist lokale Verarbeitung jedoch der einzige zuverlässige Weg, Compliance-Risiken zu vermeiden.

---

V. Branchenspezifische Compliance-Empfehlungen

Regierung und staatliche Unternehmen

Regierungsbehörden und staatliche Unternehmen verarbeiten häufig Dateien, die Staatsgeheimnisse betreffen, mit den strengsten Compliance-Anforderungen. Die gesamte Dateiverarbeitung muss in internen Netzwerken oder lokal erfolgen; die Nutzung jeglicher Online-Tools im öffentlichen Netz ist untersagt. Verschlusssachen müssen mit Tools verarbeitet werden, die eine nationale Vertraulichkeitszertifizierung bestanden haben. Elektronische offizielle Dokumente sollten vorzugsweise das OFD-Format verwenden und über lokale Tools komprimiert und konvertiert werden.

Finanzdienstleistungen

Banken, Versicherungen und Wertpapierfirmen verarbeiten Dateien mit großen Mengen an Kundenidentitäts- und Finanzdaten. Komprimierung und Konvertierung von Kundendaten, Darlehensverträgen und Kontoauszügen sollten lokal erfolgen. Richten Sie einen Freigabe-Workflow für die Dateiverarbeitung ein, der Operator, Zeitpunkt, Ziel und Parameter jedes Vorgangs erfasst, mit Protokollen, die mindestens sechs Monate aufbewahrt werden. Nutzen Sie ein DLP-System (Data Loss Prevention), um zu überwachen, ob sensible Dateien nach außen übermittelt werden.

Gesundheitswesen

Medizinische Einrichtungen verarbeiten Krankenakten und Befundberichte, die sensible personenbezogene Daten darstellen. Komprimierung und Archivierung von Krankenakten sollten lokal innerhalb des Systems des Krankenhauses erfolgen; die Nutzung jeglicher Online-Tools Dritter zur Verarbeitung von Patientendaten ist untersagt. Die Übermittlung elektronischer Krankenakten sollte verschlüsselte Kanäle nutzen. Dateien mit Patientendaten dürfen auf kein Online-Tool Dritter hochgeladen werden, um Pflichten zur grenzüberschreitenden Übermittlung zu vermeiden.

---

VI. Compliance-Checkliste zur Auswahl eines Dateiverarbeitungstools

Prüfen Sie bei der Auswahl eines Dateiverarbeitungstools jeden der folgenden Compliance-Punkte:

• Lädt das Tool Daten auf einen Server hoch? Bevorzugen Sie lokale Verarbeitungstools, die Dateien auf dem Gerät belassen. Dies ist die grundlegende Maßnahme zur Vermeidung grenzüberschreitender Übermittlung und von Drittanbieter-Risiken.
• Erfordert die Verarbeitung eine Netzverbindung? Offline-Verarbeitung ist sicherer; sie entfällt der Datenübermittlungsschritt.
• Ist der Diensteanbieter in Ihrer Rechtsordnung registriert? Dies beeinflusst die Bewertung grenzüberschreitender Übermittlung; bei ausländischen Anbietern muss der Backend-Serverstandort geprüft werden.
• Unterstützt das Tool die Protokollierung der Dateiverarbeitung? Dies erfüllt die sechsmonatige Protokollaufbewahrungspflicht der DSL (und die Pflicht aus Artikel 30 GDPR). Protokolle sollten Zeit, Dateiname, Operator und Parameter umfassen.
• Hat das Tool einschlägige Sicherheitszertifizierungen bestanden? Zertifizierungen wie ISO 27001 oder nationale Bewertungen zum Cybersecurity-Level-Schutz spiegeln die Sicherheitsmanagement-Fähigkeit des Anbieters wider.
• Ist ein Datenverarbeitungsabkommen geschlossen? Dieses klärt die Datensicherheitsverantwortung beider Seiten und legt Datennutzung, Aufbewahrungsfrist und Löschmethode fest.
• Unterstützt das Tool Stapelverarbeitung und Zugriffskontrolle? Dies dient den Management- und Audit-Bedürfnissen des Unternehmens und unterstützt rollenbasierte Berechtigungen und einheitliche Protokollierung von Stapelvorgängen.

Nur ein Tool, das alle obigen Prüfungen besteht, darf in die Whitelist eines Unternehmens aufgenommen werden. Das Nichtbestehen eines einzigen Punkts bedeutet, dass das Tool nur für öffentliche Dateien verwendet werden darf.

---

VII. FAQ

F1: Das Online-Komprimierungstool sagt „Dateien werden sofort nach Verarbeitung gelöscht.“ Besteht weiterhin ein Compliance-Risiko?

Ja. Selbst wenn der Anbieter Löschung verspricht, haben die Daten während der Übermittlung Ihr Gerät bereits verlassen und können abgefangen, aufbewahrt oder behördlich angefordert werden. Der Übermittlungslink, das Protokollierungssystem des Anbieters, die Backup-Mechanismen und die Disaster-Recovery-Knoten können alle Spuren hinterlassen. Für sensible Dateien gilt „Hochladen ist Risiko“ — sobald Daten den beherrschbaren Bereich des Unternehmens verlassen, gibt es keine Garantie, dass sie vollständig gelöscht werden. Sensible Dateien sollten immer mit einem lokalen Komprimierungstool verarbeitet werden.

F2: Ist es konform, wenn ein Mitarbeiter per privater E-Mail Dateien versendet, die mit einem Online-Komprimierungstool verarbeitet wurden?

Grundsätzlich nein. Private E-Mail wird nicht vom Unternehmen verwaltet, daher kann das Verarbeitungsverhalten nicht in Unternehmensprotokollen erfasst werden, was gegen die Protokollaufbewahrungsanforderungen verstößt. Die E-Mail kann auch über ausländische Server laufen und so ein Risiko der grenzüberschreitenden Übermittlung schaffen. Unternehmen sollten ein solches Verhalten per Richtlinie ausdrücklich verbieten, als Alternative Unternehmens-E-Mail und lokale Verarbeitungstools bereitstellen und ein DLP-System nutzen, um zu überwachen, ob sensible Dateien über private Kanäle abfließen.

F3: Hat das Datenschutzgesetz spezielle Bestimmungen zur Dateikomprimierung?

Nein. Das Datenschutzgesetz hat keine Bestimmungen, die speziell die Dateikomprimierung betreffen, aber Dateikomprimierung stellt eine Datenverarbeitungstätigkeit dar und unterliegt allgemeinen Anforderungen wie Datenklassifizierung, sicherer Verarbeitung und Protokollaufbewahrung. Ob sie konform ist, hängt von drei Faktoren ab: der Datenstufe der Datei, ob personenbezogene Daten betroffen sind, und ob die Verarbeitung eine grenzüberschreitende Übermittlung beinhaltet. Das Gesetz unterscheidet nicht die „Komprimierung“ von anderen Verarbeitungsmethoden; es prüft nur, ob die Verarbeitung den allgemeinen Sicherheitsanforderungen genügt.

F4: Wie kann ein lokales Komprimierungstool die Protokollaufbewahrungspflicht erfüllen?

Unternehmen können von lokalen Komprimierungstools verlangen, dass sie eine Verarbeitungsprotokollfunktion bereitstellen, die Verarbeitungszeitpunkt, Dateinamen, Operator und Komprimierungsparameter erfasst, mit Protokollen, die mindestens sechs Monate aufbewahrt werden. Ein professionelles Tool sollte automatische Erfassung und Export von Protokollen für Sicherheitsaudits unterstützen. Unternehmen sollten Protokolle zudem in eine einheitliche Protokollverwaltungsplattform integrieren, korreliert mit dem Identitätsauthentifizierungssystem, um die Rückverfolgbarkeit der Operatoren zu gewährleisten. Beachten Sie, dass Protokolle selbst Verarbeitungsdatensätze sind und auf sensibler Stufe verwaltet werden sollten, damit ein Protokollleck kein Sekundärrisiko erzeugt.

---

Zusammenfassung

Die Umsetzung von DSL, PIPL und GDPR hat die Unternehmensdateiverarbeitung vom „was bequem ist“ zum „was konform ist“ verschoben. Zurück zur Ausgangsfrage — ist die Nutzung eines Online-Komprimierungstools ein Compliance-Risiko? — hängt die Antwort von drei Variablen ab: der Klassifizierungsstufe der Datei, dem Datenflusspfad und ob die Verarbeitung protokolliert wird.

Die Kernprinzipien lassen sich in drei zusammenfassen: Daten klassifizieren, lokale Verarbeitung priorisieren, Protokolle rückverfolgbar halten.

• Datenklassifizierung ist die Voraussetzung. Ohne Klassifizierung gibt es keine Möglichkeit zu beurteilen, ob ein Online-Tool verwendet werden darf. Unternehmen müssen zunächst ein Dateiklassifizierungsverzeichnis aufbauen.
• Lokal zuerst ist die Grundlinie. Für sensible Dateien und darüber ist lokale Verarbeitung der einzige zuverlässige Weg, um Risiken der grenzüberschreitenden Übermittlung, von Drittanbietern und von Protokollierungs-Blindstellen zu vermeiden. Online-Tools sind nur für öffentliche Dateien akzeptabel.
• Rückverfolgbare Protokolle sind die Absicherung. Alle Verarbeitungsaktivitäten müssen erfassbar und rückverfolgbar sein, mit Protokollen, die mindestens sechs Monate aufbewahrt werden. Dies ist ein notwendiges Mittel, damit ein Unternehmen nachweist, dass es seinen Pflichten nachgekommen ist.

Erreichen Sie diese drei, so ist der grundlegende Compliance-Rahmen für die Unternehmensdateiverarbeitung etabliert. Dateikomprimierung ist nur ein Glied in der Dateiverarbeitungskette, aber sie spiegelt die gesamte Datensicherheits-Governance-Reife des Unternehmens wider — konforme Tool-Auswahl, ein klares Klassifizierungssystem und ein vollständiger Protokollierungsrahmen. Alle drei sind unverzichtbar.

Weiterführende Lektüre:

• Leitfaden zur Compliance bei der Unternehmensdateiverarbeitung nach dem Datenschutzgesetz
• Vollständiger Leitfaden zur Dateikomprimierung: Prinzipien und Methoden der PDF/Bild/Video/Dokument-Komprimierung