Praxis
Dokumente DSGVO-konform digitalisieren: OCR mit KI im Mittelstand
Rechnungen, Verträge und Akten per KI auslesen, ohne Datenschutz zu verlieren: Worauf es bei Datenstandort, AVV, Aufbewahrung und Qualitätssicherung ankommt.
In fast jedem Unternehmen stapeln sich Dokumente, die digital vorliegen, aber nicht auswertbar sind: gescannte Rechnungen, Lieferscheine, Verträge, Formulare, Bewerbungsunterlagen. Moderne KI-gestützte Texterkennung (OCR) macht daraus durchsuchbare, strukturierte Daten. Weil diese Dokumente fast immer personenbezogene Daten oder Geschäftsgeheimnisse enthalten, ist die Wahl der Lösung eine Datenschutzfrage.
Was KI-OCR heute besser kann
Klassische OCR erkennt Zeichen Zeile für Zeile und scheitert an Tabellen, Stempeln, Handschrift oder schiefen Scans. Moderne Modelle verstehen die Seitenstruktur: Sie erkennen Überschriften, Tabellen, Spalten und Felder und geben strukturierte Ergebnisse aus, etwa als Markdown oder JSON. Das senkt den Nachbearbeitungsaufwand bei Rechnungen, Lieferscheinen und Formularen deutlich. Die Kehrseite: Je leistungsfähiger das Modell, desto eher läuft es nicht auf dem eigenen Rechner, sondern in einer Cloud – und damit stellt sich die Frage, wohin Ihre Dokumente gehen.
Datenschutzrechtliche Prüfpunkte
1. Wo werden die Dokumente verarbeitet?
Klären Sie, ob die Verarbeitung ausschließlich in der EU erfolgt und ob das vertraglich zugesichert wird. Auch Support-Zugriffe aus Drittländern gelten datenschutzrechtlich als Übermittlung. Rechenzentren in Deutschland vereinfachen die Bewertung erheblich.
2. Gibt es einen Auftragsverarbeitungsvertrag?
Der Dienstleister verarbeitet Ihre Dokumente in Ihrem Auftrag. Ohne AVV nach Art. 28 DSGVO ist der Einsatz bei personenbezogenen Daten nicht zulässig. Prüfen Sie Unterauftragsverarbeiter, Weisungsrechte und Löschpflichten.
3. Werden Ihre Dokumente zum Training genutzt?
Für Geschäftsdokumente sollte die Antwort ein verbindliches Nein sein. Verlangen Sie die Zusage in den Vertragsunterlagen, nicht nur in der Produktwerbung.
4. Wie lange bleiben Daten gespeichert?
Ideal ist eine Verarbeitung im Durchlauf: Dokument rein, Ergebnis raus, danach Löschung. Erfolgt eine Zwischenspeicherung, sollten Dauer und Löschmechanismus klar dokumentiert sein.
5. Transport und Zugriff
Verschlüsselte Übertragung (TLS), Zugriffskontrollen und Protokollierung gehören zu den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Fragen Sie nach Zertifizierungen wie ISO 27001 oder einem BSI-C5-Testat des Betreibers.
Aufbewahrung und ersetzendes Scannen
Steuerlich relevante Dokumente müssen nach den handels- und steuerrechtlichen Vorgaben aufbewahrt werden (§ 147 AO, § 257 HGB). Stand Oktober 2026: Für Buchungsbelege wie Rechnungen gilt seit dem 1. Januar 2025 eine Frist von acht Jahren (zuvor zehn; Bürokratieentlastungsgesetz IV), für Bücher, Jahresabschlüsse und Bilanzen weiterhin zehn Jahre, für Handels- und Geschäftsbriefe sechs Jahre. Das BMF weist in seinem Schreiben vom 8. Juli 2025 darauf hin, dass für umsatzsteuerliche Aufzeichnungen nach § 22 UStG weiterhin zehn Jahre gelten; klären Sie das im Zweifel mit Ihrer Steuerberatung.
Wer Papierbelege nach dem Scannen vernichten möchte („ersetzendes Scannen“), braucht ein nachvollziehbares Verfahren und eine Verfahrensdokumentation nach den GoBD (aktuelle Fassung: BMF-Schreiben vom 14. Juli 2025). OCR ist dabei nur ein Baustein: Maßgeblich ist das gescannte Abbild des Belegs. Informationen, die bei der Digitalisierung zusätzlich entstehen, etwa durch Texterkennung, sind nach den GoBD ebenfalls aufzubewahren. Bei E-Rechnungen (seit 2025 im B2B-Bereich Pflicht) genügt der strukturierte Teil, das PDF einer Hybridrechnung nur, wenn es zusätzliche steuerlich relevante Angaben enthält. Stimmen Sie sich mit Ihrer Steuerberatung ab.
Qualitätssicherung: KI kann sich irren
- Prüfen Sie kritische Felder wie Beträge, IBAN und Fristen mit Plausibilitätsregeln (Summenprobe, Prüfziffern).
- Legen Sie Schwellenwerte fest: Niedrige Konfidenz geht zur manuellen Prüfung.
- Testen Sie mit einer repräsentativen Stichprobe Ihrer eigenen Dokumente, nicht nur mit Beispielen des Anbieters.
- Dokumentieren Sie die Fehlerquote; sie ist auch eine Grundlage für die Entscheidung, welche Vorgänge vollautomatisch laufen dürfen.
Typischer Ablauf in der Praxis
- Pilotbereich wählen, zum Beispiel Eingangsrechnungen eines Standorts.
- Datenschutzprüfung durchführen (Verzeichnis der Verarbeitungstätigkeiten, AVV, ggf. DSFA – siehe 5 Schritte zur DSGVO-konformen KI).
- Mit eigenen Dokumenten testen und Fehlerquote messen.
- Menschliche Kontrolle für unsichere Ergebnisse einrichten.
- Schrittweise ausweiten und die Richtlinie (Vorlage) aktualisieren.
Selbst ausprobieren
Transparenzhinweis: sensible-ki.de ist ein Projekt der neXenio GmbH. neXenio betreibt mit der OCR-Demo auf ai.nexenio.com einen eigenen Dienst zur Dokumentenerkennung in Deutschland. Sie können dort ein Beispieldokument hochladen und das Ergebnis mit Erkennungsrahmen ansehen. Laden Sie in Testumgebungen grundsätzlich keine echten personenbezogenen Daten hoch, solange Sie nicht Datenschutzhinweise und Vertragsgrundlage geprüft haben. Andere Anbieter können je nach Anforderung besser passen; die herstellerneutrale Anbieter-Checkliste hilft bei der Prüfung.
Weitere Ratgeber: KI DSGVO-konform einsetzen: 5 Schritte für den Mittelstand · EU AI Act im Überblick: Zeitplan und Pflichten für den Mittelstand · Vorlage: Interne KI-Richtlinie für Ihr Unternehmen