DSGVO-konforme Tools zur Dokumentenverarbeitung: Kaufratgeber 2026

Warum „DSGVO-konform" kein Feature ist

Suchen Sie 2026 nach „DSGVO-konformer OCR" und Sie erhalten Hunderte von Tools, die behaupten, konform zu sein. Die Realität: Die meisten dieser Behauptungen sind oberflächliches Marketing. Ein in den USA ansässiges SaaS-Angebot, das Dokumente auf US-Servern verarbeitet und sie unbegrenzt für KI-Training speichert, kann für europäische Geschäftskunden nicht ernsthaft DSGVO-konform sein – unabhängig davon, was auf der Landingpage steht.

Wenn Sie als Unternehmen in Großbritannien oder der EU Kundendokumente verarbeiten – Rechnungen, Verträge, Ausweisdokumente, Finanzberichte – gehen Ihre Pflichten nach der DSGVO (Auftragsverarbeitungsverträge nach Artikel 28, Datenminimierung nach Artikel 5, Sicherheit nach Artikel 32) auf Ihren OCR-Anbieter über. Dieser Leitfaden erklärt, was Sie tatsächlich prüfen sollten, und vergleicht sechs Tools, die 2026 häufig verwendet werden.

Die fünf DSGVO-relevanten Fragen, die Sie jedem Anbieter stellen sollten

Bevor Sie eine Vereinbarung zur Dokumentenverarbeitung unterzeichnen, lassen Sie sich diese fünf Fragen schriftlich beantworten. Kann der Anbieter sie nicht klar beantworten, ist das bereits die Antwort.

1. Wo genau werden die Dokumente physisch verarbeitet? Die Antwort sollte ein konkretes Rechenzentrum in einem EU-Land (oder nach dem Brexit in Großbritannien) sein, nicht „in der Cloud" oder „unsere globale Infrastruktur". Fragen Sie ausdrücklich nach der Serverregion und dem verwendeten Cloud-Anbieter.
2. Wie lange werden Dokumente nach der Verarbeitung aufbewahrt? Spitzenwerte liegen bei 30 Minuten bis 24 Stunden (gerade lang genug, damit der Nutzer das Ergebnis herunterladen kann). Am schlimmsten ist „unbegrenzt zur Verbesserung des KI-Trainings". Eine Aufbewahrung von 30 Tagen ist akzeptabel; 90 Tage oder mehr sind ein Warnsignal.
3. Wie sieht der Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 aus? Der Anbieter sollte einen Standard-AVV bereitstellen, den Sie unterzeichnen können. Hat er keinen bereit, ist er nicht auf europäische Geschäftskunden ausgerichtet.
4. Werden die Dokumente für KI-Training verwendet? Falls ja, benötigen Sie eine ausdrückliche Opt-out-Klausel in Ihrem Vertrag, oder die Dokumente selbst müssen vor dem Training anonymisiert werden. Viele US-amerikanische OCR-Tools enthalten Klauseln zur „Verbesserung der Dienste", die faktisch eine unbegrenzte Aufbewahrung bedeuten.
5. Wie sieht die Liste der Unterauftragsverarbeiter aus? Der Anbieter sollte jeden Dritten offenlegen, der mit den Daten in Berührung kommt (sein Cloud-Hosting, jegliche Analyse, jeglicher KI-Unterauftragsverarbeiter). Diese Liste muss im AVV enthalten sein, und Sie müssen über Änderungen informiert werden.

Die Compliance-Landschaft im Jahr 2026

Zwischen 2023 und 2026 haben sich drei Dinge geändert, die für die Auswahl eines OCR-Tools wichtig sind:

• EU-US Data Privacy Framework – der Nachfolger des für ungültig erklärten Privacy Shield. US-amerikanische Anbieter können EU-Daten nun rechtmäßig verarbeiten, sofern sie im Rahmen dieses Frameworks zertifiziert sind, doch das ist eine deutlich höhere Hürde als die Marketing-Behauptung „wir sind DSGVO-konform".
• Abweichung der UK-DSGVO – nach dem Brexit hat Großbritannien seine eigene UK-DSGVO. Für reine UK-Kunden sind Tools mit britischen Servern (London, Manchester) der sauberste Weg. Für paneuropäische Unternehmen sind EU-Server mit einem Angemessenheitsbeschluss für Großbritannien die praktische Antwort.
• Durchsetzung des KI-Gesetzes – die Durchsetzung des EU-KI-Gesetzes (AI Act) begann 2026. Tools, die Kundendokumente zum Training von KI-Modellen nutzen, benötigen nun ausdrückliche Einwilligungsprozesse. Das veranlasst viele Anbieter, für den EU-Markt standardmäßig auf „kein Training" zu setzen.

Sechs OCR-Tools im Vergleich der DSGVO-Details

1. myocr.app – standardmäßig EU-nativ

Serverstandort: Deutschland (Hetzner). Aufbewahrung: automatische Löschung nach 30 Minuten. KI-Training: Nein, Dokumente werden nicht verwendet. AVV: Verfügbar, in Enterprise-Tarifen automatisch unterzeichnet. Unterauftragsverarbeiter: in der EU ansässige, DSGVO-konforme Anbieter (vollständige Liste im AVV), Stripe (nur Zahlungen, keine Dokumentdaten).

Warum wir es für EU/UK empfehlen: speziell mit EU-Compliance als Standard und nicht als Zusatz entwickelt. Die Aufbewahrung von 30 Minuten ist kürzer als bei den meisten Mitbewerbern. Dokumente werden ausschließlich in der EU-Region verarbeitet, und das Opt-out für KI-Training ist auf Anbieterebene aktiviert. Der gesamte Stack ist DSGVO-konform, ohne Checkbox-Tricks.

Einschränkungen: derzeit kein SOC-2-Type-II-Audit (für Q4 2026 geplant). Für US-Enterprise-Beschaffungen, die neben der DSGVO auch SOC 2 verlangen, ist dies noch eine Lücke.

2. DocuClipper – US-basiert mit EU-Angebot

Serverstandort: standardmäßig USA, EU im Enterprise-Tarif verfügbar. Aufbewahrung: konfigurierbar, standardmäßig 30 Tage. KI-Training: Opt-out verfügbar, aber nicht standardmäßig. AVV: auf Anfrage verfügbar.

Ehrliche Einschätzung: DocuClipper leistet die nötige Arbeit, um EU-Compliance anzubieten, aber Sie müssen sie aktiv konfigurieren. Als britischer Buchhalter, der eine Standardanmeldung wählt, landen Sie möglicherweise auf US-Infrastruktur, sofern Sie nicht ausdrücklich die EU anfordern. Für Unternehmen in DE/AT/CH, wo Datensouveränität eine zwingende Anforderung ist, ist dies eine Workflow-Hürde, auf die man hinweisen sollte.

3. Adobe Acrobat – Compliance in Enterprise-Stärke

Serverstandort: EU über die Regionen der Adobe Cloud verfügbar. Aufbewahrung: kundengesteuert (Acrobat arbeitet mit Dokumenten, die der Kunde speichert). KI-Training: Die Bedingungen von Acrobat schließen Kundendokumente vom Training der Modelle aus. AVV: Standard-Enterprise-AVV von Adobe.

Warum es für stark regulierte Branchen funktioniert: Adobe verfügt über die rechtliche Infrastruktur (AVV, Offenlegung der Unterauftragsverarbeiter, SLA zur Meldung von Datenschutzverletzungen), die Compliance-Teams in Unternehmen erwarten. Die OCR läuft als Funktion von Acrobat, die der Kunde kontrolliert – Adobe aggregiert die Dokumentdaten nicht zentral. Für die Bereiche Finanzen, Recht und Gesundheitswesen ist dies oft die sicherste Wahl.

4. Nanonets – Enterprise mit individueller Bereitstellung

Serverstandort: Wahl zwischen USA, EU oder selbst gehostet. Aufbewahrung: im Enterprise-Tarif kundendefiniert. KI-Training: Individuelle Modelle sind ausschließlich kundenspezifisch; die Plattformebene kann aggregierte Daten mit Opt-out verwenden. AVV: Standard-Enterprise.

Wann es in Betracht kommt: Für sehr große, Compliance-sensible Bereitstellungen (juristische Beweissicherung, Behörden, Gesundheitsakten) ermöglicht die selbst gehostete Nanonets-Option, alle Daten innerhalb Ihrer Infrastruktur zu halten. Die meisten anderen OCR-Tools bieten dies nicht. Der Haken: Selbst gehostet bedeutet, dass Sie nun für die KI-Inferenz-Infrastruktur verantwortlich sind, was erheblichen betrieblichen Mehraufwand bedeutet.

5. ABBYY – Desktop-Option für vollständige Air-Gap-Trennung

Serverstandort: entfällt beim Desktop-Produkt (läuft vollständig auf Ihrem Rechner). Aufbewahrung: entfällt. KI-Training: entfällt. AVV: für Desktop nicht zutreffend.

Die ultimative Compliance-Antwort: Wenn Ihre Daten Ihr Netzwerk niemals verlassen dürfen, ist ABBYY FineReader für den Desktop die einfachste Antwort. Einmal kaufen, installieren, die OCR läuft lokal. Für Air-Gap-Umgebungen (Rüstungsunternehmen, bestimmte Finanzinstitute) ist dies manchmal die einzige Option. Die Cloud-Version von ABBYY unterliegt jedoch denselben Erwägungen wie andere US-basierte Cloud-OCR.

6. Tesseract / individuelle Open-Source-Lösung

Serverstandort: Ihre Infrastruktur (Sie hosten es selbst). Aufbewahrung: Ihre Richtlinie. KI-Training: was auch immer Ihr Team konfiguriert. AVV: entfällt (kein Dritter).

Wann das sinnvoll ist: Wenn Sie ein Entwicklerteam und mehr als 5.000 Dokumente pro Monat haben, hält eine auf Tesseract oder PaddleOCR aufgebaute Lösung jedes Byte innerhalb Ihrer Infrastruktur. Kein AVV, keine Offenlegung von Unterauftragsverarbeitern, keine Compliance-Abhängigkeit. Die Genauigkeit ist 5–15 % geringer als bei spezialisierter kommerzieller OCR, doch für Compliance-extreme Anwendungsfälle ist das ein akzeptabler Kompromiss.

Schnelle Entscheidungsmatrix für Unternehmen in EU/UK

• KMU, regelmäßiger OCR-Workflow: myocr.app – EU-nativ, keine Compliance-Hürden, nutzungsbasierte Abrechnung
• Firma mit hohem Volumen, gemischt US-EU: DocuClipper Enterprise (EU ausdrücklich konfigurieren) oder Adobe Acrobat
• Enterprise mit eingebundenem Compliance-Team: Adobe Acrobat (Standard-AVV) oder Nanonets Enterprise (selbst gehostete Option)
• Air-Gap-getrennt oder extrem sensibel: ABBYY FineReader für den Desktop oder selbst gehostetes Tesseract
• Nur Großbritannien, Präferenz für Datensouveränität: myocr.app (EU funktioniert für die UK-DSGVO im Rahmen der Angemessenheit) oder ein in Großbritannien gehosteter lokaler Anbieter

Was die DSGVO bei der Dokumentenverarbeitung tatsächlich verlangt

Von Juristendeutsch befreit, verlangt die DSGVO drei Dinge von OCR-Anbietern:

1. Rechtsgrundlage – Sie (als Verantwortlicher) haben einen rechtlichen Grund, die Dokumente zu verarbeiten (Vertrag, Einwilligung, berechtigtes Interesse). Der OCR-Anbieter legt dies nicht fest; das tun Sie.
2. Datenminimierung und Aufbewahrung – der Anbieter verarbeitet nur, was nötig ist, und löscht die Dokumente, sobald die Verarbeitung abgeschlossen ist. Hier sind kurze Aufbewahrungsfristen entscheidend.
3. Sicherheit – angemessene technische und organisatorische Maßnahmen: Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrollen, Audit-Protokolle, Meldung von Datenschutzverletzungen.

Der AVV zwischen Ihnen und dem Anbieter ist das rechtliche Instrument, das diese Pflichten erfasst. Ohne einen unterzeichneten AVV sind Sie für diese Verarbeitungsbeziehung nicht DSGVO-konform – ganz gleich, was das Marketing der einen oder anderen Partei behauptet.

Warnsignale, auf die Sie achten sollten

• „DSGVO-konform" ohne Erläuterung – wenn die Website des Anbieters „DSGVO-konform" verkündet, aber keinen AVV, keine Aufbewahrungsrichtlinie und keine Angaben zum Serverstandort bietet, ist das Marketing und keine Compliance
• „Wir folgen den Best Practices der DSGVO" – diese Formulierung bedeutet rechtlich nichts. Der AVV existiert entweder oder eben nicht.
• Unbegrenzte Aufbewahrung „zur Verbesserung des Dienstes" – das ist eine höfliche Umschreibung für „wir verwenden Ihre Dokumente für immer zum Training unserer KI"
• Datenschutzerklärung älter als 2 Jahre ohne Aktualisierungen – die Durchsetzung der DSGVO hat sich seit 2018 schnell weiterentwickelt. Eine Datenschutzerklärung, die seit der Zeit vor dem Brexit unverändert ist, deutet darauf hin, dass der Anbieter seine Compliance nicht aktiv pflegt
• Keine Liste der Unterauftragsverarbeiter – wenn Sie nicht sehen können, wer sonst noch mit den Daten in Berührung kommt, können Sie Ihre eigenen Pflichten nach Artikel 28 gegenüber Ihren Kunden nicht erfüllen

Was tun, wenn Ihr aktueller OCR-Anbieter nicht konform ist

Wenn Sie bereits ein OCR-Tool nutzen, das die DSGVO-Anforderungen nicht erfüllt, haben Sie drei sinnvolle nächste Schritte:

1. Fordern Sie einen AVV an beim Anbieter und konfigurieren Sie ihn, sofern verfügbar, auf EU-Server. Dokumentieren Sie die Änderung in Ihrem Verzeichnis der Verarbeitungstätigkeiten.
2. Wechseln Sie für neue Dokumente zu einer konformen Alternative, während Sie alte Daten unter der Aufbewahrungsfrist des bestehenden Anbieters auslaufen lassen.
3. Führen Sie eine Datenschutz-Folgenabschätzung (DSFA) durch, falls die Dokumente besondere Kategorien von Daten enthalten (Gesundheit, Finanzen, Ausweis). Für die meisten Rechnungs- und Belegworkflows ist eine DSFA nicht erforderlich; für Personal- oder Gesundheitsakten schon.

Fazit

DSGVO-Compliance bei der Dokumentenverarbeitung ist 2026 kein Feature-Häkchen – sie ist eine Beschaffungsdisziplin. Stellen Sie die fünf Fragen, lesen Sie den AVV, prüfen Sie die Liste der Unterauftragsverarbeiter und verifizieren Sie den Serverstandort. Anbieter, die die Antworten parat haben, haben die Arbeit geleistet; Anbieter, die ausweichen, sind für die geschäftliche Nutzung in Europa nicht DSGVO-konform.

Für die meisten KMU und Buchhaltungskanzleien in der EU/UK beseitigt ein EU-natives Tool wie myocr.app die Compliance-Hürden vollständig – kurze Aufbewahrung, kein KI-Training, EU-Server, Standard-AVV. Für die Enterprise-Beschaffung verfügt Adobe Acrobat über die rechtliche Infrastruktur, die Compliance-Teams erwarten. Für Extremfälle sind ABBYY für den Desktop oder selbst gehostetes Tesseract die Air-Gap-Antworten.

Möchten Sie überprüfen, wie eine solche Compliance-Haltung in der Praxis aussieht? Testen Sie myocr.app – erste Datei kostenlos, ohne Registrierung, EU-Server, standardmäßig automatische Löschung nach 30 Minuten.