DSGVO und alte gescannte Dateien: OCR zur PII-Erkennung
Aktualisiert für 2026
DSGVO-Audits stoßen häufig auf dasselbe verborgene Risiko: bildbasierte PDF-Archive aus der Zeit vor der Digitalisierung.
Anwaltskanzleien bewahren 20 Jahre gescannter Mandantendateien auf. Krankenhäuser halten jahrzehntelang Patientenformulare vor. Behörden speichern gescannte Akten. Banken haben abgebildete Kreditdateien.
Diese Archive teilen eine Eigenschaft. Die Dateien sind Rasterbilder — gescannte PDFs, TIFF oder JPEG. Es gibt keine Textebene. Standard-PII-Tools können sie nicht lesen. Für die meisten Anonymisierungstools existieren diese Dateien schlicht nicht.
Eine verbreitete Annahme: „Das sind nur Bilddateien — die DSGVO gilt nicht."
DSGVO-Artikel 17(1) gibt Personen das Recht auf Löschung. Erwägungsgrund 26 stellt klar, dass anonymisierte Daten nicht mehr in den Anwendungsbereich fallen. Keine Regelung sieht eine Ausnahme für bildbasierte Formate vor. Eine Kanzlei, die eine Löschanfrage für eine 15 Jahre alte Akte nicht erfüllen kann, hat eine Compliance-Lücke — keine Ausnahme.
Unsere Compliance-Übersicht und Sicherheitspraktiken zeigen, wie wir die DSGVO unterstützen.
Wie die Erkennungs-Pipeline funktioniert
Der Prozess läuft in drei Stufen.
Stufe 1 — OCR
Die OCR-Engine liest das Bild und extrahiert Text. Sie erfasst die Position jedes Wortes. Die Ausgabe ist maschinenlesbarer Text mit Koordinaten. Die Genauigkeit sinkt bei Handschriften, verblasstem Druck oder alten Schriftarten.
Stufe 2 — NLP-Entitätserkennung
Named Entity Recognition (NER) durchsucht den OCR-Text. Sie findet Personennamen, Organisationen und Orte. Musterabgleich fügt Sozialversicherungsnummern, Telefonnummern und Kontonummern hinzu. Jeder Treffer erhält einen Konfidenzwert.
Stufe 3 — Anonymisierung
Erkannte Entitäten werden im Textoutput ersetzt. Das ursprüngliche Bild bleibt unverändert. Eine Bildänderung erfordert separates Schwärzungswerkzeug. Der anonymisierte Text unterstützt Löschanfragen, DSAR-Antworten und Compliance-Nachweise.
Moderne OCR-Engines erreichen 98–99 % Zeichengenauigkeit bei sauber gedruckten Seiten. Handschriften oder beschädigte Scans fallen auf 85–92 % ab. Die Entitätsgenauigkeit ist oft höher als die Zeichengenauigkeit. Ein Name wird erkannt, selbst wenn einzelne Buchstaben falsch sind.
Die praktische Schlussfolgerung: OCR-Genauigkeit beeinflusst, wie viele Entitäten gefunden werden. Sie bestimmt nicht, ob die Methode funktioniert. Auch bei 90 % Genauigkeit werden die meisten Namen und Nummern gefunden. Qualitätsstufen sind trotzdem nötig. Die Methode selbst ist valide.
Verarbeitung großer Archive
Große Legacy-Archive folgen einem vierphasigen Ablauf.
Phase 1 — Inventar: Alle bildbasierten Archive nach Quellsystem und Datumsbereich auflisten. Dateien mit hohem Löschrisiko priorisieren. Mandantendateien kommen vor internen.
Phase 2 — Stapelverarbeitung: OCR und PII-Erkennung in Stapeln ausführen. Fünf- bis zehntausend Dateien pro Stapel ist ein übliches Volumen. Die Verarbeitung läuft über Nacht. Ausgabe ist ein PII-Bericht und ein anonymisierter Textauszug pro Datei.
Phase 3 — Löscherfüllung: Die betroffene Person sendet eine Anfrage mit Name und Zeitraum. Anonymisierte Auszüge nach ihren Token durchsuchen. Dateien finden. Schwärzen. Aktion protokollieren.
Phase 4 — Laufende Compliance: Neue gescannte Dateien vor der Archivierung durch dieselbe Pipeline führen. PII-Berichte als Nachweis gemäß Artikel 30 der Verzeichnisse von Verarbeitungstätigkeiten aufbewahren.
Fallstudie: Kanzlei-Archiv
Ein Kanzlei-Audit fand 80.000 bildbasierte PDF-Mandantenverträge, die zwischen 1998 und 2010 gescannt wurden. Standard-PII-Tools zeigten null Treffer. Das Bildformat war unsichtbar.
Fünfzehn frühere Mandanten hatten im vergangenen Jahr Löschanfragen gestellt. Die Kanzlei antwortete: „Wir können nicht bestätigen, dass Ihre Daten gelöscht wurden." Diese Antwort erfüllt DSGVO-Artikel 17 nicht.
Was die Kanzlei tat:
- OCR und PII-Erkennung auf allen 80.000 Dateien in Stapeln von 5.000
- Verarbeitungszeit: etwa drei Wochen
- Ergebnis: 80.000 anonymisierte Textauszüge mit Berichten pro Datei
- Durchsuchbarer Index, der Entitäten mit Datei-IDs verknüpft
Nach der Verarbeitung:
- Durchschnittliche Zeit zum Auffinden der Dateien für eine Person: 4 Minuten
- Dateien pro Anfrage: durchschnittlich 6–8
- Schwärzungszeit pro Anfrage: 20–30 Minuten
Alle 15 offenen Anfragen wurden innerhalb von 30 Tagen erledigt.
Der wichtigste Punkt: Die Compliance-Pflicht bestand bereits vor der Verarbeitung. Der Kanzlei fehlten schlicht die Werkzeuge. OCR-basierte Verarbeitung schuf keine neue Pflicht. Sie machte eine bestehende Pflicht erfüllbar.
OCR-Grenzen und Qualitätsstufen
Handschriften haben geringere OCR-Genauigkeit. Vor der Verarbeitung handgeschriebener Inhalte den Konfidenzschwellenwert anpassen.
Schlechte Scanqualität senkt die Werte. Kontrastverbesserung und Ausrichtungskorrektur helfen vor dem OCR-Lauf.
Ungewöhnliche Layouts — mehrspaltige Seiten, alte juristische Schriftarten — können ebenfalls niedrigere Werte erzielen.
Qualitätsstufen für Compliance-Zwecke festlegen:
- Über 95 % Seitengenauigkeit: automatische Verarbeitung
- 80–95 %: automatische Verarbeitung, dann manuelle Prüfung markierter Entitäten
- Unter 80 %: manuelle Prüfung
Ein gestufter Ansatz gibt Aufsichtsbehörden eine klare Antwort auf die Frage, wie Zuverlässigkeit bewertet wurde. Automatisierte Tools verarbeiten die hochzuverlässigen Dateien. Eine manuelle Warteschlange übernimmt den Rest. Der Durchsatz bleibt hoch. Die Compliance-Qualität ebenso.
Unser FAQ beantwortet häufige Fragen zur OCR-basierten Verarbeitung und zu Anforderungen an Prüfprotokolle.