Mehr als 89.000 Dateien lagen im Sommer 2024 offen im Netz, darunter Reisepässe, Führerscheine und Verträge. Hochgeladen hatten Nutzer die Dokumente bei zwei Online-PDF-Diensten eines britischen Betreibers, um sie umzuwandeln oder zu bearbeiten. Wie lange eine Datei nach dem Upload auf einem fremden Server bleibt und wer sie dort sehen kann, entscheidet der Anbieter.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Im Browser ist ein Vertrag schnell unterschrieben und ein Angebot in zwei Minuten korrigiert; die Texterkennung macht eine eingescannte Rechnung durchsuchbar. Für Unternehmen hat der schnelle Weg einen Haken: Fast jedes Geschäftsdokument enthält Namen, Adressen oder Bankdaten, und mit dem Upload geben Sie diese Daten an einen Dienstleister weiter. Hier lesen Sie, welchen Weg eine Datei nimmt, welche Pflichten aus der Datenschutz-Grundverordnung folgen und woran Sie einen seriösen Dienst erkennen.
Das Wichtigste in Kürze
- Bei den meisten Online-PDF-Werkzeugen wandert die Datei auf einen Server des Anbieters, der sie dort verarbeitet und speichert. Enthält die Datei personenbezogene Daten, wird der Anbieter zum Auftragsverarbeiter, und Ihr Unternehmen braucht einen Vertrag nach Artikel 28 DSGVO.
- Eine PDF enthält mehr, als auf dem Bildschirm steht: Verfasser, Bearbeitungsverlauf, Kommentare, Formulardaten und mitunter Text unter schlecht geschwärzten Stellen.
- Das FBI warnte im März 2025 vor gefälschten Gratis-Konvertern, die hochgeladene Dateien nach Bankdaten sowie Passwörtern durchsuchen und Schadsoftware zurückliefern.
- Vor der Freigabe eines Dienstes lohnt eine Prüfung von rund einer Stunde; die meisten Antworten stehen in Impressum, Datenschutzerklärung und Nutzungsbedingungen.
1 Wie viele hochgeladene Dateien fanden Forscher von Cybernews im Juli 2024 offen im Speicher von zwei Online-PDF-Diensten? Aufklappen ↓
Auflösung aufdecken ↓
2 Welcher Artikel der DSGVO verlangt einen Vertrag mit einem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet? Aufklappen ↓
Auflösung aufdecken ↓
3 Wovor warnte das FBI-Büro in Denver im März 2025? Aufklappen ↓
Auflösung aufdecken ↓
4 Warum reicht ein schwarzer Balken über einer Textstelle in einer PDF nicht als Schwärzung? Aufklappen ↓
Auflösung aufdecken ↓
5 Seit wann gilt das EU-US Data Privacy Framework als Grundlage für Übermittlungen an zertifizierte US-Unternehmen? Aufklappen ↓
Auflösung aufdecken ↓
Was passiert mit einer PDF, wenn Sie sie online bearbeiten?
Bei den meisten Online-Editoren lädt der Browser die PDF auf einen Server des Anbieters. Dort wird die Datei gelesen, verändert und für den Download bereitgestellt, oft zusätzlich in einem Nutzerkonto gespeichert. Nur wenige Werkzeuge rechnen vollständig auf Ihrem Gerät.
Zuerst geht die PDF verschlüsselt über das Internet an den Anbieter, im Regelfall per HTTPS. Auf dem Server liest eine Software den Inhalt aus, erkennt Text, Bilder sowie Formularfelder und baut daraus die Ansicht, die Sie im Browser sehen.
Aus jeder Änderung, jedem Kommentar und jeder Unterschrift entsteht auf diesem Server eine neue Fassung.
Nach der Bearbeitung entscheidet der Dienst, wie lange die Datei bleibt. Manche Anbieter löschen Uploads nach wenigen Stunden, andere legen die Dateien im Nutzerkonto ab, damit Sie am nächsten Tag weiterarbeiten können. Zwischenkopien entstehen außerdem in Sicherungen und bei Dienstleistern, die der Anbieter selbst einsetzt, etwa für Cloud-Speicher, Konvertierung und Fehleranalyse.
Die Transportverschlüsselung schützt nur den Weg.
Auf dem Server liegt die Datei für die Software des Anbieters lesbar vor, sonst ließe sich nichts bearbeiten. Eine Ende-zu-Ende-Verschlüsselung, wie Messenger sie verwenden, ist bei einem Editor technisch ausgeschlossen, sobald die Bearbeitung auf dem Server läuft.
Fünf Stationen, an denen der Anbieter die Datei in der Hand hat
Die Datei geht verschlüsselt per HTTPS an den Server des Anbieters.
Die Software liest Text, Bilder und Formularfelder aus, bei Scans per Texterkennung.
Zwischenstände und Ergebnis liegen auf dem Server, oft auch im Nutzerkonto.
Cloud-Speicher und Konvertierungsdienste des Anbieters erhalten Kopien.
Wann die Datei gelöscht wird, auch aus Sicherungen, legt der Anbieter fest.
Werkzeuge, die vollständig im Browser rechnen, überspringen alle fünf Stationen: Die Datei bleibt auf Ihrem Gerät.
Browser-Editor mit Server oder lokale Verarbeitung
Browserbasierte Editoren wie PDFAid bündeln viele Arbeitsschritte an einem Ort. Der Dienst bietet mehr als 50 Werkzeuge, vom direkten Ändern von Text per Doppelklick über digitale Unterschriften bis zur Texterkennung (OCR), die gescannte Seiten durchsuchbar macht. Dateien bis 100 MB lassen sich hochladen und anschließend unter Windows, macOS, Linux, iOS oder Android bearbeiten, ohne Software zu installieren.
Nach der Anmeldung liegen die Dokumente im Konto bereit, und die Arbeit geht im Büro oder unterwegs weiter, ein Vorteil für Teams mit wechselnden Geräten.
Datenschutzrechtlich hat die Bequemlichkeit einen Preis: Die Datei bleibt so lange beim Anbieter, wie sie im Konto gespeichert ist.
Die Alternative sind Werkzeuge, die vollständig im Browser rechnen. Die Datei verlässt dann das Gerät nicht, der Anbieter liefert nur das Programm. Dr. Web hat das Prinzip am Beispiel eines Bildkonverters, der ganz ohne Upload arbeitet, beschrieben.
Für PDFs ist dieser Ansatz seltener, weil Texterkennung und Umwandlung in Office-Formate viel Rechenleistung brauchen.
Welche Variante ein Dienst nutzt, sehen Sie selten auf den ersten Blick. Verlässlich klären lässt sich die Frage nur über die Datenschutzerklärung oder eine schriftliche Auskunft des Anbieters.
HTTPS schützt die Datei nur auf dem Weg zum Anbieter. Auf dessen Server liegt die Datei lesbar, oft länger als die Bearbeitung dauert, und bei seinen eigenen Dienstleistern entstehen weitere Kopien.
Welche Daten stecken unsichtbar in einer PDF?
Neben dem sichtbaren Text speichert eine PDF Dokumenteigenschaften wie Verfasser, Erstellungsprogramm und Datum, dazu Kommentare, Formulareingaben, eingebettete Dateien und frühere Bearbeitungsstände. Unter schlecht geschwärzten Stellen bleibt der Originaltext oft erhalten.
Mit dem Upload geht die ganze Datei an den Anbieter, auch das, was nicht auf der Seite steht. In den Dokumenteigenschaften stehen häufig der Name der Person, die das Original angelegt hat, die Firma aus der Office-Lizenz und das Programm, mit dem die Datei entstand. Kommentare aus einer internen Abstimmung bleiben erhalten, solange niemand sie löscht.
Ausgefüllte Formularfelder speichern ihre Einträge als eigene Daten, getrennt vom Seitenbild. In einer Lieferantenauskunft bleiben Steuernummer und Bankverbindung deshalb in der Originaldatei gespeichert; ein ausgedrucktes und neu eingescanntes Formular enthält dagegen nur noch das Seitenbild. Erst das sogenannte Reduzieren auf eine Ebene verschmilzt Felder und Seite. Manche PDFs enthalten außerdem eingebettete Dateien, etwa die Excel-Tabelle, aus der eine Kalkulation stammt.
Am folgenreichsten sind Schwärzungen, die nur aufgemalt sind.
Im Januar 2019 reichten die Anwälte von Paul Manafort, dem früheren Wahlkampfchef von Donald Trump, einen Schriftsatz ein, dessen schwarze Balken den Text nur überdeckten. Journalisten markierten die Balken, kopierten den Inhalt in ein neues Dokument und lasen, was vertraulich bleiben sollte.
Das ABA Journal der American Bar Association rät deshalb, eine echte Schwärzungsfunktion zu nutzen; ob sie gewirkt hat, zeigt ein Test per Kopieren und Einfügen.
Für den Upload bei einem Online-Dienst heißt das: Auch was Sie bewusst unkenntlich gemacht haben, kann beim Anbieter lesbar ankommen. Bei gescannten Dokumenten kommt ein Schritt hinzu: Die Texterkennung macht aus dem Bild einer Gehaltsabrechnung maschinenlesbaren Text, für Sie und für die Server, auf denen die Erkennung läuft.
| Dokument | Typische personenbezogene Daten | Was zusätzlich in der Datei stecken kann |
|---|---|---|
| Angebot, Rechnung | Name, Anschrift, Ansprechpartner, Bankverbindung | Kalkulation in Kommentaren, Verfasser in den Eigenschaften |
| Arbeitsvertrag, Gehaltsabrechnung | Name, Geburtsdatum, Steuer-ID, Gehalt, Religionszugehörigkeit | Frühere Vertragsfassungen, Formularfelder |
| Bewerbung | Lebenslauf, Foto, Zeugnisse, Kontaktdaten | Notizen aus dem Auswahlverfahren |
| Kundenvertrag | Unterschriften, Vertretungsberechtigte, Konditionen | Verhandlungsstände, nicht übernommene Änderungen |
| Ausweiskopie | Foto, Ausweisnummer, Geburtsort, Anschrift | Hohe Auflösung, die Fälschungen erleichtert |
Vor jedem Upload lohnt deshalb ein kurzer Blick in die Dokumenteigenschaften und die Kommentarleiste. Viele Programme bieten eine Funktion zum Entfernen versteckter Informationen. Bei Dokumenten, die ohnehin vertraulich sind, stellt sich allerdings eine Frage früher: Gehört die Datei überhaupt in einen Online-Dienst?
Auch geschwärzte oder ausgeblendete Inhalte können beim Anbieter lesbar ankommen. Vertrauliche Dokumente prüfen Sie vor dem Upload oder bearbeiten sie gleich lokal.
Wann wird ein Online-PDF-Werkzeug zum Auftragsverarbeiter?
Ein PDF-Dienst wird zum Auftragsverarbeiter, sobald Ihr Unternehmen ihm Dateien mit personenbezogenen Daten zur Bearbeitung übergibt. In diesem Fall verlangt Artikel 28 DSGVO einen Vertrag, der Zweck, Dauer, Sicherheitsmaßnahmen und Löschung regelt.
Personenbezogen sind alle Angaben, die sich einer bestimmten Person zuordnen lassen: Name, E-Mail-Adresse, Unterschrift, Personalnummer. Kaum ein Geschäftsdokument kommt ohne solche Daten aus. Bearbeitet ein externer Dienst diese Dokumente in Ihrem Auftrag, bleibt Ihr Unternehmen Verantwortlicher im Sinne der Verordnung, und der Anbieter verarbeitet die Daten als Dienstleister nach Ihren Weisungen.
Artikel 28 Absatz 1 DSGVO erlaubt die Auftragsverarbeitung nur durch Anbieter, die „hinreichend Garantien“ für geeignete technische und organisatorische Maßnahmen bieten.
Absatz 3 schreibt einen Vertrag vor, den Auftragsverarbeitungsvertrag, kurz AVV. Der Vertrag legt fest, welche Daten der Dienst wofür nutzen darf, wie er sie schützt, welche Unterauftragnehmer er einsetzt und dass er die Daten nach Ende des Auftrags löscht oder zurückgibt.
Viele Online-Werkzeuge für Verbraucher bieten einen solchen Vertrag nicht an. Die Nutzungsbedingungen solcher Dienste regeln Abo, Preise und Haftung, aber keine Verarbeitung im Auftrag. Für ein Unternehmen taugt ein solcher Dienst damit nur für Dokumente ohne personenbezogene Daten, etwa für eine öffentliche Produktbroschüre.
Für Verstöße gegen die Pflichten aus Artikel 28 sieht Artikel 83 Absatz 4 DSGVO Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Schwerer wiegt im Alltag oft der Schaden, wenn Kundendaten bei einem Dienst ohne Vertrag auftauchen: Ihr Unternehmen meldet den Vorfall der Aufsichtsbehörde, benachrichtigt die Betroffenen und muss sich gegenüber Kunden erklären.
Berufsgeheimnisse und Geschäftsgeheimnisse
Strenger sind die Regeln für Berufsgruppen mit Schweigepflicht. Ärzte, Rechtsanwälte, Steuerberater und andere Berufsgeheimnisträger dürfen Geheimnisse nach § 203 StGB nur an mitwirkende Personen weitergeben, soweit deren Tätigkeit das erfordert. Bindet eine Kanzlei oder Praxis einen externen Dienst ein, muss sie den Dienstleister zur Geheimhaltung verpflichten.
Versäumt der Berufsgeheimnisträger diese Pflicht, droht ihm nach § 203 Absatz 4 selbst eine Strafe, sobald der Dienstleister ein Geheimnis ausplaudert.
Das Geschäftsgeheimnisgesetz schützt eine Information nur, wenn ihr Inhaber „angemessene Geheimhaltungsmaßnahmen“ getroffen hat. Lädt ein Beschäftigter einen Konstruktionsplan oder eine Preiskalkulation ohne interne Regel bei einem beliebigen Gratis-Dienst hoch, kann das Dokument diesen Schutz im Streitfall verlieren.
- Personenbezug: Fast jedes Geschäftsdokument enthält personenbezogene Daten; für deren Verarbeitung durch einen Dienst verlangt Artikel 28 DSGVO einen AVV.
- Kein Vertrag: Ohne AVV taugt ein Dienst nur für Dokumente ohne personenbezogene Daten.
- Schweigepflicht: Berufsgeheimnisträger müssen den Dienstleister zusätzlich zur Geheimhaltung verpflichten.
Was gilt, wenn der Anbieter Daten außerhalb der EU verarbeitet?
Daten dürfen die EU nur verlassen, wenn das Zielland ein vergleichbares Schutzniveau bietet oder zusätzliche Garantien greifen, etwa Standardvertragsklauseln. Diese Pflicht gilt auch, wenn der Anbieter selbst in der EU sitzt, seine Server aber bei einem US-Cloud-Dienst stehen.
Kapitel V der DSGVO regelt die Übermittlung in sogenannte Drittländer. Für die USA sind diese Regeln seit Jahren umkämpft. Am 16. Juli 2020 erklärte der Europäische Gerichtshof im Urteil Schrems II (C-311/18) das damalige Abkommen Privacy Shield für ungültig, weil US-Behörden zu weitreichend auf europäische Daten zugreifen konnten. Standardvertragsklauseln blieben erlaubt, verlangen seitdem aber eine Prüfung, ob im Zielland zusätzliche Schutzmaßnahmen nötig sind.
Seit dem 10. Juli 2023 gilt der Nachfolger, das EU-US Data Privacy Framework. Übermittlungen an US-Unternehmen, die sich nach diesem Rahmen zertifiziert haben, brauchen laut dem Bundesbeauftragten für den Datenschutz keine weiteren Garantien. Für alle anderen US-Empfänger bleiben Standardvertragsklauseln samt Prüfung nötig.
Die Datenschutzorganisation noyb um Max Schrems sieht die Grundlage des Rahmens durch ein Urteil des US Supreme Court vom Juni 2026 erschüttert, nach dem die Handelsbehörde FTC nicht mehr unabhängig sein darf. Laut noyb stützt sich der Beschluss der EU-Kommission 259-mal auf diese Behörde.
Formal gilt der Rahmen weiter, bis die Kommission ihn aufhebt oder der Gerichtshof ihn kippt. Wie das Urteil den EU-US-Datentransfer ins Wanken bringt, hat Dr. Web in einem eigenen Beitrag beschrieben.
Der Privacy Shield ist seit 2020 Geschichte, in manchen Datenschutzerklärungen von PDF-Diensten steht er bis heute.
Michael Dobler, Herausgeber Dr. Web
Für die Auswahl eines PDF-Dienstes zählen deshalb zwei Orte: der Sitz des Betreibers und der Standort der Server, auf denen Ihre Dateien liegen. Beide stehen in der Datenschutzerklärung, meist im Abschnitt über Empfänger oder Dienstleister.
Bei PDFAid etwa nennt die Erklärung die TSFF Holdings Limited mit Sitz im zyprischen Limassol als Betreiber und Google Cloud Platform sowie servers.com als Anbieter für Cloud-Speicher.
Nennt eine Datenschutzerklärung als Grundlage für Übermittlungen in die USA noch den Privacy Shield, hat der Anbieter diesen Abschnitt lange nicht angefasst. Rechtswidrig ist der Dienst damit nicht automatisch; nutzt er tatsächlich Standardvertragsklauseln, bleibt die Übermittlung zulässig. Fragen Sie in diesem Fall nach, welche Grundlage heute gilt, und lassen Sie sich die Antwort schriftlich geben.
Verstöße gegen die Regeln zur Übermittlung zählen zu den schweren Fällen. Artikel 83 Absatz 5 DSGVO erlaubt Geldbußen bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
Neben dem Sitz des Betreibers zählt der Standort der Server. Ein veralteter Verweis auf den Privacy Shield in der Datenschutzerklärung ist ein guter Anlass, beim Anbieter nachzufragen.
Woran erkennen Sie unseriöse PDF-Dienste?
Unseriöse PDF-Dienste fallen durch ein fehlendes Impressum, eine fehlende oder kopierte Datenschutzerklärung und die Aufforderung auf, Zusatzprogramme oder Browser-Erweiterungen herunterzuladen. Manche Seiten liefern die umgewandelte Datei mit Schadsoftware zurück.
Im März 2025 warnte das FBI-Büro in Denver vor einer Masche, die sich laut der Behörde weltweit ausbreitet. Gefälschte Webseiten bieten an, Dateien kostenlos umzuwandeln oder zusammenzuführen, etwa eine Word-Datei in eine PDF. Die Umwandlung funktioniert, doch die zurückgelieferte Datei kann Schadsoftware enthalten, die Kriminellen Zugriff auf den Rechner verschafft.
Zugleich durchsuchen solche Seiten laut FBI die hochgeladenen Dateien nach Sozialversicherungsnummern, Passwörtern, Bankverbindungen und Daten von Krypto-Konten. Der Sender CBS Colorado berichtete, Ermittler hielten diesen Weg für eine mögliche Ursache eines Ransomware-Angriffs auf einen US-Medienkonzern.
Nicht jeder Datenabfluss geht auf Betrug zurück. Bei den beiden Diensten, auf die die Forscher von Cybernews im Juli 2024 stießen, lagen 89.062 Dateien ohne Passwortschutz in einem falsch konfigurierten Amazon-S3-Speicher. Die Betreiber reagierten laut den Forschern bis zur Veröffentlichung nicht auf Hinweise. Ein Leck dieser Art entsteht durch Nachlässigkeit, mit derselben Folge für die Betroffenen.
Dr. Web hat das Muster mehrfach beschrieben: Angreifer suchen sich das schwächste Glied in der Kette, oft einen Dienstleister, der dieselben Daten hat wie sein Auftraggeber. Beim Netzbetreiber Netze BW kamen Kriminelle über einen Zähler-Dienstleister an Stromkundendaten, den Zugang lieferte eine Montagefirma. Ein PDF-Werkzeug, in das Beschäftigte Verträge laden, ist ein solcher Dienstleister.
| Warnzeichen | Warum das zählt |
|---|---|
| Kein Impressum, kein benannter Betreiber | Niemand haftet, niemand ist für Auskunft oder Löschung erreichbar |
| Keine oder offensichtlich kopierte Datenschutzerklärung | Speicherdauer, Empfänger und Serverstandort bleiben unbekannt |
| Download eines Programms für die Umwandlung | Laut FBI ein Weg, Schadsoftware auf den Rechner zu bringen |
| Aufforderung, eine Browser-Erweiterung zu installieren | Erweiterungen können alle besuchten Seiten mitlesen |
| Umgewandelte Datei mit unerwarteter Endung | Eine angebliche PDF mit der Endung .exe ist ein Programm |
Seriöse Dienste nennen ihren Betreiber mit Anschrift, erklären die Speicherdauer und beantworten Fragen zur Datenverarbeitung schriftlich. Für die Freigabe im Unternehmen reichen diese Merkmale aber noch nicht.
Gefälschte Konverter und schlampig gesicherte Speicher führen zum selben Ergebnis: Ihre Dokumente landen bei Fremden. Ein benannter Betreiber und eine klare Datenschutzerklärung sind die Mindestvoraussetzung.
Worauf sollten Unternehmen bei der Auswahl eines PDF-Dienstes achten?
Unternehmen sollten vor der Freigabe Betreiber, Löschfrist, Vertrag zur Auftragsverarbeitung, Unterauftragnehmer samt Serverstandort und die Lizenzklauseln zu hochgeladenen Inhalten prüfen. Buchen Beschäftigte den Dienst selbst, gehören die Abo-Bedingungen ebenfalls auf die Liste.
Die Prüfung dauert für einen Dienst etwa eine Stunde, sofern die Unterlagen vollständig sind. Die meisten Antworten stehen in drei Texten: Impressum, Datenschutzerklärung und Nutzungsbedingungen. Was dort fehlt, erfragen Sie beim Anbieter, am besten mit einer kurzen Liste.
Die meisten Antworten stehen in Impressum, Datenschutzerklärung und Nutzungsbedingungen
Firma mit Anschrift, idealerweise in der EU
Feste Frist für hochgeladene Dateien und Sicherungen
Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO
Liste mit Standorten, aktuelle Grundlage für Drittländer
Keine Lizenz des Anbieters an Ihren Dokumenten
Beantwortet ein Anbieter einen der fünf Punkte auf Nachfrage nicht schriftlich, gehören keine Dokumente mit personenbezogenen Daten in den Dienst.
Löschfrist und Speicherort der Dateien
Viele Datenschutzerklärungen regeln ausführlich, wie lange der Anbieter Kontodaten, Zahlungsdaten und Nutzungsprotokolle aufbewahrt. Zu den hochgeladenen Dateien selbst steht darin häufig nichts.
Fragen Sie konkret nach der Löschfrist für Uploads: Wann löscht der Dienst eine Datei ohne Konto, wann nach dem Download, wann nach Kündigung des Kontos, und was geschieht mit Sicherungskopien?
Bei PDFAid beschreiben die Nutzungsbedingungen die Kündigung als Löschung des Kontos von den Servern samt allen Daten, die zum Nutzerprofil gehören. Wirksam wird eine Kündigung dort typischerweise binnen sieben Werktagen.
Wie lange einzelne Dateien in einem bestehenden Konto liegen, beantworten die Bedingungen nicht, eine Frage für den Support.
Rechte an hochgeladenen Inhalten
Manche Anbieter lassen sich in ihren Nutzungsbedingungen vom Nutzer eine weltweite, unbefristete und unwiderrufliche Nutzungslizenz an allen Inhalten einräumen, die auf der Website eingereicht werden, und erklären diese Inhalte für nicht vertraulich. Solche Klauseln zielen oft auf Bewertungen und Kommentare, sind aber selten so formuliert, dass hochgeladene Dokumente klar ausgenommen wären. Für einen Arbeitsvertrag oder ein Angebot ist das eine schlechte Grundlage.
Fragen Sie in diesem Fall nach, ob die Klausel für Dokumente gilt, und lassen Sie sich im AVV bestätigen, dass sie für Dokumente nicht gilt. Ein Vertrag zur Auftragsverarbeitung verbietet dem Anbieter ohnehin, Daten für eigene Zwecke zu nutzen.
Löschung und Auskunft vor der Freigabe testen
Was in den Unterlagen steht, lässt sich mit wenig Aufwand nachprüfen. Laden Sie ein Testdokument mit erfundenen Namen und Zahlen hoch, bearbeiten Sie die Datei, und bitten Sie den Support anschließend schriftlich um Löschung sowie um Auskunft, welche Daten zu Ihrem Konto gespeichert sind.
Die Antwortzeit verrät, wie erreichbar der Anbieter im Ernstfall ist.
Artikel 12 DSGVO verlangt eine Antwort auf Auskunftsanfragen innerhalb eines Monats. Ein Anbieter, der binnen weniger Tage verständlich antwortet und die Löschung bestätigt, dürfte auch im Ernstfall erreichbar sein, etwa wenn ein Beschäftigter die falsche Datei hochgeladen hat. Prüfen Sie dabei auch, ob sich das Konto mit einem zweiten Faktor absichern lässt, denn über ein gekapertes Konto erreichen Angreifer alle dort gespeicherten Dokumente.
Unterauftragnehmer, Konto und Abo
Der AVV muss die Unterauftragnehmer nennen, also die Dienstleister, die der Anbieter selbst einsetzt. Bei PDF-Diensten sind das typischerweise Cloud-Speicher, Konvertierungsdienste, Werkzeuge zur Fehleranalyse und Zahlungsanbieter. Analyse- und Werbedienste wie Facebook oder Google Analytics, die auf der Website mitlaufen, betreffen dagegen Ihre Besuchsdaten, nicht den Inhalt der Dateien.
Bucht ein Beschäftigter den Dienst auf eigene Faust, gelten die Verbraucherbedingungen. Viele PDF-Dienste arbeiten mit einer günstigen Testphase, die automatisch in ein Abo übergeht. Bei PDFAid kostet die erste Woche 0,50 Euro, danach 39 Euro alle vier Wochen, laut Nutzungsbedingungen bis zur Kündigung spätestens 24 Stunden vor Ende des Zeitraums.
Eine zentrale Lizenz über die IT verhindert vergessene Abos auf Firmenkarten und schafft zugleich die Grundlage für einen AVV.
| Prüfpunkt | Wo Sie die Antwort finden | Gute Antwort |
|---|---|---|
| Betreiber und Sitz | Impressum, Datenschutzerklärung | Firma mit Anschrift in der EU oder einem Land mit Angemessenheitsbeschluss |
| Löschfrist für Dateien | Datenschutzerklärung, FAQ, Anfrage | Feste Frist in Stunden oder Tagen, auch für Sicherungen |
| Vertrag zur Auftragsverarbeitung | Anfrage, Kundenbereich | AVV nach Artikel 28 DSGVO zum Herunterladen oder Unterschreiben |
| Unterauftragnehmer | Datenschutzerklärung, AVV-Anhang | Liste mit Namen, Zweck und Serverstandort |
| Übermittlung in Drittländer | Datenschutzerklärung | Aktuelle Grundlage: Standardvertragsklauseln oder Data Privacy Framework, kein Privacy Shield |
| Rechte an Inhalten | Nutzungsbedingungen | Keine Lizenz an hochgeladenen Dokumenten |
- Löschfrist: Nach der Frist für die Dateien fragen, nicht nur für Kontodaten.
- Lizenzklausel: Breite Rechte an „eingereichten Inhalten“ im AVV für Dokumente ausschließen lassen.
- Zentrale Lizenz: Ein Firmenvertrag ersetzt Einzel-Abos mit automatischer Verlängerung.
Wie regeln Sie die Nutzung von PDF-Werkzeugen im Team?
Eine kurze Richtlinie regelt die Nutzung im Team am wirksamsten: welche Dienste freigegeben sind, welche Dokumente online bearbeitet werden dürfen und welche nur lokal. Ohne freigegebenes Werkzeug greifen Beschäftigte zum erstbesten Gratis-Dienst aus der Suchmaschine.
In einer Bitkom-Umfrage unter 604 Unternehmen ab 20 Beschäftigten gaben im Oktober 2025 8 Prozent an, dass die Nutzung privater KI-Zugänge im Job bei ihnen weit verbreitet ist, weitere 17 Prozent kannten Einzelfälle. Nur 26 Prozent der Unternehmen stellten selbst KI-Werkzeuge bereit, und nur 23 Prozent hatten Regeln für den Einsatz.
Für PDF-Werkzeuge fehlt eine solche Erhebung, doch der Mechanismus dürfte derselbe sein: Fehlt das offizielle Werkzeug, holen sich Beschäftigte ein inoffizielles.
Bewährt hat sich eine Einteilung in drei Vertraulichkeitsstufen. Öffentliche Dokumente wie Broschüren oder Pressemitteilungen dürfen in jeden freigegebenen Dienst. Interne Dokumente mit personenbezogenen Daten gehen nur an Dienste mit AVV. Streng vertrauliche Unterlagen wie Personalakten, Gesundheitsdaten oder Konstruktionspläne bleiben in lokaler Software auf Firmengeräten.
Der freigegebene Dienst gehört ins Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO, zusammen mit dem AVV und der Liste der Unterauftragnehmer. Bei einer Prüfung durch die Aufsichtsbehörde liegt dann alles an einem Ort.
Die Richtlinie selbst braucht vier Bestandteile:
- Liste der freigegebenen PDF-Dienste mit Ansprechpartner in der IT
- Drei Vertraulichkeitsstufen mit je zwei Beispielen aus dem eigenen Alltag
- Kurze Anleitung zum Entfernen von Metadaten und zum echten Schwärzen
- Meldeweg für versehentlich hochgeladene Dateien
Lädt jemand eine Personalakte in einen falschen Dienst, beginnt nach Artikel 33 DSGVO unter Umständen die 72-Stunden-Frist für die Meldung an die Aufsichtsbehörde. Beschäftigte, die einen Fehler ohne Angst vor Ärger melden können, melden ihn früher.
Auch Dienste, die PDFs nur komprimieren, erhalten die vollständige Datei. Für solche Dienste gelten dieselben Regeln wie für Editoren.
Eine Seite Richtlinie mit freigegebenen Diensten, drei Vertraulichkeitsstufen und einem Meldeweg verhindert, dass Beschäftigte Verträge beim erstbesten Gratis-Konverter hochladen.
Unsere Einschätzung
Online-PDF-Werkzeuge sparen Zeit, und für viele Aufgaben sind sie die bequemste Lösung. Problematisch wird der Upload nicht durch die Technik, sondern durch fehlende Regeln: Beschäftigte entscheiden im Einzelfall, wohin eine Vertragsdatei wandert, ohne Datenschutzerklärung und Nutzungsbedingungen gelesen zu haben.
Wir halten eine Stunde Prüfung je Dienst und eine Seite Richtlinie für einen angemessenen Aufwand. Ein Anbieter, der Löschfrist, Serverstandort und AVV auf Nachfrage nicht schriftlich belegt, scheidet aus, gleich, wie gut sein Editor ist.
Glossar: 15 wichtige Fachbegriffe zu PDF-Diensten und Datenschutz
Angemessenheitsbeschluss
Ein Angemessenheitsbeschluss ist eine Entscheidung der EU-Kommission, dass ein Land außerhalb der EU personenbezogene Daten ähnlich gut schützt wie die DSGVO. Übermittlungen in dieses Land brauchen dann keine zusätzlichen Garantien. Für die USA gilt ein solcher Beschluss nur für Unternehmen, die nach dem Data Privacy Framework zertifiziert sind.
Auftragsverarbeiter
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung eines anderen Unternehmens, des Verantwortlichen. Typische Beispiele sind Cloud-Speicher, Lohnbuchhaltung oder ein Online-Editor, in den Beschäftigte Kundendokumente laden. Der Verantwortliche bleibt für die Daten rechtlich zuständig und muss den Dienstleister sorgfältig auswählen.
Auftragsverarbeitungsvertrag (AVV)
Der Auftragsverarbeitungsvertrag (AVV) ist die schriftliche Vereinbarung nach Artikel 28 Absatz 3 DSGVO zwischen Verantwortlichem und Auftragsverarbeiter. Der Vertrag regelt Gegenstand, Dauer, Art der Daten, Sicherheitsmaßnahmen, Unterauftragnehmer sowie Löschung oder Rückgabe nach Vertragsende. Ohne AVV ist die Weitergabe personenbezogener Daten an einen Dienstleister unzulässig.
Berufsgeheimnisträger
Berufsgeheimnisträger sind Personen, die nach § 203 StGB zur Verschwiegenheit verpflichtet sind, etwa Ärztinnen, Rechtsanwälte, Steuerberaterinnen oder Wirtschaftsprüfer. Diese Berufsgruppen dürfen externe Dienstleister nur einbinden, soweit das für ihre Arbeit erforderlich ist, und müssen diese zur Geheimhaltung verpflichten. Beim Einsatz von Online-Werkzeugen mit Mandanten- oder Patientendaten gelten für diese Berufe damit strengere Regeln als für andere Unternehmen.
Data Privacy Framework
Das Data Privacy Framework (EU-US-Datenschutzrahmen) gilt seit dem 10. Juli 2023 als Grundlage für Datenübermittlungen an zertifizierte US-Unternehmen. Der Rahmen folgte auf Safe Harbor und Privacy Shield, die der Europäische Gerichtshof beide gekippt hat. Ob die Regelung Bestand hat, ist umstritten; formal gilt sie weiter.
Drittland
Ein Drittland ist im Datenschutzrecht jedes Land außerhalb der EU und des Europäischen Wirtschaftsraums. Kapitel V der DSGVO erlaubt Übermittlungen dorthin nur mit Angemessenheitsbeschluss oder geeigneten Garantien wie Standardvertragsklauseln. Ein PDF-Dienst mit Sitz in der EU kann Dateien trotzdem in ein Drittland übermitteln, wenn seine Server dort stehen.
Metadaten
Metadaten sind Angaben über ein Dokument, die nicht auf der Seite stehen, aber in der Datei gespeichert sind: Verfasser, Organisation, Erstellungs- und Änderungsdatum, verwendetes Programm, bei manchen Dateien auch Bearbeitungsstände. Vor der Weitergabe nach außen lassen sich Metadaten in den meisten PDF-Programmen über die Dokumenteigenschaften prüfen und entfernen.
OCR (Texterkennung)
OCR (Optical Character Recognition, optische Zeichenerkennung) verwandelt das Bild eines gescannten Dokuments in durchsuchbaren und kopierbaren Text. Für die Arbeit mit eingescannten Rechnungen oder Verträgen spart das viel Zeit. Läuft die Erkennung auf einem fremden Server, liegt der Inhalt dort anschließend als maschinenlesbarer Text vor.
Personenbezogene Daten
Personenbezogene Daten sind nach Artikel 4 DSGVO alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Dazu zählen Name, Anschrift, E-Mail-Adresse, Unterschrift, Personalnummer oder Bankverbindung. Schon eine Ansprechperson im Briefkopf eines Angebots macht ein Geschäftsdokument datenschutzrechtlich relevant.
Ransomware
Ransomware ist Schadsoftware, die Daten auf befallenen Rechnern verschlüsselt oder stiehlt, damit die Angreifer ein Lösegeld verlangen können. Ein Einfallstor sind manipulierte Dateien, die Nutzer selbst öffnen, etwa eine angeblich umgewandelte PDF von einer gefälschten Konverter-Seite. Aktuelle Virenschutzprogramme erkennen viele, aber nicht alle dieser Dateien.
S3-Speicher
Ein S3-Speicher (Amazon Simple Storage Service) ist ein Cloud-Speicher von Amazon Web Services, in dem viele Online-Dienste die Dateien ihrer Nutzer ablegen. Die Inhalte sind in Behältern, den sogenannten Buckets, organisiert. Stellt ein Betreiber die Zugriffsrechte falsch ein, kann jeder mit der Adresse die gespeicherten Dateien abrufen.
Schwärzen
Schwärzen heißt, vertrauliche Stellen eines Dokuments dauerhaft unkenntlich zu machen. In einer PDF genügt ein schwarzer Balken nicht, weil der Text darunter in der Datei erhalten bleibt. Eine echte Schwärzungsfunktion entfernt den Inhalt. Ob das gelungen ist, zeigt ein einfacher Test: die Stelle markieren, kopieren und in ein leeres Dokument einfügen.
Standardvertragsklauseln
Standardvertragsklauseln sind von der EU-Kommission vorgegebene Vertragsmuster, mit denen Unternehmen personenbezogene Daten in Drittländer ohne Angemessenheitsbeschluss übermitteln dürfen. Seit dem Schrems-II-Urteil von 2020 müssen Absender zusätzlich prüfen, ob die Rechtslage im Zielland den vereinbarten Schutz untergräbt, und bei Bedarf weitere Maßnahmen ergreifen.
Unterauftragnehmer
Ein Unterauftragnehmer (Unterauftragsverarbeiter) ist ein Dienstleister, den ein Auftragsverarbeiter seinerseits einsetzt, etwa ein Cloud-Rechenzentrum oder ein Dienst zur Dateiumwandlung. Nach Artikel 28 DSGVO braucht der Auftragsverarbeiter dafür die Genehmigung des Verantwortlichen. Bei PDF-Diensten zeigt die Liste der Unterauftragnehmer, wo Dateien tatsächlich verarbeitet werden.
Verzeichnis der Verarbeitungstätigkeiten
Das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO dokumentiert, welche personenbezogenen Daten ein Unternehmen zu welchem Zweck verarbeitet und an wen das Unternehmen sie weitergibt. Ein freigegebener PDF-Dienst gehört mit Zweck, Datenarten und Empfängern hinein. Die Aufsichtsbehörde kann das Verzeichnis jederzeit anfordern.
FAQ: PDFs online bearbeiten: Wo landen die Dokumente?
Wie sicher ist das Bearbeiten von PDFs im Browser?
Die Sicherheit hängt vom Anbieter ab: Verschlüsselt ist meist nur der Transport, auf dem Server liegt die Datei lesbar vor. Entscheidend sind Löschfrist, Serverstandort und ein Vertrag zur Auftragsverarbeitung. Werkzeuge, die vollständig auf dem eigenen Gerät rechnen, geben die Datei gar nicht erst weiter.
Sind kostenlose PDF-Konverter DSGVO-konform?
Für Firmendokumente mit personenbezogenen Daten meist nicht, weil Gratis-Dienste selten einen Vertrag zur Auftragsverarbeitung anbieten. Für öffentliche Unterlagen wie Broschüren spielt das keine Rolle. Gefälschte Konverter-Seiten sind zusätzlich ein Sicherheitsrisiko, wie eine Warnung des FBI vom März 2025 zeigt.
Wie lange speichern Online-PDF-Dienste hochgeladene Dateien?
Die Speicherdauer legt jeder Anbieter selbst fest; die Spanne reicht von wenigen Stunden bis zur Kündigung des Kontos. Viele Datenschutzerklärungen nennen nur Fristen für Konto- und Zahlungsdaten. Fragen Sie deshalb gezielt nach der Löschfrist für Uploads sowie Sicherungskopien, und lassen Sie sich die Antwort schriftlich geben.
Wie entfernen Sie Metadaten aus einer PDF?
In den meisten PDF-Programmen finden Sie Verfasser, Titel und weitere Angaben im Menü Datei unter Dokumenteigenschaften; dort lassen sie sich löschen. Gründlicher arbeitet eine Funktion zum Entfernen ausgeblendeter Informationen, die auch Kommentare, Formulardaten und eingebettete Dateien erfasst. Anschließend speichern Sie die Datei unter neuem Namen.
Dürfen Mitarbeiter private Online-Tools für Firmendokumente nutzen?
Ohne Freigabe sollten Beschäftigte keine privaten Online-Tools für Firmendokumente nutzen, denn für Dokumente mit personenbezogenen Daten bleibt das Unternehmen verantwortlich und braucht einen Vertrag mit dem Dienst. Sinnvoll ist eine kurze Richtlinie mit freigegebenen Werkzeugen und klaren Regeln, welche Dokumente online bearbeitet werden dürfen.
Kann man PDFs bearbeiten, ohne sie hochzuladen?
Ja, mit Desktop-Software auf dem eigenen Rechner oder mit Web-Werkzeugen, die vollständig im Browser rechnen. In beiden Fällen bleibt die Datei auf dem Gerät. Für streng vertrauliche Unterlagen wie Personalakten oder Gesundheitsdaten ist das die sicherere Wahl.
Quellen
18 Quellen anzeigenQuellen ausblendenabgerufen am 14.10.2026
- BGROnline PDF converters leaked thousands of user-uploaded documents (Jacob Siegal, 11.07.2024)
- it-daily.netBeliebte PDF-Tools exponieren Nutzerdaten (Lars Becker, 12.07.2024)
- CBS News ColoradoFBI warns about online file converter sites which install malware, steal private information
- ABA JournalPaul Manafort’s attorneys failed at redacting; learn how to do it right (Jason Tashea, 10.01.2019)
- Datenschutz-GrundverordnungArt. 12 DSGVO: Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person
- Datenschutz-GrundverordnungArt. 28 DSGVO: Auftragsverarbeiter
- Datenschutz-GrundverordnungArt. 30 DSGVO: Verzeichnis von Verarbeitungstätigkeiten
- Datenschutz-GrundverordnungArt. 33 DSGVO: Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
- Datenschutz-GrundverordnungArt. 83 DSGVO: Allgemeine Bedingungen für die Verhängung von Geldbußen
- Bundesamt für Justiz§ 203 StGB: Verletzung von Privatgeheimnissen
- Bundesamt für Justiz§ 2 GeschGehG: Begriffsbestimmungen
- Gerichtshof der Europäischen UnionPressemitteilung Nr. 91/20 zum Urteil in der Rechtssache C-311/18
- Der Bundesbeauftragte für den Datenschutz und die InformationsfreiheitDatenübermittlungen in die USA und Auswirkungen des Schrems-II-Urteils
- noybUS Supreme Court just blew EU-US data transfers
- BitkomBeschäftigte nutzen vermehrt Schatten-KI
- PDFAidPDF bearbeiten online
- PDFAidDatenschutzbestimmungen
- PDFAidNutzungs- und Dienstleistungsbedingungen
