PDF-Dokumente enthalten oft Sensibles, von Verträgen über Rechnungen bis zu versteckten Metadaten. Welche DSGVO-Pflichten beim Konvertieren gelten und warum Browser-only-Tools wie pdfppt.de, die nichts hochladen, die Compliance-Frage stark vereinfachen.

Ein PDF wirkt harmlos. Du ziehst es in ein Online-Werkzeug, klickst auf „Konvertieren” und bekommst Sekunden später eine PowerPoint zurück. Was in diesen Sekunden mit der Datei passiert, siehst Du nicht, und genau darin liegt die Frage, um die es in diesem Ratgeber geht. Denn ein PDF ist selten nur Papier in digitaler Form. Es trägt Inhalte, die Du niemand Fremdem in die Hand geben würdest, und oft trägt es zusätzlich Informationen, von deren Existenz Du gar nichts weißt.

Als Geschäftsführer bekomme ich diese Frage regelmäßig gestellt, meist in der Variante: „Dürfen wir das überhaupt?” Die ehrliche Antwort lautet: Es kommt darauf an, wohin Deine Datei geht. Und weil die meisten Menschen das nie prüfen, lohnt sich ein genauer Blick.

Was in einem PDF wirklich steckt

Die sichtbaren Inhalte sind der offensichtliche Teil. Verträge mit Vertragsparteien und Konditionen, Rechnungen mit Namen, Adressen und Beträgen, Bewerbungsunterlagen mit Lebenslauf und Lichtbild, medizinische Befunde, interne Strategiepapiere, Präsentationen mit Klarnamen von Kunden oder Mitarbeitern. All das sind personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO), teilweise sogar besondere Kategorien wie Gesundheitsdaten, für die noch strengere Regeln gelten.

Weniger bekannt ist die zweite Ebene: die Metadaten. Fast jedes PDF enthält technische Zusatzinformationen, die im normalen Dokumentfenster unsichtbar bleiben. Dazu gehören typischerweise:

der Autorname oder der Windows-Benutzername der Person, die das Dokument erstellt hat
die Erstellungssoftware samt Version (etwa welche Office-Suite oder welcher PDF-Drucker im Einsatz war)
Zeitstempel für Erstellung und letzte Änderung
je nach Erzeugungsweg Reste früherer Versionen, Kommentare oder ausgeblendete Ebenen

Ich habe schon erlebt, dass in einem scheinbar sauberen Angebots-PDF noch der interne Projektname und der Kalkulationsstand aus einer früheren Fassung schlummerten. Niemand hatte das beabsichtigt. Das Werkzeug hatte es einfach mitgeschrieben. Für die Datenschutzbewertung ist das entscheidend: Du gibst potenziell mehr weiter, als Du siehst.

Warum das Hochladen ein echtes Risiko ist

Ein klassischer Online-Konverter funktioniert nach einem einfachen Muster. Deine Datei wird über das Internet an einen Server des Anbieters übertragen, dort umgewandelt und das Ergebnis an Dich zurückgeschickt. In dem Moment, in dem die Datei Dein Gerät verlässt, gibst Du die Kontrolle darüber ab.

Damit sind mehrere Fragen offen, die Du als Verantwortlicher beantworten können musst:

Übertragung an Dritte: Ein fremdes Unternehmen erhält Zugriff auf Deine Datei und damit auf die darin enthaltenen personenbezogenen Daten.
Speicherung und Löschung: Wie lange liegt die Datei auf dem Server? Wird sie zuverlässig gelöscht, oder landet sie in Backups, Caches oder Log-Systemen? Die Angaben dazu sind bei vielen Diensten vage oder fehlen ganz.
Drittland-Übertragung: Steht der Server außerhalb der EU, etwa in den USA, greifen die zusätzlichen Anforderungen der DSGVO an Datentransfers in Drittländer. Ohne geeignete Garantien ist ein solcher Transfer schlicht unzulässig.

Das ist kein theoretisches Bedenken. Wer eine Bewerbermappe oder einen Behandlungsplan auf einen unbekannten Server lädt, verarbeitet fremde personenbezogene Daten auf eine Weise, die er selbst nicht mehr überblickt.

Hinzu kommt ein Punkt, der in der Hektik des Alltags gern untergeht: Die Verantwortung für diese Daten bleibt bei Dir. Datenschutzrechtlich bist Du der Verantwortliche, auch wenn ein fremder Dienst die eigentliche Umwandlung erledigt. Kommt es zu einem Datenleck auf dessen Servern, ist das nicht nur dessen Problem, sondern auch Deines. Und anders als bei einer bewussten Entscheidung, ein Dokument per verschlüsselter E-Mail zu versenden, geschieht der Upload bei einem Online-Konverter oft nebenbei, mit einem einzigen Klick und ohne dass irgendjemand die Tragweite bedacht hätte. Genau diese Beiläufigkeit macht die Sache heikel.

Die relevanten DSGVO-Bezüge

Damit die rechtliche Einordnung greifbar bleibt, lohnt sich der Blick auf drei Artikel.

Art. 6 Abs. 1 DSGVO (Rechtsgrundlage). Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage, etwa ein berechtigtes Interesse, einen Vertrag oder eine Einwilligung. Das gilt auch für das Konvertieren, wenn dabei personenbezogene Daten verarbeitet werden. Die Frage „Darf ich das?” beginnt immer hier.

Art. 32 DSGVO (Sicherheit der Verarbeitung). Dieser Artikel verlangt „geeignete technische und organisatorische Maßnahmen”, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Übersetzt heißt das: Je sensibler die Daten, desto sorgfältiger musst Du den Verarbeitungsweg absichern. Eine Datei blind an einen unbekannten Server zu schicken, lässt sich mit diesem Grundsatz kaum vereinbaren. Das schonendste Mittel ist immer, die Daten gar nicht erst aus der eigenen Sphäre herauszugeben.

Art. 28 DSGVO (Auftragsverarbeitung). Wenn ein externer Dienstleister personenbezogene Daten in Deinem Auftrag verarbeitet, brauchst Du einen Auftragsverarbeitungsvertrag (AVV) mit ihm. Ein Server-basierter Konverter, der Deine Datei entgegennimmt und verarbeitet, ist genau ein solcher Fall. Ohne AVV fehlt die vertragliche Grundlage, und Du bleibst für die Datenverarbeitung verantwortlich, ohne sie steuern zu können.

Der entscheidende Punkt für diesen Ratgeber: Bei einer reinen Verarbeitung auf Deinem eigenen Gerät greift Art. 28 gar nicht. Es gibt keinen Auftragsverarbeiter, weil keine Daten an einen Dienstleister gehen. Damit entfällt die AVV-Pflicht, weil es schlicht nichts zu beauftragen gibt. Das vereinfacht die Compliance-Frage nicht nur, es räumt sie in weiten Teilen ab.

Server-Konverter gegen Browser-only-Tool

Der Unterschied lässt sich auf einen Satz bringen: Verlässt die Datei Dein Gerät oder nicht? Ein Werkzeug wie pdfppt.de wandelt Deine PDF direkt im Browser um. Die Datei wird lokal in der Rechenleistung Deines eigenen Geräts verarbeitet und niemals an einen Server geschickt. Zum Vergleich:

Kriterium	Server-Konverter	Browser-only-Tool (pdfppt.de)
Wo läuft die Umwandlung?	Auf einem fremden Server	Lokal in Deinem Browser
Verlässt die Datei das Gerät?	Ja	Nein
Auftragsverarbeitung (Art. 28)?	In der Regel ja, AVV nötig	Nein, kein Dienstleister beteiligt
Drittland-Transfer möglich?	Ja, je nach Serverstandort	Ausgeschlossen
Ungewisse Speicherung/Löschung?	Häufig unklar	Kein Server, keine Speicherung
Nutzbar ohne Internet?	Nein	Nach dem Laden der Seite ja

Diese Tabelle beschreibt keinen Werbevorteil, sondern eine rechtliche Struktur. Wo keine Daten übertragen werden, entsteht auch kein Übertragungsrisiko und keine Kette von Dienstleistern, die vertraglich abgesichert werden müsste.

So prüfst Du selbst, dass nichts hochgeladen wird

Du musst mir das nicht glauben, und Du solltest es auch bei keinem anderen Anbieter einfach glauben. Es gibt einen einfachen Weg, das nachzuvollziehen. Jeder moderne Browser bringt Entwicklertools mit, die den gesamten Netzwerkverkehr sichtbar machen.

Öffne die Entwicklertools (in den meisten Browsern mit der Taste F12 oder über das Menü unter „Weitere Werkzeuge”).
Wechsle in den Reiter „Netzwerk” (englisch „Network”).
Lade eine PDF in das Werkzeug und starte die Umwandlung.
Beobachte die Liste der Netzwerkanfragen. Bei einem echten Browser-only-Tool siehst Du dort keine ausgehende Übertragung Deiner Datei an einen Server. Bei einem Server-Konverter siehst Du dagegen einen Upload, meist als größere Anfrage mit dem Dateinamen oder dem Datenvolumen der PDF.

Diese Prüfung dauert eine Minute und liefert Dir eine belastbare Aussage, statt Dich auf Marketingversprechen zu verlassen. Transparenz zum Selbstnachprüfen ist aus meiner Sicht das ehrlichste Qualitätsmerkmal, das ein Werkzeug bieten kann.

Ein zusätzlicher, überraschend eindeutiger Test: Trenne nach dem Laden der Seite die Internetverbindung und versuche dann, ein Dokument umzuwandeln. Ein Browser-only-Tool arbeitet auch offline weiter, weil die gesamte Logik bereits in Deinem Browser liegt. Ein Server-Konverter dagegen verweigert den Dienst, sobald keine Verbindung besteht, weil er die Datei ja erst hochladen müsste. Wer diese beiden Prüfungen einmal selbst durchführt, versteht den Unterschied nicht mehr nur als Behauptung, sondern hat ihn mit eigenen Augen gesehen.

Praktische Empfehlungen

Aus der Compliance-Perspektive lassen sich ein paar klare Regeln ableiten, die im Alltag tragen:

Metadaten vor der Weitergabe prüfen und bereinigen. Bevor ein Dokument das Haus verlässt, lohnt der Blick in die Dokumenteigenschaften. Autorname, interne Pfade und alte Versionsreste gehören entfernt, wenn sie nichts im finalen Dokument zu suchen haben. Der ISO-Standard 32000 für das PDF-Format sieht solche Metadatenfelder ausdrücklich vor, das Ausfüllen und Bereinigen liegt aber bei Dir.
Sensible Dokumente nur mit lokalen Werkzeugen bearbeiten. Bei Verträgen, Bewerbungen, Rechnungen oder Gesundheitsunterlagen ist ein Browser-only-Tool oder eine lokal installierte Software die datensparsame Wahl. Die Faustregel lautet: Was das Gerät nicht verlässt, kann unterwegs auch nicht abhandenkommen.
Bei fremden Diensten die Grundlagen klären. Wenn ein Server-Konverter unvermeidbar ist, prüfe vorher Serverstandort, Löschfristen und ob ein Auftragsverarbeitungsvertrag angeboten wird. Fehlt eine dieser Angaben, ist das ein Warnsignal.

Ehrlich bleiben: was auch bei uns technisch anfällt

Es wäre unseriös zu behaupten, bei der Nutzung von pdfppt.de flössen überhaupt keine Daten. Das stimmt nicht, und die Unterscheidung ist wichtig. Die reine Umwandlung Deiner PDF passiert vollständig lokal, das ist der Kern. Getrennt davon steht aber die bloße Auslieferung der Website: Damit Deine Anfrage an unseren Webserver überhaupt bei Dir ankommt, fallen technisch bedingt Server-Logs an, etwa mit Deiner IP-Adresse und dem Zeitpunkt des Aufrufs. Das ist bei jedem Aufruf jeder Website der Fall und betrifft nur die Auslieferung der Seite, nicht den Inhalt Deiner Dateien.

Diese beiden Ebenen sauber auseinanderzuhalten, ist mir wichtig: Deine Dokumente bleiben lokal, die technische Auslieferung der Seite erzeugt die üblichen Zugriffsdaten. Was genau dabei anfällt, wie lange es aufbewahrt wird und auf welcher Rechtsgrundlage, steht in unserer Datenschutzerklärung. Wie wir bei AKARA generell an solche Werkzeuge herangehen, kannst Du in unserer Methodik nachlesen.

Unterm Strich: Datenschutz beim Konvertieren ist keine Frage des guten Willens, sondern des Verarbeitungswegs. Wer die Datei gar nicht erst aus der Hand gibt, muss den größten Teil der Risiken nicht managen, weil sie schlicht nicht entstehen. Genau deshalb gewinnt lokal.

Datenschutz bei PDF-Konvertern: warum lokal gewinnt