Warum ist Browser-only DSGVO-rechtlich einfacher?

Wenn die Konvertierung im Browser des Nutzers stattfindet und keine Datei an unseren Server übertragen wird, gibt es keine Datenverarbeitung im Sinne der DSGVO. Damit greifen weder Art. 6 (Rechtsgrundlage), noch Art. 28 (Auftragsverarbeitung), noch Art. 44 (Drittland-Transfer). Der Nutzer behält die volle Kontrolle über seine Daten, das Tool fungiert nur als JavaScript-Werkzeug ohne Daten-Empfang.

Ist der EU-US Data Privacy Framework die Lösung?

Im Juli 2023 hat die EU-Kommission den EU-US Data Privacy Framework als neuen Adequacy-Mechanismus beschlossen. US-Firmen, die sich zertifizieren lassen, gelten damit als DSGVO-äquivalent. Die Praxis ist aber unsicher: Max Schrems hat bereits eine erneute Klage angekündigt ('Schrems III'), die Rechtsanwälte gehen davon aus, dass auch das DPF vor dem EuGH fallen könnte. Wer rechtssicher arbeiten möchte, vermeidet USA-Transfers ganz.

Was ist mit Smallpdf und ILovePDF?

Smallpdf ist ein Schweizer Anbieter mit Sitz in Zürich. Die Schweiz hat einen DSGVO-Adequacy-Beschluss der EU-Kommission, der Datentransfer ist damit rechtlich abgesichert. ILovePDF ist ein spanischer Anbieter (EU-Mitglied, kein Drittlandstransfer). Beide haben aber server-basierte Verarbeitung, was eine Auftragsverarbeitungs-Pflicht für Firmen-Nutzer auslöst (Art. 28 DSGVO). Privat-Nutzer haben primär das Vertrauens-Problem: Wer auf dem Server am Ende was sieht.

Brauche ich als Firma einen Auftragsverarbeitungsvertrag mit pdfkonvertieren.de?

Nein. Ein AV-Vertrag nach Art. 28 DSGVO ist nur nötig, wenn ein Anbieter im Auftrag personenbezogene Daten verarbeitet. Da bei uns keine Daten an den Server übertragen werden, gibt es keine Verarbeitung durch uns, also auch keine Auftragsverarbeitung. Wir bieten ein JavaScript-Werkzeug, vergleichbar mit einer offline laufenden Excel-Funktion. Das ist der zentrale Compliance-Vorteil unseres Browser-only-Ansatzes.

DSGVO bei PDF-Tools: Browser-only vs Server-Upload im Vergleich

Q: Was ist Schrems II?

'Schrems II' ist die Kurzbezeichnung für das EuGH-Urteil C-311/18 vom 16. Juli 2020. Der EuGH erklärte den damaligen Privacy-Shield zwischen EU und USA für ungültig, weil die USA wegen der Überwachungsgesetze (FISA 702, Executive Order 12333) keinen DSGVO-äquivalenten Schutz bieten. Seitdem sind Datentransfers in die USA nur unter zusätzlichen Schutzmaßnahmen möglich (Standardvertragsklauseln plus technische Maßnahmen wie Verschlüsselung).

Wer eine PDF-Datei online konvertiert, vertraut sie einem Anbieter an. Die wichtige Frage ist: Was passiert mit der Datei? Bei den meisten bekannten Tools (Smallpdf, ILovePDF, PDF24, AdobeOnline) läuft die Konvertierung server-basiert. Die Datei wird an einen Server hochgeladen, dort verarbeitet, das Ergebnis wieder heruntergeladen. Bei Browser-only-Tools wie pdfkonvertieren.de oder pdf-zentrale.de findet die Konvertierung komplett im Browser des Nutzers statt. Der Unterschied ist DSGVO-rechtlich gewaltig. Wir erklären, warum.

Die DSGVO und ihre Pflichten

Die Verordnung EU 2016/679 (DSGVO) gilt seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten direkt. Sie regelt die Verarbeitung personenbezogener Daten. Personenbezogen sind alle Daten, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO). Eine PDF-Datei mit Namen, Adresse oder anderen Personen-Bezügen ist personenbezogen.

Für jede Verarbeitung personenbezogener Daten braucht ein Anbieter eine Rechtsgrundlage nach Art. 6 DSGVO. Die wichtigsten Optionen sind die Einwilligung (Art. 6 Abs. 1 lit. a), die Vertragserfüllung (Art. 6 Abs. 1 lit. b) oder das berechtigte Interesse (Art. 6 Abs. 1 lit. f).

Wenn der Anbieter Daten im Auftrag eines Verantwortlichen verarbeitet, kommt Art. 28 DSGVO ins Spiel: es braucht einen Auftragsverarbeitungsvertrag (AVV). Firmen-Kunden müssen mit jedem Anbieter, der ihre Daten verarbeitet, einen solchen AVV abschließen. Das ist Standard-Compliance-Aufwand, kostet Zeit und juristische Prüfung.

Wenn die Daten zudem in ein Drittland außerhalb der EU übertragen werden (Server in den USA, in Indien, in Russland), greift Art. 44 DSGVO mit strengen zusätzlichen Anforderungen.

Server-basierte PDF-Tools im DSGVO-Check

Die meisten populären PDF-Konvertierer sind server-basiert. Wer eine Datei hochlädt, schickt sie als HTTP-POST-Request an einen Server, der die Konvertierung durchführt und die Ergebnis-Datei zurückschickt. Aus DSGVO-Sicht passiert dabei eine Verarbeitung personenbezogener Daten beim Anbieter.

Smallpdf ist ein Schweizer Anbieter mit Sitz in Zürich. Server stehen laut Datenschutzerklärung in der Schweiz und in EU-Ländern. Die Schweiz hat einen DSGVO-Adequacy-Beschluss der EU-Kommission, der Drittland-Transfer ist rechtlich abgedeckt. Für Firmen-Nutzer braucht es trotzdem einen AVV mit Smallpdf.

ILovePDF ist ein spanischer Anbieter mit Server in der EU. Kein Drittland-Transfer, weil Spanien EU-Mitglied ist. Firmen brauchen auch hier einen AVV.

PDF24 Online ist ein Dienst der Geek Software GmbH, einem deutschen Unternehmen. Server in Deutschland. AVV nötig für Firmen-Nutzung. PDF24 bietet auch eine Desktop-Variante (PDF24 Creator) an, die offline läuft und damit komplett DSGVO-unkritisch ist.

Adobe Acrobat Online läuft auf Adobe-Servern in den USA. Damit greift Art. 44 DSGVO und Schrems-II-Thematik. Adobe ist seit Juli 2023 unter dem EU-US Data Privacy Framework zertifiziert, was den Transfer formal absichert. Wer Schrems-III-Risiko vermeiden möchte, sollte Adobe-Online dennoch meiden.

Schrems II und die USA-Frage

Am 16. Juli 2020 entschied der Europäische Gerichtshof in der Rechtssache C-311/18 (oft ‘Schrems II’ genannt) gegen den damaligen Privacy-Shield zwischen EU und USA. Begründung: die USA bieten wegen ihrer Überwachungsgesetze (FISA 702, Executive Order 12333) keinen DSGVO-äquivalenten Datenschutz. US-Geheimdienste können auf Daten von US-Anbietern zugreifen, unabhängig vom Wohnort des Nutzers. Damit war der bisherige Standard-Mechanismus für USA-Transfers ungültig.

Nach Schrems II waren USA-Transfers nur noch unter Standardvertragsklauseln (SCC) plus zusätzlichen technischen Maßnahmen (Verschlüsselung, Pseudonymisierung) möglich. Das war für die meisten Unternehmen kaum praktikabel, weil die USA-Anbieter (Google, Microsoft, AWS) die Daten ja entschlüsseln müssen, um sie zu verarbeiten.

Im Juli 2023 verabschiedete die EU-Kommission den EU-US Data Privacy Framework (DPF) als neuen Adequacy-Mechanismus. US-Firmen können sich zertifizieren lassen und gelten dann als DSGVO-äquivalent. Das DPF ist aber juristisch unsicher: Max Schrems hat eine erneute Klage angekündigt (‘Schrems III’), und viele EU-Datenschutzbehörden gehen davon aus, dass der EuGH auch das DPF kippen könnte, weil die zugrunde liegenden US-Gesetze unverändert geblieben sind.

Browser-only: Der DSGVO-Vorteil

Server-basiert (oben): Datei verlässt den Nutzer-Computer. Browser-only (unten): Datei bleibt lokal.

Browser-only-Tools wie pdfkonvertieren.de funktionieren grundlegend anders. Wenn der Nutzer eine Datei auswählt, wird sie über das File-API als ArrayBuffer in den Speicher des Browsers geladen. Die JavaScript-Engines (pdf-lib, pdfjs-dist, jsPDF) verarbeiten den Buffer direkt im Browser. Das Ergebnis wird als Blob zurückgegeben und kann via URL.createObjectURL als Download angeboten werden, wieder ohne Server.

Aus DSGVO-Sicht passiert dabei keine Verarbeitung beim Anbieter. Wir bei AKARA Solutions bekommen die Datei nie zu sehen, weil sie nie an unseren Server geschickt wird. Damit greifen die zentralen DSGVO-Pflichten nicht:

Art. 6 DSGVO (Rechtsgrundlage): Keine Rechtsgrundlage nötig, weil wir keine Daten verarbeiten.
Art. 28 DSGVO (Auftragsverarbeitung): Kein AVV nötig, weil wir nicht Auftragsverarbeiter sind.
Art. 44 DSGVO (Drittland-Transfer): Kein Transfer, weil keine Übermittlung stattfindet.
Art. 33/34 DSGVO (Meldepflicht bei Datenpannen): Keine Meldepflicht, weil wir keine Daten halten, die abfließen könnten.

Das ist der zentrale Vorteil unseres Architektur-Ansatzes. Für Firmen-Nutzer bedeutet das: kein AVV abschließen, kein Drittland-Risiko prüfen, kein Schrems-III-Risiko, kein Compliance-Overhead.

Wann Server-basiert besser ist

Browser-only-Tools haben auch Grenzen. Drei Szenarien, in denen Server-Tools besser passen.

Erstens bei sehr großen Dateien (über 500 MB). Browser sind auf RAM und CPU-Zeit limitiert. Eine 1-GB-PDF im Browser zu verarbeiten kann zum Memory-Out-of-Range-Fehler führen, weil der gesamte Inhalt im RAM landet. Server haben mehr Ressourcen und können Streaming-Verarbeitung machen.

Zweitens bei OCR. Browser-basiertes OCR (Tesseract.js) ist zu langsam für praktische Nutzung bei großen PDFs. Server mit dedizierten OCR-Engines (Adobe Acrobat Pro, ABBYY) sind hier praktikabler.

Drittens bei komplexen Workflows mit mehreren Konvertierungen hintereinander, mit Cloud-Storage-Integration oder Team-Sharing. Browser-Tools sind im Single-User-Modus optimiert.

Für die Standard-Anwendungsfälle (PDF zu JPG, PDF zu TXT, mehrere PDFs zusammenfügen, Bilder zu PDF) ist Browser-only fast immer die bessere Wahl.

Vergleichstabelle

Aspekt	Server-basiert	Browser-only
Datei verlässt Nutzer-Gerät	Ja	Nein
Art. 6 DSGVO erforderlich	Ja	Nein
AVV nötig für Firmen	Ja (Art. 28)	Nein
USA-Transfer-Risiko	Ja, falls US-Anbieter	Nein
Sofort DSGVO-konform	Nur nach Prüfung	Ja, immer
Performance bei großen Dateien	Besser	Limit durch Browser-RAM
OCR-Möglichkeiten	Voll	Eingeschränkt
Datenpannen-Risiko	Vorhanden	Nahe Null

Datenschutz-Empfehlung für Firmen

Wer in einem Unternehmen PDFs konvertieren muss und Compliance-Verantwortung trägt, sollte folgende Reihenfolge prüfen.

Erste Wahl: Browser-only-Tools (pdfkonvertieren.de, pdf-zentrale.de, PDF24 Desktop). Keine DSGVO-Pflichten beim Tool-Einsatz.

Zweite Wahl: Server-Tools mit EU-Server (PDF24 Online, ILovePDF, Smallpdf). AVV nötig, aber kein Drittland-Risiko.

Dritte Wahl: Server-Tools aus den USA (Adobe Online, manche AWS-basierte Konkurrenz). AVV plus Drittland-Transfer-Prüfung nötig, Schrems-III-Risiko offen.

Vermeiden: Tools ohne klare Datenschutz-Erklärung, ohne Server-Standort-Angabe, ohne kostenloses AVV-Template. Das sind oft Hobby-Projekte mit unklarem Datenschutz-Niveau.

Datenschutz-Erklärung als Lackmustest

Wer die DSGVO-Konformität eines PDF-Tools beurteilen will, sollte zuerst die Datenschutz-Erklärung lesen. Drei Fragen geben die wichtigsten Hinweise.

Erste Frage: Wo stehen die Server? Wenn die Erklärung keinen Server-Standort nennt, ist Vorsicht geboten. Seriöse Anbieter nennen Stadt und Land. EU-Standorte (Deutschland, Niederlande, Irland) sind unproblematisch, Schweiz und Norwegen ebenfalls (Adequacy-Beschluss). USA, UK seit Brexit oder Asien brauchen detaillierte Prüfung.

Zweite Frage: Wie lange werden hochgeladene Dateien gespeichert? Seriöse Anbieter löschen Upload-Dateien nach wenigen Stunden automatisch. PDF24 nennt zum Beispiel sechs Stunden, Smallpdf eine Stunde. Anbieter ohne klare Löschfrist oder mit Speicherung über 30 Tage sollte man meiden.

Dritte Frage: Werden die Dateien für AI-Training oder andere Zwecke verarbeitet? Einige Anbieter haben in ihren AGB Klauseln, die ihnen erlauben, hochgeladene Inhalte für Service-Verbesserung zu nutzen. Das kann je nach Auslegung auch AI-Training umfassen. Für vertrauliche Dokumente (Steuerunterlagen, Gesundheitsdaten, Verträge) sind solche Klauseln No-Go.

Bei Browser-only-Tools entfallen diese Fragen, weil keine Datei übertragen wird. Wir auf pdfkonvertieren.de haben in unserer Datenschutz-Erklärung daher einen klaren Hinweis: ‘Die Konvertierung findet komplett in Ihrem Browser statt. Wir empfangen Ihre hochgeladenen PDFs zu keinem Zeitpunkt.’ Das ist ein erheblicher Vertrauens-Faktor, der weit über die formale DSGVO-Pflicht hinausgeht.

Was hängenbleibt

Server-basierte PDF-Tools laden die Datei an einen fremden Server, was DSGVO-Pflichten auslöst: Rechtsgrundlage (Art. 6), Auftragsverarbeitungsvertrag (Art. 28), bei US-Anbietern zusätzlich Drittland-Transfer (Art. 44) mit Schrems-II-Komplikation. Browser-only-Tools verarbeiten die Datei lokal im JavaScript-Sandbox, ohne Server-Übertragung. Damit greifen die DSGVO-Pflichten beim Tool-Anbieter nicht, weil keine Verarbeitung stattfindet. Das macht Browser-only-Tools wie pdfkonvertieren.de zur einfachsten DSGVO-Lösung für Firmen-Nutzer. Limit: bei sehr großen Dateien, bei OCR-Bedarf oder bei komplexen Workflows können Server-Tools praktisch überlegen sein. Für die Standard-Konvertierungen ist Browser-only fast immer die bessere Wahl.