Was 12 Online-PDF-Tools über Ihre Datei sagen: Wir haben ihre Datenschutzerklärungen gelesen

Am 6. Oktober 2026 haben wir die veröffentlichten Seiten von 12 Online-PDF-Tools gelesen. Alle 12 beschreiben einen Upload: Ihre Datei geht an Server des Unternehmens oder seines Hosters. Keines sagt, dass das Online-Tool in Ihrem Browser arbeitet. Neun nennen eine Löschfrist, von 90 Sekunden bis zwei Wochen, und drei bieten einen Auftragsverarbeitungsvertrag an. Wir geben wieder, was die Seiten sagen. Wir haben nicht geprüft, was die Tools tatsächlich tun.

Wie haben wir die Tools ausgewählt und gelesen?

Wir haben bekannte Tools gewählt, die auf Englisch, Französisch und Deutsch genutzt werden und deren eigene Seiten wir öffnen konnten. Wir haben Tools ausgeschlossen, deren Seiten nichts Lesbares über hochgeladene Dateien sagten. Zehn der zwölf sind überwiegend PDF-Tools. CloudConvert und TinyWow sind allgemeine Datei-Tools, die auch PDFs verarbeiten.

Für jedes Tool haben wir fünf Punkte festgehalten, allein anhand seiner eigenen Seiten:

• Wo Ihre Datei verarbeitet wird, so wie die Seite es angibt.
• Wann hochgeladene Dateien gelöscht werden, mit der genauen Angabe.
• Wo die Server stehen.
• Ob ein Auftragsverarbeitungsvertrag (AVV) angeboten wird. Das ist der Vertrag, den die DSGVO verlangt, wenn ein Unternehmen personenbezogene Daten für Sie verarbeitet.
• Ob Dateien zum Training oder zur Verbesserung von Modellen genutzt werden.

Eine Zelle zeigt „Nicht angegeben“, wenn die gelesenen Seiten schweigen. Das sagt weder Ja noch Nein. Wir haben jede Seite am 6. Oktober 2026 gelesen und pro ausgefüllter Zelle ein kurzes Zitat festgehalten. Wir haben die Seiten auf Englisch gelesen. Die englische Seite von PDF24 ist eine maschinelle Übersetzung, deshalb haben wir auch die deutsche Seite gelesen, die verbindlich ist. Datenschutzerklärungen ändern sich. Öffnen Sie die aktuelle Seite, bevor Sie sich auf eine Zeile verlassen.

Was sagen die 12 Tools über Ihre Datei?

Manche Regeln ändern sich, wenn Sie sich anmelden, eine Datei speichern oder teilen. Smallpdf, Adobe, Foxit und Sejda sagen das, und TinyWow startet seine Ein-Stunden-Uhr bei jeder erneuten Nutzung der Datei neu. iLovePDF nimmt seinen Signaturdienst von der Zwei-Stunden-Regel aus.

Welche Muster zeigt die Tabelle?

• Löschung. Neun Seiten nennen eine Frist, von 90 Sekunden (Online2PDF, für umgewandelte Dateien) bis zwei Wochen (Smallpdf, auf der AVV-Seite). Sejda, PDF2Go und Adobe nennen keine.
• Standort. Fünf nennen Europa oder Deutschland als Hauptstandort: PDF24, PDF2Go, Smallpdf, iLovePDF und CloudConvert. Drei listen mehrere Regionen, TinyWow nennt nur die USA, und drei nennen keinen Standort für hochgeladene Dateien.
• AVV. Drei bieten einen an: Smallpdf (für die Tarife Team und Business), iLovePDF und PDF2Go. Auf den gelesenen Seiten der anderen neun wird keiner angeboten.
• Training. Fünf sagen, dass Dateien oder Chats nicht zum Training von Modellen dienen, jeweils mit eigenem Geltungsbereich: iLovePDF, Sejda, PDF2Go, Smallpdf und Foxit. PDF24 und CloudConvert sagen, dass sie Ihre Dateien nicht ansehen oder auswerten. Adobe sagt, es könne Cloud-Inhalte analysieren, auch mit maschinellem Lernen, um seine Dienste zu verbessern, mit Widerspruchsrechten. Vier sagen nichts.
• Browser. Keines sagt, dass sein Online-Tool die Datei in Ihrem Browser verarbeitet. Zwei sagen, dass ihre Desktop-Software auf Ihrem eigenen Gerät arbeitet. Adobe: „auf Ihrem lokalen Gerät statt auf einem externen Server“. PDF Candy: „Die gesamte Verarbeitung erfolgt lokal auf Ihrem PC“.

Was kann eine Datenschutzerklärung nicht belegen?

Eine Erklärung ist ein Versprechen, kein Beweis. Sie zeigt nicht, dass ein Server Ihre Datei rechtzeitig löscht, und wir haben keine dieser Angaben getestet. Auf der Seite von Online2PDF steht selbst: „Eine Umwandlung hochsensibler und kritischer Dateien wird nicht empfohlen.“

Eine Sache können Sie selbst prüfen: ob eine Datei Ihren Computer verlässt. Die Entwicklertools von Chrome listen jede Anfrage auf, die eine Seite sendet. Diese Schritte nutzen Chrome.

1. Öffnen Sie die Seite des Tools. Drücken Sie Strg+Umschalt+J, auf dem Mac Cmd+Option+J, um die Entwicklertools zu öffnen.
2. Klicken Sie auf den Tab Netzwerk. Klicken Sie mit der rechten Maustaste auf die Kopfzeile der Tabelle und wählen Sie Methode. Jede Zeile des Netzwerkprotokolls ist eine Ressource, die die Seite anfordert.
3. Fügen Sie ein Dummy-PDF hinzu, das nichts Privates enthält. Testen Sie nie mit einem echten Dokument.
4. Suchen Sie eine neue Zeile, deren Methode POST oder PUT ist. Zeigen Sie mit der Maus auf die Zelle in der Spalte Name, um die vollständige Adresse zu sehen. Öffnen Sie den Tab Nutzlast, um zu sehen, was gesendet wurde.
5. Prüfen Sie erneut, wenn Sie auf die Schaltfläche klicken, die die Arbeit startet.

Was sagt die DSGVO zum Hochladen eines Dokuments?

Wenn ein Unternehmen ein Dokument mit personenbezogenen Daten in ein Online-Tool hochlädt, kann der Anbieter des Tools als Auftragsverarbeiter handeln. Art. 28 DSGVO betrifft die Verarbeitung „im Auftrag eines Verantwortlichen“. Er verlangt, dass der Verantwortliche nur mit Auftragsverarbeitern arbeitet, die hinreichend Garantien bieten, und dass die Verarbeitung auf einem Vertrag oder einem anderen Rechtsinstrument beruht. Dieser Vertrag ist der AVV.

Ob ein Tool Auftragsverarbeiter ist, hängt von den Umständen ab. Das Kurzpapier Nr. 13 der Datenschutzkonferenz der deutschen Aufsichtsbehörden (Stand 2018) erklärt den Begriff. Ein Server außerhalb der EU bringt eine zweite Regel. Art. 44 DSGVO sagt, dass eine Übermittlung personenbezogener Daten an ein Drittland nur zulässig ist, wenn die Bedingungen dieses Kapitels eingehalten werden. Unser Artikel über das Versenden von Dokumenten außerhalb der EU behandelt diese Seite.

Was sollten Sie prüfen, bevor Sie ein vertrauliches Dokument hochladen?

1. Fragen Sie sich, ob die Datei Ihren Computer überhaupt verlassen muss.
2. Schwärzen Sie Namen, Nummern und Adressen vor jedem Upload, mit einem Tool, das auf Ihrem eigenen Gerät arbeitet.
3. Wenn Sie hochladen müssen, lesen Sie die Seite des Tools. Notieren Sie Löschfrist, Serverstandort und ob ein AVV existiert. Prüfen Sie das Datum.
4. Schließen Sie bei Arbeitsdateien mit personenbezogenen Daten den AVV ab, bevor Sie hochladen.
5. Nutzen Sie die Löschen-Schaltfläche des Tools, wenn es eine hat. Behalten Sie Ihr Original.

ONYRI Sanitize geht einen anderen Weg. Ein PDF, eine .docx-Datei oder ein Scan wird in Ihrem Browser analysiert und geschwärzt und nie hochgeladen. Der Server erhält nur Zähler: Dokumentart, Seiten, Anzahl der Schwärzungen. Seine Grenze: Es anonymisiert nur, führt nichts zusammen, komprimiert nichts und gibt eine Word-Datei als PDF zurück. Sie verlassen sich außerdem auf den Code, den die Seite an Ihren Browser sendet. Der Tab Netzwerk zeigt, was er sendet.

Diese Tabelle ist eine Momentaufnahme vom 6. Oktober 2026. Bevor Sie sich auf eine Zeile verlassen, öffnen Sie die Seite des Tools und prüfen Sie ihr Datum.

Häufige Fragen

Quellen und Verweise