Was mit Ihrer PDF passiert, sobald Sie „Datei auswählen“ klicken

Es ist Donnerstagnachmittag, und der Makler will die Bewerbungsunterlagen als eine einzige Datei: Arbeitsvertrag, zwei Gehaltsabrechnungen, Schufa-Auskunft, Kopie des Personalausweises. Sie tippen „PDF zusammenfügen" in die Suchleiste, klicken auf das erste Ergebnis, ziehen vier Dateien in den Kasten, warten fünf Sekunden, laden das Ergebnis herunter und schließen den Tab.

Was in diesen fünf Sekunden passiert ist, hat kaum jemand nachgelesen. Dabei steht das Meiste davon öffentlich da — man muss nur wissen, wo man nachsieht. Und das ist selten die Seite mit dem Schloss-Symbol und dem Wort „sicher".

Dieser Text nennt bewusst keine Anbieternamen. Er zeigt Ihnen stattdessen, wie Sie jeden beliebigen Dienst in wenigen Minuten selbst einordnen — auch uns.

Die Reise Ihrer Datei

Wenn ein serverbasiertes Online-Tool Ihre PDF verarbeitet, dann tut es das nicht in Ihrem Browser. Es tut es in einem Rechenzentrum, und Ihre Datei muss dorthin. Der Weg sieht typischerweise so aus:

Ihr Browser verpackt die Datei und schickt sie per HTTPS an einen Load Balancer. Der reicht sie an einen Verarbeitungsknoten weiter. Dort landet sie — je nach Architektur — im Arbeitsspeicher, auf einer temporären Festplatte oder direkt in einem Objektspeicher wie Amazon S3. Ein Worker-Prozess führt die eigentliche Operation aus. Das Ergebnis wird wieder abgelegt, meist hinter einer zufällig generierten URL, damit Sie es herunterladen können. Parallel dazu schreiben Webserver, Load Balancer und Anwendung ihre Logdateien. Objektspeicher replizieren über mehrere Standorte. Backups laufen nach eigenem Zeitplan.

Das ist keine Kritik, sondern solides Handwerk — so baut man skalierbare Dienste. Aber es erklärt, warum „gelöscht" ein Wort mit mehr Bedeutungen ist, als man beim Lesen vermutet. Der Löschbefehl trifft zuverlässig die Nutzdatei. Ob er auch jede Replik, jedes Backup und jede Logzeile erreicht, ist eine Frage der Implementierung — und die steht in keiner Datenschutzerklärung.

Wie man eine Löschfrist liest

Hier kommt der nützlichste Teil dieses Artikels, und er kostet Sie fünf Minuten pro Anbieter.

Auf Startseiten, in Hilfe-Artikeln und in FAQ-Bereichen stehen Zahlen wie „nach einer Stunde gelöscht". Das ist Marketing-Text. Rechtlich verbindlich ist die Datenschutzerklärung. Wenn Sie beides nebeneinanderlegen, achten Sie auf fünf Dinge:

1. Weichen die Zahlen voneinander ab? Suchen Sie in der Datenschutzerklärung nach dem Abschnitt zur Speicherdauer und vergleichen Sie ihn mit dem, was auf der Produktseite steht. Erfahrungsgemäß lohnt sich der Blick.

2. Läuft die Frist ab dem Upload oder ab dem letzten Zugriff? Das ist ein gewaltiger Unterschied. Eine Frist „ab letztem Öffnen" ist keine Uhr, sondern ein Timer, der bei jedem Zugriff neu startet.

3. Gilt dieselbe Frist mit und ohne Benutzerkonto? Viele Menschen legen bewusst kein Konto an, um weniger Spuren zu hinterlassen. Prüfen Sie, ob das in Ihrem Fall tatsächlich die kürzere oder die längere Aufbewahrung bedeutet — die Antwort ist nicht immer die erwartete.

4. Gibt es Ausnahmen für einzelne Werkzeuge? Elektronische Signaturen etwa erfordern aus Beweisgründen längere Aufbewahrung; das ist sachlich geboten, steht aber oft nur im Kleingedruckten des jeweiligen Dienstes.

5. Welches Datum trägt das Dokument? Wenn die Datenschutzerklärung deutlich älter ist als die neuesten Funktionen im Menü — etwa KI-Werkzeuge zum Zusammenfassen oder Übersetzen —, lohnt die Nachfrage, welche Unterauftragsverarbeiter dafür hinzugekommen sind.

Punkt fünf ist der aktuellste. KI-Funktionen brauchen in aller Regel weitere Dienstleister im Hintergrund. Wer wissen will, wo das Dokument dann tatsächlich landet, findet die Antwort in der Liste der Subprozessoren — nie auf der Produktseite.

Die Ironie der sensibelsten Werkzeuge

Schauen Sie sich einmal eine typische Werkzeugliste an. Zwei Funktionen tauchen fast überall auf, und bei beiden entwickelt der Upload-Ansatz eine eigentümliche Logik:

„PDF schwärzen." Sie schwärzen Passagen, weil das Dokument in seiner ursprünglichen Form nicht in fremde Hände geraten soll. Um das zu erreichen, übertragen Sie es in seiner ursprünglichen Form an einen Dritten.

„PDF-Passwort entfernen." Sie haben eine verschlüsselte Datei — den Kontoauszug, den Versicherungsschein, die Gehaltsabrechnung. Um den Schutz aufzuheben, übertragen Sie die Datei und das Passwort.

Das ist kein Vorwurf an irgendjemanden; technisch geht es serverseitig gar nicht anders. Aber es sind genau die beiden Fälle, bei denen sich drei Sekunden Nachdenken lohnen.

Auch Metadaten sind Daten

Datenschutzerklärungen unterscheiden häufig zwischen der Datei und ihren Metadaten — Dateiname, Dateigröße, Dateityp. Metadaten fallen oft unter großzügigere Regeln, etwa zur Auswertung für Produktverbesserungen.

Das klingt harmlos, bis man an die Dateinamen denkt, die real auf Festplatten liegen. Kuendigung_Mueller_final.pdf. Diagnose_Onkologie_2024.pdf. Scheidungsfolgenvereinbarung_Entwurf3.pdf. Der Inhalt bleibt verschlossen, die Überschrift nicht.

Dass das kein theoretisches Problem ist, zeigt ein Blick in die Datenbank Have I Been Pwned. Beim Eintrag zu einem großen PDF-Dienst, der 2020 kompromittiert wurde, sind unter den offengelegten Datenkategorien neben Namen und Passwort-Hashes ausdrücklich auch die Titel konvertierter Dokumente aufgeführt.

Drei dokumentierte Vorfälle

Die folgenden Fälle sind öffentlich belegt und über die genannten Quellen nachprüfbar. Sie betreffen ausschließlich die dort beschriebenen Dienste und lassen keinen Rückschluss auf andere Anbieter zu.

September 2020 — der Umfang wurde zunächst kleingeredet. Ein börsennotierter PDF-Anbieter meldete seiner Börsenaufsicht einen Sicherheitsvorfall mit geringen Auswirkungen; Kundendaten seien nicht betroffen. Wenige Monate später veröffentlichte eine bekannte Angreifergruppe die vollständige Datenbank: 14 GB, gut 77 Millionen Datensätze. Zuvor war ein Paket aus dieser Datenbank zuzüglich rund eines Terabytes an Dokumenten zum Startgebot von 80.000 Dollar angeboten worden. (Dokumentiert bei BleepingComputer und Have I Been Pwned.)

Juli 2024 — der Speicher stand einfach offen. Das Rechercheteam von Cybernews fand zwei PDF-Dienste, deren Amazon-S3-Speicher ohne jede Zugangsbeschränkung im Netz erreichbar war. Zum Zeitpunkt der Veröffentlichung waren gut 89.000 Dateien frei zugänglich, darunter Pässe, Führerscheine, Verträge und Zeugnisse. Mehrere Kontaktversuche der Forscher blieben laut Bericht unbeantwortet, während weiter Dokumente hochgeladen wurden. (Dokumentiert bei Cybernews.)

März 2025 — die gefälschten Konverter. Das FBI-Büro Denver warnte öffentlich vor betrügerischen Konvertierungsseiten. Sie erledigen die versprochene Aufgabe tatsächlich — nur enthält das zurückgegebene Dokument Schadcode. Laut FBI durchsuchen manche dieser Angebote die hochgeladenen Dateien zusätzlich nach personenbezogenen Angaben, Bank- und Kryptowährungsdaten. Eine Sprecherin des Büros erklärte gegenüber Medien, besonders gefährdet sei, wer „free online file converter" in eine Suchmaschine tippe, weil oben häufig bezahlte Anzeigen stünden. (Pressemitteilung des FBI Denver Field Office, März 2025.)

Der dritte Fall ist der wichtigste für den Alltag, weil er nichts mit Nachlässigkeit seriöser Firmen zu tun hat. Er beschreibt Angebote, die von vornherein als Falle gebaut wurden — und die für den Nutzer exakt so aussehen wie alle anderen.

Der deutsche Sonderfall: Zwei Pflichten, nicht eine

Für Privatpersonen ist das eine Abwägungsfrage. Für Unternehmen und für bestimmte Berufe ist es eine Rechtsfrage. Die folgende Darstellung gibt die Gesetzeslage wieder und ersetzt keine Rechtsberatung im Einzelfall.

Auftragsverarbeitung. Wer als Unternehmen ein Dokument mit personenbezogenen Daten an einen externen Dienst gibt, lagert eine Verarbeitung aus. Die IHK für München und Oberbayern formuliert es in ihrem Leitfaden zum Datenschutz bei Webseiten unmissverständlich: Auch Tätigkeiten wie Datenkonvertierung gelten im Sinne der DSGVO als Auftragsverarbeitung — ein Vertrag nach Art. 28 DSGVO ist dann erforderlich. Und weiter: Nur wenn überhaupt keine personenbezogenen Daten verarbeitet werden, entfällt diese Pflicht. Fehlt der Vertrag, liegt ein Verstoß vor, auch wenn der Dienstleister tadellos arbeitet; der Bußgeldrahmen liegt hier bei bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).

Viele etablierte Anbieter stellen einen entsprechenden Vertrag bereit. Nur schließt ihn praktisch niemand ab, der eben schnell zwei Seiten zusammenfügen will.

Berufsgeheimnisträger. Für Anwältinnen, Ärzte, Steuerberater, Notare und Psychotherapeuten kommt § 203 StGB hinzu. Bis 2017 war die Lage heikel: Jede Weitergabe an einen externen IT-Dienstleister konnte ein Offenbaren darstellen. Das Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter, in Kraft seit dem 9. November 2017, hat die Kategorie der „sonstigen mitwirkenden Person" geschaffen. Nach § 203 Abs. 3 S. 2 StGB ist ein Offenbaren ihr gegenüber zulässig, soweit es für die Inanspruchnahme der Dienstleistung erforderlich ist; flankierend gibt es Befugnisnormen in den Berufsordnungen (§ 43e BRAO, § 62a StBerG, § 26a BNotO, § 50a WPO).

Der Haken steckt in Absatz 4: Der Berufsgeheimnisträger muss den Dienstleister zur Geheimhaltung verpflichten und über die Strafbarkeit belehren. Wer das unterlässt, macht sich selbst strafbar. Ein Auftragsverarbeitungsvertrag nach DSGVO erledigt das nicht — er regelt Datenschutz, nicht Strafrecht. Es sind zwei getrennte Pflichten, und die zweite wird regelmäßig übersehen.

Wer also mal eben einen Mandantenschriftsatz durch einen kostenlosen Online-Konverter schickt, hat mit einiger Wahrscheinlichkeit keine davon erfüllt.

Die Alternative: rechnen, wo die Datei schon liegt

Der Grund, warum PDF-Verarbeitung historisch auf Servern stattfand, ist technischer Natur. Eine PDF ist kein Textformat, sondern eine Binärstruktur mit Querverweistabellen, eingebetteten Schriften und Objektbäumen. Wer sie sauber zerlegen und neu schreiben will, braucht eine ernstzunehmende Bibliothek — und die waren jahrzehntelang in C oder C++ geschrieben und liefen nicht im Browser.

WebAssembly hat das aufgelöst. Dieselben Bibliotheken lassen sich in ein Binärformat übersetzen, das der Browser in nahezu nativer Geschwindigkeit ausführt. Der Ablauf sieht dann so aus:

1. Sie wählen eine Datei. Der Browser übergibt sie über die File-API als ArrayBuffer an den JavaScript-Code — ohne Netzwerkverkehr.
2. Ein WebAssembly-Modul, meist in einem Web Worker, damit die Oberfläche flüssig bleibt, verarbeitet die Bytes im Arbeitsspeicher des Tabs.
3. Das Ergebnis wird als Blob erzeugt und über eine Objekt-URL zum Download angeboten.
4. Sie schließen den Tab. Der Speicher wird freigegeben.

An keinem Punkt verlässt die Datei das Gerät. Der Werkzeugkasten dafür ist real und ausgereift: PDF.js von Mozilla rendert seit Jahren die PDFs in Firefox. pdf-lib erzeugt und verändert Dokumente in reinem JavaScript. MuPDF.js von Artifex bringt die vollständige MuPDF-Engine als WebAssembly in den Browser. Tesseract.js macht Texterkennung lokal möglich. Und für den härtesten Fall — Word oder Excel nach PDF — gibt es seit November 2024 mit ZetaOffice von allotropia einen LibreOffice-Build als WebAssembly samt JavaScript-Anbindung.

Was clientseitig ehrlich gesagt schwierig bleibt

Ein Artikel, der nur Vorteile aufzählt, ist Werbung. Also die Gegenrechnung:

Arbeitsspeicher. Das gängige wasm32 adressiert maximal 4 GB — das ist kein weiches Limit, sondern der gesamte Adressraum eines 32-Bit-Zeigers. Seit WebAssembly 3.0 (September 2025) gibt es 64-Bit-Adressierung, aber Browser deckeln sie bei 16 GB, sie kostet Rechenleistung, und die Unterstützung ist nicht überall gleich weit. In der Praxis heißt das: Ein 400-Megabyte-Scan mit 800 Seiten kann auf einem älteren Smartphone den Tab beenden. Ein Server hat dieses Problem nicht.

Ladezeit. Ein WebAssembly-Modul mit vollem PDF-Stack ist einige Megabyte groß. Beim ersten Aufruf muss es geladen werden — danach liegt es im Cache und die Seite funktioniert sogar offline, aber der erste Eindruck ist langsamer als bei einem Server-Werkzeug.

Und der wichtigste Punkt, auch in eigener Sache: Clientseitig heißt nicht automatisch datenschutzfreundlich. Die Seite kennt weiterhin Ihre IP-Adresse. Analytics-Skripte, Fehlerprotokollierung und Werbenetzwerke arbeiten unabhängig davon, wo die PDF verarbeitet wird. Ein Angebot, das lokal rechnet und gleichzeitig fünf Tracker einbindet, hat nur die Hälfte gelöst. Fragen Sie deshalb nicht nur, ob die Datei bleibt, wo sie ist, sondern auch, was sonst noch abfließt — und zwar bei jedem Anbieter, einschließlich diesem hier.

Der Test, den Sie in 30 Sekunden selbst machen

Sie müssen niemandem glauben. Zwei Prüfungen, die auf jeder Website funktionieren:

Der Netzwerk-Test. Öffnen Sie die Entwicklertools (F12 oder Strg+Umschalt+I, auf dem Mac Cmd+Alt+I), wechseln Sie auf den Reiter „Netzwerk" und filtern Sie auf „Fetch/XHR". Dann verarbeiten Sie eine Datei. Ein serverbasiertes Werkzeug erzeugt an dieser Stelle eine POST-Anfrage, deren übertragene Datenmenge ungefähr Ihrer Dateigröße entspricht. Bei lokaler Verarbeitung passiert dort nichts.

Der Offline-Test. Noch simpler, und er lässt sich nicht schönreden: Laden Sie die Seite, schalten Sie dann WLAN aus oder den Flugmodus ein — und arbeiten Sie weiter. Was ohne Internetverbindung funktioniert, hat garantiert nichts übertragen.

Machen Sie beide Tests ruhig auf dieser Seite. Wir hätten es ungern anders.

Eine Faustregel zum Mitnehmen

Stellen Sie sich vor dem Klick auf „Datei auswählen" eine einzige Frage: Würde ich dieses Dokument einem Fremden per E-Mail schicken, der verspricht, es nach zwei Stunden zu löschen?

Bei der Speisekarte fürs Vereinsfest: klar. Bei der Vorstandspräsentation, der Krankenakte, dem Mandantenschriftsatz, dem Ausweisscan: eher nicht.

Und wenn die Antwort „eher nicht" lautet, ist die gute Nachricht, dass Sie nicht zwischen Bequemlichkeit und Vorsicht wählen müssen. Der Browser kann das inzwischen selbst.

Stand: Juli 2026. Dieser Beitrag beschreibt allgemeine technische Zusammenhänge und die Gesetzeslage; er bewertet keine einzelnen Anbieter und stellt keine Rechtsberatung dar. Für die Beurteilung eines konkreten Dienstes prüfen Sie bitte dessen jeweils aktuelle Datenschutzerklärung selbst.