DSGVO und Dateikonvertierung: Was du wissen musst
Warum Dateikonvertierung überhaupt ein DSGVO-Thema ist
Die meisten Leute verbinden die DSGVO mit E-Mail-Listen und Cookie-Bannern. Die Dateikonvertierung wirkt wie eine ruhige Ecke der Datenverarbeitung, und genau deshalb wird sie übersehen – und so unbemerkt zu einem Compliance-Problem. Wenn du eine Datei bei einem Online-Konverter hochlädst, überträgst du Daten an einen Auftragsverarbeiter. Nach der DSGVO ist jede Stelle, die personenbezogene Daten für dich verarbeitet, ein Auftragsverarbeiter. Das bedeutet, dass nicht nur dein Unternehmen, sondern auch der Konvertierungsdienst unter die Verordnung fällt. Wenn die von dir hochgeladene Datei personenbezogene Daten enthält – ein PDF mit Kundennamen, eine Tabelle mit Mitarbeitergehältern, ein Word-Dokument mit medizinischen Notizen – hast du gerade eine Datenübertragung ausgelöst, zu der die DSGVO eine sehr klare Meinung hat. Die Definition von personenbezogenen Daten in der Verordnung ist unglaublich weit gefasst: jede Information, die sich auf eine identifizierte oder identifizierbare Person bezieht. Eine gescannte Rechnung mit dem Namen eines Kunden zählt dazu. Eine Audiodatei eines aufgezeichneten Telefonats zählt dazu. Sogar in einer DOCX-Datei eingebettete Metadaten wie der Name des Autors oder nachverfolgte Änderungen können darunterfallen, wenn sie jemanden identifizieren. Das Argument „Ich musste doch nur eine Datei konvertieren“ zieht also nicht. Der Zweck der Verarbeitung hebt das Vorhandensein von personenbezogenen Daten nicht auf. Wenn eine Datei solche Daten enthält und du sie an einen externen Dienst sendest, brauchst du eine Rechtsgrundlage für die Übertragung und handfeste Garantien dafür, was mit deinen Daten am anderen Ende passiert.
Was die DSGVO bei der Nutzung von Auftragsverarbeitern wirklich verlangt
Artikel 28 der DSGVO ist hier der entscheidende Punkt. Er schreibt vor, dass du nur Auftragsverarbeiter einsetzen darfst, die „hinreichende Garantien“ für ihre Sicherheitsmaßnahmen bieten. In der Praxis bedeutet das, dass du einen Auftragsverarbeitungsvertrag (AVV) mit dem Dienstanbieter abschließen musst, bevor die Verarbeitung beginnt. Ein AVV ist keine bloße Formalität; er ist ein rechtsverbindlicher Vertrag, der bestimmte Punkte abdecken muss: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Arten der betroffenen personenbezogenen Daten, die Kategorien der betroffenen Personen sowie die Rechte und Pflichten des Verantwortlichen. Der Vertrag muss den Auftragsverarbeiter auch rechtlich dazu verpflichten, alle personenbezogenen Daten nach Beendigung der Leistung zu löschen oder zurückzugeben und dich bei der Erfüllung deiner Pflichten bezüglich der Rechte der betroffenen Personen und bei der Meldung von Datenschutzverletzungen zu unterstützen. Für einen Dateikonvertierungsdienst läuft das auf ein paar entscheidende Fragen hinaus, die du dir stellen musst, bevor du etwas Sensibles hochlädst. Bietet der Dienst überhaupt einen AVV an? Wo stehen seine Server? Werden die Daten in der EU/dem EWR verarbeitet oder ins Ausland übertragen? Wenn sie übertragen werden, was ist die rechtliche Grundlage – Standardvertragsklauseln, ein Angemessenheitsbeschluss oder etwas anderes? CocoConvert stellt für unsere Geschäftskunden auf Anfrage einen AVV bereit, und die gesamte Verarbeitung findet auf Servern innerhalb der EU statt. Für Privatpersonen, die persönliche Dokumente konvertieren, regeln unsere Nutzungsbedingungen und unsere Datenschutzrichtlinie die Beziehung. Das ist gängige Praxis, aber es liegt an dir, diese auch tatsächlich zu lesen. Seien wir ehrlich: Wenn dein Unternehmen regelmäßig Dateien mit besonderen Datenkategorien (Gesundheitsdaten, biometrische Daten usw.) konvertiert, ist ein allgemeines Tool für Endverbraucher die falsche Wahl. Du benötigst einen formellen AVV und solltest wahrscheinlich eine Datenschutz-Folgenabschätzung gemäß Artikel 35 durchführen.
Dateispeicherung: Das Detail, über das die meisten stolpern
Wie lange speichert ein Dateikonvertierungsdienst deine Dateien? Das ist eine entscheidende Frage unter dem DSGVO-Grundsatz der Speicherbegrenzung (Artikel 5 Abs. 1 Bst. e), der besagt, dass personenbezogene Daten nicht länger als für ihren Zweck erforderlich aufbewahrt werden dürfen. Die Praktiken in der Branche sind extrem uneinheitlich. Manche Dienste speichern hochgeladene Dateien unbegrenzt, es sei denn, du denkst daran, sie manuell zu löschen. Andere bewahren sie 24 Stunden lang auf. Einige wenige verarbeiten Dateien vollständig im Arbeitsspeicher und speichern nichts auf ihren Servern. Wenn deine Datei personenbezogene Daten enthält, ist der Unterschied zwischen diesen Richtlinien enorm. CocoConvert löscht alle hochgeladenen und konvertierten Dateien automatisch innerhalb einer Stunde nach der Konvertierung. Das ist kein Marketingversprechen, sondern eine technische Richtlinie, die auf Infrastrukturebene durchgesetzt und in unserer Datenschutzrichtlinie dokumentiert ist. Du musst nichts tun, obwohl direkt nach der Konvertierung eine manuelle Löschoption verfügbar ist, falls du die Datei sofort entfernen möchtest. Klicke einfach auf das Papierkorb-Symbol neben der Ausgabedatei auf dem Ergebnisbildschirm, und sie wird in Sekundenschnelle aus dem Speicher entfernt. Wir sind auch ehrlich, was unsere Grenzen angeht. CocoConvert bietet derzeit nicht für jeden Dateityp einen Modus ohne Speicherung, der nur im Browser arbeitet. Einige komplexe Konvertierungen sind für eine clientseitige Ausführung zu rechenintensiv. Für Benutzer, die extrem sensible Dokumente bearbeiten – juristische Unterlagen, Personalakten, Patientendaten – ist dieser Unterschied entscheidend. In solchen Hochrisikofällen solltest du entweder ein lokal installiertes Tool wie LibreOffice verwenden, das viele Konvertierungen komplett offline durchführt, oder sicherstellen, dass du einen unterzeichneten AVV hast, bevor du einen Onlinedienst nutzt.
Metadaten entfernen: Das versteckte Problem mit personenbezogenen Daten
Eine konvertierte Datei ist nicht immer eine „saubere“ Datei. Jeder, der schon einmal versehentlich ein Dokument mit noch sichtbaren, peinlichen nachverfolgten Änderungen verschickt hat, kennt den Schmerz versteckter Daten. Dies ist ein echtes DSGVO-Risiko, da Metadaten – die unsichtbaren, in Dateien eingebetteten Informationen – personenbezogene Daten enthalten können, die völlig vom sichtbaren Inhalt getrennt sind. Microsoft Office-Formate (DOCX, XLSX, PPTX) sind dafür berüchtigt, da sie den Namen des Autors, die Namen der Bearbeiter, den Revisionsverlauf und Kommentare einbetten. PDFs können ähnliche Informationen enthalten, einschließlich des Namens des Erstellers und manchmal des Benutzernamens des ursprünglichen Autors, wenn sie aus Word exportiert wurden. JPEG-Dateien enthalten EXIF-Daten, die GPS-Koordinaten, Kameraseriennummern und Zeitstempel umfassen können. Diese GPS-Koordinaten werden hochsensibel, wenn das Foto in einem Privathaus aufgenommen wurde. Aus Sicht der DSGVO sind diese Metadaten personenbezogene Daten, wenn sie eine Person identifizieren können. Die Weitergabe einer konvertierten Datei ohne deren Entfernung kann eine unbeabsichtigte Datenweitergabe sein. CocoConvert entfernt standardmäßige Dokumenten-Metadaten (Autorenfelder, Kommentare, Revisionsverlauf) automatisch bei Konvertierungen von Office zu PDF und von Office zu Office. Wir entfernen auch EXIF-Daten aus JPEGs bei der Konvertierung in andere Formate. CocoConvert ist jedoch kein dediziertes, eigenständiges Tool zum Entfernen von Metadaten. Wir können nicht garantieren, dass jedes benutzerdefinierte Metadatenfeld entfernt wird, das manche Unternehmenssoftware möglicherweise einbettet. Wenn du eine verifizierte Metadatenentfernung für die Compliance benötigst, brauchst du ein anderes Tool für diese spezielle Aufgabe. Verwende ein Kommandozeilen-Tool wie ExifTool oder die Funktion „Dokument bereinigen“ von Adobe Acrobat (Acrobat Pro > Werkzeuge > Schwärzen > Dokument bereinigen) für eine präzisere Steuerung und einen klaren Prüfpfad.
Grenzüberschreitende Datenübermittlung: Wohin die Dateien wirklich gehen
Kapitel V der DSGVO beschränkt die Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums, es sei denn, es sind strenge Bedingungen erfüllt. Das ist keine abstrakte Rechtstheorie. Wenn du eine Datei hochlädst, reisen diese Daten physisch zu einem Server irgendwo auf der Welt. Wenn dieser Server in den USA, Indien oder Singapur steht, hast du gerade eine internationale Datenübermittlung vorgenommen. Solche Übermittlungen sind nur durch bestimmte Mechanismen rechtmäßig. Dazu gehören ein Angemessenheitsbeschluss der Europäischen Kommission (für Länder wie das Vereinigte Königreich, Japan und Südkorea), Standardvertragsklauseln (SCCs, die häufigste Grundlage für US-Dienste) oder verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, für große multinationale Konzerne). Bei der Bewertung eines Dateikonverters musst du wissen, wo die Verarbeitung tatsächlich stattfindet. Ein in Deutschland registriertes Unternehmen könnte seine Infrastruktur auf den Servern eines US-Cloud-Anbieters betreiben. Nachdem das Schrems-II-Urteil 2020 den EU-US Privacy Shield für ungültig erklärte, verschwand über Nacht die Rechtsgrundlage für viele US-Übermittlungen, wodurch viele Organisationen plötzlich nicht mehr konform waren. Der neuere EU-US Data Privacy Framework (2023) hat zwar einen Mechanismus für zertifizierte US-Unternehmen wiederhergestellt, steht aber weiterhin unter rechtlicher Beobachtung. Die Infrastruktur für die Dateiverarbeitung von CocoConvert läuft auf Servern in Frankfurt, Deutschland. Das bedeutet, dass beim Konvertieren einer Datei keine grenzüberschreitende Datenübermittlung mit dem Inhalt der Datei stattfindet. Kontodaten werden separat behandelt, wie in unserer Datenschutzrichtlinie beschrieben. Wenn du einen Dienst für geschäftliche Zwecke evaluierst, stell eine direkte Frage: Wo stehen die Server für die Verarbeitung? Nicht der Hauptsitz des Unternehmens, sondern wohin geht meine Datei physisch, wenn ich auf „Hochladen“ klicke?
Praktische Schritte für die konforme Dateikonvertierung bei der Arbeit
Wenn Datenschutz Teil deines Jobs ist – egal, ob du Datenschutzbeauftragter bist oder der IT-Manager, der den Kürzeren gezogen hat – hier ist eine Checkliste, um die Dateikonvertierung unter der DSGVO richtig zu machen. Beginne damit, zu prüfen, was deine Teams tatsächlich tun. Schatten-IT ist ein reales Problem. Mitarbeiter nutzen private Tools für die Arbeit, weil sie schnell und bequem sind, und laden oft Dateien mit personenbezogenen Daten auf Dienste hoch, von denen du noch nie gehört hast. Du kannst nicht steuern, was du nicht siehst, also nutze Umfragen oder Analysen des Netzwerkverkehrs, um herauszufinden, was wirklich verwendet wird. Für jeden Dienst, den du für die Verarbeitung personenbezogener Daten genehmigst, besorg dir einen AVV. Das ist nach Artikel 28 nicht verhandelbar. Wenn ein Dienstanbieter keinen AVV anbietet, darfst du ihn nicht für personenbezogene Daten verwenden. Punkt. Führe ein zentrales Register deiner genehmigten Auftragsverarbeiter und deren AVVs als Teil deines Verzeichnisses von Verarbeitungstätigkeiten (VVT). Als Nächstes praktiziere Datenminimierung, bevor du überhaupt etwas hochlädst. Wenn du einen Vertrag konvertieren musst, kannst du persönliche Daten zuerst schwärzen, die geschwärzte Version konvertieren und sie dann wieder einfügen? Dieser einfache Schritt reduziert die Datenexposition während des Konvertierungsprozesses drastisch. Tools wie Adobe Acrobat und LibreOffice Draw können PDF-Schwärzungen durchführen. Dokumentiere deine Entscheidungen. Wenn du einen Dienst bewertest und für einen bestimmten Anwendungsfall genehmigst, schreib es auf. Ein kurzes Memo, das den Dienst, die Datenarten, die Rechtsgrundlage und die Aufbewahrungsrichtlinie festhält, ist dein Rechenschaftsnachweis gemäß Artikel 5 Absatz 2, falls jemals ein Prüfer anklopft. Und schließlich: Schul deine Mitarbeiter. Die besten technischen Kontrollen sind nutzlos, wenn die Mitarbeiter das „Warum“ dahinter nicht verstehen. Eine einfache 20-minütige Schulung darüber, was personenbezogene Daten sind, warum zufällige Datei-Uploads ein Risiko darstellen und welche Tools genehmigt sind, wird dir eine Menge Kopfschmerzen ersparen.
Was zu tun ist, wenn etwas schiefgeht
Selbst mit den besten Vorkehrungen kann etwas schiefgehen. Eine Datei mit personenbezogenen Daten wird auf den falschen Dienst hochgeladen. Eine konvertierte Datei wird an die falsche Person gesendet. Ein von dir genutzter Dienst erleidet eine Datenpanne. Die DSGVO hat für diese Szenarien enge, spezifische Fristen. Gemäß Artikel 33 muss eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden nach Bekanntwerden an deine zuständige Aufsichtsbehörde gemeldet werden, sofern sie ein Risiko für Einzelpersonen darstellt. „Bekanntwerden“ bedeutet nicht, dass deine Untersuchung abgeschlossen ist; es bedeutet, dass du eine angemessene Sicherheit hast, dass ein Sicherheitsvorfall stattgefunden hat. Die 72-Stunden-Frist beginnt sofort zu laufen. Im Kontext der Dateikonvertierung könnte eine meldepflichtige Verletzung die Entdeckung sein, dass ein Dienst deine Dateien länger als versprochen aufbewahrt hat und unbefugt darauf zugegriffen wurde. Es könnte auch bedeuten, dass du eine sensible Datei bei einem Dienst ohne AVV und mit Servern außerhalb des EWR hochgeladen hast – eine unrechtmäßige Übermittlung, die möglicherweise gemeldet werden muss. Wenn du CocoConvert nutzt und ein Problem mit deinen Daten vermutest, kontaktiere uns sofort unter privacy@cococonvert.com. Wir werden innerhalb von 24 Stunden mit Informationen darüber antworten, welche Daten wir speichern, wann sie verarbeitet wurden und wie ihr Löschstatus ist. Sollte es auf unserer Seite zu einer Verletzung kommen, benachrichtigen wir die betroffenen Verantwortlichen innerhalb von 24 Stunden, nachdem wir selbst davon erfahren haben, damit du einen Vorsprung für dein 72-Stunden-Meldefenster hast. DSGVO-Compliance ist keine einmalige Angelegenheit. Sie erfordert ständige Sorgfalt: die Überprüfung deiner Auftragsverarbeiter, das Verfolgen von Änderungen bei internationalen Übermittlungsregeln und einen Notfallplan, der auch wirklich funktioniert. Die Dateikonvertierung ist ein kleiner Teil dieses großen Ganzen, aber es ist ein Teil, der leicht übersehen wird und relativ einfach richtig zu machen ist.