DSGVO und PDF: Was beim Verarbeiten sensibler Daten zählt

Wo die DSGVO PDFs überhaupt erfasst

Die DSGVO gilt für die Verarbeitung personenbezogener Daten (Art. 4 Nr. 1, 2). Personenbezogen ist jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht. PDFs sind das Speicher-Medium, der Inhalt entscheidet:

• Personenbezogen: Name, Adresse, E-Mail, Telefon, Kontonummer, Sozialversicherungsnummer, IP-Adresse, Foto, Unterschrift
• Sensibel (Art. 9): Gesundheitsdaten, Religion, Gewerkschaftszugehörigkeit, sexuelle Orientierung, biometrische Daten, ethnische Herkunft
• Nicht personenbezogen: anonymisierte Statistiken ohne Rückschluss-Möglichkeit, technische Spezifikationen, Quellcode

Praktisch heißt das: Eine Bewerbung-PDF (Name, Foto, Lebenslauf) fällt klar unter die DSGVO. Eine Rechnung-PDF an ein Unternehmen ohne Einzelpersonen-Bezug nicht. Ein Mietvertrag (Name, Adresse, Kontonummer) wieder ja.

Sechs Pflichten beim PDF-Workflow

Wer regelmäßig PDFs mit personenbezogenen Daten verarbeitet, muss sechs Kernpflichten erfüllen:

1. Rechtsgrundlage (Art. 6 DSGVO): Einwilligung, Vertragserfüllung, gesetzliche Pflicht oder berechtigtes Interesse. Ohne Rechtsgrundlage ist die Verarbeitung rechtswidrig.
2. Zweckbindung (Art. 5 Abs. 1 lit. b): PDFs dürfen nur für den ursprünglichen Zweck verwendet werden. Eine Bewerbungs-PDF darf nicht für Marketing-Zwecke recycelt werden.
3. Datensparsamkeit: Nur die wirklich benötigten Daten. Wenn der Zweck "Versand der Rechnung" ist, brauchst du nicht die Geburtstags-Information mit drin.
4. Speicherbegrenzung: Löschen wenn der Zweck erfüllt ist und keine Aufbewahrungspflicht greift. Bei 10-Jahres-Aufbewahrungspflicht: nach 10 Jahren löschen.
5. Integrität & Vertraulichkeit (Art. 32): Technisch-organisatorische Maßnahmen je nach Risiko. Zugriffskontrolle, Verschlüsselung, Backup-Strategie.
6. Rechenschaftspflicht (Art. 5 Abs. 2): Bei Bedarf nachweisen können dass die obigen Punkte eingehalten wurden. Verarbeitungs-Verzeichnis (Art. 30) führen.

Tools-Wahl: Wo die DSGVO oft kippt

Online-PDF-Tools fallen je nach Architektur in drei Klassen:

• Client-side / Browser-only (z.B. pdf-zentrale.de): das PDF verlässt dein Gerät nicht. Keine Auftragsverarbeitung, kein Drittland-Problem, keine Vertraulichkeits-Lücke. DSGVO-Risiko: minimal.
• Server-Upload, EU-Anbieter mit AV-Vertrag: PDF wird hochgeladen, verarbeitet, zurückgegeben (oft gelöscht nach Verarbeitung). Erfordert AV-Vertrag (Art. 28), Server in EU/EWR.
• Server-Upload, US-Anbieter: hier entstehen die Probleme. Ohne EU-US-DPF-Zertifizierung (seit Juli 2023) und ohne AV-Vertrag mit SCC-Klauseln nicht DSGVO-konform.

Bei sensiblen Daten (Bewerbungen, Verträge, Personalakten) gilt: nur Browser-only oder zertifizierte EU-Anbieter. Ein PDF mit Bewerbungsfoto an Smallpdf, ilovepdf oder ähnliche US-Tools hochzuladen ist ohne Einwilligung der betroffenen Person ein DSGVO-Verstoß.

Verschlüsselung: Wann Pflicht, wann nicht

Art. 32 DSGVO verlangt "geeignete technisch-organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungs-Kosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung". Verschlüsselung ist explizit als Beispiel genannt (Art. 32 Abs. 1 lit. a).

Praktisch differenziert die Aufsichtsbehörden zwischen Risikostufen:

• Geringes Risiko (z.B. allgemeine Korrespondenz mit Geschäftspartnern): Verschlüsselung empfohlen, nicht zwingend
• Normales Risiko (z.B. Bewerbungen, Rechnungen mit Bankdaten): Verschlüsselung bei E-Mail-Versand stark empfohlen
• Hohes Risiko (z.B. Gesundheits-Daten, Steuerakten, Personalakten): Verschlüsselung nahezu zwingend
• Sehr hohes Risiko (z.B. Patientenakten, Strafregister-Auszüge): zusätzlich Ende-zu-Ende-Verschlüsselung oder verschlüsselte Übertragungs-Kanäle (S/MIME, PGP)

Praktisch lohnt sich die Konvention: Sobald in einer PDF Konto-Daten, Sozialversicherungsnummer, Gesundheits-Bezüge oder Personalakten-Inhalte stehen, mit Passwort verschlüsseln und Passwort über separaten Kanal mitteilen. Mit PDF verschlüsseln auf pdf-zentrale.de geht das in Sekunden, AES-256.

Der versteckte DSGVO-Killer: Metadaten

PDFs enthalten standardmäßig Metadaten: Autor, Erstellungs-Software, Bearbeitungs-Datum, manchmal Editor-Name aus dem System. Beim Versand an Dritte verraten diese Metadaten oft mehr als gewollt:

• "Autor: Erika Müller" auf einer angeblich anonymen Bewertung
• "Letzte Bearbeitung: 2026-04-30 23:47" auf einer Datei die du angeblich am 1. Mai erstellt hast
• "Erstellt mit: Microsoft Office Word, Lizenznehmer xy GmbH" beim Versand vermeintlich neutraler Dokumente

Vor Veröffentlichung oder Versand an Dritte: Metadaten cleanen. Mit PDF optimieren auf pdf-zentrale.de geht das automatisch (Optimierung räumt Metadaten mit auf), oder gezielt in Adobe Acrobat unter "Datei → Eigenschaften".

Aufbewahrungs- und Löschpflichten

Die DSGVO verlangt Löschung wenn der Zweck weggefallen ist (Art. 17 Recht auf Vergessen). Aber: andere Gesetze schreiben Aufbewahrung vor, das geht der Löschung vor:

• Geschäftsbriefe (HGB § 257): 6 Jahre
• Rechnungen, Steuerunterlagen (AO § 147): 10 Jahre
• Personalakten: bis zu 10 Jahre nach Beendigung des Arbeitsverhältnisses (je nach Inhalt)
• Bewerbungen abgelehnter Kandidaten: typisch 6 Monate nach Absage (Beweissicherung AGG)
• Mietverträge nach Ende: typisch 3 Jahre (Verjährung Forderungen)

Nach Ablauf der Aufbewahrungs-Frist: löschen, dokumentieren, aufschreiben warum. Wer Daten "für alle Fälle" länger speichert riskiert ein DSGVO-Bußgeld bei Aufsichtsbehörden-Prüfung.

Versand-Strategie für sensible PDFs

Sechs Schritte für sensible PDFs (z.B. Vertrag mit Bank-Daten):

1. Metadaten cleanen vor Versand
2. Sensible Bereiche schwärzen falls Adressat sie nicht braucht
3. PDF mit AES-256 verschlüsseln, langes Passwort (12+ Zeichen)
4. PDF per E-Mail (oder besser: verschlüsselter Cloud-Link wie Tresorit)
5. Passwort über zweiten Kanal (SMS, Anruf) — niemals in derselben E-Mail
6. Empfänger zur Bestätigung des Erhalts auffordern, dann eigene Kopie nach Zwecks-Erfüllung löschen

Bei Datenschutz-Vorfall: Was tun

PDF-Datenpanne (z.B. versehentlich an falschen Empfänger geschickt, geleaked, gehackt):

1. Sofort dokumentieren: Was, wann, wer, Umfang
2. Risikobewertung: Sind sensible Kategorien betroffen, droht Identitätsdiebstahl, finanzielle Schäden?
3. Innerhalb 72 Stunden Meldung an Aufsichtsbehörde (Art. 33), wenn Risiko vorhanden
4. Bei hohem Risiko: Betroffenen-Information (Art. 34)
5. Maßnahmen einleiten um Wiederholung zu verhindern, dokumentieren