DSGVO-Konformität für PDF-Tools: Worauf Sie achten müssen
Wie PDFSub die DSGVO-Konformität handhabt
PDFSub wurde mit einer datenschutzfreundlichen Architektur entwickelt, die DSGVO-Anforderungen von Grund auf berücksichtigt, nicht erst im Nachhinein. PDFSub ist DSGVO- und CCPA-konform und SOC 2 Ready.
Standardmäßig browserbasierte Verarbeitung
Für Bearbeitungsvorgänge – Zusammenführen, Aufteilen, Komprimieren, Drehen – verarbeitet PDFSub Dateien in Ihrem Browser. Konvertierungen und erweiterte Verarbeitungen werden von der PDFSub Engine angetrieben – einem isolierten Dienst ohne Internetzugang. Dateien werden in einer isolierten Umgebung verarbeitet und nach der Verarbeitung automatisch gelöscht.
Dies ist keine Marketingaussage – es ist eine architektonische Entscheidung. Die clientseitige Verarbeitung eliminiert die Datenverarbeitungsbeziehung für diese Vorgänge vollständig. Keine AVV erforderlich. Kein Risiko internationaler Datenübertragung. Keine serverseitige Speicherung.
Wenn serverseitige Verarbeitung erforderlich ist
Einige Vorgänge erfordern eine serverseitige Verarbeitung: OCR für gescannte Dokumente, KI-gestützte Extraktion für komplexe Finanzdokumente und bestimmte erweiterte Konvertierungen. Wenn dies geschieht, befolgt PDFSub strenge Protokolle:
- Verschlüsselung während der Übertragung – alle Dateiübertragungen nutzen TLS-Verschlüsselung
- Isolierte Verarbeitung – Dateien werden in einer isolierten Umgebung ohne Internetzugang verarbeitet
- Sofortige Löschung – Dateien werden gelöscht, sobald die Verarbeitung abgeschlossen ist
- Kein Training mit Nutzerdateien – hochgeladene Dokumente werden niemals zum Trainieren von KI-Modellen oder zur Verbesserung von Algorithmen verwendet
- Zweckbindung – Dateien werden ausschließlich für den angeforderten Vorgang verarbeitet
AVV für Unternehmenskunden verfügbar
PDFSub stellt ein Auftragsverarbeitungsvertrag (AVV) für Unternehmenskunden bereit, die eine formelle Dokumentation der Verarbeitungsbeziehung benötigen. Dies deckt die Szenarien der serverseitigen Verarbeitung ab und enthält alle obligatorischen Bestimmungen gemäß Artikel 28.
Transparent darüber, was passiert
Der Datenschutzansatz von PDFSub ist unkompliziert: Lokal verarbeiten, wann immer möglich, und wenn eine Serververarbeitung notwendig ist, die Datenexposition durch Verschlüsselung und sofortige Löschung minimieren. Es gibt keine vagen Klauseln zu „geschäftlichen Zwecken“. Es gibt keine sekundäre Nutzung Ihrer Daten.
Sie können die über 77 Tools von PDFSub durchsuchen und eine 7-tägige kostenlose Testversion ausprobieren, um das browserbasierte Verarbeitungsmodell selbst zu überprüfen, bevor Sie sich entscheiden.
DSGVO-Konformitäts-Checkliste für die Auswahl eines PDF-Tools
Verwenden Sie diese Checkliste bei der Bewertung eines PDF-Tools auf DSGVO-Konformität. Browserbasierte Tools umgehen mehrere Kategorien vollständig, aber für jedes Cloud-basierte Tool ist jeder Punkt wichtig.
| # | Frage | Worauf Sie achten sollten |
|---|---|---|
| 1 | Werden Dateien lokal verarbeitet? | Browserbasierte Verarbeitung = keine Datenübertragung = keine Verarbeitungsbeziehung. Überprüfen Sie den Netzwerkverkehr in den Entwicklertools des Browsers. |
| 2 | Ist ein AVV verfügbar? | Sollte ohne ein Enterprise-Verkaufsgespräch erhältlich sein. Muss alle obligatorischen Bestimmungen gemäß Artikel 28 enthalten. |
| 3 | Wo befinden sich die Server? | Verarbeitung in der EU/EWR vermeidet Übertragungskomplikationen. Wenn außerhalb der EU, prüfen Sie auf Angemessenheitsbeschluss, SCCs oder BCRs. |
| 4 | Wie lautet die Richtlinie zur Dateispeicherung? | Sofortige Löschung ist Best Practice. Jede Speicherung über den Abschluss der Verarbeitung hinaus bedarf einer Begründung. |
| 5 | Werden Daten für irgendeinen sekundären Zweck verwendet? | Die Datenschutzerklärung sollte die Nutzung von Dateiinhalten für KI-Training, Analysen und Werbung ausdrücklich ausschließen. |
| 6 | Wie werden Anfragen von betroffenen Personen behandelt? | Muss die Löschung von gespeicherten Kopien bestätigen können, wenn eine betroffene Person das Recht auf Vergessenwerden ausübt. |
| 7 | Welche Sub-Prozessoren sind beteiligt? | Veröffentlichte Liste mit Beschreibungen, Standorten und einem Benachrichtigungsmechanismus bei Änderungen der Sub-Prozessoren. |
| 8 | Welche Sicherheitsmaßnahmen sind vorhanden? | Verschlüsselung während der Übertragung und im Ruhezustand, Zugriffskontrollen, relevante Zertifizierungen (ISO 27001, SOC 2). |
| 9 | Welche Verpflichtungen zur Benachrichtigung bei Datenschutzverletzungen bestehen? | Benachrichtigung innerhalb von 72 Stunden (oder früher), mit einem dedizierten Ansprechpartner für Sicherheitsvorfälle. |
| 10 | Können Sie die Konformität prüfen? | Das AVV sollte Prüfungsrechte beinhalten. Der Anbieter sollte Compliance-Dokumentation bereitstellen und einen DSB benennen. |
Die Kosten falscher Entscheidungen: DSGVO-Bußgelder im Kontext
DSGVO-Bußgelder sind abschreckend konzipiert. Die niedrigere Stufe (Artikel 83 Abs. 4) erlaubt Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für Verstöße gegen Verpflichtungen von Verarbeitern und Sicherheitsmaßnahmen. Die obere Stufe (Artikel 83 Abs. 5) erlaubt Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes für Verstöße gegen Grundsätze der Datenverarbeitung und die Rechte betroffener Personen.
Der Trend zur Durchsetzung ist unverkennbar. Im Jahr 2025 machten unzureichende Rechtsgrundlagen für die Datenverarbeitung 90 % des gesamten Bußgeldvolumens aus (ca. 1,03 Milliarden Euro). TikTok erhielt im Mai 2025 eine Geldbuße von 530 Millionen Euro wegen illegaler Übermittlung von EU-Nutzerdaten nach China ohne angemessene Schutzmaßnahmen. Kleinere Organisationen sind nicht ausgenommen – Aufsichtsbehörden haben KMUs wegen unzureichender AVVs, mangelnder Sicherheit und übermäßiger Speicherung belangt.
Die Reputationskosten können die finanzielle Strafe übersteigen. Eine Datenpanne mit Bankauszügen oder Krankenakten von Kunden beschädigt das Vertrauen auf eine Weise, die keine Bußgeldzahlung reparieren kann.