PDF und Datenschutz: Sensible Dokumente richtig handhaben

PDFs gehören zu den am häufigsten verwendeten Dokumentenformaten im beruflichen und privaten Alltag. Steuerbescheide, Gehaltsabrechnungen, Arztberichte, Mietverträge: All diese Dokumente enthalten personenbezogene Daten, die unter das Datenschutzrecht fallen. Wer solche Dateien digital verwaltet, muss verstehen, welche Pflichten dabei entstehen.

Was sind personenbezogene Daten im PDF-Kontext?

Nach der DSGVO gelten alle Informationen als personenbezogene Daten, die sich auf eine identifizierbare natürliche Person beziehen. Im PDF-Kontext bedeutet das unter anderem:

• Name, Adresse, Geburtsdatum auf Verträgen und Formularen
• Sozialversicherungsnummer, Steuernummer oder Personalausweisnummer
• Kontonummern und Finanzdaten auf Kontoauszügen
• Gesundheitsdaten auf Arztbriefen oder Befunden
• Fotos von Personen

Für alle diese Daten gelten Grundsätze wie Datensparsamkeit, Zweckbindung und Speicherbegrenzung. Das Schützen dieser Dateien ist Teil der Umsetzung dieser Grundsätze.

Technischer Schutz nach Art. 32 DSGVO

Die DSGVO legt in Art. 32 fest, dass Verantwortliche geeignete technische und organisatorische Maßnahmen treffen müssen, um ein angemessenes Schutzniveau zu gewährleisten. Als Beispiel für solche Maßnahmen nennt die Verordnung ausdrücklich die Verschlüsselung personenbezogener Daten.

Das bedeutet in der Praxis: Wenn Sie ein PDF mit sensiblen Inhalten per E-Mail versenden, sollte es idealerweise mit einem Passwort verschlüsselt sein. Unverschlüsselte E-Mails sind wie Postkarten, der Inhalt ist für jeden lesbar, der die Nachricht abfängt. Verschlüsselte Anhänge mindern dieses Risiko erheblich.

Datenpannen und ihre Konsequenzen

Was passiert, wenn ein unverschlüsseltes PDF mit personenbezogenen Daten in falsche Hände gerät? Art. 33 DSGVO verpflichtet Verantwortliche, eine solche Datenpanne innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden, sofern ein Risiko für Betroffene besteht.

War das betroffene Dokument hingegen verschlüsselt und das Passwort dem Empfänger nicht bekannt, relativiert sich das Risiko erheblich. In diesem Fall kann die Meldepflicht entfallen oder ist von geringerem Gewicht. Das ist einer der konkreten Vorteile eines konsequenten Verschlüsselungsansatzes.

Praktische Empfehlungen für den Umgang mit sensiblen PDFs

Für den täglichen Umgang ergeben sich daraus einige praktische Regeln:

Beim Versand per E-Mail sollten PDFs mit personenbezogenen Inhalten immer verschlüsselt werden. Das Passwort darf nicht in derselben E-Mail stehen, sondern muss über einen anderen Kanal übermittelt werden, etwa per Telefon oder SMS.

Bei der Cloud-Speicherung, ob in Google Drive, OneDrive oder Dropbox, sollten besonders sensible Dokumente vor dem Hochladen verschlüsselt werden. Cloud-Dienste sichern Ihre Daten zwar selbst, aber der Zugriff durch den Anbieter oder bei einem Sicherheitsvorfall auf Anbieterseite bleibt ein Risiko.

Auf mobilen Geräten sollten PDFs mit sensiblem Inhalt nicht dauerhaft in unverschlüsselten Apps gespeichert werden. Ein verlorenes oder gestohlenes Smartphone gibt sonst unmittelbaren Zugriff auf alle gespeicherten Dokumente.

Löschpflichten und Aufbewahrungsfristen

Nach der DSGVO dürfen personenbezogene Daten nicht länger aufbewahrt werden, als für den ursprünglichen Zweck erforderlich. Das klingt abstrakt, hat aber konkrete Konsequenzen:

Bewerbungsunterlagen von abgelehnten Kandidaten müssen nach Ende des Bewerbungsverfahrens zeitnah gelöscht werden, in der Regel nach zwei bis drei Monaten. Steuerrelevante Unterlagen hingegen unterliegen einer gesetzlichen Aufbewahrungspflicht von zehn Jahren.

Das Löschen einer Datei im Betriebssystem reicht dabei nicht für eine sichere Vernichtung. Professionelle Löschprogramme oder physische Vernichtung von Datenträgern sind nötig, um sicherzustellen, dass keine Restdaten wiederhergestellt werden können.

Das Tool und der Datenschutz

Das Tool auf dieser Seite verarbeitet Ihre PDFs ausschließlich lokal im Browser. Die Datei wird nicht auf Server übertragen, was insbesondere bei personenbezogenen Inhalten ein wichtiger Vorteil ist. Sie behalten die vollständige Kontrolle über Ihr Dokument, während der Passwortschutz aufgehoben wird. Das entspricht dem Grundsatz der Datensparsamkeit: Nur wer Zugriff haben muss, bekommt ihn auch.

Sensibilisierung im Unternehmen

Technische Maßnahmen allein genügen nicht. Mitarbeiter, die regelmäßig mit personenbezogenen PDFs arbeiten, müssen wissen, was sie dürfen und was nicht. Regelmäßige Schulungen, klare Richtlinien für den Dokumentenversand und eine definierte Vorgehensweise bei Datenpannen sind ebenso Teil eines DSGVO-konformen Umgangs mit Daten wie die technische Verschlüsselung.

Wer heute in ein funktionierendes Datenschutzkonzept investiert, vermeidet nicht nur Bußgelder. Er schafft auch Vertrauen bei Kunden, Partnern und Mitarbeitern.