Online-PDF-Dienste: was sie über die Speicherung sagen

Das Sekretariat einer Schule in Kriens stellt jedes Semester Unterlagen zusammen: Stundenpläne, Elternbriefe, Anmeldungen für Lager. Oft sind es einzelne PDF, die zu einer Datei werden sollen. Der schnellste Weg führt über einen Online-Dienst: Dateien hochladen, zusammenfügen, herunterladen. Bei den Anmeldungen mit Allergien und Notfallnummern fragt sich die Sekretärin, wo diese Dateien in der Zwischenzeit liegen und wie lange.

Die Antwort steht meist beim Anbieter selbst — in einer FAQ, auf einer Sicherheitsseite oder in der Datenschutzerklärung. Dieser Beitrag gibt wieder, was vier verbreitete Dienste dort angeben, ohne sie zu bewerten, und zeigt, worauf man beim Lesen solcher Angaben achten kann.

Was beim Hochladen geschieht

Ein Online-Dienst, der auf dem Server arbeitet, braucht die Datei auf seinem Server. Sie wird hochgeladen, dort verarbeitet, das Ergebnis wird zum Herunterladen bereitgestellt. Für eine gewisse Zeit liegen also Original und Ergebnis beim Anbieter. Wie lange, wo und wer darauf zugreifen kann, entscheidet der Anbieter — und beschreibt es im besten Fall öffentlich.

Was vier Anbieter selbst angeben

Die folgenden Angaben stammen von den Seiten der Anbieter, in ihren eigenen Worten zusammengefasst, Stand 25. September 2026:

Anbieter	Löschung der hochgeladenen Dateien	Ort und weitere Angaben
Adobe	Ohne Anmeldung löscht Adobe die Datei innerhalb kurzer Zeit; mit Anmeldung wird sie im Konto gespeichert	Verschlüsselung nach AES-256 und TLS 1.2 (FAQ, aktualisiert 2. Juni 2025)
iLovePDF	Automatische und dauerhafte Löschung innerhalb von zwei Stunden nach der Verarbeitung	Unternehmen in Barcelona, Europa-basiert (Sicherheitsseite vom 19. Juni 2025)
PDF24	Automatische Löschung innerhalb einer Stunde nach der Verarbeitung	Verarbeitungsserver in Rechenzentren in der EU; Desktop-Programm für die Verarbeitung ohne Upload (FAQ)
Smallpdf	Bei der Nutzung der Werkzeuge Löschung nach einer Stunde; im Konto gespeicherte Dateien bis zur Löschung	Unternehmen mit Sitz in der Schweiz, Server-Infrastruktur in der EU (Blogbeitrag des Anbieters)

Die Übersicht ist eine Momentaufnahme. Anbieter ändern ihre Angaben; massgeblich ist immer die aktuelle Seite des Anbieters.

Wie man solche Angaben liest

Beim Vergleich fallen einige Punkte auf, die sich auch bei anderen Diensten nachfragen lassen:

• Mit oder ohne Konto. Bei mehreren Anbietern hängt die Frist davon ab, ob man angemeldet ist. Mit Konto werden Dateien oft gespeichert, bis man sie selbst löscht.
• «Gelöscht» wovon? Eine Löschfrist bezieht sich meist auf den Verarbeitungsserver. Ob und wie lange Sicherungskopien oder Protokolle bestehen, steht nicht immer daneben.
• Sitz und Serverstandort sind zwei Angaben. Ein Unternehmen kann in einem Land sitzen und seine Server in einem anderen betreiben. Beides ist für die Frage wichtig, welches Recht gilt und wohin Daten gehen.
• Unterauftragnehmer. Ob ein Anbieter eigene Server betreibt oder Rechenzentren und Cloud-Dienste Dritter nutzt, steht oft erst in der Datenschutzerklärung.
• Das Datum. Angaben auf Sicherheitsseiten werden überarbeitet. Ein Datum auf der Seite zeigt, wie aktuell sie ist; fehlt es, lohnt es sich, den Stand beim Lesen festzuhalten.
• Verschlüsselung. «Verschlüsselt» heisst meist verschlüsselt auf dem Weg (TLS) und gespeichert. Für die Verarbeitung auf dem Server muss der Inhalt dort in der Regel lesbar sein.

Drei Arten von Dokumenten

Für die Frage, ob ein Online-Dienst passt, hilft eine einfache Einteilung der eigenen Dokumente:

1. Dokumente ohne Personendaten, etwa ein Stundenplan oder ein Merkblatt. Hier geht es vor allem um Bequemlichkeit.
2. Dokumente mit gewöhnlichen Personendaten, etwa eine Klassenliste mit Namen und Adressen. Hier zählen Aufbewahrung, Standort und Vertrag.
3. Dokumente mit besonders schützenswerten Personendaten, etwa Angaben über die Gesundheit (Art. 5 Bst. c Ziff. 2 DSG). Hier liegt die Messlatte für die Datensicherheit höher, und die Frage nach der lokalen Verarbeitung stellt sich besonders.

Die Einteilung nimmt keine Entscheidung vorweg, aber sie macht sichtbar, für welche Dokumente die Angaben eines Anbieters genau gelesen werden sollten.

Was das DSG dazu sagt

Lädt ein Betrieb oder eine Schule Dokumente mit Personendaten bei einem Dienst hoch, der sie im Auftrag verarbeitet, ist dieser Dienst in der Regel ein Auftragsbearbeiter. Das DSG erlaubt eine solche Übertragung, wenn die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und keine Geheimhaltungspflicht sie verbietet; der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann (Art. 9 DSG).

Liegen die Server ausserhalb der Schweiz, geht es zudem um eine Bekanntgabe ins Ausland. Diese ist ohne Weiteres möglich, wenn der Bundesrat festgestellt hat, dass der betreffende Staat einen angemessenen Schutz gewährleistet (Art. 16 Abs. 1 DSG). Die Liste dieser Staaten steht im Anhang 1 der Datenschutzverordnung; aufgeführt sind unter anderem Deutschland und Österreich.

Welche Fragen man einem Anbieter dazu stellen kann, beschreibt der Beitrag Sechs Fragen an den Anbieter.

Wenn die Datei gar nicht hochgeladen wird

Es gibt Alternativen zum Upload. Einige Anbieter haben Desktop-Programme, die lokal arbeiten; PDF24 etwa beschreibt ein solches Programm für Windows. Und manche Web-Apps können Dateien im Browser selbst verarbeiten, ohne sie an einen Server zu schicken. Wie man prüft, ob das tatsächlich so ist, beschreibt der Beitrag Verarbeitung im Browser.

Nach dem Herunterladen

Die Löschfrist des Anbieters ist nur ein Teil. Auch auf dem eigenen Computer entstehen Kopien: im Download-Ordner, im Anhang einer E-Mail, in einem geteilten Laufwerk. Personendaten werden vernichtet oder anonymisiert, sobald sie für den Zweck nicht mehr erforderlich sind (Art. 6 Abs. 4 DSG) — das gilt für die Zwischenstände im Download-Ordner genauso wie für die Datei beim Anbieter.

Für das Schulsekretariat in Kriens

Das Sekretariat teilt seine Dokumente in zwei Gruppen. Stundenpläne und Elternbriefe ohne Personendaten werden weiterhin online zusammengefügt, beim Anbieter, dessen Angaben es gelesen hat. Anmeldungen mit Gesundheitsangaben werden lokal verarbeitet. Und im Verzeichnis der eingesetzten Programme steht, welcher Dienst wofür genutzt wird.

Die PDF-Werkzeuge, die wir entwickeln, werden Dateien in der Schweiz verarbeiten, im Arbeitsspeicher, ohne sie zu speichern — ohne Werbung und ohne Tracking. Im vertraulichen Modus werden ausgewählte Arbeiten ganz im Browser auf dem eigenen Gerät erledigt.