Kein Upload. Kein Server. Die Daten verlassen Ihr Gerät nicht.
Wer nach einem Werkzeug zum Schwärzen oder Anonymisieren sucht, findet vor allem Dienste, die mit demselben Satz werben: Die Übertragung sei verschlüsselt, die Server stünden in Europa, die Dateien würden nach einer Stunde automatisch gelöscht. Das ist besser als nichts. Es ist aber eine grundsätzlich andere Zusage als die, um die es hier geht.
„Wir löschen Ihre Datei nach einer Stunde“ ist eine Aussage über künftiges Verhalten. Sie kann zutreffen, und bei seriösen Anbietern trifft sie zu. Nachprüfen können Sie sie nicht: Was auf einem fremden Server passiert, ist von außen nicht einsehbar.
„Die Datei wird nicht übertragen“ ist dagegen eine Aussage über die Verarbeitung selbst. Sie lässt sich im Netzwerk-Tab des Browsers in dreißig Sekunden überprüfen — und wenn keine Übertragung stattfindet, gibt es auch nichts, das jemand löschen müsste.
Zwischen Upload und Löschung liegt ein Zeitraum, in dem die Datei vollständig lesbar auf fremder Infrastruktur liegt. In dieser Zeit ist sie mehreren Umständen ausgesetzt, die mit der Redlichkeit des Anbieters nichts zu tun haben:
Keiner dieser Punkte ist ein Vorwurf an einen bestimmten Dienst. Sie sind Begleiterscheinungen des Umstands, dass die Datei überhaupt übertragen wurde. Fällt die Übertragung weg, fallen sie alle gemeinsam weg.
| Serverdienst mit Löschfrist | Verarbeitung im Browser | |
|---|---|---|
| Datei verlässt das Gerät | ja | nein |
| Schutz beruht auf | Zusage des Anbieters | Ausbleiben der Übertragung |
| Selbst überprüfbar | nein | ja, im Netzwerk-Tab |
| Auftragsverarbeitungsvertrag nötig | ja | für die Dokumentinhalte nein — es gibt keine Auftragsverarbeitung |
| Funktioniert ohne Internet | nein | ja, als installierte Web-App |
| Rechenleistung | Serverhardware | Ihr Gerät — bei sehr großen Dateien langsamer |
Die letzte Zeile ist der reale Nachteil und gehört dazu: Was im Browser läuft, läuft auf Ihrer Hardware. Bei umfangreichen PDF-Dateien auf einem älteren Gerät ist das spürbar. Der Vergleich weiterer Ansätze — auch der ehrlichen Schwächen dieses hier — steht auf der Seite Wege im Vergleich.
Ein Punkt mit unmittelbarer praktischer Folge: Wer ein Dokument zur Verarbeitung an einen Dienstleister übermittelt, braucht dafür regelmäßig einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — samt Prüfung des Dienstleisters, Aufnahme in das Verzeichnis von Verarbeitungstätigkeiten und Klärung etwaiger Drittlandtransfers.
Findet keine Übermittlung der Dokumentinhalte statt, entsteht für diese Inhalte auch keine Auftragsverarbeitung. Das erspart nicht die übrigen Pflichten des eigenen Betriebs, nimmt aber einen ganzen Prüfungsstrang heraus. Welche Nebenfunktionen tatsächlich einen Server berühren — Kontoverwaltung und Anfragezähler —, steht in der Datenschutzerklärung.
Das eine ist eine Zusage über künftiges Verhalten, das andere eine Eigenschaft der Verarbeitung. Bei einer Löschzusage muss die Datei erst übertragen, gespeichert und verarbeitet werden — in dieser Zeit existiert sie auf fremder Infrastruktur, kann in Sicherungskopien und Protokollen auftauchen und ist von der Zuverlässigkeit des Anbieters abhängig. Findet keine Übertragung statt, entfällt dieser Zeitraum vollständig.
Transportverschlüsselung schützt die Daten auf dem Weg, nicht am Ziel. Beim Empfänger liegt die Datei entschlüsselt vor, sonst könnte er sie nicht verarbeiten. Sie schützt also gegen Mitlesen unterwegs, nicht gegen Zugriff, Fehlkonfiguration oder Datenabfluss beim Dienstanbieter selbst.
Die Grenze setzt der Arbeitsspeicher des Geräts, nicht ein Serverlimit. Übliche Schriftstücke, Tabellen und PDF-Dateien sind unproblematisch. Bei sehr großen Dateien kann die Verarbeitung auf schwacher Hardware spürbar dauern — das ist der ehrliche Nachteil gegenüber einem Serverdienst, der auf leistungsfähigerer Hardware rechnet.
Weniger, als es zunächst scheint — weil sich das Verhalten nachprüfen lässt. Im Netzwerk-Tab der Entwicklerwerkzeuge ist jede ausgehende Verbindung sichtbar, und wenn die Verarbeitung ohne Internetverbindung weiterläuft, kann sie kein Netz gebraucht haben. Beides können Sie selbst durchführen, ohne dem Anbieter etwas zu glauben.
Netzwerk-Tab öffnen und selbst nachsehen — die Anwendung läuft ohne Registrierung.
Zur Anwendung