ShredHub
Zurück zum Blog
Datenschutz8 Min. Lesezeit14. September 2026

DSGVO: Wann Datei-Metadaten personenbezogen sind

Wann Metadaten personenbezogene Daten sind und was das fürs Teilen von Dateien im Job bedeutet.

Wer mit Dokumenten, Fotos oder Audiodateien arbeitet, verarbeitet fast immer personenbezogene Daten — oft ohne es zu bemerken. Die DSGVO betrifft nicht nur Datenbanken und CRM-Einträge, sondern jede Information, die sich auf eine identifizierbare Person bezieht.

Metadaten sind personenbezogene Daten

Artikel 4 der DSGVO definiert personenbezogene Daten weit: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören:

  • der Name des Verfassers in einer PDF- oder Word-Datei,
  • eine GPS-Position in einem Foto,
  • eine Seriennummer eines Geräts,
  • eine E-Mail-Adresse in den Dokumenteigenschaften,
  • ein Zeitstempel in Kombination mit anderen Identifikatoren.

Auch eine Datei, die „nur“ einen Namen und ein Datum enthält, kann personenbezogen sein, wenn sie einer Person zugeordnet werden kann. Im Unternehmen ist diese Zuordnung häufig trivial: Die Dokumenteigentümerin ist eine bekannte Mitarbeiterin.

Fig. 01Wie eine Datei zu personenbezogenen Daten wird
  1. 01Datei

    der Inhalt, den Sie teilen wollten

    ↓
  2. 02Metadaten

    Autor, GPS, Gerät, Zeitstempel

    ↓
  3. 03Identifikator

    zeigt auf eine natürliche Person

    ↓
  4. 04Personenbezug

    DSGVO-Pflichten greifen

Selten ist der Inhalt das Problem. Es ist die Metadaten-Ebene, die ein anonymes Dokument zu personenbezogenen Daten werden lässt, weil sie Personen, Orte oder Geräte benennt.Definition personenbezogener Daten, DSGVO Artikel 4(1)

Typische Situationen im Arbeitsalltag

Dokumente an Kundschaft senden. Verträge, Angebote und Berichte enthalten häufig Verfasserangaben, Firmennamen, interne Dateipfade und den Revisionsverlauf. Das gibt interne Strukturen und Personennamen an jeden Empfänger weiter.

Fotos veröffentlichen. Marketing-Teams posten Bilder mit GPS-Daten — die Standorte von Kundschaft oder Wohnorte von Mitarbeitenden können so sichtbar werden.

Stellenanzeigen oder Pressematerial. Bilder aus Stock-Archiven enthalten manchmal private Kontaktdaten der Fotografin.

Support-Tickets. Screenshots und Logs können Metadaten enthalten, die die Kundin identifizieren.

Datenminimierung ist das Prinzip

Der Grundsatz der Datenminimierung (Artikel 5 DSGVO) verlangt: Verarbeiten Sie nur, was Sie benötigen. Auf Dateien übertragen bedeutet das: Wird eine Datei wegen ihres Inhalts geteilt, sind ihre Metadaten in der Regel nicht erforderlich. Sie zu entfernen ist erlaubt und meist sinnvoll.

Eine praktische Checkliste:

  1. Legen Sie fest, was erhalten bleiben muss. Manche Metadaten sind erforderlich: Barrierefreiheitsdaten, digitale Signaturen oder gesetzlich geforderte Zeitstempel.
  2. Entfernen Sie den Rest. Verwenden Sie vor Veröffentlichung oder Versand ein Werkzeug zur Metadaten-Bereinigung.
  3. Verifizieren Sie das Ergebnis. Analysieren Sie die bereinigte Datei erneut und dokumentieren Sie, was entfernt wurde.
  4. Dokumentieren Sie den Prozess. Eine kurze interne Richtlinie („Dateien werden vor externem Versand bereinigt“) erleichtert Audits erheblich.
Fig. 02Datenminimierung, Feld für Feld
  • ✓Barrierefreiheitsdatennötig, um das Dokument zu nutzenbehalten
  • ✓Digitale Signaturennötig für Echtheitsprüfungbehalten
  • ✓Gesetzlich geforderte Zeitstempelz. B. Rechnungsdatenbehalten
  • ✕Autor / LastModifiedBybenennt Personenentfernen
  • ✕GPS-Koordinatengibt exakte Standorte preisentfernen
  • ✕Geräte-Seriennummernein dauerhafter Fingerabdruckentfernen
  • ✕Interne Dateipfadegibt Team- und Servernamen preisentfernen
Datenminimierung heißt nicht „alles löschen“. Wichtig ist zu entscheiden, welche Metadaten für die Funktion nötig sind, den Rest zu entfernen — und diese Entscheidung begründen zu können.Grundsatz der Datenminimierung, DSGVO Artikel 5(1)(c)

Aufbewahrung gilt auch für Dateien

Metadaten sind nicht das einzige Thema. Wer Scan-Ergebnisse oder hochgeladene Dateien speichert, muss Aufbewahrungsregeln beachten. Der Ansatz von ShredHub: Dateien verlassen nie Ihr Gerät; gespeichert wird nur der Metadaten-Report, und das nur, wenn Sie es ausdrücklich aktivieren. Free-Konten behalten den Verlauf sieben Tage, Pro-Konten bis zur manuellen Löschung.

Was ShredHub für Sie tut

  • Analyse und Bereinigung laufen lokal im Browser. Es gibt keinen Upload-Endpoint — eine überprüfbare Architekturentscheidung, kein bloßes Versprechen.
  • Reports sind Opt-in. Sie entscheiden, ob ein Scan gespeichert wird.
  • Bereinigung ist verifizierbar: Die bereinigte Datei wird erneut analysiert und mit Verified-clean-Status angezeigt.
Fig. 03Wo die Daten verarbeitet werden
Ihr Browserlocal
  • Analyse im Web Worker
  • Bereinigung der Datei
  • Metadaten-Report
Upload-Endpointnot used
  • Existiert nicht
  • Kein Dateispeicher
  • Nichts zu kompromittieren

Die Datei überquert nie das Netzwerk.

Das ist der Unterschied zwischen einem Versprechen und einer Architektur. Weil es keinen Upload-Endpoint gibt, kann die Datei das Gerät nicht verlassen — eine Eigenschaft, die Sie im Netzwerk-Tab selbst überprüfen können.

Fazit

Die Bereinigung von Metadaten ist ein kleiner, aber konkreter Teil der DSGVO-Konformität. Sie ist schnell umgesetzt, leicht zu überprüfen und schließt eine Lücke, an die die meisten Organisationen noch gar nicht gedacht haben.