Ist Smallpdf sicher im Jahr 2026? Eine detaillierte Datenschutzprüfung

Kurze Antwort: Smallpdf ist ein legitimes Schweizer Unternehmen, das angibt, nach ISO/IEC 27001 zertifiziert und GDPR-konform zu sein, Dateiübertragungen mit TLS verschlüsselt und Dateien automatisch löscht. Für alltägliche, nicht vertrauliche PDFs ist es einigermaßen sicher. Für vertrauliche Dokumente wie Verträge, Krankenakten, Finanzunterlagen oder alles, was unter das Berufsgeheimnis fällt, wird das Modell selbst zum Risiko: Jede Datei, die Sie verarbeiten, wird auf einen Remote-Server hochgeladen, bleibt dort während der Verarbeitung und wird erst danach gelöscht. Ein browserbasiertes Tool, das Ihre Datei niemals hochlädt, beseitigt dieses Risiko vollständig.

Dieser Artikel zeigt genau, wie Smallpdf 2026 mit Ihren Daten umgeht, was die Richtlinien tatsächlich aussagen, in welchen Kategorien das Cloud-Modell schlecht passt, und welche alternative Architektur den Upload-Schritt eliminiert.

Was Smallpdf tatsächlich mit Ihrer Datei macht

Wenn Sie eine PDF in Smallpdf ziehen, folgt die Datei einem festen Pfad:

Ihr Browser lädt die Datei über TLS auf Smallpdfs Server hoch. Die Datenschutzerklärung nennt Hetzner-Server in der Europäischen Union als den Ort, an dem hochgeladene Dateien verarbeitet werden.
Die Datei wird auf diesen Servern von deren Tools verarbeitet.
Die verarbeitete Datei wird zum Download an Ihren Browser zurückgesendet.
Das Original wird automatisch nach einer Aufbewahrungsfrist von ihren Servern gelöscht.

Das Aufbewahrungsfenster hängt vom Tool und Kontostatus ab. Laut Smallpdfs Hilfecenter werden Dateien bei den meisten Tools eine Stunde nach der Verarbeitung von den Servern entfernt. Die Datenschutzerklärung ist genauer: Mit einem Konto werden Dateien innerhalb einer Stunde gelöscht, sofern Sie sie nicht im Dateispeicher sichern, und gespeicherte Dateien, die Sie löschen, werden in der Regel innerhalb von 14 Tagen entfernt. Ohne Konto sagt die Datenschutzerklärung nur, dass Smallpdf Dateien innerhalb einer angemessenen Frist nach dem letzten Öffnen löschen will und dass ein erneutes Öffnen diese Frist verlängert, während die Datenverarbeitungsvereinbarung die Löschung auf eine Stunde oder zwei Wochen festlegt, je nachdem, ob ein Konto genutzt wird. Smallpdfs eigene Seiten geben keine einheitliche Antwort. Dateien, die im Speicher eines kostenlosen oder kostenpflichtigen Kontos gesichert sind, bleiben dort, bis Sie sie löschen.

Dies ist nicht ungewöhnlich. Fast jeder große Online-PDF-Service (iLovePDF, PDF24, Sejda, Adobe Acrobat Online) funktioniert auf die gleiche Weise. Die Datei muss irgendwo auf einem Server sein, um von diesem Server verarbeitet zu werden. Die Frage ist nicht, ob Smallpdf das verantwortungsvoll tut (das tun sie), sondern ob das Cloud-Modell selbst für das Dokument geeignet ist, das Sie verarbeiten.

Smallpdfs Sicherheits- und Compliance-Position

Smallpdfs veröffentlichte Sicherheits- und Compliance-Position 2026 ist nach SaaS-Standards stark. Dies sind Smallpdfs eigene Angaben:

Schweizer Unternehmen: Smallpdf AG, eingetragen in Zürich, tätig nach dem Schweizer Bundesgesetz über den Datenschutz
EU-Server-Infrastruktur für hochgeladene Dateien, die die Verarbeitung im Geltungsbereich der GDPR hält
ISO/IEC 27001-zertifiziert, mit jährlichen Audits, laut Smallpdf. Die Website nennt keine Zertifizierungsstelle und kein Zertifikatsdatum
GDPR-, CCPA-, nFADP-konform, nach eigener Aussage, mit einer veröffentlichten Datenverarbeitungsvereinbarung
TLS-Verschlüsselung für Dateien bei der Übertragung
Verschlüsselung im Ruhezustand: Smallpdfs Website erwähnt sie nicht. Die DPA sagt nur, dass Daten bei der Übertragung verschlüsselt werden
Automatische Löschung nach einer Stunde, angegeben auf den Tool-Seiten

Bei unserer Prüfung im September 2026 haben wir auf Smallpdfs eigener Website keine Offenlegung einer Datenpanne gefunden. Das Unternehmen veröffentlicht, was es speichert und wie lange. Die vollständige Liste der Unterauftragsverarbeiter ist nur auf Anfrage erhältlich. Wenn Sie Smallpdf im Beschaffungsprozess anhand einer Checkliste als Anbieter prüfen, erfüllt es die Kriterien, auf die die meisten Unternehmenskunden achten.

Wo das Cloud-Modell zum tatsächlichen Risiko wird

Die Stärke von Smallpdfs Sicherheit ändert nichts an der strukturellen Tatsache, dass Ihr Dokumentinhalt Ihr Gerät verlässt. Für bestimmte Dokumentkategorien ist diese einzige Tatsache das Risiko, unabhängig davon, wie gut der empfangende Server gesichert ist.

Rechtliche Dokumente

Verträge, NDAs, M&A-Entwürfe, Discovery-Unterlagen aus Rechtsstreitigkeiten. Viele Mandatsvereinbarungen von Kanzleien und Geheimhaltungsvereinbarungen von Unternehmen verbieten ausdrücklich, Mandantendokumente ohne vorherige schriftliche Zustimmung oder eine unterzeichnete Auftragsverarbeitungsvereinbarung an externe Auftragsverarbeiter zu übermitteln. Den Vertragsentwurf eines Mandanten beiläufig in ein öffentliches Web-Tool zu ziehen, kann bereits ein Vertragsbruch sein, bevor sich irgendein technisches Risiko verwirklicht.

Medizinische Unterlagen

Patientenakten, Laborergebnisse, Versicherungsformulare. In den USA verlangt HIPAA ein Business Associate Agreement mit jedem Anbieter, der Protected Health Information verarbeitet. Smallpdfs Seite zum Schwärzungstool nennt HIPAA unter den Vorschriften, deren Einhaltung das Schwärzen erleichtern kann, aber Smallpdf erhebt selbst keinen Anspruch auf HIPAA-Konformität, und bei unserer Prüfung im September 2026 haben wir auf der Website kein BAA gefunden. In der EU unterliegen Gesundheitsdaten als besondere Kategorie nach Artikel 9 GDPR strengeren Verarbeitungsanforderungen, die ein formloser Upload in ein kostenloses SaaS-Tool nicht erfüllt.

Finanz- und Steuerdokumente

Steuererklärungen, Kontoauszüge, Gehaltsabrechnungen, Depotauszüge. Über die Compliance-Seite hinaus enthalten diese Dokumente Kontonummern, Steuer-IDs und Identitätsdaten, die für Betrüger einen direkten Wert haben, wenn sie abgefangen werden, auch bei starker Verschlüsselung während der Übertragung.

Quellcode, interne Berichte, IP-sensitive Dokumente

Unveröffentlichte Produktspezifikationen, M&A-Materialien, Quellcode-Ausdrucke, Board-Memos. Das Risiko ist hier weniger regulatorischer als wettbewerblicher Natur: Sobald vertrauliches Geschäftsmaterial auf dem Server eines Drittanbieters liegt, ist diese Kopie nur eine Datenpanne, eine gerichtliche Anordnung oder eine Fehlkonfiguration davon entfernt, offengelegt zu werden.

Für diese Dokumenttypen ist die Frage nicht „Ist Smallpdf sicher?" sondern „Sollte dieses Dokument überhaupt auf dem Server eines Drittanbieters liegen?" Für die meisten Fachleute, die sensible Materialien verarbeiten, ist die Antwort nein, auch wenn der Dritte seriös ist.

Die Einschränkungen des kostenlosen Plans, die Sie kennen sollten

Unabhängig von der Datenschutz-Diskussion kommt Smallpdfs kostenloser Plan 2026 mit Limits, an die Sie schnell stoßen:

Tägliche Obergrenze: Laut Hilfecenter können kostenlose Nutzer bis zu 2 Konvertierungen pro Tag verarbeiten, und die Preisseite führt bei den meisten Tools ein tägliches Download-Limit auf
Konto für einige Funktionen nötig, etwa für das Teilen einer Datei. Mehrere Tools, darunter Signieren und Entsperren, geben an, kein Konto zu benötigen
Wasserzeichen bei einigen kostenlosen Downloads: Smallpdfs eigener Download-Dialog bietet eine Datei mit Wasserzeichen kostenlos und eine saubere mit Pro an
Signaturanfragen laufen über Sign.com, wo ein kostenloses Konto auf 2 Dokumente pro Monat begrenzt ist
Offline-Nutzung heißt Desktop-App: Die Web-Tools brauchen eine Verbindung, da die Verarbeitung auf Smallpdfs Servern erfolgt. Die Offline-Desktop-App lässt sich mit einigen Tools (einfache Komprimierung, der Reader, Split) kostenlos herunterladen, und der volle Umfang kommt mit Pro

Für gelegentliche Nutzer kann der kostenlose Plan ausreichen. Wer PDFs regelmäßig bei der Arbeit verarbeitet, wird durch die tägliche Obergrenze typischerweise zum Pro-Abonnement gedrängt, das monatlich oder jährlich abgerechnet wird.

Wie browserbasierte PDF-Tools das Modell verändern

Es gibt eine grundlegend andere Architektur, die sich seit 2023 erheblich entwickelt hat: PDF-Verarbeitung, die vollständig in Ihrem Browser mit WebAssembly läuft. Kein Upload, keine serverseitige Verarbeitung, keine Aufbewahrungsfrist, um die man sich sorgen müsste, denn das Dokument verlässt Ihr Gerät gar nicht erst.

Dies ist die Architektur, die HonestPDF nutzt. Wenn Sie zusammenführen, schwärzen, signieren, komprimieren oder eine PDF konvertieren, erfolgt die gesamte Verarbeitung in Ihrem Browser mit denselben Compute-Ressourcen, die die Seite rendern, die Sie lesen. Es gibt überhaupt keinen Upload-Endpunkt für Tool-Dateien. Sie können dies direkt überprüfen: Laden Sie das Tool, trennen Sie die Internetverbindung, und das Tool funktioniert weiter. Versuchen Sie dasselbe mit einem beliebigen Cloud-PDF-Service, und er bricht sofort ab.

Die Kompromisse sind ehrlich. Browserbasierte Tools hängen davon ab, dass Ihr Gerät genug Speicher für sehr große Dateien hat (eine gescannte PDF mit 500 Seiten belastet ein Telefon stärker als eine Workstation). Für sehr spezialisierte Operationen wie großflächige OCR bei schlechten Scans hat spezialisierte Desktop-Software immer noch einen Vorsprung bei reiner Genauigkeit. Aber für die alltägliche datenschutzsensible Arbeit (Schwärzen, Zusammenführen, Signieren, Komprimieren, Konvertieren, einfache OCR) beseitigt das browserbasierte Modell die gesamte Risikokategorie, die das Cloud-Modell schafft.

Im direkten Vergleich: Wann welcher Ansatz sinnvoll ist

Smallpdf ist eine angemessene Wahl, wenn:

Sie unkritische Dokumente verarbeiten (öffentliche PDFs, Marketingmaterialien, generische Berichte)
Sie eine Funktion benötigen, die nur ausgereifte SaaS-Plattformen bieten (Signaturanfragen an mehrere Unterzeichner mit Aktivitätszeitleiste und Abschlusszertifikat)
Ihre Organisation eine unterzeichnete Auftragsverarbeitungsvereinbarung (DPA) hat, die Smallpdf abdeckt
Ihnen die einheitliche Darstellung über alle Geräte hinweg wichtig ist

Ein browserbasiertes Tool wie HonestPDF ist die sicherere Wahl, wenn:

Das Dokument vertraulich, rechtlich privilegiert oder reguliert ist
Sie Kundendaten verarbeiten und keine Auftragsverarbeitungsvereinbarung mit dem Cloud-Anbieter unterzeichnet haben
Sie die täglichen Aufgabenlimits und Wasserzeichen kostenloser Pläne vermeiden möchten
Sie offline oder in eingeschränkten Netzwerkumgebungen arbeiten müssen
Sie einfach möchten, dass die Dokumente, die Sie verarbeiten, Ihr Gerät nie verlassen

Keiner der Ansätze ist immer der richtige. Die Antwort hängt vom konkreten Dokument und vom konkreten Kontext ab.

Eine praktische Workflow-Empfehlung

Für die meisten Fachleute sieht der sauberste Workflow 2026 so aus: Verwenden Sie standardmäßig ein browserbasiertes Tool für jedes Dokument, das Kundendaten, finanzielle Informationen, Gesundheitsinformationen oder alles unter einer NDA enthält. Heben Sie sich Cloud-PDF-Services für wirklich öffentliche Dokumente auf, bei denen die Bequemlichkeit den Kompromiss überwiegt. So entfällt die mühsame Einzelfallabwägung, ob ein Dokument „sensibel genug ist, um sich Sorgen zu machen", und an ihre Stelle tritt eine Gewohnheit, die von vornherein sicher ist.

Wenn Sie den browsergestützten Ansatz testen möchten, ohne Ihre Gewohnheiten zu ändern, wählen Sie die nächste vertrauliche PDF, die Sie hochgeladen hätten, und verarbeiten Sie sie stattdessen lokal. Das Ergebnis ist dasselbe. Das Risiko nicht.

Häufig gestellte Fragen

Wurde Smallpdf gehackt?

Bei unserer Prüfung im September 2026 haben wir auf Smallpdfs eigener Website keine Offenlegung einer Datenpanne gefunden, und uns ist kein öffentlich gemeldeter Vorfall bekannt, bei dem Benutzerdateien betroffen waren. Smallpdf gibt an, nach ISO/IEC 27001 zertifiziert zu sein und jährlich auditiert zu werden. Das strukturelle Problem bei Smallpdf sind nicht frühere Datenpannen, sondern die Architektur selbst: Jede verarbeitete Datei liegt während der Verarbeitung auf den Servern des Anbieters, eine Risikokategorie, die browserbasierte Tools vollständig beseitigen.

Ist Smallpdf GDPR-konform?

Smallpdf gibt an, es zu sein. Es veröffentlicht eine Datenverarbeitungsvereinbarung, verarbeitet hochgeladene Dateien auf Servern in der Europäischen Union und unterliegt sowohl dem Schweizer Bundesgesetz über den Datenschutz als auch der GDPR. Wenn Ihre Organisation der GDPR unterliegt, müssen Sie bei der Nutzung von Smallpdf typischerweise trotzdem Ihre eigene Datenschutzerklärung anpassen und Smallpdf darin als externen Auftragsverarbeiter offenlegen. Ein browserbasiertes Tool, das Dateien nicht hochlädt, eliminiert diese Offenlegungsverpflichtung vollständig.

Ist Smallpdf sicher für rechtliche oder medizinische Dokumente?

Smallpdf dokumentiert eine solide grundlegende Sicherheit, aber für rechtliche und medizinische Dokumente ist die relevante Frage eher vertraglich und regulatorisch als technisch. Viele Mandatsvereinbarungen von Kanzleien und HIPAA Business Associate Agreements beschränken die Übermittlung von Mandanten- oder Patientendokumenten an SaaS-Tools von Drittanbietern ohne vorherige schriftliche Vereinbarung. Für diese Dokumentkategorien ist ein browserbasiertes PDF-Tool, das die Datei niemals überträgt, die sauberere Compliance-Position.

Wie lange speichert Smallpdf meine Dateien?

Laut Smallpdfs Hilfecenter bei den meisten Tools eine Stunde nach der Verarbeitung. Die Datenschutzerklärung ergänzt die Details: Mit einem Konto werden Dateien innerhalb einer Stunde gelöscht, sofern Sie sie nicht im Dateispeicher sichern, und eine gespeicherte Datei, die Sie löschen, wird in der Regel innerhalb von 14 Tagen entfernt. Ohne Konto sagt die Datenschutzerklärung nur eine angemessene Frist nach dem letzten Öffnen der Datei zu, während die Datenverarbeitungsvereinbarung eine Stunde oder zwei Wochen nennt, je nachdem, ob ein Konto genutzt wird; die beiden Angaben stimmen nicht überein. Dateien im Kontospeicher, ob kostenlos oder kostenpflichtig, bleiben, bis Sie sie löschen. Bei einem browserbasierten Tool stellt sich die Aufbewahrungsfrage nicht, weil keine Datei jemals auf einem Server gespeichert wird.

Kann ich Smallpdf offline nutzen?

Nicht im Browser. Smallpdfs Web-Tools erfordern eine Internetverbindung, da die Verarbeitung auf ihren Servern erfolgt. Die Offline-Nutzung erfordert die Smallpdf Desktop App, die sich mit einigen einfachen Tools kostenlos herunterladen lässt; der volle Funktionsumfang erfordert den kostenpflichtigen Pro-Plan. Wenn Sie in Umgebungen mit eingeschränktem oder fehlendem Internetzugang mit PDFs arbeiten müssen, benötigen Sie entweder Desktop-Software oder ein browserbasiertes Tool, das einmal geladen wird und dann lokal läuft.

Bereit für den Wechsel?

Wenn Sie bis hierher gelesen haben und Ihre Dateien lieber nicht von Ihrem Gerät geben möchten, lautet die nächste Frage meist, wie sich die Tools im direkten Vergleich schlagen. Wir haben einen ausführlichen Vergleich Funktion für Funktion erstellt, der Preise, Nutzungslimits, Wasserzeichen und die Stärken jedes Tools abdeckt: HonestPDF vs Smallpdf.

Das Fazit

Smallpdf ist ein gut geführter, sicherheitsbewusster Cloud-PDF-Service, der seine Compliance dokumentiert. Für nicht sensible Dokumente ist es in Ordnung. Für sensible Dokumente liegt das Problem nicht speziell bei Smallpdf, sondern beim Cloud-Modell selbst. Browserbasierte Tools, die Dateien lokal verarbeiten, entfernen den Upload-Schritt, der das Risiko überhaupt erst entstehen lässt.

Wenn Sie regelmäßig mit vertraulichen PDFs arbeiten, ist der praktische Schritt, standardmäßig ein Tool zu verwenden, das Ihre Dateien nie sieht, und Cloud-Services für die Dokumente aufzuheben, bei denen es Ihnen wirklich gleichgültig ist, wer sie sonst noch sehen könnte.

Probieren Sie die datenschutzorientierten PDF-Tools von HonestPDF aus: Jedes Tool läuft vollständig in Ihrem Browser, ohne Uploads, ohne Konten und ohne tägliche Limits.