Datenschutz bei Video-Konvertern: warum lokal besser ist

Wer Videos online konvertiert, überträgt sie typischerweise an einen Server. Bei Marketing-Inhalten ist das kein Problem. Sobald aber personenbezogene Daten im Video sind, Mitarbeiter-Schulungen, Patienten-Aufnahmen, Mitschnitte interner Meetings, Bewerbungsvideos, wird daraus eine datenschutzrechtliche Frage mit handfesten Konsequenzen.

avi-gif.de ist Browser-only. Das bedeutet, dass die Konvertierung komplett auf Deinem Gerät stattfindet und keine Daten an unsere Server übertragen werden. Aus DSGVO-Sicht ist das nicht nur ein Marketing-Bonus, sondern ein qualitativer Unterschied.

Wann werden Videos zu personenbezogenen Daten?

Ein Video ist personenbezogenes Datum, wenn darin eine natürliche Person identifizierbar ist. Das ist breit auszulegen:

• Gesicht erkennbar (üblicher Fall)
• Stimme erkennbar im Audio-Track
• erkennbare Tattoos, Narben oder andere Körpermerkmale
• Kontext-Information, die in Verbindung mit dem Video Identifikation erlaubt (Name im Hintergrund, Schreibtisch-Schild, sichtbare Mitarbeiter-Karte)

Aus dem Erwägungsgrund 26 zur DSGVO: identifizierbar ist eine Person, wenn mit den verfügbaren Mitteln eine Zuordnung möglich ist. Bei Videos ist diese Schwelle praktisch immer überschritten, sobald Personen darin auftauchen.

GIF-Konvertierung macht die Daten nicht weniger personenbezogen. Das Endprodukt ist immer noch erkennbar, oft sogar besser sichtbar als das Original (durch Schärfung und Frame-Selektion).

Drei Wege, an Datenschutz zu scheitern

Erstens: ein Online-Konverter, der die Datei auf seinen Server lädt. Diese Variante ist die häufigste und die rechtlich heikelste. Sobald die Datei den eigenen Gerätekreis verlässt, ist eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO nötig. Ohne abgeschlossenen Auftragsverarbeitungsvertrag (AVV) ist die Übertragung rechtswidrig.

Zweitens: ein Anbieter in einem Drittstaat ohne Angemessenheits-Beschluss. Insbesondere US-Cloud-Anbieter sind seit dem EuGH-Urteil Schrems II (C-311/18, 2020) kritisch. Der Privacy Shield wurde gekippt. Der Nachfolge-Mechanismus Trans-Atlantic Data Privacy Framework (TADPF) seit 2023 gibt eine Grundlage, ist aber juristisch umstritten und kann jederzeit gekippt werden. Wer auf der sicheren Seite sein will, vermeidet US-gehostete Konverter.

Drittens: die Datei wird “nur zwischengespeichert” und dann gelöscht. Auch eine kurze Speicherung ist Verarbeitung. Ohne Rechtsgrundlage (typischerweise Einwilligung der gefilmten Person oder berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO) ist es ein Verstoss. Auch wenn der Anbieter behauptet, sofort zu löschen, muss die Löschpflicht im AVV dokumentiert sein.

Die rechtliche Vereinfachung durch Browser-only

Bei avi-gif.de wird nichts übertragen. Die Konvertierung passiert lokal mit ffmpeg.wasm im Browser. Das hat direkte rechtliche Konsequenzen:

• Art. 28 DSGVO (Auftragsverarbeitung) greift nicht. Es findet keine Verarbeitung im Auftrag statt, weil wir die Daten nicht verarbeiten.
• Art. 32 DSGVO (Sicherheit der Verarbeitung) ist trivial erfüllt: keine Übertragung bedeutet keine Drittstaaten-Frage, kein Verschlüsselungs-Audit, kein Server-Penetration-Test.
• Drittstaaten-Übertragung (Kap. V DSGVO) entfällt vollständig. Selbst wenn unsere Webseite auf US-Servern läge, würden die Videos diese Server nie erreichen.
• Recht auf Löschung (Art. 17 DSGVO) wird durch das Schliessen des Browser-Tabs umgesetzt. Es gibt nichts zu löschen.

Aus Sicht der oder des Verantwortlichen im Unternehmen (typischerweise der DSB) ist Browser-only eine starke Vereinfachung der DSGVO-Prüfung.

Wann ist Browser-only nicht genug?

Browser-only löst die Übertragungsfrage. Andere DSGVO-Aspekte bleiben:

• Rechtsgrundlage für die ursprüngliche Aufnahme (Art. 6 DSGVO). Du musst die Person, die im Video ist, vorher informiert oder ihre Einwilligung haben.
• Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): das konvertierte GIF muss eine festgelegte Löschfrist haben.
• Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): das Video wurde mit einem Zweck aufgenommen (z.B. interne Schulung). Die Umwandlung in ein Marketing-GIF ist ein neuer Zweck und braucht eine eigene Rechtsgrundlage.
• Betroffenenrechte (Art. 15 ff DSGVO): die Person hat Auskunfts-, Berichtigungs- und Löschungsrechte, auch nach der Konvertierung.

Browser-only ist eine wesentliche Komponente der DSGVO-konformen Verarbeitung, aber kein Freibrief.

Ein Praxis-Beispiel: HR-Bewerbungsvideo

Eine Personalabteilung erhält Bewerbungsvideos im AVI-Format und will sie an die Fachabteilung weiterleiten. Die Fachabteilung kann mit AVI nichts anfangen und braucht GIF-Vorschauen.

Falscher Weg: AVI auf einen US-Cloud-Konverter laden, GIF herunterladen, an Fachabteilung schicken. Mehrfache DSGVO-Probleme: Übertragung in Drittstaat, fehlender AVV mit Konverter-Anbieter, neuer Verarbeitungszweck.

Richtiger Weg: avi-gif.de im Browser öffnen, AVI per Drag-and-Drop reinziehen, GIF lokal konvertieren, dann im internen DMS oder Intranet teilen. Keine externe Übertragung. Verarbeitung bleibt im Unternehmens-Gerätekreis.

Voraussetzung: die Bewerber haben in der Datenschutzhinweise zugestimmt, dass ihr Video intern zur Bewerbungs-Bewertung verwendet wird. Die GIF-Erstellung ist Teil dieser Verarbeitung, kein neuer Zweck.

Was wir auf avi-gif.de selber sammeln

Damit das Bild komplett ist: wir setzen auf avi-gif.de zwei Drittanbieter-Skripte ein, die nach Einwilligung im Cookie-Banner geladen werden:

• Adition / ad-srv.net für Werbung (Virtual Minds GmbH, Freiburg, DE-Hosting)
• Umami als cookieloses Analyse-Werkzeug (selbst-gehostet auf einer AKARA-Subdomain, IP-Hashing)

Beide sehen nichts von Deinem Video, weil das Video unseren Server nie erreicht. Sie sehen den Seitenaufruf, die Verweildauer und grobe Geräte-Daten. Details stehen in der Datenschutzerklärung.

Eine kurze Empfehlung

Wer in einem Umfeld mit datenschutzrelevanten Videos arbeitet (HR, Healthcare, Bildung, Behörden, Anwaltskanzleien), sollte als Default-Setting Browser-only-Tools wählen. Der Compliance-Aufwand ist niedriger, die rechtlichen Risiken kleiner. avi-gif.de ist ein Beispiel dafür, aber die gleiche Logik gilt für alle Werkzeuge in dieser Kategorie. Im Zweifel lohnt sich der Blick in die Datenschutzerklärung des Anbieters: wird die Datei überhaupt übertragen? Wenn ja, ist die Prüfung umfangreich. Wenn nein, ist die rechtliche Situation deutlich einfacher.