Dokumente richtig schwärzen — Schritt für Schritt DSGVO-konform

Wer ein Dokument schwärzen will, meint meistens: schwarzer Balken drüber und fertig. Genau das ist der Fehler. Richtig geschwärzt ist ein Dokument erst, wenn der Text wirklich weg ist, nicht nur verdeckt. Dieser Beitrag zeigt, was "richtig schwärzen" bedeutet, wo die häufigsten Fehler liegen und wie Sie es Schritt für Schritt umsetzen.

Kurzantwort: Dokumente richtig schwärzen bedeutet, den Text physisch und irreversibel aus dem PDF zu entfernen — nicht nur optisch durch einen schwarzen Balken zu verdecken. Nur dann ist der Inhalt wirklich geschützt, DSGVO-konform und vor Rekonstruktion sicher.

Schwärzen ist nicht gleich schwärzen. Ein schwarzes Rechteck über einem Wort sieht auf dem Bildschirm aus wie Schwärzung, ist aber nur eine optische Überlagerung. Der Text darunter bleibt im PDF erhalten und lässt sich mit einem Texteditor oder durch Kopieren wiederherstellen. Richtig geschwärzt bedeutet: der Text wird physisch aus dem Dokument entfernt, sodass er weder lesbar noch rekonstruierbar ist. Genau das fordert die DSGVO, wenn personenbezogene Daten nicht mehr gebraucht werden.

• Balken statt Entfernung: Der Text bleibt kopierbar. Eine Stichprobe öffentlich indizierter PDFs fand bei rund jedem sechsten Dokument noch auswählbaren Text unter der Schwärzung.
• Metadaten vergessen: Kommentare, Lesezeichen und PDF-Eigenschaften enthalten oft weiter Namen oder IBANs. Im AstraZeneca-Bericht enthielten die Lesezeichen den geschwärzten Text im Klartext.
• Zu viel schwärzen: Wer komplette Seiten unlesbar macht, riskiert, dass Behörden oder Gegenparteien das Dokument ablehnen.
• Nicht kontrollieren: Vor dem Versand sollte die Schwärzung getestet werden. Der einfachste Test: die Stelle markieren und versuchen, den Text zu kopieren.

Gemäß den Hinweisen der Landesdatenschutzbeauftragten — etwa der Landesbeauftragten für den Datenschutz Niedersachsen (LfD Niedersachsen), des Sächsischen Datenschutzbeauftragten (SächsDSB) und des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) — reicht eine optische Abdeckung allein nicht aus. Die Behörden stellen in ihren Handreichungen zur Akteneinsicht und zu IFG-Auskunftsersuchen wiederholt klar, dass der Text aus dem Dokument physisch entfernt werden muss, sonst ist die Schwärzung nicht DSGVO-konform.

1. Dokument hochladen (PDF; gescannte Seiten über OCR).
2. Automatische Erkennung personenbezogener Daten starten — Namen, IBANs, E-Mail-Adressen, Telefonnummern, Adressen, Sozialversicherungsnummern.
3. Jeden Vorschlag prüfen und nur bestätigen, was für den jeweiligen Zweck nicht nötig ist.
4. Metadaten, Kommentare und Lesezeichen mitbereinigen.
5. Ergebnis testen: die geschwärzte Stelle markieren — es darf kein Text erscheinen.
6. Audit-Log sichern, falls später jemand fragt, was geschwärzt wurde und warum.

Kontoauszüge für das Jobcenter, Rechnungen vor der Weitergabe, Personalakten bei Akteneinsicht, Verträge mit IBANs, Behördenpost im IFG-Verfahren. Überall gilt dasselbe Prinzip: nur die Daten verarbeiten, die für den Zweck wirklich nötig sind, den Rest irreversibel entfernen.

Manuell schwärzen ist nicht nur langsam, sondern fehleranfällig. Automatische Erkennung mit anschließender menschlicher Prüfung ist schneller und sicherer. Datenmaske kombiniert regelbasierte Muster (Regex für IBAN, E-Mail, Telefon) mit Namenserkennung (NER), entfernt den Text irreversibel aus dem PDF und bereinigt die Metadaten — alles auf EU-Servern, ohne externe KI-Dienste.

Kurz gesagt: richtig schwärzen heißt entfernen, nicht abdecken. Wer sich daran hält, vermeidet Datenlecks und DSGVO-Bußgelder und hat mit dem Audit-Log auch den Nachweis in der Hand. Sie können ein PDF kostenlos schwärzen — mit dem Free-Check von Datenmaske.