Brauche ich einen Vertrag, wenn ich einen Online-Konverter nutze?

Verarbeitet ein Dienst personenbezogene Daten in Ihrem Auftrag auf seinen Servern, ist dafür in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig. Rechnet ein Werkzeug ausschließlich lokal in Ihrem Browser und übermittelt die Daten nicht, stellt sich diese Frage für die Umwandlung nicht. Im Zweifel klären Sie das mit Ihrer oder Ihrem Datenschutzbeauftragten.

Woran erkenne ich, dass ein Konverter lokal arbeitet?

Im Netzwerk-Tab der Entwicklerwerkzeuge des Browsers sehen Sie, ob beim Umwandeln eine Anfrage mit Ihren Daten abgeht. Zusätzlich sollte die Datenschutzerklärung des Anbieters ausdrücklich sagen, was mit eingegebenen Daten geschieht.

Verlässt meine CSV bei csv-json.de das Gerät?

Nein. Der Konverter rechnet in Ihrem Browser, Eingaben und Dateien werden weder gesendet noch gespeichert. Die Seite lädt jedoch Werbung und eine Reichweitenmessung nach. Diese Dienste erhalten die technischen Daten eines Seitenaufrufs, nicht den Inhalt Ihrer Datei. Die Einzelheiten stehen in der Datenschutzerklärung.

CSV umwandeln und Datenschutz: lokal oder per Upload

Eine CSV-Datei ist unscheinbar: Text mit Trennzeichen. Sie kann aber eine komplette Kundenliste, eine Gehaltsübersicht oder Bestelldaten enthalten. Wer sie mit einem Online-Werkzeug umwandelt, sollte wissen, wohin die Daten dabei gehen.

Zwei Arten von Online-Konvertern

Verarbeitung auf dem Server. Die Seite lädt die Datei hoch, ein Server wandelt sie um und schickt das Ergebnis zurück. Die Daten verlassen Ihr Gerät und liegen zumindest zeitweise beim Betreiber.

Verarbeitung im Browser. Die Seite liefert nur das Programm aus, die Umwandlung läuft in JavaScript auf Ihrem Gerät. Die Daten bleiben dort. Das ist bei csv-json.de der Fall.

Was Sie von einem konkreten Anbieter tatsächlich haben, steht in dessen Datenschutzerklärung. Diesen Vergleich kann man selbst prüfen: Öffnen Sie die Entwicklerwerkzeuge Ihres Browsers (meist F12), wechseln Sie in den Tab „Netzwerk“ und wandeln Sie eine Beispieldatei um. Eine Anfrage, die Ihre Daten überträgt, wäre dort sichtbar.

Was das rechtlich bedeutet

Enthält eine CSV personenbezogene Daten, gilt die Datenschutz-Grundverordnung. Wer sie auf einem fremden Server verarbeiten lässt, schaltet einen Dienstleister ein. Handelt dieser in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Bei einem anonymen Gratis-Dienst gibt es einen solchen Vertrag meist nicht. Dazu kommen Fragen der Übermittlung in Drittländer und der Speicherdauer.

Bei rein lokaler Verarbeitung entfällt der Dienstleister für die Umwandlung selbst. Das heißt nicht, dass keine Pflichten bleiben: Sie sind weiterhin für die Daten verantwortlich, etwa dafür, dass Sie sie überhaupt verarbeiten dürfen und sie sicher aufbewahren. Eine verbindliche Einschätzung für Ihren Fall geben Datenschutzbeauftragte oder Anwälte. Dieser Beitrag tut das nicht.

RFC 4180 und Codierung

Unabhängig vom Datenschutz entscheidet die Technik über die Qualität des Ergebnisses. RFC 4180 beschreibt das übliche CSV-Format: Felder mit Trennzeichen, Anführungszeichen oder Zeilenumbruch stehen in Anführungszeichen, ein Anführungszeichen im Wert wird verdoppelt. Der RFC ist informativ und kein verbindlicher Standard, viele Dateien weichen ab. Der Konverter ist bei den üblichen Abweichungen nachsichtig: Er akzeptiert Semikolon, Tabulator und Pipe als Trennzeichen sowie die Zeilenenden CRLF, LF und CR.

JSON nach RFC 8259 ist beim Austausch zwischen Systemen UTF-8. Ein BOM am Dateianfang ist dort nicht vorgesehen, Excel setzt es bei „CSV UTF-8“ aber trotzdem. Der Konverter entfernt es beim Einlesen. Dateien, die kein gültiges UTF-8 sind, liest er als Windows-1252 und weist darauf hin.

Checkliste vor der Umwandlung

Enthält die Datei personenbezogene Daten? Wenn ja, prüfen Sie, ob das Werkzeug lokal arbeitet.
Steht dazu etwas in der Datenschutzerklärung des Anbieters?
Sind nur die Spalten enthalten, die Sie wirklich brauchen? Entfernen Sie überflüssige Spalten vorher.
Wo landet das Ergebnis? Eine heruntergeladene JSON-Datei liegt anschließend unverschlüsselt auf Ihrem Gerät.

csv-json.de im Einzelnen

Der Konverter speichert nichts und sendet nichts: Eingaben, Dateien und Ergebnisse bleiben im Arbeitsspeicher Ihres Browsers, bis Sie die Seite schließen. Die Seite selbst bindet Werbung ein und misst die Reichweite. Welche Daten dabei anfallen, beschreibt die Datenschutzerklärung. Wie der Konverter arbeitet, steht auf der Seite Methodik.

Worauf es ankommt

Prüfen Sie bei sensiblen CSV-Dateien, wohin das Werkzeug die Daten schickt. Lokale Verarbeitung nimmt der Umwandlung selbst den Dienstleister, ersetzt aber nicht Ihre eigenen Pflichten als Verantwortlicher. Praktische Hinweise zur Umwandlung finden Sie in der Anleitung.