Online-Tools zum Filtern von Fotos werben gern mit dem Versprechen kein Upload, kein Konto, DSGVO-konform. Für viele klingt das zunächst nach Marketing. Tatsächlich steckt dahinter eine technische Architektur, die einen handfesten rechtlichen Unterschied macht. Der Kern ist einfach: Es gibt zwei grundverschiedene Wege, ein Bild im Web zu bearbeiten. Entweder die Datei wandert auf einen Server des Anbieters, oder sie wird vollständig im Browser der nutzenden Person verarbeitet. Im zweiten Fall sieht der Anbieter das Bild nie. Und nur was ein Verantwortlicher tatsächlich erhält, kann er im Sinne der DSGVO verarbeiten.
Cloud-Upload gegen clientseitige Verarbeitung
Beim klassischen Cloud-Modell lädt der Browser die Bilddatei über eine HTTP-Anfrage zum Server. Dort wird das Foto entgegengenommen, in den Arbeitsspeicher oder auf eine Festplatte geschrieben, mit serverseitiger Software gefiltert und das Ergebnis zurückgesendet. In dieser Sekunde liegen die Bilddaten beim Anbieter. Genau dieser Moment löst die Pflichten der DSGVO aus, sofern auf dem Bild Personen erkennbar sind.
Bei der clientseitigen Verarbeitung passiert nichts davon. Die Webseite liefert einmalig HTML, CSS und JavaScript aus. Sobald dieser Code im Browser läuft, wählen Sie eine lokale Datei aus. Der Browser liest sie über die File-API direkt von Ihrer Festplatte in den Arbeitsspeicher. Die Filter rechnen lokal, das Ergebnis speichern Sie wieder lokal. Es gibt keine zweite Anfrage, die das Bild irgendwohin schickt. Das folgende Diagramm stellt beide Wege gegenüber.
Wie die Filter technisch im Browser entstehen
Moderne Browser bringen alles mit, um Bilder zu manipulieren, ohne dass eine einzige Pixelinformation das Gerät verlässt. Zwei Bausteine tragen die Arbeit: CSS-Filterfunktionen für die Vorschau und die Canvas-2D-API für den Export.
Die CSS-Eigenschaft filter erlaubt es, ein Bild in Echtzeit darzustellen, als wäre es bearbeitet. Funktionen wie brightness(), contrast(), saturate(), sepia() oder hue-rotate() werden von der Grafikkarte gerendert. Das Originalbild im DOM bleibt unverändert, nur die Anzeige wird umgerechnet. Das ist schnell und kostet keinen Serverkontakt.
Für den Download muss der Effekt aber dauerhaft in die Pixel geschrieben werden. Hier kommt die Canvas-API ins Spiel. Das Bild wird in ein <canvas>-Element gezeichnet, der Grafikkontext übernimmt dieselben Filter, und mit canvas.toBlob() entsteht eine neue Bilddatei im Arbeitsspeicher. Diese wird über einen lokalen Objekt-URL zum Download angeboten. Der folgende, vereinfachte Ausschnitt zeigt das Prinzip.
// 1. Lokale Datei lesen, ganz ohne Server
const file = input.files[0];
const bitmap = await createImageBitmap(file);
// 2. Auf Canvas zeichnen und Filter anwenden
const canvas = document.createElement('canvas');
canvas.width = bitmap.width;
canvas.height = bitmap.height;
const ctx = canvas.getContext('2d');
ctx.filter = 'brightness(1.1) contrast(1.2) saturate(1.3)';
ctx.drawImage(bitmap, 0, 0);
// 3. Ergebnis lokal als Datei erzeugen, keine Netzwerk-Anfrage
canvas.toBlob((blob) => {
const url = URL.createObjectURL(blob);
const a = document.createElement('a');
a.href = url; a.download = 'gefiltert.jpg';
a.click();
URL.revokeObjectURL(url);
}, 'image/jpeg', 0.92);Entscheidend ist, dass in diesem gesamten Ablauf keine Funktion vorkommt, die Daten nach außen sendet. Es gibt kein fetch() mit dem Bild im Body, kein Formular-Upload, keine WebSocket-Verbindung. Der Browser arbeitet ausschließlich mit Objekten im eigenen Arbeitsspeicher. Die offizielle Dokumentation der Canvas-API beim Mozilla Developer Network beschreibt genau diese lokale Verarbeitung als vorgesehenen Anwendungsfall.
Was die DSGVO unter Verarbeitung versteht
Die rechtliche Bewertung hängt an einem zentralen Begriff. Art. 4 Nr. 2 DSGVO definiert Verarbeitung als jeden Vorgang im Zusammenhang mit personenbezogenen Daten, etwa das Erheben, Erfassen, Speichern, Auslesen, Verwenden oder Übermitteln. Adressat dieser Pflichten ist nach Art. 4 Nr. 7 der Verantwortliche, also derjenige, der über Zwecke und Mittel der Verarbeitung entscheidet.
Bei einem clientseitigen Tool entscheidet zwar der Anbieter, welche Filtertechnik der Browser nutzt. Er erhält die Bilddaten aber zu keinem Zeitpunkt. Es gibt damit auf seiner Seite keinen Vorgang des Erhebens, Speicherns oder Übermittelns von Bilddaten. Ohne diesen Vorgang fehlt der tatsächliche Anknüpfungspunkt für die meisten DSGVO-Pflichten, die das Bild betreffen. Anders als beim Cloud-Anbieter, der das Foto auf seinem Server hält, verarbeitet der clientseitige Anbieter das Bild schlicht nicht.
Ein zweiter Punkt betrifft die nutzende Person selbst. Wer privat eigene oder fremde Fotos am eigenen Rechner bearbeitet, fällt unter die sogenannte Haushaltsausnahme aus Art. 2 Abs. 2 lit. c DSGVO. Die Verordnung gilt nicht für die Verarbeitung zu ausschließlich persönlichen oder familiären Zwecken. Die rein lokale Bildbearbeitung für private Zwecke ist also doppelt unkritisch: kein Datenfluss zum Anbieter und für die Privatperson eine ausgenommene Tätigkeit.
Cloud gegen clientseitig im direkten Vergleich
Die folgende Tabelle fasst zusammen, an welchen Stellen sich die beiden Architekturen datenschutzrechtlich unterscheiden.
| Kriterium | Cloud-Upload | Clientseitig (Browser) |
|---|---|---|
| Bild verlässt das Gerät | Ja, Übertragung an Server | Nein, bleibt im Browser |
| Verarbeitung durch Anbieter | Ja, Art. 4 Nr. 2 DSGVO greift | Nein, kein Anknüpfungspunkt |
| AV-Vertrag nach Art. 28 nötig | In der Regel ja | Nicht für das Bild |
| Risiko der Drittlandübermittlung | Möglich, je nach Serverstandort | Ausgeschlossen für das Bild |
| Funktioniert offline | Nein | Ja, nach dem Laden der Seite |
| Datensparsamkeit (Art. 5) | Erfordert aktive Maßnahmen | Bereits durch Architektur erfüllt |
Die clientseitige Variante setzt mehrere Grundsätze der DSGVO bereits durch ihren Aufbau um. Der Grundsatz der Datenminimierung aus Art. 5 Abs. 1 lit. c verlangt, nur so viele Daten zu verarbeiten wie nötig. Wenn gar keine Bilddaten zum Anbieter fließen, ist dieses Ziel auf die radikalste denkbare Weise erreicht. Das deckt sich mit dem Konzept Datenschutz durch Technikgestaltung aus Art. 25, das vom deutschen Bundesamt für Sicherheit in der Informationstechnik als Leitprinzip empfohlen wird.
Wo der Datenschutz beim Tool dennoch ansetzt
Ein faires Bild gehört dazu: Auch ein clientseitiges Tool ist nicht automatisch in jeder Hinsicht unkritisch. Das Bild ist sicher, aber die Webseite drumherum kann trotzdem personenbezogene Daten verarbeiten. Typische Bausteine sind Analyse-Werkzeuge, Werbung oder Schriftarten, die von fremden Servern nachgeladen werden.
- Analyse und Statistik: Reichweitenmessung erfasst IP-Adresse und Nutzungsverhalten. Datensparsame, anonymisierte Lösungen lassen sich ohne Einwilligung betreiben, klassische Tracking-Cookies nicht.
- Werbung: Personalisierte Anzeigen setzen nach der ePrivacy-Linie und dem TTDSG eine Einwilligung voraus, üblicherweise über ein Consent-Banner.
- Externe Ressourcen: Schriftarten oder Skripte von Drittservern übertragen die IP-Adresse. Selbst gehostete Assets vermeiden das. foto-filtern.de lädt seine Schriftarten beispielsweise lokal.
Diese Punkte betreffen aber nie das gefilterte Foto. Sie sind beim Cloud-Tool genauso zu lösen. Der entscheidende Vorteil der clientseitigen Architektur bleibt unberührt: Das sensibelste Datum, nämlich das Bild selbst, das womöglich Personen, Orte oder Dokumente zeigt, verlässt den Rechner nicht.
Konkretes Beispiel: ein Bewerbungsfoto bearbeiten
Angenommen, Sie möchten ein Porträt für eine Bewerbung leicht aufhellen und den Kontrast anheben. Bei einem Cloud-Editor laden Sie Ihr Gesicht auf einen fremden Server, der es zumindest kurzzeitig speichert, möglicherweise zwischenspeichert und in einem Rechenzentrum verarbeitet, dessen Standort Sie nicht kennen. Ein biometrisch auswertbares Porträt ist ein besonders schützenswertes Datum.
Bei foto-filtern.de wählen Sie dasselbe Foto, ziehen die Regler für Helligkeit und Kontrast, sehen die Vorschau sofort und laden das Ergebnis herunter. Während des gesamten Vorgangs verlässt das Bild Ihren Rechner nicht. Sie könnten dabei die Internetverbindung trennen, das Tool arbeitet weiter. Genau dieser Unterschied entscheidet darüber, ob ein Dritter Ihr Porträt jemals in den Händen hielt.
Fazit: belegbar, nicht nur beworben
Clientseitige Bildfilter sind nicht aus Marketinggründen DSGVO-konform, sondern weil ihre Architektur dem Anbieter den Zugriff auf das Bild technisch verwehrt. Ohne Datenübertragung gibt es keine Verarbeitung im Sinne der Verordnung, und damit entfallen die Pflichten, die sonst an den Umgang mit dem Foto knüpfen. Wer auf Nummer sicher gehen will, kann die lokale Verarbeitung mit dem Netzwerk-Reiter der Entwicklertools oder dem Offline-Test in wenigen Sekunden selbst überprüfen. Für sensible Motive ist das der überzeugendste Datenschutz, den ein Online-Tool bieten kann.