WeTransfer im Unternehmen: Warum der AGB-Streit 2025 ein DSGVO-Risiko bleibt und wie sicherer Dateiversand aussieht
WeTransfer ist in vielen Unternehmen ein vertrauter Reflex: Die Datei ist zu groß für den E-Mail-Anhang, also wird sie schnell über den bunten Hochladedienst verschickt. Bequem, kostenlos, ein paar Klicks. Im Sommer 2025 wurde dieser Reflex jäh unterbrochen. Eine geänderte AGB-Klausel ließ befürchten, dass hochgeladene Inhalte für das Training von KI-Modellen verwendet werden könnten. Der Aufschrei war groß, der Rückzieher folgte prompt. Doch die eigentliche Lehre für Unternehmen liegt tiefer als in einer einzelnen Formulierung.
Dieser Beitrag ordnet den AGB-Streit ein und erklärt, warum WeTransfer im geschäftlichen Einsatz auch nach dem Rückzieher ein Datenschutzrisiko bleibt und was DSGVO-konformer Dateiversand konkret verlangt. Die Produktsicht dazu finden Sie auf der Seite zum DSGVO-konformen Dateiversand und im direkten Vergleich mit WeTransfer.
Der AGB-Streit 2025 als Weckruf
TL;DR: Ende Juni 2025 führte WeTransfer eine weit gefasste AGB-Klausel ein, aus der sich eine Nutzung hochgeladener Inhalte für KI-Training herauslesen ließ. Nach heftiger Kritik entfernte das Unternehmen die Formulierung am 15. Juli 2025 wieder. Für Unternehmen bleibt das eigentliche Problem bestehen: Wer sensible Dateien über einen kostenlosen Dienst ohne Auftragsverarbeitungsvertrag, ohne garantiertes EU-Hosting und ohne durchgängige Kontrolle versendet, trägt das DSGVO-Risiko selbst. Eine Lösung mit AVV, Verschlüsselung und EU-Hosting schließt diese Lücke.
Ende Juni 2025 aktualisierte WeTransfer seine Nutzungsbedingungen. Eine Lizenzklausel war so breit formuliert, dass sich daraus eine Verwendung hochgeladener Inhalte zur Verbesserung und zum Training von Modellen für maschinelles Lernen ableiten ließ. Besonders Kreativschaffende, die täglich unveröffentlichte Werke über den Dienst teilen, reagierten alarmiert. Innerhalb weniger Tage entwickelte sich ein Shitstorm in den sozialen Netzwerken.
Am 15. Juli 2025 ruderte WeTransfer zurück, entfernte die strittige Passage und stellte klar, dass keine Inhalte für KI-Training genutzt würden. Der unmittelbare Druck war damit weg. Was aber blieb, war eine unbequeme Erkenntnis: Die Geschäftsbedingungen eines Dienstes können sich jederzeit ändern, und Unternehmen erfahren davon oft erst, wenn der Schaden bereits droht. Wer personenbezogene Daten über einen externen Dienst schickt, gibt ein Stück Kontrolle ab, das sich nachträglich kaum zurückholen lässt.
Warum WeTransfer im Unternehmenskontext ein Datenschutz-Risiko bleibt
Der AGB-Rückzieher hat die akute Sorge entschärft, nicht aber die strukturellen Fragen. Für den geschäftlichen Einsatz mit personenbezogenen Daten gelten die Anforderungen der DSGVO unabhängig davon, wie eine einzelne Klausel formuliert ist.
Auftragsverarbeitung ohne Vertrag
Sobald ein externer Dienst personenbezogene Daten im Auftrag eines Unternehmens verarbeitet, ist nach Artikel 28 DSGVO ein Auftragsverarbeitungsvertrag erforderlich. In der kostenlosen Version eines Hochladedienstes liegt ein solcher Vertrag in der Regel nicht vor. Ohne ihn fehlt die rechtliche Grundlage, und die Verantwortung verbleibt vollständig beim versendenden Unternehmen. Das betrifft nicht nur Personalakten, sondern jede Datei, in der sich Namen, Kontaktdaten oder andere personenbezogene Informationen befinden.
Speicherorte außerhalb der EU
WeTransfer ist ein international betriebener Dienst. Infrastruktur und Subdienstleister liegen nicht ausschließlich im EU-Rechtsraum. Ein Datentransfer in Drittländer setzt nach der DSGVO geeignete Garantien und eine Prüfung des dortigen Schutzniveaus voraus. Gerade bei Mandantendaten oder Vertragsentwürfen ist die Frage, wo eine Datei physisch liegt, keine Formalie, sondern ein Kernpunkt der Compliance.
Verlust der Kontrolle
Die dritte und vielleicht wichtigste Dimension ist die Kontrolle. Wer eine Datei hochlädt, weiß nicht zuverlässig, wie lange sie gespeichert bleibt, wer darauf zugreifen kann und ob ein Empfänger den Link weitergibt. Ein offener Download-Link lässt sich nur schwer wieder einfangen. Genau dieser Kontrollverlust machte den AGB-Streit so brisant: Niemand wusste sicher, was mit den eigenen Inhalten geschah.
DSGVO-konformer Dateiversand ist kein einzelnes Merkmal, sondern das Zusammenspiel mehrerer Bausteine.
- Verschlüsselung: Die Übertragung muss verschlüsselt erfolgen, idealerweise auch die Ablage. So sind Dateien auf dem Transportweg und im ruhenden Zustand geschützt. Wie sich das in die DSGVO-Pflichten einordnet, ist ein eng verwandtes Thema.
- Auftragsverarbeitungsvertrag: Ein belastbarer Vertrag nach Artikel 28 DSGVO regelt Pflichten, Speicherorte und Subdienstleister verbindlich. Er ist die rechtliche Voraussetzung, kein optionales Extra.
- EU-Hosting: Daten sollten innerhalb der EU verarbeitet werden, ohne unkontrollierten Transfer in unsichere Drittländer. Das schafft Rechtssicherheit und vermeidet aufwendige Transfer-Folgenabschätzungen.
- Zugriffskontrolle: Freigaben sollten mit Ablaufdatum, optionalem Passwort und einer Protokollierung versehen sein. So bleibt nachvollziehbar, wer wann zugegriffen hat, und eine Freigabe endet automatisch.
Kriterien-Checkliste für eine Unternehmenslösung
Die folgende Übersicht stellt den typischen Reflex über einen kostenlosen Hochladedienst einer auf Unternehmen ausgelegten Lösung gegenüber. Sie eignet sich als schnelle Prüfliste bei der Auswahl.
| Kriterium | Kostenloser Hochladedienst | Unternehmenslösung |
|---|
| Auftragsverarbeitungsvertrag | Meist nicht vorhanden | Verbindlich nach Artikel 28 DSGVO |
| Speicherort | Auch außerhalb der EU möglich | Hosting in der EU |
| Verschlüsselung | Transport, Ablage unklar | Transport und Ablage abgedeckt |
| Zugriffskontrolle | Offener Link, kaum Steuerung | Ablauf, Passwort, Protokoll |
| Zweckbindung der Inhalte | AGB jederzeit änderbar | Vertraglich auf den Versandzweck begrenzt |
| Einbindung in den Mailflow | Isoliertes Werkzeug | Teil der E-Mail-Sicherheit |
Der letzte Punkt wird oft unterschätzt. Ein Dateiversand, der losgelöst neben der übrigen Sicherheitsinfrastruktur steht, schafft eine neue Schatten-IT. Sinnvoll ist eine Lösung, die sich in den bestehenden E-Mail-Arbeitsablauf einfügt und mit dem Schutz vor schädlichen Anhängen sowie dem zentralen Mailgateway zusammenspielt.
Conbool SecureFiles ist auf genau diese Anforderungen ausgelegt. Große Dateien lassen sich verschlüsselt versenden, ohne den gewohnten Arbeitsablauf zu verlassen. Statt einen externen Dienst zu öffnen, starten Mitarbeitende den Versand direkt aus Outlook über die Funktion, große Dateien per Outlook zu versenden.
Wichtig ist der Unterschied im Betriebsmodell. SecureFiles wird mit einem Auftragsverarbeitungsvertrag und Hosting innerhalb der EU bereitgestellt. Freigaben erhalten ein Ablaufdatum, optional ein Passwort und eine nachvollziehbare Protokollierung. Hochgeladene Inhalte werden für den Versandzweck verarbeitet und nicht zweckfremd ausgewertet. Auch der umgekehrte Weg ist abgedeckt: Über einen sicheren Posteingang zum Empfang von Dateien können Geschäftspartner Dateien kontrolliert übermitteln, ohne dass ein offener Link entsteht.
Weil SecureFiles Teil der Conbool-Plattform ist, steht der Dateiversand nicht allein. Er ist mit dem Schutz vor Phishing, mit der E-Mail-Verschlüsselung und mit dem zentralen Mailgateway verbunden. So entsteht keine zusätzliche Insellösung, sondern ein durchgängiger, nachweisbarer Prozess. Den eigenen Stand prüfen Sie mit dem kostenlosen E-Mail-Sicherheits-Check.
Häufig gestellte Fragen
WeTransfer lässt sich nicht pauschal als DSGVO-konform einstufen. Für den geschäftlichen Einsatz mit personenbezogenen Daten benötigt ein Unternehmen einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO sowie Klarheit über Speicherorte und Subdienstleister. In der kostenlosen Version fehlt ein solcher Vertrag in der Regel, und Dateien werden auch außerhalb der EU verarbeitet. Damit liegt das datenschutzrechtliche Risiko beim versendenden Unternehmen, nicht beim Dienst.
Was war der WeTransfer-AGB-Streit 2025?
Ende Juni 2025 veröffentlichte WeTransfer aktualisierte Nutzungsbedingungen, die eine sehr weit gefasste Lizenzklausel enthielten. Aus dem Wortlaut ließ sich lesen, dass hochgeladene Inhalte auch zum Trainieren und Verbessern von Modellen für maschinelles Lernen genutzt werden könnten. Es folgte ein öffentlicher Aufschrei vor allem aus der Kreativbranche. Am 15. Juli 2025 ruderte WeTransfer zurück, entfernte die strittige Formulierung und stellte klar, dass keine Inhalte für KI-Training verwendet würden.
Welche Alternative zu WeTransfer eignet sich für den Mittelstand?
Für den Mittelstand eignet sich eine Lösung, die Verschlüsselung, einen Auftragsverarbeitungsvertrag, Hosting in der EU und nachvollziehbare Zugriffskontrolle mitbringt und sich in den gewohnten E-Mail- und Outlook-Arbeitsablauf einfügt. Conbool SecureFiles ist genau darauf ausgelegt: große Dateien lassen sich verschlüsselt und mit Ablaufdatum versenden, ohne dass Inhalte zweckfremd ausgewertet werden. Wichtig ist, dass die Lösung nicht als isoliertes Werkzeug danebensteht, sondern in die bestehende Sicherheitsinfrastruktur eingebunden ist.
Entscheidend sind vier Punkte: eine Verschlüsselung der Übertragung und idealerweise auch der Ablage, ein belastbarer Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, ein Hosting innerhalb der EU ohne Datentransfer in unsichere Drittländer und eine nachvollziehbare Zugriffskontrolle mit Ablauf der Freigabe und Protokollierung. Hinzu kommt die Frage, ob hochgeladene Inhalte ausschließlich für den vereinbarten Zweck genutzt werden. Erst wenn diese Bausteine zusammenkommen, lässt sich der Versand großer Dateien als datenschutzkonform belegen.
Werden bei WeTransfer Dateien auf US-Servern gespeichert?
WeTransfer ist ein international betriebener Dienst, dessen Infrastruktur und Subdienstleister nicht ausschließlich in der EU liegen. Für Unternehmen bedeutet das, dass hochgeladene Dateien außerhalb des EU-Rechtsraums verarbeitet werden können. Ein Datentransfer in Drittländer erfordert nach der DSGVO geeignete Garantien und eine Prüfung des Schutzniveaus. Wer diese Nachweise nicht führen kann, sollte sensible Dateien nicht über einen solchen Dienst versenden, sondern eine Lösung mit klarem EU-Hosting wählen.
Fazit
Der AGB-Streit um WeTransfer im Sommer 2025 war kein Einzelfall, sondern ein Lehrstück. Eine Formulierung wurde zurückgenommen, das strukturelle Risiko blieb. Wer geschäftskritische oder personenbezogene Dateien über einen kostenlosen Dienst ohne Auftragsverarbeitungsvertrag, ohne garantiertes EU-Hosting und ohne durchgängige Zugriffskontrolle versendet, trägt die Verantwortung selbst. DSGVO-konformer Dateiversand entsteht erst, wenn Verschlüsselung, Vertrag, Hosting und Kontrolle zusammenkommen und der Versand in die bestehende E-Mail-Sicherheit eingebettet ist.
Der nächste Schritt liegt bei Ihnen: Sehen Sie sich an, wie Conbool SecureFiles den DSGVO-konformen Dateiversand löst, und prüfen Sie Ihren aktuellen Stand mit dem kostenlosen E-Mail-Sicherheits-Check.
Weiterführende Artikel:
