WeTransfer & Datenschutz: Wie sicher ist Ihre Datenübertragung wirklich?

Wie funktioniert das Versenden von Daten mit WeTransfer? 

Das Versenden von Daten per WeTransfer ist relativ einfach. Nutzer:innen können ihre Dateien direkt auf der Website von WeTransfer hochladen. Dazu werden sowohl die E-Mail-Adresse der VersenderInnen als auch jene der EmpfängerInnen abgefragt. Außerdem besteht die Möglichkeit, den Dateien eine individuelle Nachricht hinzuzufügen. Ein Nutzerkonto ist dafür nicht erforderlich. Gerade wenn beim Versand persönliche Dokumente und personenbezogene Daten wie die E-Mail-Adresse involviert sind, stellt sich NutzerInnen jedoch oftmals die Frage, ob ihre Daten bei den verwendeten Diensten auch sicher sind. WeTransfer kann in Sachen Sicherheit insofern punkten, als die Daten verschlüsselt hochgeladen werden. Auch den Link zum Abruf der Daten versendet der Dienst verschlüsselt. Trotzdem weist WeTransfer mit Blick auf die Datensicherheit die ein oder andere Lücke auf. Wie sieht es also aus mit dem Datenschutz bei WeTransfer?

Ist die Datenübermittlung mit WeTransfer sicher?

Das Thema Datenschutz bei WeTransfer ist vielschichtig - und nicht ohne Schwachstellen. Zwar werden alle Daten bei der Übertragung per TLS (Transport Layer Security) und bei der Speicherung mit AES-256 (Advanced Encryption Standard) verschlüsselt. Allerdings handelt es sich dabei nicht um eine Ende‑zu‑Ende‑Verschlüsselung, da WeTransfer selbst die Schlüssel verwaltet und Dateien für serverseitige Prozesse technisch entschlüsseln kann- Außerdem sind die Daten dadurch in einigen Momenten während der Ver- und Entschlüsselung nicht vollständig sicher.  

Hinzu kommt, dass zum Abruf von Dateien, die per WeTransfer versendet werden, nur die Benachrichtigungs-E-Mail notwendig ist, die einen Link zum Download enthält. Wer Zugriff auf diese E-Mail hat - z. B. durch Phishing, unsichere Mailserver oder Weiterleitung - kann potenziell auch die Daten abrufen.  

Hinzu kommt, dass Daten von EU-Bürgern zwar auf Servern in der EU, vor allem in Irland, gespeichert werden. Aufgrund der Zusammenarbeit von WeTransfer mit globalen Partnern ist es laut Datenschutzerklärung des Unternehmens allerdings möglich, dass einige Daten auf Servern in den USA gespeichert sind und dort abweichenden Rechtszugriffen unterliegen können - auch, wenn sie technisch verschlüsselt gespeichert sind. Eine datenschutzkonforme Übermittlung in solche Drittländer ist nur unter bestimmten Bedingungen zulässig, etwa durch einen Angemessenheitsbeschluss sowie Standardvertragsklauseln (SCC) und zusätzlichen Sicherheitsmaßnahmen.

Die Zugriffsfrage: Wer sieht Ihre Daten wirklich?

Zusätzlich wird WeTransfer regelmäßig für seine Allgemeinen Geschäftsbedingungen (AGB) und die damit verbundenen Zugriffsrechte auf übertragene Inhalte kritisiert. In Abschnitt 6.3 der AGB, der im Sommer 2025 für Protest sorgte, sichert WeTransfer sich bestimmte Nutzungsrechte an den urheberrechtlich geschützten Inhalten der User. Wer Inhalte hochlädt, erteilt WeTransfer eine lizenzgebührenfreie Erlaubnis, diese zu nutzen. Zwar betont die Klausel, dass dies im Einklang mit der Datenschutzerklärung von WeTransfer passiert. Für Unternehmen bleibt dennoch schwer überprüfbar, wie weit diese Rechte im Einzelfall tatsächlich reichen.

Für datenschutzsensible Organisationen – insbesondere im Gesundheitswesen, in Kanzleien oder in der Industrie – ist das ein wesentliches Risiko. Denn: Die Datenhoheit liegt dann nicht mehr ausschließlich beim Absender.

Sie wollen auf der sicheren Seite sein?

Gerade bei wiederkehrenden Datenübertragungen, sollten Sie auf Tools setzen, die Ihnen nicht nur Komfort, sondern auch nachvollziehbare Datenschutzkonformität bieten. Wir beraten Sie gerne zur Auswahl geeigneter Lösungen und zeigen Ihnen Alternativen auf, mit denen Sie DSGVO, Datenhoheit und Informationssicherheit zuverlässig vereinen.

Zum externen Datenschutzbeauftragten

Datenschutz & DSGVO: Woran Datenschutzverantwortliche denken müssen

• Rechtsgrundlage prüfen: Ist die Übermittlung von personenbezogenen Daten an entsprechende Dienstleister gemäß Art. 6 DSGVO erlaubt? 
• Datenhoheit wahren: Wer analysiert, speichert oder überwacht die Inhalte zu eigenen Zwecken? 
• AVV schließen: Bei pseudonymisierten oder personenbezogenen Daten muss ein gültiger Vertrag zur Datenverarbeitung im Auftrag abgeschlossen werden.
• Drittlandübertragung beachten. Besteht ein EU-/EWR-Dienst, oder erfolgt der Transfer in Drittstaaten? 

Praxis-Tipp: Achten Sie auf AGB-Klauseln, die erweiterte Nutzung erlauben, etwa zur Maschinenauswertung oder optionalen Datenspeicherung.

WeTransfer-Alternative gesucht? 

Als Ergebnis bleibt festzuhalten, dass der Einsatz von WeTransfer für Verantwortliche problematisch sein kann. Es empfiehlt sich allein aufgrund der möglichen Speicherung der Daten auf US-amerikanischen Servern nicht, sensible Daten über WeTransfer zu versenden. Sensible Daten oder gar besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sollten grundsätzlich nicht unverschlüsselt an Anbieter wie WeTransfer übertragen werden. Eine Möglichkeit, die über WeTransfer versendeten Daten besser zu schützen, ist der Einsatz zusätzlicher Verschlüsselungsverfahren, die zum Beispiel beim Einsatz der Packsoftware 7-Zip genutzt werden können. Hierbei ist jedoch zu bedenken, dass auch die EmpfängerInnen das Programm einsetzen müssen, um die Dateien nach dem Herunterladen entpacken und entschlüsseln zu können. 

Wem dies zu kompliziert ist, kann auf Alternativen zu WeTransfer setzen, die Daten ausschließlich in der EU speichern. Hier ein Vergleich mit SwissTransfer - einem Schweizer Tool, das speziell mit Fokus auf europäischen Datenschutz entwickelt wurde: 

WeTransfer bietet bezogen auf den Datenschutz einige Verschlüsselungsverfahren an, allerdings bleibt die Frage, ob wirklich alle Daten auf Servern in der EU gespeichert werden und wie WeTransfer Inhalte zur Verbesserung und zum Betrieb der eigenen Dienstleistungen nutzt. Wer eine Alternative zu WeTransfer sucht, ist bei SwissTransfer an einer guten Adresse.

*Laut Presse-Informationen bestehen Hinweise auf US-Server und erweiterten Datenzugriff.

**DSGVO-Äquivalent

Konzept & Empfehlungen

1. Prüfen Sie Ihre Anforderungen: Große Mediendateien, sensible Gesundheits- oder Personendaten? ‍
2. Bewerten Sie Anbieter nach Datenschutzstandards: Verschlüsselung, Datenstandort, Zugriffsrechte – alles entscheidend. ‍
3. Implementieren Sie AGB-Checks und AVV-Prozesse: Auch bei scheinbar kostenlosen Angeboten. ‍
4. Nutzen Sie Tools wie Swiss Transfer oder Datenschutzsoftware mit DSGVO-Zertifikat.

Fazit für Compliance Verantwortliche

Die Wahl eines Dateiübertragungs-Dienstes ist eine Compliance-Entscheidung – keine Bequemlichkeit. Die DSGVO fordert Klarheit und Kontrolle über Datenzugriffe.

Ihre nächsten Schritte:

• Fragen Sie beim Anbieter gezielt nach Kontroll- und Zugriffsrechten

• Nutzen Sie datenschutzfreundliche Alternativen

• Verankern Sie Dateiübertragung im ISMS oder DSMS