Ja, Übersetzungen lassen sich DSGVO‑konform durchführen, allerdings nur unter drei verbindlichen Bedingungen: Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO muss vorliegen, das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO muss geführt sein, und Drittlandübermittlungen brauchen geeignete Garantien. Anbieter wie Unalingua richten ihre Prozesse genau danach aus. Prüfen Sie zuerst AVV und VVT, bevor Sie sensible Inhalte an irgendein Tool oder Dienstleister übergeben.
Kurz gesagt:
- Übersetzungsdienstleister benötigen unbedingt einen vollständigen Auftragsverarbeitungsvertrag und ein Verzeichnis der Verarbeitungstätigkeiten, um DSGVO-konform zu handeln.
- Viele Cloud‑Übersetzer speichern Texte dauerhaft, nutzen sie für KI-Training oder übertragen Daten ohne ausreichende Garantien in Drittländer.
- Bei sensiblen Dokumenten wie Verträgen oder medizinischen Papieren ist eine Zertifizierung sowie transparente Nachweise der Sicherheitsmaßnahmen Pflicht.
- Die technische Umsetzung umfasst Verschlüsselung, Datenminimierung, rollenbasierte Zugriffe und nachweisbare Löschfristen, besonders bei Nebenleistungen durch Subunternehmer.
- Für den sicheren Einsatz von KI-gestützten Übersetzungstools empfiehlt sich eine No‑Trace‑Option, Datenlokalisation innerhalb der EU sowie eine sorgfältige Prüfung der technischen Einstellungen.
Inhaltsverzeichnis
- Welche Datenschutzrisiken entstehen bei Übersetzungen und Online‑Tools?
- Rechtliche Grundlagen: Was DSGVO, Art. 28 und Art. 30 konkret verlangen
- Technische und organisatorische Maßnahmen für Übersetzungsprozesse
- KI‑ und Cloud‑Übersetzungstools sicher konfigurieren
- Wann lohnt sich ein datenschutzkonformer Übersetzungsdienstleister?
- Unalingua: Datenschutzkonforme Übersetzungen aus Deutschland
- Quellen
- FAQ
Welche Datenschutzrisiken entstehen bei Übersetzungen und Online‑Tools?
Die größte Gefahr liegt selten im offensichtlichen Fehler, sondern in der stillen Speicherung. Viele kostenlose Cloud‑Übersetzer legen eingegebene Texte im Hintergrund ab, oft länger, als Nutzer annehmen, und manchmal zu Trainingszwecken für die eigenen KI‑Modelle. Wer einen Vertragstext, ein Patientendokument oder eine Ausschreibung in ein solches Tool kopiert, gibt damit unter Umständen personenbezogene Daten an einen Anbieter weiter, mit dem gar kein Vertrag besteht.
Typische Risikofelder bei Übersetzungsprojekten:
- Dauerhafte Speicherung oder Protokollierung von Texten durch Cloud‑Anbieter, oft ohne klare Löschfrist
- Nutzung von Kundendaten zum Training von KI‑Sprachmodellen
- Zugriff durch Subunternehmer, Support‑Teams oder externe Dienstleister ohne eigene Vertragsbindung
- Indirekte Übermittlungen über Plugins, Browser‑Erweiterungen oder Drittanbieter‑Schnittstellen
- Fehlender oder unvollständiger AVV, keine dokumentierten Löschfristen
- Datenzugriff außerhalb des Europäischen Wirtschaftsraums ohne Garantien nach Art. 46 DSGVO
Das Rechtsdurchgriffsrisiko kommt hinzu: Sitzt ein Anbieter in einem Land mit weitreichenden behördlichen Zugriffsrechten, kann eine Aufsichtsbehörde in Deutschland selbst bei technisch einwandfreier Verschlüsselung Nachbesserung fordern.
Rechtliche Grundlagen: Was DSGVO, Art. 28 und Art. 30 konkret verlangen
Art. 28 DSGVO regelt den Auftragsverarbeitungsvertrag und verlangt weit mehr als eine Unterschrift unter ein Standardformular. Der AVV muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen konkret benennen. Die Datenschutzkonferenz stellt in ihrem Kurzpapier zur Auftragsverarbeitung klar, dass Verantwortliche nur Auftragsverarbeiter beauftragen dürfen, die hinreichende Garantien bieten, und dass diese Garantien nachweisbar sein müssen, nicht nur behauptet.
Art. 30 DSGVO fordert ein Verzeichnis von Verarbeitungstätigkeiten. Diese Pflicht trifft nicht nur den Verantwortlichen, auch der Auftragsverarbeiter muss unter bestimmten Voraussetzungen ein eigenes VVT führen. Ein Übersetzungsbüro, das medizinische Gutachten oder Personalunterlagen bearbeitet, gehört fast immer in diese Kategorie.
Wer trägt bei einem Übersetzungsprojekt eigentlich welche Rolle? Die EDPB‑Leitlinien 07/2020 beantworten das funktional: Es zählt nicht die Berufsbezeichnung, sondern wer tatsächlich über Zweck und Mittel der Verarbeitung entscheidet. Im Übersetzungs‑ und Dolmetschsektor ist diese Abgrenzung oft unklar, weil ein Dienstleister zugleich Auftragsverarbeiter für die Kerntätigkeit und Verantwortlicher für eigene Nebenprozesse sein kann.
Seit dem Schrems‑II‑Urteil reicht eine Standardklausel allein nicht mehr aus. Übermittlungen in Drittländer benötigen geeignete Garantien nach Art. 46 DSGVO, meist EU‑Standardvertragsklauseln plus ergänzende technische Maßnahmen. Ohne diese Kombination bleibt jede Übermittlung außerhalb des EWR ein Risiko, das eine Aufsichtsbehörde jederzeit aufgreifen kann.
Technische und organisatorische Maßnahmen für Übersetzungsprozesse
Ein AVV auf Papier schützt niemanden, wie Webexperten aus Münster wie dotnetic bestätigen. Erst die technischen und organisatorischen Maßnahmen, kurz TOM, machen aus einem Vertrag echten Datenschutz. Folgende Punkte gehören in jede seriöse Vereinbarung mit einem Übersetzungsdienstleister:
- Verschlüsselung in Transit und im Ruhezustand: Daten müssen sowohl während der Übertragung als auch bei der Speicherung verschlüsselt sein.
- Schlüsselverwaltung innerhalb des EWR: Wo möglich, sollten Kunden eigene Schlüssel verwalten (BYOK) oder zumindest wissen, wo der Schlüsseldienst sitzt. Die Datenschutzbehörde NRW empfiehlt genau das als ergänzende Maßnahme bei Drittlandtransfers.
- Datenminimierung und Pseudonymisierung: Nur die Textteile übersetzen, die tatsächlich nötig sind, Namen und Kennnummern wo möglich vorab entfernen.
- Rollenbasierte Zugriffskontrolle: Nur Projektbeteiligte erhalten Zugang, nicht das gesamte Team.
- Dokumentierte Löschfristen: Nach Projektabschluss müssen Daten nachweislich gelöscht werden, nicht nur „irgendwann“.
- Protokollierung von Zugriffen: Wer hat wann auf welches Dokument zugegriffen? Diese Frage muss beantwortbar sein.
Subunternehmer verdienen besondere Aufmerksamkeit. Ein Forenbeitrag im BfDI‑Forum zu Nebenleistungen zeigt ein häufig übersehenes Problem: Wartung, technischer Support oder Ferndiagnose begründen oft ebenso AVV‑pflichtige Zugriffe wie die eigentliche Übersetzungsarbeit. Wer diese Nebenleistungen nicht im Anhang zum AVV erfasst, hinterlässt eine Compliance‑Lücke, die bei einer Prüfung sofort auffällt.
Profi-Tipp: Fragen Sie jeden Übersetzungsdienstleister aktiv nach ISO/IEC‑Zertifizierungen, SOC‑Berichten oder Pen‑Test‑Zusammenfassungen. Ein Anbieter, der diese Nachweise nicht ohne Umwege liefern kann, hat sie vermutlich nicht.
KI‑ und Cloud‑Übersetzungstools sicher konfigurieren
Nicht jedes Übersetzungstool ist gleich riskant, aber die Unterschiede liegen oft tief in den Einstellungen verborgen, nicht auf der Startseite. Bevor ein Unternehmen ein Tool für Geschäftsdokumente freigibt, lohnt sich eine kurze, aber konsequente Prüfung.
- No‑Trace‑Zusicherung einholen: Manche Anbieter garantieren explizit, dass Übersetzungsanfragen nicht dauerhaft gespeichert und nicht zum Training genutzt werden. Microsoft dokumentiert eine solche No‑Trace‑Option für seinen Übersetzungsdienst, bei der Anfragen nicht im persistenten Speicher landen.
- Datenlokalität festlegen: Verarbeitung innerhalb der EU‑Region wählen, wenn die Option existiert.
- Data Protection Addendum verlangen: Ein DPA ergänzt den Standardvertrag um die datenschutzspezifischen Zusicherungen.
- Logging deaktivieren: Wo technisch möglich, sollte Protokollierung von Inhalten abgeschaltet werden können.
- Eigene Schlüssel nutzen: KMS‑ oder BYOK‑Optionen geben dem Kunden Kontrolle über den Zugang zu den eigenen Daten.
Bei Datenverarbeitung außerhalb der EU braucht es zusätzlich Standardvertragsklauseln und, wo sinnvoll, eine zusätzliche Verschlüsselungsschicht. Größere Projekte mit sensiblen Kategorien wie Gesundheits‑ oder Personaldaten rechtfertigen oft eine Datenschutz‑Folgenabschätzung (DPIA), bevor überhaupt ein Pilotprojekt startet. Ein Praxistest mit anonymisierten Testdaten zeigt meist schneller, wo ein Tool Schwächen hat, als jede Anbieterdokumentation.
Wann lohnt sich ein datenschutzkonformer Übersetzungsdienstleister?
Nicht jedes Dokument braucht denselben Aufwand. Eine interne Produktnotiz ist etwas anderes als ein Arbeitsvertrag oder ein medizinisches Gutachten. Drei Fragen helfen bei der Einstufung:
- Wie sensibel sind die enthaltenen personenbezogenen Daten, und wie schwer wiegen die Folgen bei einem Fehler?
- Muss das Unternehmen gegenüber einer Aufsichtsbehörde nachweisen können, wer die Daten verarbeitet hat und wie?
- Verlangt der Anwendungsfall eine Beglaubigung oder eine juristisch geprüfte Fachübersetzung?
Bei Beglaubigungen, Gerichtsdokumenten, Patentanmeldungen oder medizinischen Unterlagen ist ein spezialisierter Fachübersetzer praktisch Pflicht, kein reines Datenschutzthema, sondern eine fachliche und rechtliche Notwendigkeit. Ein seriöser Dienstleister sollte auf Anfrage einen unterschriebenen AVV, eine ISO/IEC‑27001‑Zertifizierung und konkrete VVT‑Einträge für Ihr Projekt vorlegen können, nicht nur eine allgemeine Datenschutzerklärung auf der Website.
Unalingua: Datenschutzkonforme Übersetzungen aus Deutschland
Unternehmen, die Verträge, Patentunterlagen oder Kundendaten übersetzen lassen müssen, brauchen keinen Cloud‑Dienst mit unklarer Speicherpolitik, sondern einen Partner, der AVV, Verschlüsselung und Nachweispflichten von Anfang an mitdenkt. Ein Datenschutzkonformer Übersetzungsdienstleister arbeitet idealerweise, mit serverbasierten Übersetzungsumgebungen, verfügt über relevante Zertifizierungen und stützt sich auf einen Pool von geprüften Fachübersetzern für viele Sprachkombinationen.
Für Firmenkunden ist wichtig, dass ein AVV nach Art. 28 DSGVO geschlossen wird, Sicherheitsnachweise verfügbar sind, und Projekte idealerweise über ein Partnerportal nachvollziehbar gesteuert werden können. Details zu den Sicherheitsmaßnahmen finden sich auf der Seite zur Datensicherheit bei Übersetzungsprozessen. Wer eine risikoarme KI‑Komponente ergänzen möchte, findet Hintergründe im Beitrag zu Chancen und Grenzen von KI in der Übersetzung.
Typische Einsatzfälle reichen von Vertragsübersetzungen über technische Dokumentation bis zu beglaubigten Firmenunterlagen. Ein seriöser Übersetzungsdienstleister bietet oft eine kostenlose Probeübersetzung an, um einen ersten Eindruck von Qualität und Arbeitsweise zu ermöglichen. Wer ein konkretes Projekt plant, findet auf der Seite für professionelle Übersetzungen und Sprachdienste das passende Angebot und ein direktes Kontaktformular für ein individuelles Angebot.
Quellen
- Guidelines 07/2020 on the concepts of controller and processor in the GDPR | EDPB
- Kurzpapier Auftragsverarbeitung — Datenschutzkonferenz (DSK)
- Azure Translator — No Trace / Datenschutzhinweise
FAQ
Wer darf offizielle Dokumente übersetzen?
Beglaubigte Übersetzungen für Behörden, Gerichte oder Standesämter dürfen in Deutschland nur von öffentlich bestellten oder ermächtigten Übersetzern angefertigt werden. Details zur Suche und Beauftragung solcher Übersetzer stehen im Praxisleitfaden zu vereidigten Übersetzern.
Ist DeepL DSGVO‑konform?
Die reine DSGVO‑Konformität hängt von der gewählten Version und den vertraglichen Vereinbarungen ab, nicht allein vom Tool selbst. Für Geschäftskunden ist entscheidend, ob ein AVV nach Art. 28 DSGVO vorliegt, ob Daten zum Modelltraining genutzt werden und wo die Server stehen, das gilt für jedes Cloud‑Übersetzungstool gleichermaßen.
In welcher Sprache muss die Datenschutzerklärung sein?
Die Datenschutzerklärung muss für Nutzer in Deutschland in verständlichem Deutsch verfügbar sein, damit sie ihrer Informationspflicht wirklich gerecht wird. Bei international ausgerichteten Websites empfiehlt sich zusätzlich eine sprachlich präzise Lokalisierung in den Sprachen der jeweiligen Zielgruppe.
Welche Vorschriften gibt es im Datenschutz in Deutschland?
Die zentrale Grundlage bildet die DSGVO, ergänzt durch das Bundesdatenschutzgesetz. Für Übersetzungsprojekte sind besonders Art. 28 (Auftragsverarbeitung), Art. 30 (Verzeichnis von Verarbeitungstätigkeiten) und die Regelungen zu Drittlandübermittlungen nach Art. 46 relevant.