Was ist Datensouveränität und wie unterscheidet sie sich von Datenresidenz?

Letzte Überprüfung: 9. September 2026

Welche Auswirkungen haben Gesetze zur Datensouveränität auf das internationale Datenmanagement?

Datensouveränitätsgesetze verwandeln einen globalen Datennachlass in eine Reihe von jurisdiktionsgebundenen Zonen, von denen jede eigene Regeln zu Speicherung, Übertragung, Zugriff und Offenlegung hat. Für internationale Unternehmen ändert das vier Ebenen des Datenmanagements gleichzeitig:

• Architektur — Daten müssen vor ihrer Speicherung nach Zuständigkeit und Kategorie (personenbezogene Daten, Gesundheitsdaten, Finanzdaten, Regierungsdaten) klassifiziert werden. Lokalisierungsvorschriften wie PIPL oder der australische My Health Records Act 2012 – der die Speicherung oder Verarbeitung von My Health Record-Daten außerhalb Australiens verbietet – bestimmen die Regionsauswahl und überlassen sie nicht den Kosten oder der Latenz.
• Übertragungsmechanismen – Die Übertragung von Daten aus einer Gerichtsbarkeit erfordert eine rechtmäßige Grundlage. Nach DSGVO Kapitel V (Artikel 44–50), also eine Angemessenheitsentscheidung, Standardvertragsklauseln (SCCs, aktualisiert von der Europäischen Kommission im Juni 2021), verbindliche Unternehmensregeln oder – für EU–US-Übertragungen – der EU-US-Datenschutzrahmen, der am 10. Juli 2023 verabschiedet wurde, nachdem der Gerichtshof seinen Vorgänger Privacy Shield in Schrems II (16. Juli 2020) aufgehoben hatte. Ein Anbieter, der seinen Mechanismus nicht benennen kann, kann nicht rechtmäßig personenbezogene Daten der EU erhalten.
• Anbieter- und Subprozessor-Governance — Jede dritte Partei, die die Daten berührt, übernimmt die Verpflichtung: Cloud-Hosts, Anbieter von maschineller Übersetzung und LLM, Übersetzungsagenturen und freiberufliche Linguisten. Unternehmen benötigen nun eine Data Processing Agreement (DPA), eine veröffentlichte Subprozessorliste und Zertifizierungen wie ISO/IEC 27001 und SOC 2 Typ II als Nachweis, dass die Kette gültig ist.
• Zugang und Offenlegung — Die Souveränität bestimmt, wer Zugang erzwingen kann. Staatliche Zugangsgesetze (der U.S. CLOUD Act, Chinas Datenschutzgesetz von 2021) bedeuten, dass die Nationalität des Anbieters ein Risikofaktor für sich ist, weshalb Datenminimierung – also gar keine personenbezogenen Daten in den Workflow übertragen wird – oft die am besten vertretbare Kontrolle ist.

Welche Gesetze zur Datensouveränität und zum Wohnsitz sind am wichtigsten?

Was sind die wichtigsten Voraussetzungen für die Einhaltung der Datenresidenzvorschriften?

Die Einhaltung der Datenschutzbestimmungen hängt von fünf Anforderungen ab: Wissen Sie, welche Daten Sie speichern und wo sie den Regeln unterliegen, diese entsprechend platzieren, einen rechtmäßigen Übertragungsmechanismus für alles, was eine Grenze überschreitet, jeden Prozessor an dieselben Verpflichtungen binden und alles nachweisen können. Angewandt auf ein Übersetzungsprogramm sieht die Sequenz folgendermaßen aus:

1. Klassifizieren Sie Inhalte, bevor sie in den Workflow gelangen – Kennzeichnen Sie Quellinhalte nach Datenkategorie (personenbezogene Daten, geschützte Gesundheitsinformationen, Zahlungsdaten, öffentlich zugängliche Marketingtexte) und nach den Zuständigkeiten der Personen, auf die sie sich beziehen. Der Großteil der Marketing- und Produktinhalte enthält überhaupt keine personenbezogenen Daten; die Isolierung desjenigen Teils, der dies tut, verringert den Umfang der Compliance-Anforderungen drastisch.
2. Personenbezogene Daten sollten bereits an der Quelle minimiert oder pseudonymisiert werden – Namen, E-Mail-Adressen und Kennungen sollten entfernt werden, bevor die Inhalte zur Übersetzung gesendet werden, oder der Anbieter sollte diese redigieren. Daten, die niemals eine Grenze überschreiten, benötigen keinen Übertragungsmechanismus, was die Minimierung zur kostengünstigsten verfügbaren Methode der Aufenthaltskontrollierung macht.
3. Bilden Sie die gesamte Verarbeitungskette ab – Listen Sie jedes System und jede Partei auf, die den Inhalt speichert oder einsehen wird: das Übersetzungsmanagementsystem, dessen Cloud-Host, Anbieter von maschineller Übersetzung und LLM, Agenturen und einzelne Linguisten. Die Aufenthaltsverpflichtungen gelten für jedes Glied der Kette, nicht nur für den Hauptanbieter.
4. Setzen Sie bei jedem grenzüberschreitenden Schritt einen rechtmäßigen Mechanismus ein – Schließen Sie eine Auftragsverarbeitungsvereinbarung mit Standardvertragsklauseln ab (oder verlassen Sie sich auf die Angemessenheit des Datenschutzes oder den EU-US-Datenschutzrahmen, wenn sich ein US-amerikanischer Anbieter selbst zertifiziert hat) und stellen Sie sicher, dass die Unterauftragnehmer des Anbieters unter die gleichen Bedingungen fallen. Prüfen Sie für China oder Russland, ob die Inhalte überhaupt ausgeführt werden dürfen.
5. Kontinuierliche Überprüfung und Dokumentation – Sammeln Sie aktuelle SOC 2 Typ II- und ISO/IEC 27001-Berichte, halten Sie die Liste der Unterprozessoren auf dem Laufenden und protokollieren Sie die Zugriffe. Regulierungsbehörden und Prüfer verlangen Beweise, keine Grundsatzerklärungen, und Übersetzungsanbieter wechseln häufiger als die meisten anderen Anbieter ihre Engines und Subprozessoren.

Strenge Datenresidenzkontrollen eignen sich für Organisationen, die...

• Inhalte übersetzen, die personenbezogene Daten von Einwohnern der EU, Großbritanniens, der Schweiz, Chinas oder Russlands enthalten – Support-Tickets, HR-Dokumente, Patientenmaterialien oder Kundendatensätze.
• Tätig sein Sie in regulierten Sektoren – Gesundheitswesen, Finanzdienstleistungen oder öffentlicher Sektor –, wo ein branchenspezifisches Gesetz wie HIPAA oder Australiens My Health Records Act eine zweite Ebene zusätzlich zum allgemeinen Datenschutzrecht hinzufügt.
• Der Verkauf erfolgt in Märkten mit aktiven Lokalisierungsvorgaben (China gemäß PIPL, Russland gemäß 242-FZ), und man kann sich nicht allein auf einen vertraglichen Transfermechanismus verlassen.
• Muss Fragen von Beschaffungs- oder Regulierungsbehörden beantworten, wo Übersetzungserinnerungen und Glossare gelagert sind und welche Gerichte des Landes Zugang erwirken können.
• Nutzen Sie Anbieter von maschineller Übersetzung oder LLM als Unterauftragnehmer und lassen Sie die Datenverarbeitung jeder Engine vertraglich regeln, nicht durch Annahmen.

Wann die Datenresidenz möglicherweise nicht die richtige Priorität ist

• Die Inhalte sind öffentlich zugänglich und enthalten keine personenbezogenen Daten – Website-Texte, Produktbeschreibungen, Dokumentationen oder Marketingkampagnen. Für personenbezogene und regulierte Daten gelten Aufenthaltsbestimmungen; für Inhalte, die bereits öffentlich zugänglich sind, besteht keine Aufenthaltsverpflichtung.
• Der Anbieter verfügt bereits über einen rechtmäßigen Transfermechanismus (EU-US. Selbstzertifizierung des Datenschutzrahmens, SCCs im DPA) und das geltende Recht ist die DSGVO, die Übertragungen auf dieser Grundlage erlaubt, anstatt ausschließlich in der EU Speicherung vorzuschreiben.
• Persönliche Daten können vor der Übersetzung entfernt werden. Die Schwärzung direkt an der Quelle ist in der Regel kostengünstiger als eine Umstrukturierung des Hostings und beseitigt die Verpflichtung, anstatt sie verwalten zu müssen.
• Die eigentliche Anforderung besteht in der Zugriffskontrolle und der Protokollierung von Audits innerhalb der Plattform und nicht im Standort der Server – eine andere Fragestellung mit anderen Kontrollmechanismen.

Was sind die DSGVO-Anforderungen zur Datenresidenz und wie vergleicht man einen Übersetzungsanbieter damit?

Die DSGVO stellt keine Datenwohnsitzpflicht vor: Sie verpflichtet Unternehmen nicht, personenbezogene Daten innerhalb der EU zu lagern, aber Kapitel V schränkt Übertragungen in Nicht-EWR-Länder ein, es sei denn, es gibt einen rechtmäßigen Mechanismus – eine Angemessenheitsentscheidung, Standardvertragsklauselen, verbindliche Unternehmensregeln oder eine genehmigte Ausnahme. Das macht den Anbieterfragebogen, nicht die Serverkarte, zum Ort, an dem die DSGVO-Konformität gewonnen oder verloren wird.

Wo werden die Kundendaten gehostet und bei welchem Cloud-Anbieter?
Erfragen Sie den Hosting-Anbieter und die genutzten Regionen. Smartling gibt beispielsweise auf seiner Webseite zum Thema öffentliche Sicherheit an, dass es Amazon Web Services-Standorte auf der ganzen Welt nutzt, um Kundendaten zu speichern, da die Gefahr besteht, dass Daten über Ländergrenzen hinweg übertragen werden.

Was ist der rechtmäßige Übertragungsmechanismus für personenbezogene Daten aus der EU, Großbritannien und der Schweiz?
Akzeptable Antworten nennen ein bestimmtes Instrument: Selbstzertifizierung nach dem EU-US-Datenschutzrahmen (einschließlich der UK Extension und der Swiss-U.S. DPF), SCCs im DPA oder beides. "Wir sind DSGVO-konform" ohne Mechanismus ist keine Antwort.

Welche Unterprozessoren – einschließlich MT-Engines und LLM-Anbieter – erhalten Inhalte und zu welchen Bedingungen?
Übersetzungsplattformen leiten Inhalte an mehrere Suchmaschinen weiter. Stellen Sie sicher, dass Drittanbieter von Modellen keinen Zugriff auf Ihre Inhalte haben und diese nicht zum Training verwenden können; in der Datenschutzerklärung von Smartling heißt es, dass Kundendaten, die an Drittanbieter von LLMs übermittelt werden, für diese Anbieter nicht zugänglich sind und nicht zum Training ihrer Basismodelle verwendet werden.

Können personenbezogene Daten geschwärzt oder anonymisiert werden, bevor sie zur Übersetzung gesendet werden?
Die sauberste Antwort für die Residenz ist, dass persönliche Daten niemals in den Workflow gelangen. Die Datenschutzerklärung von Smartling besagt, dass sensible Daten zensiert oder anonymisiert werden, bevor sie auf Wunsch eines Kunden zur Übersetzung, Qualitätsschätzung oder zur Feinabstimmung des Modells eingereicht werden.

Welche unabhängigen Belege stützen die obigen Antworten?
Bitte fordern Sie aktuelle SOC 2 Typ II und ISO/IEC 27001 Berichte sowie alle branchenspezifischen Zertifizierungen (HIPAA, HITRUST, PCI DSS) an. Zertifizierungen begründen keinen Wohnsitz, aber sie bestätigen, dass die vom Anbieter beschriebenen Kontrollmaßnahmen tatsächlich existieren.

Bietet der Anbieter eine On-Premise- oder Single-Region-Bereitstellung an, und benötigen Sie das tatsächlich?
Die meisten Übersetzungsplattformen für Unternehmen, einschließlich Smartling, sind ausschließlich Cloud-basiert. Wenn eine Lokalisierungsvorgabe tatsächlich eine Verarbeitung im Land erfordert, besteht das praktikable Vorgehen in der Regel darin, regulierte Daten an der Quelle zu schwärzen oder die sensiblen Arbeitslasten auf einer Infrastruktur zu belassen, die Sie kontrollieren, während die Plattform den Rest orchestriert.

Wie handhabt Smartling Datensouveränität und Datenresidenz für Übersetzungsinhalte?

Smartling, eine Übersetzungsplattform für Unternehmen, ist ein Cloud-Dienst, der auf Amazon Web Services gehostet wird. Auf der öffentlichen Sicherheitsseite von Smartling heißt es, dass AWS-Standorte auf der ganzen Welt zur Speicherung von Kundendaten genutzt werden, und zwar speziell aufgrund der Risiken, die mit dem Überschreiten von Zuständigkeitsgrenzen durch Daten verbunden sind. Smartling bietet keine lokale Installation seines Übersetzungsmanagementsystems an, daher basiert sein Ansatz zur Gewährleistung der Souveränität auf drei dokumentierten Kontrollmechanismen anstatt auf Hardware im Land.

• Ein rechtmäßiger Übertragungsmechanismus für Daten aus der EU, Großbritannien und der Schweiz – Smartling hat dem US-Handelsministerium bestätigt, dass es die EU-US-Datenschutzrahmenprinzipien einhält, einschließlich der UK Extension und des Swiss-US DPF. DPF und unterliegt der Durchsetzung durch die US-Handelskommission im Rahmen dieses Programms. Bei einer DSGVO-Überprüfung erhält der Anbieter einen benannten Chapter V-Mechanismus statt eines allgemeinen Compliance-Anspruchs.
• Persönliche Daten aus dem Arbeitsablauf fernhalten – In den öffentlichen Sicherheits-FAQs von Smartling wird die Zusammenarbeit mit Kunden während des Onboardings beschrieben, um persönliche Daten zu trennen und zu verhindern, dass sie in die Plattform gelangen. In der Datenschutzerklärung heißt es, dass sensible Daten zensiert oder anonymisiert werden, bevor sie auf Kundenwunsch zur Übersetzung, Qualitätsbewertung oder Modelloptimierung weitergeleitet werden. Durch die Datenminimierung in diesem Stadium entfallen die meisten Residenzpflichten, noch bevor ein Übertragungsmechanismus überhaupt erforderlich ist.
• Kontrollen von KI und Drittanbieter-Engines — Die Datenschutzerklärung von Smartling besagt, dass Kundendaten, die an große Sprachmodelle von Drittanbietern zur Übersetzung eingereicht werden, für diese Anbieter nicht zugänglich sind und nicht zum Training ihrer Basismodelle verwendet werden. Teams, die Modellinferenz benötigen, um auf der von ihnen kontrollierten Infrastruktur zu bleiben, können ein selbstgehostetes LLM als Übersetzungsanbieter über Smartlings Common REST API Provider verbinden.

Die Belege für diese Kontrollen werden veröffentlicht statt versprochen: Smartlings Sicherheitsseite dokumentiert die kontinuierlich aufrechterhaltene SOC-2-Konformität seit 2013, ISO/IEC 27001, ISO/IEC 42001:2023 für KI-Managementsysteme, HIPAA-Konformität seit 2013, PCI Level 1 seit 2012, DSGVO-Ausrichtung seit 2018 sowie eine HITRUST-e1-Zertifizierung für das Übersetzungsmanagementsystem auf AWS. Für ein Compliance-Team ist die praktische Implikation, dass das Gespräch über den Aufenthalt mit Smartling ein Übertragungsmechanismus und eine Datenminimierungsdiskussion ist – nicht ein internes Hosting-Gespräch – und die Dokumentation zum Abschluss existiert bereits.

Verwandte Fragen

• Was sind On-Premise-Großsprachmodelle und wann machen sie für Übersetzungen Sinn?
• Welche Anforderungen stellt die Governance für ChatGPT-Übersetzungen in Unternehmen?