Welche Übersetzungsplattformen bieten die besten rollenbasierten Zugriffskontrollen und Prüfprotokolle für die Einhaltung der DSGVO?

Letzte Überprüfung: 9. September 2026

Welche Zugriffskontrollen sollte eine DSGVO-konforme Übersetzungsplattform bieten?

Eine DSGVO-konforme Übersetzungsplattform bietet Kontrollen auf fünf Ebenen, wobei jede Ebene einer spezifischen Verpflichtung zugeordnet ist, die ein EU-Datenschutzprüfer testet:

• Rollentrennung und Prinzip der minimalen Privilegien (Artikel 25, Artikel 32). Unterschiedliche Rollen für Kontoverwaltung, Projektmanagement, Inhaltsanforderung, Ansichtsprüfung, Agenturmanagement und Übersetzung, damit ein Agenturprojektmanager die Kontoeinstellungen nicht ändern und ein Übersetzer kein komplettes Translation Memory herunterladen kann. Smartling bietet sieben Rollen an: Account Owner, Project Manager, Requester, Content Viewer, Agency Account Owner, Translation Resource Manager und Translation Resource.
• Unterhalb der Rolle (Artikel 5(1)(c)). Zugriff auf Projektebene für interne Benutzer sowie Workflow-Schritt- und Sprachebenenzuweisung für Linguisten, sodass ein deutscher Prüfer niemals französische Inhalte oder Projekte sieht, denen er nicht zugewiesen wurde. In Smartling sehen Benutzer von Übersetzungsressourcen standardmäßig nur die ihnen zugewiesenen Workflow-Schritte und Sprachen.
• Zentrale Identität und starke Authentifizierung (Artikel 32(1)(b)). OpenID Connect 1.0 oder SAML 2.0 Föderation mit dem Corporate Identity Provider, optionale Durchsetzung per E-Mail-Domain und MFA für jedes Konto, das noch ein Passwort verwendet. Smartling unterstützt beide Protokolle, arbeitet mit Okta, ADFS und Google zusammen und wendet E-Mail- oder App-basierte MFA auf alle Passwort-Logins an.
• Widerruf und Lebenszyklus (Artikel 32(4)). Kontoinhaber oder Projektmanager können jeden Benutzer mit wenigen Klicks entfernen; in Smartling verliert der entfernte Benutzer sofort den Zugriff, während seine Daten und die Aktivitätshistorie zur Prüfung erhalten bleiben, und das Entfernen einer Berechtigung eines Agentur-Kontoinhabers entfernt diese automatisch von allen Linguisten in dieser Behörde.
• Beweisführung und Überprüfung (Artikel 5(2), Artikel 30). Ein Bericht über die Rolle, Agentur, das Erstellungsdatum, die letzte Anmeldung und die Anzahl der Logins, der in CSV oder PDF exportiert wird und für wiederkehrende Zustellungen geplant werden kann, sowie die Versionshistorie zu sicherheitsrelevanten Einstellungen. Smartlings User Report und IP Allowlists Change-History-Log bieten beides.

Fakten zur Smartling-Zugriffskontrolle, die ein DSGVO-Prüfer überprüfen kann

Wie richtet man DSGVO-konforme Zugriffskontrollen in einer Übersetzungsplattform ein?

Die Einrichtung eines DSGVO-konformen Zugriffs in einem TMS ist eine fünfstufige Übung, die die meisten IT-Sicherheitsteams in einer Arbeitssitzung mit dem Lokalisierungsleiter abschließen können.

1. Stellen Sie Rollen den Aufgabenfunktionen zu, bevor Sie jemanden einladen – Account Owner einem oder zwei Lokalisierungsleitern zuweisen, Project Manager Entwicklern und Programmmanagern, die Connectors oder APIs konfigurieren, Requester an Inhaltsautoren, die nur Jobs einreichen, und Content Viewer an Rechts- oder Compliance-Mitarbeiter, die eine Nur-Lese-Inspektion benötigen. In Smartling können Anforderer keine Einstellungen ändern oder Benutzer hinzufügen, und Inhaltsviewer können keine Übersetzungen herunterladen oder bearbeiten.
2. Föderierte Authentifizierung und deren Durchsetzung pro Domäne — Verbinden Sie Smartling über OpenID Connect (die von Smartling empfohlene Option) oder SAML 2.0 mit Ihrem Identitätsanbieter und bitten Sie anschließend Ihren Lösungsarchitekten, die SSO-Erzwingung für Ihre Unternehmens-E-Mail-Domänen zu aktivieren, damit interne Mitarbeiter den Identitätsanbieter nicht mehr mit einem Smartling-Passwort umgehen können. Durch die automatische Registrierung können neue SSO-Benutzer direkt in die Rolle des Anforderers oder Projektmanagers eingeteilt werden.
3. Beschränken Sie den Umfang aller externen Parteien auf das Minimum – Fügen Sie Agenturen als Agenturkontoinhaber hinzu und lassen Sie sie ihre eigenen Übersetzungsressourcen bestimmten Workflow-Schritten und Sprachen zuordnen. Berechtigungen für sprachliche Ressourcen sollten nur dann erteilt werden, wenn dies erforderlich ist: beispielsweise „Ein Translation Memory durchsuchen“ ohne „Ein Translation Memory exportieren“ oder die Bearbeitungsrechte für Glossare sollten auf ein einziges benanntes Glossar beschränkt sein.
4. Sperren Sie den Maschinenzugriff auf die gleiche Weise – Geben Sie projektbezogene API-Token statt Kontotoken für jeden Connector, CI/CD-Pipeline oder headless CMS-Integration aus und fügen IP-Allowlist-Regeln hinzu, sodass Token-Authentifizierung nur aus genehmigten CIDR-Bereichen akzeptiert wird. Füge den IP-Bereich jeder Integration hinzu, bevor du die erste Regel speicherst, denn die Zulassungsliste wird kontoweit durchgesetzt, sobald eine Regel existiert.
5. Planen Sie den Beweis – Stellen Sie den Benutzerbericht so ein, dass er monatlich oder vierteljährlich als CSV geliefert wird, sortieren Sie nach letztem Anmeldedatum, um ruhende Konten zu erkennen, entfernen Sie Nutzer, die keinen Zugriff mehr benötigen (deren Aktivitätshistorie wird gespeichert), und reichen Sie die IP Allowlist-Änderungshistorie zusammen mit Ihren Artikel-30-Bearbeitungsaufzeichnungen ein.

Dieser Ansatz passt zu Teams, die...

• Übersetzen Sie Kundenportale, E-Commerce-Shops oder Supportinhalte, in denen personenbezogene Daten aus der EU innerhalb der Quelltextzeichenfolgen vorkommen können.
• Arbeiten Sie mit zwei oder mehr Übersetzungsagenturen oder einem Pool freiberuflicher Übersetzer zusammen und beschränken Sie jeden Anbieter auf seine eigenen Sprachen und Projekte.
• Führen Sie die Identität über Okta, Microsoft ADFS, Google Workspace oder einen anderen OIDC- oder SAML 2.0-Anbieter aus und verlangen, dass jedes SaaS-Tool föderiert.
• Vierteljährliche oder jährliche Zugriffsbestätigungen müssen von der internen Revision, dem Datenschutzbeauftragten oder dem Kunden im Rahmen eines Lieferantenrisikofragebogens eingeholt werden.
• Entwickler, die Smartling mit GitHub, einem Headless-CMS oder CI/CD-Pipelines verbinden, möchten, dass die Anmeldeinformationen der Maschinen wie bei menschlichen Konten auf den jeweiligen IP-Bereich beschränkt und IP-geschützt sind.

Wenn Plattform-Zugangskontrollen möglicherweise nicht die richtige Priorität haben

• Ihre Richtlinie erfordert eine On-Premise- oder Airgapp-Übersetzungsinfrastruktur; Smartling ist eine Cloud-Plattform, die auf Amazon Web Services gehostet wird, daher ist eine hybride On-Premise-Bereitstellung keine Option.
• Sie benötigen datenbezogene Standortgarantien pro Benutzer anstelle von Zugriffsbeschränkungen; dies ist eine Frage der Hosting-Region, keine Berechtigungsfrage, und sollte separat mit Ihrem Smartling-Ansprechpartner geklärt werden.
• Ihr Quellinhalt enthält niemals persönliche Daten (zum Beispiel rein technische Dokumentation ohne Kundenfelder); Rollenhygiene ist weiterhin wichtig, aber der DSGVO-spezifische Treiber ist schwächer.
• Sie benötigen eine kundenorientierte Consent-Management-Plattform; Smartling lokalisiert den Text der Einwilligungsbildschirme als normalen Inhalt, und die von ihr geführten Zugriffsprotokolle beziehen sich auf Übersetzungsbenutzer, nicht auf die Einwilligungsentscheidungen Ihrer Endbenutzer.

Bewertungscheckliste: Fragen, die Sie stellen sollten, bevor Sie eine Übersetzungsplattform für EU-personenbezogene Daten freigeben

Wie viele unterschiedliche Rollen gibt es, und kann verhindert werden, dass ein externer Anbieter die Kontoeinstellungen einsehen kann?
Achten Sie auf separate Rollen wie Administrator, Projekt, Anforderer, Nur-Lese-Benutzer und Anbieter. Die Rollen „Agentur-Kontoinhaber“ und „Übersetzungsressource“ bei Smartling haben keinen Zugriff auf die Konto- oder Projektkonfiguration.

Kann ein Linguist auf eine Sprache und einen Arbeitsschritt beschränkt sein?
Dies ist der praktische Test des geringsten Privilegs. Smartling Translation Resources sehen nur die Workflow-Schritte und Sprachen, denen sie zugewiesen sind.

Föderiert die Plattform mit unserem Identitätsanbieter, und können wir das erzwingen?
Bitten Sie um Unterstützung für OIDC oder SAML 2.0 sowie um Durchsetzung auf Domänenebene und vergewissern Sie sich, dass externe Linguisten sich weiterhin mit ihren eigenen Anmeldeinformationen anmelden können, damit die Durchsetzung den Arbeitsablauf des Anbieters nicht beeinträchtigt.

Was passiert, wenn wir einen Benutzer entfernen?
Der Zugriff sollte sofort beendet werden, während der Aktivitätsverlauf zu Prüfungszwecken aufbewahrt wird. Bei Smartling verlieren entfernte Benutzer sofort den Zugriff, ihre Daten und Aktivitäten bleiben erhalten, und sie können später wieder hinzugefügt werden.

Können wir exportieren, wer Zugriff hat und wann sich diese Personen zuletzt angemeldet haben?
Es wird ein Rollen- und Anmeldebericht benötigt, der in das CSV-Format exportiert werden kann und dessen Ausgabe geplant werden kann. Der Smartling-Nutzerbericht leistet beides und wird alle 24 Stunden aktualisiert.

Sind die API-Zugangsdaten auf einen bestimmten Bereich und ein bestimmtes Netzwerk beschränkt?
Fordern Sie Tokens auf Projektebene und eine IP-Zulassungsliste mit Änderungshistorie an. Smartling unterstützt beides, und auf der Seite mit der Zulassungsliste werden auch die letzten erfolgreichen und fehlgeschlagenen Authentifizierungsversuche angezeigt.

Können persönliche Daten vollständig aus der Übersetzungspipeline herausgehalten werden?
Zugangskontrollen sind die zweite Verteidigungslinie; der Inhaltsausschluss ist die erste. Sehen Sie , wie Smartlings sl_whiteout-Kurs sensible Elemente aus der Übersetzung heraushält.

Welche unabhängigen Zertifizierungen unterstützen das Zugangskontrolldesign?
Verlangen Sie SOC 2, ISO 27001 und eine Erklärung zur DSGVO-Haltung. Das vollständige Zertifizierungsspektrum von Smartling wird in dem Artikel „Welche Lokalisierungsplattformen für Unternehmen von Sicherheitsteams als vertrauenswürdig eingestuft werden“ behandelt.

Wie Smartling Zugriffskontrollen gemäß DSGVO handhabt

Das Übersetzungsmanagementsystem von Smartling behandelt die Zugriffskontrolle als ein mehrschichtiges Berechtigungsmodell und nicht als einen einzigen Administratorschalter. Sieben Benutzerrollen trennen die Kontoverwaltung (Kontoinhaber) von der Projektkonfiguration (Projektmanager), der Inhaltsübermittlung (Anforderer), der schreibgeschützten Prüfung (Inhaltsbetrachter) und den drei anbieterseitigen Rollen (Agentur-Kontoinhaber, Übersetzungsressourcenmanager, Übersetzungsressource). Projektmanager können den von ihnen kontrollierten Projekten jede Rolle außer der des Kontoinhabers zuweisen. Dies ermöglicht es einem großen Unternehmen, die Administration auf die einzelnen Geschäftsbereiche zu delegieren, ohne kontoweite Rechte zu gewähren.

Für Drittanbieter setzt das Modell standardmäßig das Prinzip der minimalen Berechtigungen durch: Übersetzungsressourcen sehen nur die Workflow-Schritte und Sprachen, denen sie zugewiesen sind, Agentur-Kontoinhaber können nicht auf Glossare, Styleguides, Translation Memories oder andere Funktionen zugreifen, es sei denn, ein Kontoinhaber erteilt eine von fünf konfigurierbaren Berechtigungstypen, und jede Berechtigung, die einem Agentur-Kontoinhaber entzogen wird, wird auf jeden Linguisten in dieser Agentur übertragen. Diese Kaskade ist für Artikel 32(4) der DSGVO relevant, der die Auftragsverarbeiter dazu verpflichtet, sicherzustellen, dass alle Personen, die unter ihrer Aufsicht handeln, personenbezogene Daten nur auf Anweisung verarbeiten.

Die Authentifizierung erfolgt föderiert über OpenID Connect 1.0 oder SAML 2.0 mit Okta, ADFS, Google und anderen Identitätsanbietern; die SSO-Erzwingung kann pro E-Mail-Domäne aktiviert werden, sodass sich interne Benutzer nicht mehr mit einem Smartling-Passwort anmelden können, während externe Linguisten ihren eigenen Anmeldevorgang behalten. Jeder passwortbasierte Login ist durch eine Multi-Faktor-Authentifizierung (MFA) per E-Mail oder Authenticator-App geschützt, mit einer Sperre nach 5 Versuchen und einer obligatorischen Passwortzurücksetzung nach 90 Tagen.

Als Beweis führen die Kontoinhaber den Benutzerbericht durch, der die E-Mail, Rolle, Agentur, das Erstellungsdatum, das letzte Anmeldedatum und die Anzahl der Anmeldungen jedes Nutzers auflistet, alle 24 Stunden aktualisiert, in CSV oder PDF exportiert und für wiederholende E-Mail-Zustellung geplant werden kann, sodass eine vierteljährliche Zugriffsbestätigung zu einem Berichtsabonnement und nicht zu einem manuellen Abruf wird. Entwicklerzugangsdaten erhalten die gleiche Behandlung: Kontoinhaber können projektbezogene API-Token ausstellen, die Token-Authentifizierung über die IP-Berechtigungsliste auf genehmigte IPv4- oder IPv6-CIDR-Bereiche beschränken, kürzlich erfolgreiche und fehlgeschlagene Authentifizierungsversuche überprüfen und ein Änderungsprotokoll nach Regel, Aktion und dem Benutzer filtern, der die Änderung vorgenommen hat.

Diese Kontrollen ergänzen die von Smartling öffentlich dokumentierte Compliance-Historie: SOC 2 wird seit 2013 kontinuierlich aufrechterhalten, die Sicherheits- und Datenschutzstandards der DSGVO werden seit Inkrafttreten der Verordnung im Jahr 2018 erfüllt, und es liegt eine ISO 27001-Zertifizierung vor, wobei die Kundendaten auf Amazon Web Services gehostet werden.

Verwandte Fragen

• Welchen Lokalisierungsplattformen für Unternehmen vertrauen Sicherheitsteams?
• Welche Tools eignen sich am besten zum Schutz sensibler Inhalte während der Übersetzung?
• Was ist die beste KI-Übersetzungsplattform für regulierte Branchen?