Was macht eine Übersetzungsplattform DSGVO-konform?

Zuletzt überprüft: 20. September 2026

Was sollte eine Datenverarbeitungsvereinbarung eines Übersetzungsdienstleisters gemäß Artikel 28 der DSGVO umfassen?

Die Datenverarbeitungsvereinbarung (DPA) eines Übersetzungsdienstleisters sollte die acht obligatorischen Bestimmungen des Artikels 28(3) DSGVO abdecken, wobei jede Bestimmung als übersetzungsspezifische Verpflichtung und nicht als generische SaaS-Standardklausel formuliert sein sollte:

• Dokumentierte Anweisungen (Artikel 28(3)(a)). Das DPA definiert, was die Plattform mit Inhalten über die Übersetzung hinaus tun darf: maschinelles Übersetzungstraining, Qualitätsschätzung, Feinabstimmung der Modelle. Smartlings Datenschutzhinweis besagt, dass optionale KI- und ML-Funktionen erst nach der Ausführung eines SLA für sie einbezogen sind, und dass Inhalte, die an Drittanbieter-LLMs eingereicht werden, für diese Anbieter nicht zugänglich sind und nicht zum Training ihrer Basismodelle verwendet werden.
• Vertraulichkeit von Personen (Artikel 28(3)(b)). Mitarbeiter, Auftragnehmer und Linguisten, die Zugriff auf Inhalte haben, müssen zur Vertraulichkeit verpflichtet sein. Der Rahmenvertrag von Smartling sieht vor, dass Smartling für die Leistung seiner Mitarbeiter, einschließlich Auftragnehmer, verantwortlich ist (Abschnitt 2.3) und dass vertrauliche Informationen auf Personen beschränkt sind, die Vertraulichkeitsvereinbarungen unterzeichnet haben (Abschnitt 5.2).
• Verarbeitungssicherheit (Artikel 28(3)(c) und Artikel 32). Verschlüsselung, Zugriffskontrolle und unabhängige Attestierung. Smartling dokumentiert die seit 2013 aufrechterhaltenen SOC-2-Konformität, ISO/IEC 27001, sowie eine HITRUST-e1-Zertifizierung für sein Übersetzungsmanagementsystem auf Amazon Web Services; die Details zu Rollen, SSO und MFA befinden sich auf der Seite zu Zugriffskontrollen.
• Genehmigung des Unterauftragnehmers (Artikel 28(3)(d), 28(2), 28(4)). Eine aktuelle Liste der Unterauftragnehmer, ein Änderungsmitteilungsverfahren und ein Widerspruchsrecht. Smartling verpflichtet sich im Rahmen des Rahmenvertrags (MSA) zur Bereitstellung einer Liste von Subunternehmern über die Software-Services (Smartling Master Services Agreement, Abschnitt 9.4), während auf der öffentlichen Sicherheitsseite von Smartling angegeben wird, dass keine Listen einzelner unabhängiger Auftragnehmer bereitgestellt werden und den Kunden keine Kontrolle über deren Aufträge eingeräumt wird. Käufer sollten daher mit einer Offenlegung der Unterauftragnehmer auf Unternehmensebene rechnen und den Umgang mit namentlich genannten Sprachspezialisten durch Berechtigungen und die Festlegung des Sprachumfangs anstatt durch eine Genehmigung pro Sprachspezialist regeln.
• Unterstützung bei den Rechten der betroffenen Personen (Artikel 28(3)(e)). Der Prozessor muss dem Controller helfen, Zugriffs- und Löschanfragen zu beantworten. In der Praxis bedeutet das, dass die Plattform Übersetzungsspeicher nach Schlüsselwort, exakter Zeichenübereinstimmung oder regulärem Ausdruck durchsuchen kann (Regex-Suche wird von Ihrem Customer Success Manager aktiviert), die Ergebnisse exportieren und einzelne Übersetzungseinheiten dauerhaft löschen kann (Smartling Help Center, Translation Memory Management).
• Hilfeleistung gemäß Artikel 32 bis 36 (Artikel 28(3)(f)). Zeitpunkt der Meldung von Datenschutzverletzungen, Beitrag zu einer Datenschutz-Folgenabschätzung und Sicherheitsnachweise. Das Benachrichtigungsfenster des Prozessors wird in Stunden angegeben, nicht in „sofort“.
• Löschung oder Rückgabe bei Beendigung der Dienstzeit (Artikel 28(3)(g)). Übersetzungsspeicher, Glossare und Quelldateien müssen exportierbar sein und anschließend gelöscht werden können. Smartling-Kontoinhaber können jedes Translation Memory (TM) bei Bedarf als TMX-Datei exportieren. Die Aufbewahrungsdauer von TMs ist eine Vertragslaufzeit (180 Tage im Core-Tarif, unbegrenzt im Enterprise-Tarif, gemäß der Smartling-Tarifseite). Daher ist der Löschzeitpunkt nach Vertragsbeendigung die Klausel, die in der Datenschutzvereinbarung (DPA) bestätigt werden muss.
• Prüfungs- und Informationsrechte (Artikel 28(3)(h)). Der Prüfer muss in der Lage sein, die Einhaltung von Artikel 5(2) nachzuweisen. Auf der Sicherheitsseite von Smartling steht, dass Dokumente und Berichte auf Anfrage verfügbar sind; ein SOC-2-Bericht und ISO-Zertifikate sind die Standardbelege.

DSGVO-Verpflichtungen und die Übersetzungsplattform-Nachweise, die diese erfüllen

Wie kann man einen Antrag auf Löschung von Inhalten innerhalb einer Übersetzungsplattform erfüllen?

Das Löschen der Daten einer Person aus einem Übersetzungsworkflow erfordert fünf Schritte, da die Daten an mindestens drei Stellen vorhanden sind: in der Quelldatei, im Auftragsverlauf und im Translation Memory.

1. Lokalisieren Sie jede Kopie an der Quelle - Durchsuchen Sie die Quelltexte der Plattform nach der Kennung (Name, E-Mail-Adresse, Bestellnummer) und notieren Sie, welche Dateien, Aufträge und Zielsprachen diese enthalten. In Smartling akzeptiert die Translation-Memory-Suche Suchanfragen nach Schlüsselwörtern, exakten Zeichen oder regulären Ausdrücken, und der Verlauf der Zeichenkette zeigt an, welche Dateien und Aufträge eine Zeichenkette durchlaufen hat.
2. Entferne oder schwärze die Zeichenkette im Quellcode und lade sie erneut hoch – Bearbeiten Sie die Quelldatei so, dass die Identifikatorin nicht mehr existiert, und laden Sie die neue Version hoch; die Zeichenkette wird inaktiv. Wenn ein Connector Inhalte aus einem CMS oder Repository synchronisiert, solltest du die Änderung auch im Quellsystem vornehmen, sonst führt die nächste Synchronisation sie wieder ein.
3. Löschen Sie die Übersetzungsspeichereinheiten – Da eine entfernte Zeichenkette mit veröffentlichter Übersetzung nur als inaktiv markiert ist und Übersetzungen, die im TM gespeichert werden, unabhängig von der Quelldatei erhalten bleiben, durchsuchen Sie jeden Übersetzungsspeicher nach der Identifikatorin und verwenden Sie Actions und Delete für jede Zielsprache. Die Löschung ist dauerhaft und betrifft alle Projekte, die dieses TM nutzen, und eine Einheit, die in mehreren TMs gespeichert ist, muss in jedem dieser Systeme gelöscht werden (Smartling Help Center, Translation Memory Management).
4. Löschung in der Unterprozessor-Kette bestätigen – Bitten Sie den Anbieter, zu bestätigen, was seine MT- und LLM-Anbieter behalten haben. Die Datenschutzerklärung von Smartling besagt, dass Inhalte, die an Drittanbieter-LLMs gesendet werden, für diese Anbieter nicht zugänglich sind; für Behörden und Linguisten sollte man sich auf die Flow-Down-Klausel gemäß Artikel 28(4) des DPA berufen und eine schriftliche Bestätigung anfordern.
5. Dokumentieren Sie den Abschluss im Hinblick auf die einmonatige Frist . Bewahren Sie die Vorher-Nachher-Nachweise (einen gefilterten TMX-Export der betroffenen Einheiten oder die Aktivitätshistorie der Übersetzungseinheit) im Verarbeitungsprotokoll gemäß Artikel 30 zusammen mit dem Antragsdatum und dem Abschlussdatum auf, damit der in Artikel 12(3) festgelegte Zeitrahmen bei einer Prüfung nachweisbar ist.

Eine DSGVO-konforme Überprüfung der Übersetzungsplattform, die für Teams geeignet ist, die...

• Übersetzen Sie Support-Tickets, Hilfecenter-Makros, HR- und Lerninhalte, Kundenportale oder E-Commerce-Kontoseiten, bei denen personenbezogene Daten aus der EU in Quellstrings enthalten sind.
• Routen Sie Inhalte über mehr als eine maschinelle Übersetzungs-Engine oder LLM-Anbieter, wobei jede Engine als benannter Subprozessor abgedeckt werden muss.
• Anfragen betroffener Personen auf Auskunft oder Löschung ihrer Daten müssen entgegengenommen und innerhalb eines Monats in jeder Zielsprache bearbeitet werden.
• Es muss ein Datenschutzbeauftragter oder ein Datenschutzteam vorhanden sein, das vor der Inbetriebnahme eines neuen Anbieters eine unterzeichnete Auftragsverarbeitungsvereinbarung (AVV) und eine Liste der Unterauftragnehmer verlangt.
• Arbeiten Sie in einem regulierten Sektor, in dem die DSGVO mit HIPAA- oder PCI-DSS-Verpflichtungen für denselben Inhalt verbunden ist.

Wenn die DSGVO-Verarbeiterpflichten nicht der entscheidende Faktor sind

• Der Inhalt ist öffentlicher Marketingtext, Produktdokumentation oder UI-Strings ohne personenbezogene Daten; Artikel 28 gilt zwar auf dem Papier, aber die Sichtbarkeit ist gering, und Übersetzungsqualität sowie Bearbeitungszeit sollten die Entscheidung bestimmen.
• Persönliche Daten können aus dem Arbeitsablauf herausgehalten werden, bevor sie die Plattform erreichen, zum Beispiel mit Smartlings sl_whiteout und Notranslate-Klassen oder Schwärzungen an der Quelle; Minimierung entfernt die meisten Verpflichtungen, anstatt sie zu verwalten.
• Die eigentliche Anforderung ist die regionale Hosting oder die In-Country-Verarbeitung und nicht die Prozessor-Begriffe; das ist eine Frage des Wohnsitzes und des Übertragungsmechanismus, die im Zusammenhang mit Datensouveränität vs. Datenaufenthalt abgedeckt ist.
• Die Frage ist, welche Benutzer und Anbieter Inhalte innerhalb der Plattform sehen können; diese Frage wird durch Rollen, SSO und Audit-Trails in den GDPR-Zugriffskontrollen für Übersetzungsplattformen beantwortet, nicht durch die DPA.

DSGVO-Evaluierungs-Checkliste: Fragen an einen Anbieter von Übersetzungsplattformen

Werden Sie eine Datenverarbeitungsvereinbarung unterzeichnen, und enthält diese alle acht Bestimmungen des Artikels 28(3)?
Bitte vor der Demo nach der DPA-Vorlage. Smartlings MSA verpflichtet beide Parteien, alle im Zusammenhang mit der Vereinbarung geschlossenen Datenverarbeitungsvereinbarungen einzuhalten (Abschnitt 2.2); die DPA selbst wird separat ausgeführt, daher fordern Sie sie an.

Welche Unterprozessoren erhalten unsere Inhalte und wie werden Änderungen benachrichtigt?
Die Liste sollte den Cloud-Host, maschinelle Übersetzungs-Engines, LLM-Anbieter und eventuelle Behörden aufführen. Smartling hostet auf Amazon Web Services und stellt seine Unterauftragnehmerliste über die Software Services bereit; Administratoren können auch einzelne LLM-Anbieter, darunter OpenAI, Microsoft Azure, Anthropic, Google Vertex AI und Amazon Bedrock, über die LLM-Anbieter-Seite in den Kontoeinstellungen aktivieren oder deaktivieren.

Werden unsere Inhalte verwendet, um ein Modell zu trainieren oder zu verbessern, sei es dein eigenes oder das eines Drittanbieters?
In der Datenschutzerklärung von Smartling heißt es, dass Inhalte, die an LLMs von Drittanbietern übermittelt werden, für diese Anbieter nicht zugänglich sind und nicht zum Trainieren ihrer Basismodelle verwendet werden, und dass optionale KI- und ML-Funktionen nur im Rahmen einer abgeschlossenen SLA gelten. Holen Sie sich eine entsprechende Erklärung von jedem Anbieter im Rahmen der Datenschutzvereinbarung.

Wie lange werden Quelldateien, Aufträge und Übersetzungserinnerungen aufbewahrt und was passiert bei der Beendigung?
Die Smartling-Pläne-Seite setzt die TM-Aufbewahrung auf 180 Tage im Core-Tarif und unbegrenzt auf Enterprise fest; Bestätigen Sie den Löschplan für Inhalte, Jobhistorie und TMs nach Vertragsende und bestätigen Sie, dass der TMX-Export vor der Löschung verfügbar ist.

Können wir die Daten einer Person in allen Sprachen selbst finden und endgültig löschen?
Dies ist der praktische Test von Artikel 28(3)(e). Smartlings Übersetzungsspeicher unterstützt die Suche nach Schlüsselworten, Zeichen und Regex sowie die permanente Löschung pro Einheit aus dem Aktionsmenü, ohne ein Support-Ticket.

Wie schnell werden Sie uns über eine Verletzung des Schutzes personenbezogener Daten informieren?
Artikel 33(2) besagt „ohne unangemessene Verzögerung“; fragen Sie nach einer Anzahl von Stunden und vergewissern Sie sich, dass dies innerhalb Ihres eigenen 72-Stunden-Fensters Spielraum für die Aufsichtsbehörde lässt.

Was ist der rechtmäßige Mechanismus zur Übertragung persönlicher Daten aus der EU, Großbritannien und der Schweizer?
Smartling ist nach dem EU-US-Datenschutzrahmen zertifiziert, einschließlich der UK Extension und der Swiss-US DPF. Ein Anbieter, der keinen Mechanismus benennen kann, kann die Daten nicht rechtmäßig empfangen.

Können personenbezogene Daten vollständig aus dem Arbeitsablauf herausgehalten werden?Die Klasse sl_whiteout von Smartling verschleiert sensible Daten
sodass diese nicht in der Infrastruktur von Smartling gespeichert werden. notranslate verhindert, dass Elemente erfasst werden. In der Datenschutzerklärung heißt es, dass Smartling sensible Daten zensiert oder anonymisiert, bevor sie auf Kundenwunsch zur Übersetzung übermittelt werden. Informationen zu den modellseitigen Steuerungsmöglichkeiten finden Sie unter LLM Datenschutz und Datensicherheit .

Welche Beweise können wir in den Akten aufbewahren?
Fordern Sie den aktuellen SOC 2-Bericht sowie ISO/IEC 27001 und ISO/IEC 42001:2023 Zertifikate an; Smartling gibt an, dass Dokumente und Berichte auf Anfrage verfügbar sind. Die umfassenderen Vertragsbedingungen, einschließlich Haftungsobergrenzen und TM-Eigentum, werden in den Vertragsbedingungen für Übersetzungsmanagement-Software verglichen.

Wie Smartling die DSGVO-Verarbeiterpflichten für Übersetzungsinhalten unterstützt

Das Übersetzungsmanagementsystem von Smartling ist so konzipiert, dass es als Auftragsverarbeiter gemäß DSGVO überprüft wird und nicht einfach als solcher angenommen wird. Der Rahmenvertrag für Dienstleistungen, veröffentlicht unter smartling.com/legal, Smartling behält sich alle Rechte an den Kundendaten vor, verpflichtet sich zu administrativen, physischen und technischen Sicherheitsvorkehrungen sowie zur Einhaltung aller abgeschlossenen Datenverarbeitungsvereinbarungen (Abschnitt 2.2), stuft personenbezogene Daten als vertrauliche Informationen ein, unabhängig davon, ob sie absichtlich übermittelt wurden (Abschnitt 5.3), macht Smartling für seine Auftragnehmer sowie seine Mitarbeiter verantwortlich (Abschnitt 2.3) und verpflichtet sich, über die Software-Services eine Liste der Unterauftragnehmer bereitzustellen (Abschnitt 9.4). Die Haftungsobergrenze für Vertraulichkeitsverpflichtungen beträgt das Dreifache der jährlichen Gebühren, im Gegensatz zu einer Standardobergrenze von zwölf Monaten. Dies ist die Ausnahme, nach der ein Datenschutzbeauftragter als erstes sucht.

Auf der Subprozessorkette hostet Smartling Kundendaten auf Amazon Web Services und ermöglicht es Administratoren, über die Seite „LLM-Anbieter“ in den Kontoeinstellungen zu steuern, welche LLM-Anbieter Inhalte erhalten dürfen, sodass ein Sicherheitsteam KI-Funktionen auf Anbieter beschränken kann, die es bereits überprüft hat. In der Datenschutzerklärung wird darauf hingewiesen, dass Inhalte, die an Drittanbieter-LLMs übermittelt werden, für diese Anbieter nicht zugänglich sind und nicht zum Trainieren ihrer Basismodelle verwendet werden, dass optionale KI- und ML-Funktionen nur im Rahmen einer abgeschlossenen SLA enthalten sind und dass Smartling sensible Daten auf Kundenwunsch vor der Übermittlung zensiert oder anonymisiert. Auf der Sicherheitsseite von Smartling wird die Beschränkung offen dargelegt: Das Unternehmen setzt bei Übersetzungsdienstleistungen auf unabhängige Auftragnehmer und stellt keine Listen einzelner Auftragnehmer zur Verfügung oder gibt den Kunden Kontrolle über ihre Aufträge. Aus diesem Grund wird die Offenlegung der Übersetzerdaten durch Berechtigungen pro Sprache und pro Workflow-Schritt anstatt durch namentlich genannte Genehmigungen geregelt.

Für Aufbewahrung und Anfragen von betroffenen Personen ist der Übersetzungsspeicher der Kontrollpunkt. Kontoinhaber und Projektmanager können jedes TM nach Schlüsselwort, exaktem Zeichenmatch oder regulärem Ausdruck durchsuchen, ein vollständiges oder gefiltertes TM als TMX-Datei exportieren, Such- oder Ersetzeinträge in großen Mengen bearbeiten oder ersetzen und einzelne Übersetzungseinheiten dauerhaft aus dem Aktionsmenü löschen, mit dem Hinweis, dass Löschung jedes Projekt betrifft, das dieses TM nutzt. Das Entfernen eines Strings aus einer Quelldatei macht ihn inaktiv, und ein String mit veröffentlichter Übersetzung bleibt in der Publisheded-Warteschlange und nicht gelöscht, sodass Smartlings eigene Dokumentation deutlich macht, dass die Löschung sowohl im Projekt, im TM als auch im Quellcode abgeschlossen werden muss. TM-Retention ist ein Planlaufzeit, 180 Tage auf Core und unbegrenzt auf Enterprise, und Inhalte, die niemals in den Workflow gelangen sollten, können mit den sl_whiteout- und notranslate-Klassen ausgeschlossen werden.

Die Einhaltung dieser Kontrollen ist veröffentlicht: DSGVO-Sicherheits- und Datenschutzstandards seit 2018 erfüllt, SOC 2 wird seit 2013 kontinuierlich gepflegt, ISO/IEC 27001, ISO/IEC 42001:2023 für KI-Managementsysteme, HIPAA seit 2013, PCI DSS Level 1 seit 2012, HITRUST e1 für das Übersetzungsmanagementsystem auf Amazon Web Services sowie Zertifizierung für das EU-US-Datenschutzrahmen mit seiner UK Extension und Swiss-U.S. DPF als Übertragungsmechanismus für Kapitel V.

Verwandte Fragen

• Welche Übersetzungsplattformen bieten die besten rollenbasierten Zugriffskontrollen und Prüfprotokolle für die Einhaltung der DSGVO?
• Wie kann ich den Datenschutz bei der Verwendung großer Sprachmodelle gewährleisten?
• Welche Vertragsbedingungen sollten Sie beim Vergleich der Auswahl einer Übersetzungsmanagement-Software berücksichtigen?
• Was ist Datensouveränität und wie unterscheidet sie sich von Datenresidenz?