Vereidigte Übersetzer und DSGVO: Sind Sie Verantwortlicher oder Auftragsverarbeiter?

Die DSGVO verteilt die Verantwortung für solche Daten auf zwei Rollen: Verantwortlicher und Auftragsverarbeiter. Von Ihrer Rolle im konkreten Auftrag hängt ab, was Sie selbst tun müssen, welche Verträge Sie brauchen und wer haftet, wenn etwas schiefgeht. Der Reihe nach.

Die zwei Rollen in Kürze

Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO). Er ist für die Rechtmäßigkeit der Verarbeitung verantwortlich und muss sie nachweisen können (Art. 5 Abs. 2, Art. 24 DSGVO).

Auftragsverarbeiter ist, wer Daten im Auftrag des Verantwortlichen und nach dessen Weisungen verarbeitet (Art. 4 Nr. 8 DSGVO). Seine Pflichten ergeben sich aus dem Vertrag mit dem Verantwortlichen (Art. 28 Abs. 3 DSGVO).

Die Rolle bestimmt sich nicht nach der Überschrift des Vertrags und nicht danach, wie Sie sich selbst bezeichnen, sondern nach den Tatsachen: Wer entscheidet, wozu und mit welchen Mitteln die Daten verarbeitet werden? Dieselbe Übersetzerin, derselbe Übersetzer kann am Montag Verantwortlicher sein und am Dienstag Auftragsverarbeiter — je nach Auftrag.

Wann der Übersetzer Verantwortlicher ist

Typischer Fall: Eine Privatperson kommt mit einem Dokument für eine beglaubigte Übersetzung direkt zu Ihnen. Sie entscheiden selbst, wie Sie die Arbeit erledigen: mit welchen Mitteln, wo Sie das Dokument aufbewahren, wann Sie es löschen. Hinzu kommt: Vereidigte Übersetzer handeln im Rahmen eigener Berufspflichten, die das Recht ihres Landes festlegt, und nicht nach Weisungen des Kunden — der Kunde kann Ihnen weder eine andere Übersetzung vorschreiben noch verlangen, den Bestätigungsvermerk wegzulassen. In diesem Fall sind Sie Verantwortlicher.

Was das praktisch bedeutet:

• Rechtsgrundlage. Sie brauchen eine Grundlage für die Verarbeitung (Art. 6 Abs. 1 DSGVO) — in der Regel die Erfüllung des Vertrags mit dem Kunden (Art. 6 Abs. 1 lit. b). Verpflichtet Sie das Recht Ihres Landes, Kopien aufzubewahren oder ein Übersetzungsregister zu führen, ist die Grundlage dafür eine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c).
• Besondere Kategorien. Dokumente enthalten oft Gesundheitsdaten, Angaben zur Herkunft oder Religion (Art. 9 DSGVO) oder Angaben zu Vorstrafen (Art. 10 DSGVO). Dafür braucht es zusätzliche Grundlagen und erhöhten Schutz. Die häufigste Grundlage in unserer Arbeit: Der Kunde braucht die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, etwa vor Gericht oder einer Behörde (Art. 9 Abs. 2 lit. f).
• Information des Kunden. Sie müssen dem Kunden mitteilen, wer Sie sind, wozu Sie die Daten verarbeiten, an wen sie gehen und wie lange sie gespeichert werden (Art. 13 DSGVO). Ein kurzer Hinweis auf der Website, im Kostenvoranschlag oder im Vertrag genügt.
• Sicherheit. Sie müssen die Daten durch Maßnahmen schützen, die dem Risiko angemessen sind (Art. 32 DSGVO). Bei Dokumenten mit Gesundheitsdaten oder Vorstrafen ist das Risiko per se hoch.
• Speicherdauer. Daten dürfen nicht länger gespeichert werden, als es für den Zweck nötig ist (Art. 5 Abs. 1 lit. e DSGVO). Schreibt das nationale Recht vor, Kopien aufzubewahren — so lange, wie das Gesetz es verlangt, und nicht länger.
• Ihre Dienste. Laden Sie ein Dokument zur Übersetzung in einen Online-Dienst hoch, ist dieser Dienst Ihr Auftragsverarbeiter. Mit ihm brauchen Sie einen Auftragsverarbeitungsvertrag (Art. 28 Abs. 3 DSGVO), und Sie dürfen nur einen Auftragsverarbeiter wählen, der hinreichende Garantien für den Schutz bietet (Art. 28 Abs. 1 DSGVO). Nutzt der Dienst Ihre Dokumente für eigene Zwecke — etwa zum Training von Modellen —, ist er nicht mehr bloß Auftragsverarbeiter, und für diese Weitergabe müssen Sie einstehen.
• Vorfall. Werden Dokumente offengelegt oder gehen verloren, haben Sie als Verantwortlicher 72 Stunden für die Meldung an die Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) und müssen bei hohem Risiko auch den Kunden benachrichtigen (Art. 34 DSGVO).

Wann der Übersetzer Auftragsverarbeiter ist

Andere Situation: Sie übersetzen im Auftrag eines Übersetzungsbüros oder eines Unternehmens, das die Dokumente selbst von seinen Kunden erhalten hat und bestimmt, wie damit zu verfahren ist — welche Dokumente, bis wann, wohin das Ergebnis geht, wann gelöscht wird. Hier handeln Sie in der Regel in dessen Auftrag — also als Auftragsverarbeiter.

Was das praktisch bedeutet:

• Vertrag mit dem Büro. Das Büro muss mit Ihnen einen Auftragsverarbeitungsvertrag schließen (Art. 28 Abs. 3 DSGVO). Hat man Ihnen keinen angeboten, ist das ein Grund nachzufragen — kein Grund, ohne ihn zu arbeiten.
• Nur auf Weisung. Sie verarbeiten Daten nur auf dokumentierte Weisung des Büros (Art. 28 Abs. 3 lit. a). Die Dokumente für eigene Zwecke zu nutzen, ist nicht erlaubt.
• Vertraulichkeit. Sie müssen sicherstellen, dass nur Personen Zugang zu den Dokumenten haben, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b).
• Ihre Unterauftragnehmer. Einen eigenen Unterauftragnehmer — eine andere Übersetzerin, einen Lektor, einen Online-Dienst — dürfen Sie nur mit Genehmigung des Büros einsetzen (Art. 28 Abs. 2 DSGVO). Auf den Unterauftragnehmer gehen dieselben Datenschutzpflichten über; verletzt er sie, haften Sie gegenüber dem Büro (Art. 28 Abs. 4 DSGVO).
• Löschung nach der Arbeit. Nach Abschluss des Auftrags löschen Sie die Daten oder geben sie zurück — wie das Büro entscheidet (Art. 28 Abs. 3 lit. g).
• Vorfall. Jede Datenpanne melden Sie dem Büro unverzüglich (Art. 33 Abs. 2 DSGVO); die Meldung an die Aufsichtsbehörde ist dann Aufgabe des Büros als Verantwortlicher.

Grenzfälle

• Beglaubigte Übersetzung im Auftrag eines Büros. Auch über ein Büro beglaubigen vereidigte Übersetzer die Übersetzung persönlich und sind nach nationalem Recht für sie verantwortlich. In diesem Fall wird der Übersetzer mitunter nicht als Auftragsverarbeiter, sondern als eigenständiger Verantwortlicher angesehen. Entscheidend ist, wer tatsächlich bestimmt, was mit dem Dokument geschieht.
• Übersetzung im Auftrag eines Gerichts oder einer Behörde. Die Rolle bestimmt sich ebenso: danach, wer entscheidet, wozu und wie die Daten verarbeitet werden. Oft ist das Verfahren unmittelbar im Gesetz Ihres Landes über vereidigte Übersetzer geregelt.
• Zusammenarbeit mit Kollegen. Entscheiden Sie zu zweit, wie ein Auftrag ausgeführt wird, können Sie gemeinsam Verantwortliche sein (Art. 26 DSGVO); dann müssen Sie vereinbaren, wer wofür zuständig ist.

Im Zweifel halten Sie Ihre Entscheidung und den Grund dafür schriftlich fest. Eine dokumentierte Position ist besser als keine: Genau danach fragt die Aufsichtsbehörde.

Verarbeitungsverzeichnis: Brauchen Sie eines?

Ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) müssen sowohl Verantwortliche als auch Auftragsverarbeiter führen. Eine Ausnahme für Einrichtungen mit weniger als 250 Beschäftigten gibt es (Art. 30 Abs. 5 DSGVO), sie gilt aber nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Kategorien von Daten oder Daten über Vorstrafen einschließt. Wer amtliche Dokumente übersetzt, verarbeitet solche Daten regelmäßig — die Ausnahme greift daher in der Regel nicht, auch wenn man allein arbeitet.

Was Sie als Verantwortlicher mindestens eintragen (Art. 30 Abs. 1 DSGVO):

• Ihren Namen und Ihre Kontaktdaten;
• die Zwecke der Verarbeitung (Übersetzung und Beglaubigung von Kundendokumenten);
• Kategorien betroffener Personen und Daten (Kunden und in den Dokumenten genannte Personen; Daten aus den Dokumenten, einschließlich besonderer Kategorien);
• Empfänger (zum Beispiel ein Online-Übersetzungsdienst als Auftragsverarbeiter);
• Übermittlungen außerhalb der EU/des EWR, falls vorhanden;
• Löschfristen;
• eine allgemeine Beschreibung der Sicherheitsmaßnahmen.

Als Auftragsverarbeiter ist das Verzeichnis kürzer (Art. 30 Abs. 2 DSGVO): in wessen Auftrag Sie arbeiten, welche Arten von Verarbeitung Sie durchführen, Übermittlungen außerhalb der EU/des EWR und Sicherheitsmaßnahmen.

Das Verzeichnis muss nirgends eingereicht werden. Sie führen es für sich und legen es der Aufsichtsbehörde auf Anfrage vor (Art. 30 Abs. 4 DSGVO). Wer allein arbeitet, kommt mit ein bis zwei Seiten aus.

Wo Lingverra ins Spiel kommt

Für den Übersetzer ist Lingverra Auftragsverarbeiter. Mit jedem Nutzer gilt automatisch ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — Sie müssen ihn weder anfordern noch gesondert unterschreiben. Alle Unternehmen, die an der Verarbeitung beteiligt sind, stehen in der öffentlichen Liste der Unterauftragsverarbeiter — was jedes tut, wo es sitzt und auf welcher Grundlage (Art. 28 Abs. 2 und 4 DSGVO). Kundendokumente werden nicht zum Training von Modellen verwendet.

Für Ihr Verzeichnis heißt das: Unter „Empfänger“ tragen Sie Lingverra als Auftragsverarbeiter ein und fügen die Links zum Vertrag und zur Liste der Unterauftragsverarbeiter bei. Arbeiten Sie selbst als Auftragsverarbeiter für ein Büro, können Sie dem Büro dieselbe Liste zeigen, wenn Sie die Genehmigung für den Einsatz des Dienstes einholen.

Wie wir Dokumente schützen — Schritt für Schritt und mit Verweisen auf die DSGVO —, beschreibt der Artikel „Wohin das Dokument Ihres Kunden geht, wenn Sie mit Lingverra übersetzen“.

Kurz gesagt

• Der Kunde kam direkt zu Ihnen — Sie sind in der Regel Verantwortlicher: Rechtsgrundlage, Information des Kunden, Vertrag mit Ihrem Dienst als Auftragsverarbeiter, Verzeichnis.
• Sie arbeiten für ein Büro — Sie sind in der Regel Auftragsverarbeiter: Vertrag mit dem Büro, Arbeit nur auf dessen Weisung und dessen Genehmigung für Ihre Unterauftragnehmer.
• Eine beglaubigte Übersetzung ist Ihre persönliche Verantwortung nach dem Gesetz, auch wenn der Auftrag über ein Büro kam.
• Wer amtliche Dokumente übersetzt, braucht fast immer ein Verzeichnis nach Art. 30.

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Liste der Unterauftragsverarbeiter

Weiterlesen: Wohin das Dokument Ihres Kunden geht, wenn Sie mit Lingverra übersetzen