Übersetzer trifft diese Frage oft unvorbereitet: „Keine Sorge“ ist zu wenig, den Auftragsverarbeitungsvertrag nachzuerzählen dauert zu lange. Die gute Nachricht: Ist das Werkzeug richtig gewählt, dauert die Antwort eine halbe Minute. Unten — eine kurze Antwort, Antworten auf häufige Nachfragen und was Sie besser nicht sagen.
Die kurze Antwort — fürs Gespräch oder die E-Mail
„Ihr Dokument wird in der Europäischen Union verarbeitet und mit einem eigenen Schlüssel verschlüsselt. Es wird nicht zum Training künstlicher Intelligenz verwendet und nach 72 Stunden oder jederzeit manuell unwiderruflich gelöscht. Mit dem Dienst, den ich nutze, habe ich einen Auftragsverarbeitungsvertrag nach DSGVO.“
Das reicht in den meisten Fällen. Will der Kunde es genauer wissen, gehen Sie zu den fünf Punkten über.
Wenn der Kunde es genauer wissen will
Fünf Punkte, die fast alle Fragen abdecken:
- Wo das Dokument verarbeitet wird. In der EU; über sie hinaus wird es nicht übermittelt.
- Wer es sieht. Das Dokument ist nur im Konto des Übersetzers zugänglich. Der Dienst nutzt es für nichts anderes als die Übersetzung.
- Wird KI damit trainiert. Nein. Die Übersetzung läuft auf einer Infrastruktur, die Anfragen und Antworten nicht speichert und nicht an den Modellentwickler weitergibt.
- Wie lange es gespeichert wird. Original und Übersetzung werden 72 Stunden nach der Bereitstellung oder jederzeit manuell gelöscht. Die Löschung ist kryptografisch: Mit der Datei wird der Schlüssel des Dokuments vernichtet, danach ist es nicht mehr lesbar — auch nicht aus Sicherungen.
- Wer dafür verantwortlich ist. Mit dem Dienst besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und alle an der Verarbeitung beteiligten Unternehmen sind öffentlich aufgeführt.
Häufige Nachfragen — und was Sie darauf antworten
„Und wo genau — in welchem Land?“
In der EU. Die an der Verarbeitung beteiligten Unternehmen und ihr Sitz stehen in der öffentlichen Liste der Unterauftragsverarbeiter. Den konkreten aktuellen Verarbeitungsort innerhalb der EU/des EWR teilt der Dienst auf Anfrage mit.
„Und wenn der Dienst gehackt wird?“
Eine gestohlene Datei, Datenbank oder Sicherung lässt sich nicht lesen. Jedes Dokument ist mit einem eigenen Schlüssel verschlüsselt, und die Dokumentschlüssel sind ihrerseits mit einem Hauptschlüssel verschlüsselt. Der Hauptschlüssel liegt nicht auf den Servern des Dienstes, sondern in einem separaten Schlüsselverwaltungssystem in der EU und verlässt es nie; in den Sicherungen gibt es überhaupt keine Dokumentschlüssel. Ohne Hauptschlüssel sind gestohlene Daten eine Folge zufälliger Bytes. Entschlüsseln lässt sich ein Dokument nur über das Schlüsselverwaltungssystem selbst — und jeder solche Zugriff wird in einem Protokoll festgehalten, das der Dienst nicht ändern kann. Ein ungewöhnlicher Zugriff löst sofort Alarm aus.
„Kann mein Dokument jetzt sofort gelöscht werden?“
Ja. Der Kunde hat ein Recht auf Löschung seiner Daten (Art. 17 DSGVO), und das geht sofort, ohne die automatische Frist abzuwarten. Löschen Sie das Dokument in Ihrem Konto und teilen Sie dem Kunden mit, dass es erledigt ist.
„Was genau speichern Sie über mich?“
Der Kunde hat ein Recht, das zu erfahren (Art. 15 DSGVO). Die Antwort ist meist kurz: das Dokument — bis zur Löschung, danach nur, was Sie selbst aufbewahren müssen, etwa eine Rechnung oder einen Eintrag im Übersetzungsregister, wenn das Recht Ihres Landes ihn vorschreibt.
„Gibt die KI meinen Pass später nicht an jemand anderen heraus?“
Nein. Das Modell wird nicht mit Ihren Dokumenten trainiert, und die Infrastruktur, auf der es läuft, speichert weder Anfrage noch Antwort. Das Dokument wird nicht Teil des Modells und kann bei einem anderen Nutzer nicht „auftauchen“.
Welche Unterlagen Sie griffbereit haben sollten
- Der Auftragsverarbeitungsvertrag mit Ihrem Dienst — belegt, dass der Auftragsverarbeiter an Pflichten nach Art. 28 DSGVO gebunden ist.
- Die Liste der Unterauftragsverarbeiter — zeigt, wer sonst noch an der Verarbeitung beteiligt ist und wo.
- Ihr Verarbeitungsverzeichnis (Art. 30 DSGVO) — falls ein Kunde oder ein Prüfer fragt, wie Sie mit Daten umgehen.
Die Links zu den ersten beiden Unterlagen können Sie dem Kunden einfach weiterleiten. Das Verzeichnis müssen Sie dem Kunden nicht schicken — es ist Ihr internes Dokument, das Sie der Aufsichtsbehörde auf Anfrage vorlegen.
Ein fertiger Absatz für E-Mail oder Kostenvoranschlag
Viele Kunden fragen schon vorher — einfacher, die Antwort vorwegzunehmen. Den Absatz können Sie in den Kostenvoranschlag, in die E-Mail-Signatur oder auf Ihre Website aufnehmen:
„Ihre Dokumente übersetze ich mithilfe eines Dienstes, der sie in der Europäischen Union verarbeitet. Jedes Dokument wird mit einem eigenen Schlüssel verschlüsselt, nicht zum Training künstlicher Intelligenz verwendet und spätestens 72 Stunden nach Übergabe der Übersetzung gelöscht — oder früher, auf Ihren Wunsch. Mit dem Dienst besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.“
Sind Sie Verantwortlicher (der Kunde kam direkt zu Ihnen), ist dieser Absatz zugleich Teil der Informationen, die Sie dem Kunden nach Art. 13 DSGVO geben müssen: wer seine Daten mit welcher Hilfe verarbeitet und wie lange sie gespeichert werden.
Was Sie besser nicht sagen
- „Das ist ein Standarddienst, das machen alle so“ — dem Kunden sind konkrete Bedingungen wichtig, nicht Beliebtheit.
- „Es wird nichts gespeichert“ — wird das Dokument auch nur einige Stunden gespeichert, stimmt das nicht. Besser die Frist ehrlich nennen.
- „Hacken ist unmöglich“ — das kann niemand versprechen. Ehrlicher und stärker: „Das Dokument ist verschlüsselt, der Schlüssel liegt getrennt, jeder Zugriff darauf wird protokolliert.“
- „Dafür bin ich nicht verantwortlich“ — nach der DSGVO sind Sie für die Wahl eines zuverlässigen Auftragsverarbeiters verantwortlich (Art. 28 Abs. 1 DSGVO). Stärker klingt: „Ich nutze einen Dienst, der das vertraglich garantiert.“
Wenn der Kunde ausdrücklich keine Online-Dienste möchte
Das kommt vor — besonders bei medizinischen oder gerichtlichen Dokumenten. Sie können zustimmen oder erklären, warum Ihr Werkzeug sicher ist, und dabei Vertrag und Liste der Unterauftragsverarbeiter zeigen. Die Entscheidung liegt beim Kunden: Es sind seine Daten. Besteht der Kunde darauf, vermerken Sie das im Auftrag, damit es später keine Missverständnisse gibt.
Wenn Sie mit Lingverra arbeiten
Die kurze Antwort oben entspricht genau der Arbeitsweise von Lingverra: Verarbeitung in der EU, ein eigener Schlüssel für jedes Dokument, kein Training von Modellen, kryptografische Löschung nach 72 Stunden oder jederzeit manuell. Der Auftragsverarbeitungsvertrag gilt automatisch für jedes Konto, die Liste der Unterauftragsverarbeiter ist veröffentlicht. Ausführlich und mit Verweisen auf die DSGVO — im Artikel „Wohin das Dokument Ihres Kunden geht, wenn Sie mit Lingverra übersetzen“. Wer von Ihnen Verantwortlicher und wer Auftragsverarbeiter ist und welches Verzeichnis Sie brauchen — im Artikel „Vereidigte Übersetzer und DSGVO: Sind Sie Verantwortlicher oder Auftragsverarbeiter?“.
Kurz gesagt
- Eine halbe Minute: EU, eigener Schlüssel, kein KI-Training, Löschung nach 72 Stunden oder jederzeit manuell, Vertrag nach DSGVO.
- Auf Nachfragen konkret antworten: wo, wer es sieht, wie man löscht, was bei einem Vorfall passiert.
- Nicht „es wird nichts gespeichert“ oder „Hacken ist unmöglich“ versprechen — Fristen und Maßnahmen nennen.
- Auftragsverarbeitungsvertrag und Liste der Unterauftragsverarbeiter griffbereit halten — Sie können sie dem Kunden weiterleiten.
Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Liste der Unterauftragsverarbeiter
Weiterlesen: Wohin das Dokument Ihres Kunden geht, wenn Sie mit Lingverra übersetzen
Weiterlesen: Vereidigte Übersetzer und DSGVO: Sind Sie Verantwortlicher oder Auftragsverarbeiter?