Was «Datensouveränität» bei Unternehmensübersetzungen wirklich bedeutet und wie Sie sie überprüfen

«Datensouveränität» steht heute auf praktisch jeder Anbieter-Website, gleich neben «Enterprise-Grade» und «Bank-Level Security». Nur: Wer beim Audit nicht sagen kann, wo genau der Content liegt, wer darauf Zugriff hat und welchem Recht er untersteht, hat keine Datensouveränität, sondern ein Schlagwort. Für Unternehmen, die Verträge, Patientendaten oder HR-Dokumente einem KI-Übersetzer anvertrauen, ist das kein Marketingthema, sondern eine rechtliche Haftungsfrage.

Sobald ein Text ein System verlässt, stellt sich die Frage, wo er verarbeitet, gespeichert und womöglich weiterverwendet wird. Genau hier setzen DSGVO und das revidierte Schweizer Datenschutzgesetz (DSG) an: Sie regeln, welche Daten als personenbezogen gelten und was ein Vendor über deren Verarbeitung nachweisen muss.

Wo die Daten liegen, ist nur die halbe Wahrheit

Serverstandort, Rechtshoheit und die tatsächliche Verarbeitungskette sind drei paar Schuhe. Ein Server kann in der Schweiz stehen, während der Betreiber ein US-Mutterhaus hat und damit dem US CLOUD Act unterstehen kann, oder während der Content im Hintergrund über eine externe KI-Engine läuft, auf die niemand vertraglich Einfluss hat. Ein Tool kann auf dem Papier «DSGVO-konform» sein, also einen AVV und eine Datenschutzerklärung vorweisen, und trotzdem vertrauliche Inhalte über eine solche Drittanbieter-API leiten, wo der Text unter Umständen zum Training eines fremden Modells verwendet wird.

Konformität und Souveränität hängen zusammen, sind aber nicht dasselbe: Ein wirklich DSGVO-konformes Übersetzungstool (GDPR compliant translation tool) weist beides nach, den Speicherort und den tatsächlichen Zugriff im Hintergrund.

Übersetzungstext enthält fast immer personenbezogene Daten

Ein häufiges Missverständnis: Übersetzung sei «nur Text» und damit datenschutzrechtlich unkritisch. Tatsächlich enthalten die meisten Unternehmenstexte, die zur Übersetzung eingereicht werden, personenbezogene oder sogar besonders schützenswerte Daten im Sinne von Art. 4 DSGVO bzw. Art. 5 DSG:

Kundenkommunikation: Namen, Adressen, Vertragsdetails
HR- und Bewerbungsunterlagen: Gesundheitsdaten, Gehaltsangaben, Beurteilungen
Rechts- und Vertragstexte: Parteien, Fallbezüge, teils Gerichtsentscheide
Medizinische und Life-Science-Dokumentation: Patientendaten, Studienteilnehmer

Sobald solche Inhalte in ein Übersetzungstool eingegeben werden, findet eine Verarbeitung personenbezogener Daten statt, unabhängig davon, ob ein Mensch oder eine Maschine übersetzt. Für Compliance-Teams bedeutet das: Die Auswahl eines Übersetzungstools ist keine reine IT-Entscheidung, sondern eine datenschutzrechtliche.

DSGVO und DSG: die zentralen Anforderungen im Überblick

Beide Regelwerke verfolgen ähnliche Grundprinzipien, unterscheiden sich aber in Details, die für international tätige Unternehmen relevant sind.

DSGVO (EU) verlangt unter anderem:

Eine Rechtsgrundlage für jede Verarbeitung (Art. 6)
Auftragsverarbeitungsverträge (AVV) mit jedem Dienstleister, der Daten verarbeitet (Art. 28)
Transparenz darüber, wo und wie lange Daten gespeichert werden
Bei Drittlandtransfers: Standardvertragsklauseln oder ein Angemessenheitsbeschluss

Das revidierte Schweizer DSG orientiert sich stark an der DSGVO, kennt aber eigene Nuancen: Zwar verlangt Art. 9 DSG bei der Übertragung an einen Auftragsbearbeiter ebenfalls einen Vertrag, schreibt dessen konkreten Inhalt jedoch, anders als Art. 28 DSGVO, nicht im Detail vor. Bei einer Übermittlung ins Ausland ist zudem zu prüfen, ob das Zielland ein angemessenes Datenschutzniveau bietet. Die Schweiz selbst gilt für die EU seit einem Angemessenheitsbeschluss der Europäischen Kommission vom Januar 2024, mit dem die bereits seit dem Jahr 2000 bestehende Anerkennung nun ausdrücklich auch unter der DSGVO bestätigt wurde, weiterhin als sicherer Drittstaat.

Für ein DSGVO-konformes Übersetzungstool (GDPR compliant translation tool) heisst das konkret: Der Anbieter muss nachweisen können, wo Server stehen, wer Zugriff auf Rohdaten hat, ob und wie lange Texte zu Trainingszwecken gespeichert werden, und ob ein rechtsgültiger AVV vorliegt.

Warum Übersetzungsworkflows besonders exponiert sind

Bei Übersetzungen ist der Content selbst meist der sensibelste Teil der Transaktion, nicht nur Metadaten: Ganze Verträge, Patientendaten oder Patentanmeldungen landen im System, oft über eine kostenlose MT-Engine, die irgendwo im Workflow eingebettet ist. Translation Memories machen das Risiko dauerhaft, da Fragmente vertraulicher Inhalte über Jahre in einer geteilten Datenbank liegen können, statt nach einem einzelnen Auftrag zu verschwinden. Und je mehr Stationen ein Projekt durchläuft, etwa ein Projektmanagement-Tool, eine MT-Engine, ein QA-Plugin oder der private Laptop einer freien Übersetzerin, desto mehr potenzielle Lecks entstehen, ohne dass das im Vertrag je sichtbar wird.

Die Grenzen von «Swiss Hosting»

«Swiss Hosting» ist zu einem Verkaufsargument geworden, aber der Begriff ist nicht geschützt und wird unterschiedlich ausgelegt. Bevor Sie diesen Punkt auf einer Anbieter-Checkliste abhaken, lohnt sich eine genauere Prüfung:

Was Swiss Hosting technisch bedeutet:

Server und Rechenzentren stehen physisch in der Schweiz
Die Schweizer Datenschutzgesetzgebung (DSG) findet Anwendung
Kein automatischer Datenabfluss in Drittländer über Cloud-Subunternehmer

Was Swiss Hosting NICHT automatisch bedeutet:

Dass keine Unterauftragsverarbeiter im Ausland eingesetzt werden (viele Tools nutzen im Hintergrund US-Cloud-Infrastruktur für KI-Modelle, selbst wenn das Frontend «Swiss Hosted» ist)
Dass Trainingsdaten nicht dennoch für Modellverbesserung genutzt werden
Dass ein DSG-konformer Vertrag mit dem Auftragsbearbeiter automatisch vorliegt
Der entscheidende Prüfpunkt ist deshalb nicht der Marketingbegriff, sondern die komplette Verarbeitungskette: Wo liegt der Server, welche KI-Engine läuft im Hintergrund, und wo steht der Server dieser Engine?

Die Checkliste: acht Fragen an jeden Übersetzungs-Vendor

Diese acht Fragen bilden den Kern einer sauberen Governance beim Einsatz von KI-Übersetzern. Akzeptieren Sie kein Badge und keine Checkbox, sondern stellen Sie diese Fragen direkt und verlangen Sie die Antworten schriftlich:

Wo genau, physisch, liegen unsere Daten, und können Sie Rechenzentrum und Land konkret benennen?
Welche juristische Person betreibt die Infrastruktur, und untersteht sie einer Rechtsordnung ausserhalb der EU/Schweiz, zum Beispiel dem US CLOUD Act?
Welche MT- oder LLM-Engines kommen zum Einsatz, und wird unser Content je an eine Drittanbieter-API ausserhalb Ihrer eigenen Infrastruktur gesendet?
Wird unser Content zum Training eines KI-Modells verwendet, egal ob Ihres eigenen oder eines fremden, und lässt sich das vertraglich ausschliessen?
Wie lautet die vollständige Subunternehmer-Liste, und werden wir vor Änderungen informiert?
Können Translation Memories und Glossare mandantengetrennt gehalten werden, statt gepoolt oder mit anderen Kunden geteilt zu werden?
Welche Zertifizierungen stehen dahinter, etwa ISO 27001 oder ISO 17100, und referenziert der Auftragsverarbeitungsvertrag konkrete Pflichten nach Art. 28 DSGVO statt eines generischen Templates?
Können wir jederzeit ein Audit oder einen Penetrationstest-Bericht anfordern, nicht erst bei Vertragsverlängerung?

Wenn ein Anbieter bei einer dieser Fragen zögert oder nur allgemein antwortet, etwa mit «wir nehmen Sicherheit sehr ernst», ist das bereits die Antwort.

Fünf Tools im Sicherheitscheck

Um die Fragen greifbarer zu machen, hier ein grober Überblick, wie sich verschiedene Kategorien von Übersetzungstools in Bezug auf Datensouveränität typischerweise positionieren:

Tool-Kategorie	Hosting-Standort	AVV verfügbar	Training mit Kundendaten	Human Review
Generische Consumer-MT (z. B. Google Translate)	USA/global, variabel	Meist nicht für Business-Nutzung	Häufig ja, je nach Einstellung	Nein
DeepL (Business-Tarife)	EU-Server, teils konfigurierbar	Ja, in Business-Tarifen	Konfigurierbar, abschaltbar	Nein, reine Maschinenübersetzung
Microsoft Translator / Azure	Wählbar, inkl. EU-Region	Ja, im Rahmen von Azure-Verträgen	Konfigurierbar	Nein
ChatGPT / generische LLM-Tools	USA-basiert, Region wählbar in Enterprise-Tarifen	Teilweise, je nach Vertrag	Standardmässig oft ja, abschaltbar	Nein
Supertext	Schweiz, DSG-konform	Ja, standardmässig	Nein, kein Training mit Kundendaten	Ja, muttersprachliche Fachübersetzer prüfen jede KI-Übersetzung

Der wesentliche Unterschied liegt selten in der reinen Übersetzungsqualität der zugrunde liegenden KI-Modelle: Die meisten nutzen ähnliche oder vergleichbare Engines. Der Unterschied liegt in der Verarbeitungskette drumherum: Wo die Daten liegen, wer die Verträge zur Auftragsbearbeitung unterschreibt, ob Trainingsdaten ausgeschlossen sind, und ob am Ende ein Mensch die Übersetzung fachlich verifiziert, bevor sie das Unternehmen verlässt.

Datensouveränität ist eine Frage der Nachweisbarkeit

«Datensouveränität» ist kein Zustand, den ein Anbieter einmalig behauptet, sondern etwas, das sich nachweisen lassen muss: durch Vertragsdokumente, technische Infrastruktur und nachvollziehbare Prozesse. Ohne klare Antworten auf die acht Fragen oben haben Sie keine Datensouveränität, sondern ein Schlagwort. Für Compliance-Teams bedeutet das, bei jedem eingesetzten Übersetzungstool konkret nachzufragen: Wo liegen die Server wirklich, wer hat Zugriff, und wird der KI-Output von einem Menschen kontrolliert, bevor er in Verkehr gebracht wird.

Über Supertext

Supertext hat seine Infrastruktur gezielt für den Schweizer und EU-Rechtsraum gebaut, nicht nachträglich mit einer Compliance-Seite versehen: Datenspeicherung standardmässig in der Schweiz, vollständige Subunternehmer-Transparenz, mandantengetrennte Translation Memories, vertraglicher Ausschluss von KI-Modelltraining mit Kundendaten, und Sicherheitspraktiken, die sich an ISO 27001 orientieren und sich auditieren lassen. Jede der acht Fragen oben beantworten wir im Vertrag, nicht erst im Verkaufsgespräch. Zusätzlich prüft bei jeder KI-Übersetzung eine muttersprachliche Fachperson den Output, bevor er Sie erreicht.

Wollen Sie zu allen acht Punkten eine konkrete Antwort für Ihr Unternehmen? Sprechen Sie uns an, unabhängig vom Marketingtext direkt anhand der Dokumentation.