DSGVO-konformer Übersetzer: Was das wirklich bedeutet und wie Sie es prüfen

Maschinelle Übersetzung gehört längst zum Arbeitsalltag. Doch je mehr sensible Inhalte durch KI-Tools laufen, desto wichtiger wird eine Frage, die viele Unternehmen noch nicht konsequent stellen: Was steckt eigentlich hinter dem Label „DSGVO-konform“?

Kein anderes Gesetz wird so aktiv als Marketingargument eingesetzt. Dabei bedeutet DSGVO-Konformität zunächst nur eines: das gesetzliche Minimum. Für IT-Verantwortliche und Compliance-Manager, die ein Tool unternehmensweit einführen wollen, reicht das nicht als Entscheidungsgrundlage. Dieser Beitrag zeigt, welche Kriterien wirklich zählen und wie Sie sie in der Praxis überprüfen.

Warum „DSGVO-konform“ kein Qualitätsmerkmal ist

Es gibt kein offizielles Siegel und keine EU-Behörde, die Software als DSGVO-konform zertifiziert. Konformität ist kein Status, den ein Anbieter einmalig erreicht und dann dauerhaft beanspruchen kann. Sie ergibt sich aus einer Kombination von Serverstandort, Vertragsgestaltung, Datenverarbeitungspraxis und nachweisbaren Sicherheitsstandards – und all das müssen Unternehmen selbst prüfen.

Die vier Kriterien für einen sicheren KI-Übersetzer im Unternehmenseinsatz

1. ISO-27001-Zertifizierung

Dieser Standard belegt, dass ein unabhängiger Auditor die Prozesse des Anbieters für Zugriffskontrolle, Verschlüsselung und Risikobewertung geprüft hat. Entscheidend ist dabei nicht nur das Vorhandensein eines Zertifikats, sondern dessen Geltungsbereich: Ein Zertifikat, das nur Teile des Unternehmens abdeckt, sagt wenig über den Dienst aus, den Sie tatsächlich nutzen.

2. Schweizer Hosting

Die Schweiz verfügt über ein von der EU anerkanntes Datenschutzniveau und bietet gegenüber US-amerikanischen Cloud-Anbietern einen handfesten rechtlichen Vorteil: Schweizer Anbieter unterliegen nicht dem US CLOUD Act, der US-Behörden potenziell Zugriff auf Daten verschaffen kann, unabhängig davon, wo die Server physisch stehen. Für Compliance-Verantwortliche vereinfacht Schweizer Hosting die Dokumentation nach Art. 44 ff. DSGVO erheblich.

3. Keine Trainingsdaten aus bezahlten Abonnements

Bei vielen kostenlosen Tools fließen übersetzte Inhalte in das Training der zugrundeliegenden KI-Modelle ein. Ein seriöser Anbieter schließt das für Geschäftskunden vertraglich aus – und zwar nicht nur in den AGB, sondern explizit im Auftragsverarbeitungsvertrag.

4. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Sobald ein Tool personenbezogene Daten verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) gesetzlich vorgeschrieben. Ein Anbieter, der keinen standardisierten AVV bereitstellen kann, ist für den Unternehmenseinsatz ungeeignet. Ein belastbarer AVV regelt Zweck und Umfang der Datenverarbeitung, technische und organisatorische Maßnahmen, den Umgang mit Unterauftragsverarbeitern sowie Löschfristen nach Vertragsende.

Checkliste für die Praxis

DSGVO-Konformität ist der Anfang. Diese fünf Fragen gehen einen Schritt weiter und prüfen, ob ein Anbieter im Ernstfall wirklich belastbar ist:

• Liegt ein gültiges ISO-27001-Zertifikat mit passendem Scope vor?
• Werden die Daten in der Schweiz oder in der EU gehostet, nachweisbar und nicht nur behauptet?
• Ist vertraglich ausgeschlossen, dass Inhalte als Trainingsdaten verwendet werden?
• Stellt der Anbieter einen unterschriftsfertigen AVV nach Art. 28 DSGVO bereit?
• Sind Löschkonzepte und Aufbewahrungsfristen transparent dokumentiert?

DSGVO-konform ist der Anfang, nicht das Ziel

Wer nur das gesetzliche Minimum erfüllt, erfüllt eben nur das Minimum. Für Unternehmen, die regelmäßig mit sensiblen Daten arbeiten, ist das keine ausreichende Grundlage. Die entscheidende Frage ist nicht, ob ein KI-Übersetzer DSGVO-konform ist, sondern ob er im Ernstfall nachweisbar sicher ist. Nehmen Sie sich die Zeit, diese Kriterien bei jedem Anbieter konkret abzufragen. Das schützt nicht nur personenbezogene Daten, sondern auch Ihr Unternehmen vor unnötigen Haftungsrisiken.

Wie Supertext diese Kriterien erfüllt, lesen Sie auf unserer Enterprise-Seite nach.