Drei Stunden vor Ablauf der Sperrfrist landet die Quartalsmitteilung im Postfach des Übersetzers – kursrelevant, unveröffentlicht, mit einer Art.-17-MMVO-Frist im Nacken. Ab diesem Moment ist die Datei keine Übersetzungsdatei mehr, sondern eine Insiderinformation. Wer sie anfasst, trägt Pflichten. Die meisten Ausschreibungen fragen das nie ab.
Das ist kein Gedankenspiel. Als der norwegische Staatskonzern Statoil 2017 eine kostenlose Online-Übersetzung nutzte, tauchten interne Dokumente – Kündigungsschreiben, Passwörter, Verträge, Pläne zum Stellenabbau – frei bei Google indexiert im Netz auf. Die Osloer Börse sperrte daraufhin den Zugriff auf den Dienst. Der Text war das Leck, nicht der Angreifer. Genau diese Exposition – rechtlich und reputativ – ist der Grund, warum Datensicherheit beim Übersetzungsdienstleister kein Einkaufsdetail ist, sondern eine Compliance-Variable.
Insiderinformation nach MMVO: wann ein Übersetzungsauftrag zum Compliance-Ereignis wird
Insiderinformation ist nach Art. 7 der Marktmissbrauchsverordnung (MMVO/MAR) eine nicht öffentlich bekannte, präzise Information, die – würde sie veröffentlicht – den Kurs eines Finanzinstruments erheblich beeinflussen könnte. Für Übersetzer entscheidend ist Art. 7 Abs. 3: Auch ein Zwischenschritt in einem gestreckten Vorgang kann für sich genommen Insiderinformation sein, wenn er die Kriterien individuell erfüllt. Der Entwurf eines Geschäftsberichts erfüllt sie in dem Moment, in dem er das Büro des CFO verlässt – nicht erst mit der finalen Freigabe.
Die MMVO knüpft dabei an das Dokument an, nicht an den Kanal, über den es reist. Ob verschlüsseltes Portal oder E-Mail-Anhang: Die Pflichten hängen am Inhalt. Art. 17 verlangt vom Emittenten, Insiderinformationen „unverzüglich“ zu veröffentlichen; ein legitimer Aufschub ist nur zulässig, solange die Vertraulichkeit während des gesamten Aufschubzeitraums gewahrt bleibt. Der Übersetzer, der das Dokument in genau diesem Fenster in der Hand hält, ist damit ein direkter Teil dieser Vertraulichkeitskette – keine bloße Randnotiz im Beschaffungsprozess.
Und Art. 18 MMVO verlangt von Emittenten und „allen in ihrem Auftrag oder für ihre Rechnung handelnden Personen“, eine Insiderliste zu führen; die Verordnung nennt ausdrücklich Berater, Buchhalter und Ratingagenturen als Beispiele. Ein Übersetzungsdienstleister, der ein kursrelevantes Dokument auf Weisung des Emittenten erhält, bearbeitet und zurückliefert, handelt in dessen Auftrag. Auf dieser Lesart gehört er auf die Insiderliste – ein Punkt, den kaum eine Einkaufscheckliste stellt. Die Verantwortung bleibt dabei voll beim Emittenten, auch wenn er die Listenführung auslagert.
NDA und Art. 28 DSGVO – zwei Instrumente mit einer Lücke dazwischen
Die meisten Kunden schicken mir zuerst eine Geheimhaltungsvereinbarung. Das ist gut, aber es reicht nicht. Eine NDA ist ein bilaterales Instrument des Vertragsrechts: Sie regelt, was zwischen zwei Parteien vertraulich bleibt und welche Rechtsfolgen ein Bruch hat. Was sie nicht regelt, ist die technische Verarbeitungskette dahinter – die Cloud-Infrastruktur des Anbieters, seine MT-API-Aufrufe, die im Browser liegenden TM-Daten. Sub-Unternehmer, die den Text nie zu Gesicht bekommen sollten, sind von einer NDA zwischen Ihnen und dem LSP schlicht nicht erfasst.
Für Texte mit personenbezogenen Daten oder Geschäftsgeheimnissen, die von automatisierten Systemen verarbeitet werden, ist der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO das richtige Instrument – nicht die NDA. Nach Art. 28 darf ein Auftragsverarbeiter keinen Unterauftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen einschalten; jeder Unterauftragsverarbeiter muss auf dieselben Datenschutzpflichten verpflichtet werden; und versagt ein Unterauftragsverarbeiter, haftet der ursprüngliche Auftragsverarbeiter dem Verantwortlichen gegenüber voll weiter. Der Vertrag muss schriftlich vorliegen, elektronische Form genügt.
Wohin Ihr Text tatsächlich reist: die Cloud-CAT-Kette
Ein Dokument in einem modernen LSP-Workflow wandert weiter, als die meisten Auftraggeber vermuten. Die typische Kette: Upload ins Projektmanagement-Portal → CAT-Tool (Trados GroupShare, memoQ Server oder browserbasiert) → Vorübersetzung per MT-API (DeepL API, Azure Cognitive Services, GPT-4o) → TM-Server → QA-Plugin → Download. Jede dieser Übergaben ist eine eigene Datenverarbeitungsbeziehung und braucht ihre eigene vertragliche Grundlage nach DSGVO. Es reicht nicht, dem LSP zu vertrauen – es geht um jeden Dienst, an den der LSP weiterreicht.
Ein Beispiel aus dem Anbietermarkt macht das greifbar: memoQ Cloud läuft auf dedizierten Microsoft-Azure-Servern mit geo-redundantem Azure-Backup; die letzten sieben Backup-Generationen werden nach den GDPR-Regeln vorgehalten und erst bei Vertragsende gelöscht. Technisch solide gebaut – aber jede dieser Ebenen (memoQ-Portal, Azure-Rechenzentrum, Azure-Backup in ein weiteres Rechenzentrum) ist ein eigener Sub-Prozessor mit eigenem Vertragsbedarf. Und weil Microsoft eine US-Gesellschaft ist, öffnet dieser Layer eine Rechtsfrage, die der Serverstandort allein nicht beantwortet.
Die Frage nach den KI-Trainingsdaten, die im Einkauf niemand stellt
„Wir nutzen DeepL Pro“ ist keine ausreichende Antwort. MT-Anbieter unterscheiden drei Dinge, die im Gespräch gern verschwimmen: Opt-out vom Training (nachträglich – das Modell hat den Text bereits gesehen), Zero-Retention (der Text wird zum Zeitpunkt der Verarbeitung gar nicht gespeichert) und On-Premise-Betrieb (es gibt keinen externen Aufruf). Das sind drei verschiedene Sicherheitsniveaus, und für Insiderinformationen zählt nur das strengste.
DeepLs Sicherheitsseite verspricht, Texte würden „ohne Ihre Zustimmung niemals gespeichert oder für das Modelltraining verwendet“. Die Enterprise-Bedingungen zeigen den Betriebsalltag dahinter: DeepL speichert Inhalte „nur temporär, soweit technisch erforderlich“, behält sich aber vor, in bestimmten Fehlerfällen Inhalte bis zu 72 Stunden zu speichern; hat der Kunde eine Speicherung angefordert, werden die Daten 90 Tage nach Vertragsende gelöscht. Für einen Marketingtext ist das unkritisch. Für eine Insiderinformation sind 72 Stunden auf einem Drittserver eine Compliance-Exposition. Verlangen Sie deshalb konkret ein Data Security Addendum bzw. einen AVV mit ausdrücklicher Zero-Retention-Klausel für die Enterprise-API – nicht die Standard-Pro-Nutzung, deren Voreinstellungen dafür nicht gebaut sind.
EU-Datenresidenz: was „Verarbeitung in Deutschland“ garantiert – und was nicht
„Verarbeitung in Deutschland“ klingt beruhigend und beantwortet doch nur einen Teil der Frage. Drei Dinge sind zu trennen: erstens der physische Serverstandort, zweitens das Recht, dem die betreibende Gesellschaft unterliegt, drittens der Übermittlungsmechanismus nach Kapitel V DSGVO (Standardvertragsklauseln, Angemessenheitsbeschluss). Alle drei können auseinanderfallen – und tun es oft.
Der US CLOUD Act verpflichtet US-Unternehmen – und ausdrücklich auch ihre europäischen Töchter –, gespeicherte Daten auf Anfrage an US-Behörden herauszugeben, ohne dass Betroffene oder europäische Aufsichtsbehörden informiert werden müssen. Das betrifft Microsoft, Google und Amazon. Eine in Frankfurt gehostete Cloud-Instanz, die einem US-Mutterkonzern gehört, löst deshalb weiterhin Schrems-II-Fragen aus. Standardvertragsklauseln adressieren die Rechtmäßigkeit der Übermittlung, sie heben die CLOUD-Act-Pflicht aber nicht auf – beides sind parallele Instrumente, kein Ersatz füreinander.
Für Schweizer Konzerne gilt Analoges: Das revidierte Datenschutzgesetz (nDSG, in Kraft seit September 2023) kennt eigene Übermittlungsschranken. Der Serverstandort in der Schweiz allein sagt nichts über das Konzernrecht der betreibenden Gesellschaft – beide sind getrennt zu prüfen.
EU AI Act: Transparenzpflichten seit August 2026, Hochrisiko-Regeln verschoben
Zum aktuellen Stichtag ist das Bild differenzierter, als es die Schlagzeilen nahelegen. Die Transparenzpflichten aus Art. 50 EU AI Act – etwa die Kennzeichnung KI-generierter Inhalte – gelten seit dem 2. August 2026. Die vollen Hochrisiko-Pflichten aus Anhang III wurden dagegen durch das „Digital Omnibus“-Paket (in Kraft seit 27. Juli 2026) auf den 2. Dezember 2027 verschoben. Ein Übersetzungs-Tool ist als solches ohnehin nicht in Anhang III gelistet.
Relevant bleibt eine andere Ebene: Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) – und dazu zählen die großen MT-Anbieter, die auf GPT-4o und ähnliche Modelle setzen – müssen seit August 2025 technische Konformitätsdokumentation vorhalten. Fragen Sie danach. Ein Dienstleister, dessen MT-Stack auf GPAI-Modelle zugreift, der aber keine Konformitätsunterlagen benennen kann, ist ein Warnsignal – nicht wegen einer akuten Hochrisiko-Einstufung, sondern weil ihm der Überblick über die eigene Kette fehlt.
Acht Fragen an jeden Übersetzungsdienstleister
1. Haben Sie mit jedem Unterauftragsverarbeiter in Ihrer MT- und CAT-Kette einen unterzeichneten AVV nach Art. 28 DSGVO?
Eine glaubwürdige Antwort benennt die Kette konkret (CAT-Host, MT-Anbieter, QA-Plugin) und bestätigt für jedes Glied einen Vertrag. Eine PR-Antwort sagt „wir sind DSGVO-konform“ und nennt keinen einzigen Sub-Prozessor.
2. Wie lautet Ihre Datenaufbewahrung auf MT-API-Ebene – Zero-Retention oder Opt-out?
Glaubwürdig ist, wer den Unterschied kennt und für sensibles Material Zero-Retention schriftlich zusichert. Wer „das Training ist deaktiviert“ als Vollantwort verkauft, verwechselt Opt-out mit Nicht-Speicherung.
3. Wo stehen Ihre TM-Server physisch, und welchem Recht unterliegt die betreibende Gesellschaft?
Eine belastbare Antwort trennt Standort und Konzernrecht – etwa „Azure Frankfurt, betrieben über eine US-Muttergesellschaft, daher CLOUD-Act-relevant“. Ein bloßes „alles in Deutschland“ überspringt genau die Frage, die zählt.
4. Können Sie auf Anfrage eine vollständige Unterauftragsverarbeiter-Liste vorlegen?
Glaubwürdig ist ein Dienstleister, der die Liste bereits geführt hat und binnen Tagen schickt. Wer erst „zusammenstellen“ muss, hat sie vermutlich nie geführt – und weiß selbst nicht, wohin Ihre Texte reisen.
5. Unterzeichnen Ihre Projektmanager individuelle Vertraulichkeitserklärungen, bevor sie auf Kundendateien zugreifen?
Eine gute Antwort zeigt personenbezogene Erklärungen, nicht nur eine Unternehmens-NDA. Vertraulichkeit auf Firmenebene ohne individuelle Bindung der Bearbeiter lässt die entscheidende letzte Meile offen.
6. Wie werden CAT-Zugriffsrechte verwaltet, wenn ein Freelancer ein Projekt vorzeitig verlässt?
Glaubwürdig ist ein dokumentierter Entzug von Rechten und lokalen Kopien innerhalb definierter Frist. Ein Schulterzucken hier bedeutet, dass ausgeschiedene Bearbeiter womöglich weiter Zugriff auf TM und Dateien haben.
7. Wie sieht Ihr Meldeverfahren und Ihr SLA bei einer Datenpanne nach Art. 33 DSGVO aus?
Art. 33 verlangt vom Verantwortlichen die Meldung binnen 72 Stunden, vom Auftragsverarbeiter die Benachrichtigung „unverzüglich“. Eine glaubwürdige Antwort nennt eine konkrete Frist gegenüber Ihnen – nicht nur „wir informieren Sie natürlich“.
8. Können Sie für Insiderinformations-Dokumente einen vollständig lokalen oder air-gapped Workflow liefern?
Glaubwürdig ist, wer lokale CAT-Installation ohne Cloud-Sync und ohne MT-Aufruf konkret beschreiben kann. Wer air-gapped nur als Schlagwort kennt, hat den Workflow nie gebaut.
Wie ich vertrauliche Aufträge bearbeite – 17 Jahre Praxis
Ich bin ein Ein-Personen-Betrieb: zweisprachig aufgewachsen, deutscher Vater, amerikanische Mutter, seit 2008 hauptberuflich und mit über 7.000 Aufträgen im Rücken. Gerade deshalb ist meine Verarbeitungskette kurz und überprüfbar – es gibt kein anonymes Team, durch das Ihre Datei wandert, und keine stille Unterauftragsvergabe.
- Trados Studio läuft lokal installiert, ohne Cloud-Sync. Das Dokument verlässt meinen Rechner nicht in Richtung eines fremden Projektportals.
- NDA und Auftragsverarbeitungsvertrag nach Art. 28 DSGVO biete ich proaktiv an, bevor der Kunde danach fragen muss.
- Für Insiderinformations-Dokumente gibt es keine MT-API-Aufrufe – bestätigt der Kunde das schriftlich, wird nichts an DeepL, Azure oder ein Sprachmodell geschickt.
- Das Translation Memory liegt lokal auf einer verschlüsselten Platte, nicht auf einem Browser-Server.
- Die Lieferung läuft über den vom Kunden vorgegebenen sicheren Kanal – für sensibles Material eben nicht als E-Mail-Anhang.
Ein konkreter Fall-Typ: das Abstimmungsdokument zu einer Hauptversammlung, 48 Stunden vor dem Termin. Kursrelevant, fristgebunden, null Spielraum für einen Umweg über eine Cloud-Pipeline. Solche Aufträge bearbeite ich air-gapped, dokumentiere den Zugriff und liefere über den Kanal zurück, den die Rechtsabteilung vorgibt. Das kostet ein paar Handgriffe mehr – und genau die sind der Punkt.
Checkliste zum Kopieren – für IR- und Rechtsteams in der Ausschreibung
- Unterzeichneter AVV nach Art. 28 DSGVO mit jedem Unterauftragsverarbeiter der MT- und CAT-Kette
- Zero-Retention auf MT-API-Ebene, schriftlich zugesichert (nicht bloß Opt-out vom Training)
- Bekannter Serverstandort und bekanntes Konzernrecht der betreibenden Gesellschaft – inkl. CLOUD-Act-Bewertung
- Vollständige Unterauftragsverarbeiter-Liste auf Anfrage, kurzfristig lieferbar
- Individuelle Vertraulichkeitserklärungen der Bearbeiter, nicht nur eine Firmen-NDA
- Geregelter, dokumentierter Entzug von CAT-Zugriffsrechten bei Personalwechsel
- Meldeverfahren mit konkretem SLA nach Art. 33 DSGVO gegenüber Ihnen
- Optional: vollständig lokaler bzw. air-gapped Workflow für Insiderinformationen
Wer offen erklärt, wie er Ihre Dateien verarbeitet, sagt Ihnen zugleich etwas über die Qualität seiner Arbeit: Transparenz über den Prozess ist selbst ein Qualitätssignal. Ein Dienstleister, der bei diesen acht Fragen ins Schwimmen gerät, wird auch bei Terminologie und Endkontrolle nicht präziser sein. Wenn Sie meinen vertraglichen Rahmen – NDA, Art.-28-AVV, air-gapped Workflow – im Detail durchgehen möchten, sprechen wir darüber, bevor die erste Datei den Besitzer wechselt. Was ich anbiete und wie ich abrechne, finden Sie unter Leistungen; wie ich mit Ihren Daten umgehe, steht in der Datenschutzerklärung.