Sind Übersetzer Auftragsverarbeiter im Sinne der DSGVO?

Seit nunmehr einem Jahr ist die europäische Datenschutz-Grundverordnung (DSGVO) in Kraft. Damals wie heute ist die Unsicherheit groß, auch bei freiberuflichen Übersetzern und Übersetzungsagenturen. Das hat sich erst letztens wieder gezeigt, als mir eine Übersetzungsagentur, mit der ich seit ein paar Jahren zusammenarbeite, einen Auftragsdatenverarbeitungsvertrag zur Unterzeichnung zugeschickt hat.

Es geht dabei nicht direkt um personenbezogene Daten, die selbst erhoben werden, also etwa Kontaktdaten von Auftraggebern. Vielmehr geht es um solche personenbezogenen Daten, die in Texten enthalten sein können, von denen eine Übersetzung in Auftrag gegeben wird. Denken Sie beispielsweise an eine Heiratsurkunde oder jeden privatrechtlichen Vertrag. Daher hat mich der Wunsch der Agentur, einen Auftragsdatenverarbeitungsvertrag abzuschließen, auch nicht völlig überrascht, auch wenn es bislang mein einziger Kunde war, der diesen Wunsch hatte.

Gemäß DSGVO (Art. 28 Nr. 3) muss ein Auftragsdatenverarbeitungsvertrag immer dann unterzeichnet werden, wenn der Verantwortliche für die Verarbeitung der personenbezogenen Daten eine andere Stelle, den Auftragsverarbeiter, mit dieser Verarbeitung beauftragt. Im Prinzip könnte dies also auf die genannte Konstellation zutreffen, bei der die Agentur der Verantwortliche wäre und der Übersetzer der Auftragsverarbeiter. Doch ist das so?

Ich bin selbst kein Jurist! Daher hier der Hinweis für Sie, liebe Leser, dass Nachfolgendes nicht als Rechtsberatung zu verstehen ist.

Im Gespräch zu diesem Thema hat mich Andrea Esters, eine geschätzte Kollegin, auf ein Schreiben des Bayerischen Landesamts für Datenschutz, also einer der Aufsichtsbehörden im Bereich Datenschutz, hingewiesen. Das Dokument hat den Titel: „FAQ zur DS-GVO“ und ist im Netz leicht zu finden. Die Infos sind zwar aus Bayern, da die DSGVO aber europaweit gilt, sollten die Ausführungen auch für NRW, den Rest Deutschlands und auch das EU-Ausland gelten.

Dort heißt es:

Auftragsverarbeitung im datenschutzrechtlichen Sinne liegt nur in Fällen vor, in denen eine Stelle von einer anderen Stelle im Schwerpunkt mit der Verarbeitung personenbezogener Daten beauftragt wird. Die Beauftragung mit fachlichen Dienstleistungen anderer Art, d. h., mit Dienstleistungen, bei denen nicht die Datenverarbeitung im Vordergrund steht bzw. bei denen die Datenverarbeitung nicht zumindest einen wichtigen (Kern-)Bestandteil ausmacht, stellt keine Auftragsverarbeitung im datenschutzrechtlichen Sinne dar.

Das heißt für uns, dass nur dann ein Auftragsdatenverarbeitungsvertrag unterschrieben werden muss, wenn wir als Übersetzer „im Schwerpunkt mit der Verarbeitung personenbezogener Daten beauftragt“ sind. Ich denke, das ist bei uns in der Regel nicht der Fall, da mir gegenüber bislang jeder Auftraggeber, insbesondere jede Agentur, gesagt hat: „Übersetzen Sie dieses Dokument“ oder ähnlich. Aber nun gut. Gehen wir davon aus, dass noch immer Interpretationsspielraum da ist. Das Landesamt wird noch konkreter (Hervorhebungen aus dem Original):

[…] im Kern keine beauftragte Verarbeitung personenbezogener Daten, sondern der Auftrag zielt auf eine andere Tätigkeit: […] Übersetzung von Texten in/aus Fremdsprachen.

Ausdrücklicher kann man es im Grunde kaum bekommen. Konkret heißt das: Bei der Zusammenarbeit mit Übersetzungsagenturen muss der Übersetzer keinen Vertrag über die Auftragsdatenverarbeitung unterzeichnen, da er nicht in erster Linie die personenbezogenen Daten, die eventuell im zu übersetzenden Text enthalten sind, verarbeitet, sondern eine Übersetzung erstellt. Dies trifft auch auf die Agentur selbst zu. Ihr Kunde beauftragt sie ebenfalls „im Schwerpunkt“ mit der Übersetzung, nicht aber mit der Verarbeitung der im Text enthaltenen personenbezogenen Daten. Sie ist somit auch kein Auftragsverarbeiter. Aber Vorsicht: Das heißt natürlich nicht, dass man mit den personenbezogenen Daten aus zu übersetzenden Texten machen kann, was man will. Diese sind in jedem Fall weiterhin vertraulich zu behandeln und zu schützen (gemäß DSGVO, Ehrenordnung des BDÜ, gesundem Menschenverstand usw.), nur haben wir Übersetzer im Agenturauftrag eben nicht die Rolle des Auftragsverarbeiters. Das ist auch schon alles.