DSGVO, StGB & Schweigepflicht: ist DolmiDesk™ rechtssicher?

Für Dolmetscher:innen, insbesondere Gebärdensprachdolmetscher:innen (DGS), ist der Schutz sensibler Klientendaten nicht nur eine bürokratische Pflicht nach der Datenschutz-Grundverordnung (DSGVO) [1] und dem Bundesdatenschutzgesetz (BDSG) [2], sondern berührt den Kern des Berufsgeheimnisses.

Wer im medizinischen oder juristischen Kontext arbeitet, unterliegt oft der Schweigepflicht gemäß § 203 StGB [3]. Ein Verstoß ist eine Straftat, die mit Geld- oder Freiheitsstrafen geahndet werden kann.

Die Skepsis gegenüber Cloud-Diensten ist daher verständlich und in Deutschland weit verbreitet [4]. Dieser Artikel analysiert die Faktenlage, die technische Architektur von DolmiDesk™ und die spezifischen Pflichten für Dich als Berufsträger:in.

TL;DR (Kurzfassung)

Ja, DolmiDesk™ kann rechtskonform genutzt werden. DolmiDesk™ ist eine Web-Anwendung, die ausschließlich in EU-Rechenzentren betrieben wird. Wir verarbeiten Deine Inhaltsdaten als Auftragsverarbeiter nach Art. 28 DSGVO – Du bleibst Verantwortliche:r. Den Auftragsverarbeitungsvertrag (AVV), die technischen und organisatorischen Maßnahmen (TOM) und die Liste der Unterauftragsverarbeiter findest Du in der Anwendung unter Einstellungen → Datenschutz.

Die Architektur: Wer hält Deine Daten?

DolmiDesk™ ist eine klassische SaaS-Anwendung (Software-as-a-Service): Deine Daten liegen in einer Datenbank, die wir betreiben [5]. Das ist der ehrliche Ausgangspunkt – und genau deshalb ist entscheidend, wo diese Daten liegen, wie sie geschützt sind und wer rechtlich wofür einsteht.

DolmiDesk™ Architektur – Verarbeitung ausschließlich in der EU

Die tragenden Punkte dieser Architektur:

• Hosting ausschließlich in der EU. Anwendung, Datenbank, Dokumentenspeicher und der Versand von System-E-Mails laufen bei Scaleway SAS (Paris) in Rechenzentren in Frankreich und den Niederlanden [6]. Ein Drittlandtransfer findet dabei nicht statt.
• Mandantentrennung auf Datenbankebene. Jeder Account ist durch datenbankseitige Zugriffsregeln von allen anderen getrennt – nicht erst durch die Anwendungslogik, sondern eine Ebene tiefer.
• Feldweise Verschlüsselung. Besonders schutzbedürftige Felder werden einzeln verschlüsselt, jeweils gebunden an Mandant, Tabelle, Datensatz und Feld. Die Schlüssel werden pro Mandant verwaltet und lassen sich rotieren.
• Durchsuchbar trotz Verschlüsselung. Damit Du verschlüsselte Felder trotzdem durchsuchen kannst, arbeitet DolmiDesk™ mit sogenannten Blind Indexes (HMAC-Kurzwerten) statt mit Klartext-Suchspalten.
• Dokumente mit eigenen Schlüsseln. Erzeugte PDFs und hochgeladene Belege liegen dateiindividuell verschlüsselt in einem nicht öffentlich erreichbaren Speicher.
• Zugriffsschutz. Serverseitige Sitzungen, Zwei-Faktor-Authentifizierung und Passkeys.

Ehrlich gesagt

Eine Verschlüsselung, bei der wir die Schlüssel verwalten, schützt zuverlässig gegen Diebstahl von Datenträgern, gegen Zugriffe über die Datenbank­schicht und gegen fremde Mandanten – sie ist aber keine Ende-zu-Ende-Verschlüsselung. Ein Betrieb, der die Anwendung betreiben, Rechnungen erzeugen und E-Mails versenden können muss, muss die Daten zwangsläufig verarbeiten können. Genau deshalb ist der rechtliche Rahmen (AVV, Weisungsbindung, Verpflichtung auf das Berufsgeheimnis) kein Beiwerk, sondern der eigentliche Kern des Schutzes.

Die Rollenverteilung: Art. 28 DSGVO

Datenschutzrechtlich ist die Aufteilung eindeutig [7]:

Rolle	Wer	Wofür
Verantwortliche:r (Art. 4 Nr. 7)	Du	Die Inhaltsdaten: Kund:innen, Einsätze, Rechnungen. Du entscheidest über Zwecke und Mittel.
Auftragsverarbeiter (Art. 4 Nr. 8)	DolmiDesk™	Verarbeitet diese Daten ausschließlich weisungsgebunden zum Zweck der Bereitstellung der Anwendung.
Eigenverantwortlich	DolmiDesk™	Nur für die eigenen Vertrags- und Abrechnungsdaten (Dein Konto, Deine Zahlung).

Daraus folgen konkrete Pflichten, die wir vertraglich übernehmen: Wir werten Deine Inhaltsdaten nicht für eigene Zwecke aus, geben sie nicht an Dritte weiter (außer an die unten genannten Unterauftragsverarbeiter) und unterstützen Dich bei Betroffenenanfragen.

Deine Pflicht: der AV-Vertrag

Art. 28 Abs. 3 DSGVO verlangt einen schriftlichen Vertrag zwischen Dir und uns [1]. Diesen AVV findest Du – zusammen mit dem TOM-Dokument und der Liste der Unterauftragsverarbeiter – in der Anwendung unter Einstellungen → Datenschutz. Ohne ihn ist der Einsatz nicht rechtskonform, unabhängig davon, wie gut die Technik ist.

Unterauftragsverarbeiter: die vollständige Liste

Art. 28 Abs. 2 DSGVO verlangt Transparenz über beauftragte Unterauftragsverarbeiter. Vollständig und mit Rechtsgrundlage für den Transfer:

Dienst	Anbieter & Sitz	Zweck	Ort der Verarbeitung	Transfergrundlage
Scaleway	Scaleway SAS, Paris (FR) [6]	Anwendung, Datenbank, Dokumente, System-E-Mails	Frankreich, Niederlande	Kein Drittlandtransfer (EU)
Cloudflare	Cloudflare, Inc., San Francisco (US) [8]	Auslieferung (CDN), Schutz vor Angriffen	Weltweites Netz, Verbindungsdaten	DPF + Standardvertragsklauseln
Stripe	Stripe Payments Europe, Ltd., Dublin (IE) [9]	Zahlungsabwicklung (Dein Abo)	EWR, Konzern in den USA	DPF + Standardvertragsklauseln
PostHog	PostHog, Inc., San Francisco (US) [10]	Anonyme Nutzungsstatistik – nur mit Einwilligung	EU-Cloud, Frankfurt am Main	Datenhaltung EU; DPF + SCC für Support
Google	Google Ireland/LLC [11]	Kalender lesen, Routen berechnen	Google-Infrastruktur	DPF [12]

Wichtig zur Einordnung: Deine Klientendaten – Namen, Einsatzorte, Rechnungsinhalte – liegen ausschließlich bei Scaleway in der EU. Cloudflare sieht Verbindungsdaten (insbesondere IP-Adressen), keine Inhalte Deiner Aufträge. Stripe sieht Deine Zahlungsdaten, nicht die Deiner Kund:innen. PostHog erfasst keine Inhaltsdaten und ist ohne Deine Einwilligung vollständig abgeschaltet.

Die Rolle von Google

Google ist nur an zwei klar abgegrenzten Stellen beteiligt.

1. Der Kalender – nur Lesezugriff

DolmiDesk™ fordert beim Verbinden ausschließlich den Lesezugriff auf Deinen Kalender an (calendar.readonly) sowie Deine E-Mail-Adresse, damit Du siehst, welches Konto verbunden ist [11]. Ein Schreibzugriff wird technisch nie angefragt – DolmiDesk™ kann Deine Termine also weder ändern noch löschen.

Was das praktisch bedeutet

Der Kalender bleibt in Deiner Verantwortung und in Deinem Google-Konto. Die datenschutzrechtliche Beziehung zu Google für den Kalender selbst besteht zwischen Dir und Google – nicht zwischen uns und Google. Wenn Du dort berufliche Termine mit Klientendaten führst, gelten dafür weiterhin die Überlegungen aus dem folgenden Abschnitt.

2. Die Routenberechnung – mit Klartext-Adressen

Für Entfernung und Fahrzeit fragt DolmiDesk™ die Google Routes API ab [13]. Dabei werden Start- und Zieladresse im Klartext an Google übermittelt; zurück kommen ausschließlich Distanz und Dauer.

Bitte genau lesen

Adressen von Einsatzorten können personenbeziehbar sein – etwa die Privatanschrift einer gedolmetschten Person. Diese Adressen gehen bei der Routenberechnung an Google. In unserer eigenen Datenbank speichern wir die zugehörigen Cache-Einträge nur unter einem HMAC-Kurzwert statt im Klartext; das ist eine Pseudonymisierung bei uns, ersetzt aber nicht die Übermittlung an Google.

Wenn Du das für einen bestimmten Einsatz vermeiden möchtest, trage Entfernung und Fahrzeit am Auftrag manuell ein – dann findet für diesen Auftrag keine Abfrage statt.

Wenn Du Google für Kalender und E-Mail nutzt

Weil Dein Kalender bei Google liegt, ist die klassische Google-Frage relevant – allerdings ausschließlich für Dein eigenes Google-Konto, nicht für die Datenhaltung von DolmiDesk™.

Merkmal	Privates Konto (@gmail.com)	Business Konto (Google Workspace)
Kosten	Kostenlos	Kostenpflichtig (ab ca. 6€/Monat)
Geschäftsmodell	Datenanalyse & Werbung	Software-Lizenzgebühren
Datenschutz	Google darf Daten teils scannen	Kein Werbe-Scanning, Daten gehören Dir [14]
AV-Vertrag	Nicht verfügbar	Enthalten & DSGVO-konform
Geeignet für § 203 StGB	❌ NEIN	✅ JA (unter Auflagen)

Viele Datenschutzbedenken stammen aus der Nutzung privater Konten, bei denen Google sich weitreichende Rechte zur Datenanalyse einräumt [15]. Im Business-Umfeld (Workspace) garantiert Google vertraglich, dass keine Daten für Werbezwecke gescannt werden [14].

Warnung

Führst Du berufliche Termine mit Klientenbezug in einem kostenlosen @gmail.com-Konto, verarbeitest Du Berufsgeheimnisse in einem Konto ohne AV-Vertrag. Für den Kalender als Quelle Deiner Einsätze gilt daher unverändert: kein privates Gmail-Konto für berufliche Klientendaten.

Rechtliche Sicherheit: USA & Drittlandtransfer

Ein Hauptkritikpunkt war lange der Datentransfer in die USA (bekannt durch das "Schrems II"-Urteil des EuGH [16]). Nach dem Wegfall des Privacy Shield Abkommens war unklar, ob US-Anbieter ausreichende Datenschutzgarantien bieten können.

Für DolmiDesk™ ist diese Frage deutlich entschärft: Deine Inhaltsdaten liegen bei Scaleway in Frankreich und den Niederlanden – hier findet überhaupt kein Drittlandtransfer statt [6]. Die Frage stellt sich nur noch für die Randbereiche: Auslieferung (Cloudflare), Zahlung (Stripe) und – falls Du sie nutzt – Kalender und Routen (Google).

Aktueller Stand (Data Privacy Framework)

Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss der EU-Kommission für das EU-US Data Privacy Framework (DPF).

• Das bedeutet: Die USA gelten datenschutzrechtlich nicht mehr als unsicheres Drittland, sofern das US-Unternehmen zertifiziert ist [17].
• Google LLC ist unter diesem Framework zertifiziert und steht auf der offiziellen Liste des US-Handelsministeriums und ist zum Zeitpunkt dieses Artikels (2025) bis zum 13. September 2026 zertifiziert [12].

Ergänzend stützen wir die betroffenen Verarbeitungen zusätzlich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO – also auf eine zweite, vom Angemessenheitsbeschluss unabhängige Grundlage. Sollte der DPF-Beschluss fallen, wie es dem Privacy Shield ergangen ist, bricht die Rechtsgrundlage nicht ersatzlos weg.

Deine Pflicht: der AV-Vertrag mit uns

Um Art. 28 DSGVO zu erfüllen, brauchst Du einen Auftragsverarbeitungsvertrag mit uns [1]. Du findest ihn in der Anwendung unter Einstellungen → Datenschutz, gemeinsam mit dem TOM-Dokument und der Liste der Unterauftragsverarbeiter.

Nutzt Du zusätzlich Google Workspace für Deinen Kalender, brauchst Du außerdem den AV-Vertrag mit Google – das ist ein davon unabhängiger Vertrag.

Wie? In der Google Admin-Konsole unter Konto > Kontoeinstellungen > Rechtliches und Compliance. Dort musst du dem "Cloud Data Processing Addendum (CDPA)" zustimmen.

Google Admin-Konsole: Standort des AV-Vertrags

Gemeinsame Verantwortung: Wer schützt was?

Auch bei einer gehosteten Anwendung gilt ein Shared Responsibility Model – die Aufteilung verschiebt sich nur:

• Du bist verantwortlich für:

  • die Inhalte, die Du eingibst (Datensparsamkeit, keine unnötigen Diagnosen)
  • die Auswahl und Verpflichtung Deiner Dienstleister (siehe § 203 StGB unten)
  • Deine Zugangsdaten: starke Anmeldung, Zwei-Faktor-Authentifizierung bzw. Passkeys
  • wer in Deinem Account ein Benutzerkonto hat
  • den Abschluss des AV-Vertrags

• DolmiDesk™ ist verantwortlich für:

  • Betrieb, Verfügbarkeit und Sicherheit der Anwendung
  • Verschlüsselung, Mandantentrennung und Schlüsselverwaltung
  • Auswahl und Kontrolle der Unterauftragsverarbeiter
  • Einhaltung des AV-Vertrags und Unterstützung bei Betroffenenanfragen
  • Meldung von Datenschutzverletzungen an Dich (Art. 33 Abs. 2 DSGVO)

Dieses Modell bedeutet: Solange Du keine sensiblen Details unnötig erfasst und Deine Zugänge absicherst, liegt der technische Schutz bei uns – der inhaltliche Schutz bei Dir.

§ 203 StGB: Dürfen wir Deine Daten überhaupt sehen?

Das ist die entscheidende Frage. Wenn Du eine gehostete Anwendung nutzt, ist ein Dritter beteiligt – daran führt kein Weg vorbei. Die gute Nachricht: Genau dieser Fall ist im Strafgesetzbuch ausdrücklich geregelt.

Die Rechtslage seit 2017

Bis 2017 war die Einbindung externer IT-Dienstleister durch Berufsgeheimnisträger:innen rechtlich heikel. Mit dem Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen wurden § 203 Abs. 3 und Abs. 4 StGB eingeführt [18].

Seither gilt [3]:

• § 203 Abs. 3 S. 2 StGB: Das Offenbaren gegenüber „sonstigen mitwirkenden Personen" ist kein unbefugtes Offenbaren, soweit es für die Inanspruchnahme der Tätigkeit dieser Personen erforderlich ist. IT-Dienstleister sind ausdrücklich erfasst.
• § 203 Abs. 4 StGB: Dafür musst Du die mitwirkende Person sorgfältig auswählen und sie zur Geheimhaltung verpflichten. Verstößt Du dagegen, machst Du Dich strafbar – nicht der Dienstleister.

Das ist Deine Pflicht, nicht unsere

§ 203 Abs. 4 StGB adressiert Dich als Berufsgeheimnisträger:in. Die sorgfältige Auswahl und die Verpflichtung des Dienstleisters sind Deine Aufgabe. Wir stellen Dir dafür die Unterlagen bereit – abschließen musst Du sie.

Was wir dafür bereitstellen

• Eine Verpflichtung auf das Berufsgeheimnis nach § 203 Abs. 4 StGB, die sich auf alle Personen erstreckt, die bei uns Zugang haben könnten.
• Das TOM-Dokument als Nachweis für Deine Auswahlentscheidung.
• Die Liste der Unterauftragsverarbeiter, damit Du weißt, wer noch beteiligt ist – denn auch Unterauftragsverarbeiter müssen nach § 203 Abs. 4 S. 2 StGB entsprechend verpflichtet sein.

Alle drei findest Du in der Anwendung unter Einstellungen → Datenschutz.

Warum die Verschlüsselung hier zählt

Je weniger Klartext überhaupt zugänglich ist, desto kleiner der Kreis, der „offenbart" bekommt. Feldweise Verschlüsselung, Mandantentrennung und dateiindividuell verschlüsselte Dokumente reduzieren die tatsächliche Zugriffsmöglichkeit – und stützen damit Deine Auswahlentscheidung nach § 203 Abs. 4 StGB.

Berufsgeheimnis, DSGVO & Versand von Rechnungen per E-Mail

Hier wird es für Dolmetscher:innen spezifisch. Du verarbeitest oft Daten nach Art. 9 DSGVO (Gesundheitsdaten, z.B. "Dolmetschen bei Onkologie-Gespräch"). Aber auch hier treffen zwei Welten aufeinander: Die strenge Schweigepflicht und die digitale Realität der Kostenträger.

Darf ich Rechnungen per E-Mail senden?

Grundsätzlich ist eine unverschlüsselte E-Mail so offen wie eine Postkarte. Das Gesetz und die Berufsordnungen verbieten den unverschlüsselten Versand sensibler Daten. Aber: Die Rechnungsstellung ist für die Erfüllung Deines Auftrags notwendig - und die Kostenträger (z.B. Krankenkassen, Gerichte) erwarten eine Rechnung per E-Mail.

Grundsätzlich gilt eine unverschlüsselte E-Mail als unsicher ("Postkarten-Prinzip"). Doch für die Rechnungsstellung gelten Ausnahmen, die auf der Erforderlichkeit basieren.

Die Rechtsgrundlage für den Versand

Du darfst die Daten übermitteln, weil es ohne Übermittlung kein Geld gibt. Die DSGVO erlaubt dies ausdrücklich:

1. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO [1]): Die Rechnungsstellung ist ein wesentlicher Bestandteil Deines Vertrages mit dem Kostenträger. Ohne Übermittlung der Rechnung kann der Vertrag nicht vollständig erfüllt werden.
2. Geltendmachung von Ansprüchen (Art. 9 Abs. 2 lit. f DSGVO [1]): Selbst bei sensiblen Gesundheitsdaten ist die Verarbeitung (und Übermittlung) erlaubt, wenn sie "zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen" (hier: Dein Honoraranspruch) erforderlich ist.
3. Verwaltung des Sozialsystems (Art. 9 Abs. 2 lit. h DSGVO [1]): Wenn Du mit Krankenkassen oder Sozialträgern abrechnest, fällt dies unter die Verwaltung der Gesundheitsdienste.

Von daher ist der Versand von Rechnungen per E-Mail rechtlich zulässig, sofern angemessene Sicherheitsmaßnahmen gemäß Art. 32 DSGVO getroffen werden.

tipp

Was darf in einer Rechnung stehen – und was nicht?

Eine Rechnung für Dolmetschleistungen muss in der Regel keine besonderen Gesundheitsdaten enthalten.

Unproblematisch:

• Name des Kostenträgers
• Name der gedolmetschten Person (wenn erforderlich)
• Datum und Dauer der Leistung
• Leistungsbeschreibung wie „Gebärdensprachdolmetschen“
• Aktenzeichen der Behörde
• Ort der Leistung

Problematisch und zu vermeiden:

• Diagnosen („HIV-Beratung“, „Onkologie-Gespräch“, „Psychotherapie“)
• besonders intime Informationen („Krisenintervention nach Suizidversuch“)
• konkrete medizinische Details im Betreff oder E-Mail-Text

Wenn Du diese Grundsätze beachtest, fallen die meisten Rechnungen nicht unter Art. 9 DSGVO, sondern unter normale Verwaltungsdaten – was die Risiken deutlich reduziert.

Die technische Sicherheit (TLS vs. Ende-zu-Ende)

Die deutschen Datenschutzaufsichtsbehörden (DSK) fordern zwar idealerweise eine Ende-zu-Ende-Verschlüsselung (PGP/S/MIME), erkennen aber an, dass dies im Geschäftsverkehr oft fehlt [19].

Daher gilt Transportverschlüsselung (TLS) als akzeptabler Mindeststandard für den normalen Schriftverkehr, sofern keine hochsensiblen medizinischen Details (z.B. ausführliche psychologische Gutachten) im Klartext übertragen werden [20].

Der Versand erfolgt bei DolmiDesk™ über die Transactional-E-Mail-Infrastruktur von Scaleway in der EU [6] – nicht über Dein Gmail-Postfach. Die Übertragung ist TLS-gesichert; wenn die Empfänger-Behörde (z. B. AOK, Gericht) ebenfalls TLS unterstützt – heute der Regelfall –, wird die E-Mail auf dem Weg durch das Internet verschlüsselt übertragen [19].

warnung

Die Datenschutzkonferenz (DSK) betont in ihrer Orientierungshilfe ausdrücklich, dass bei „normalem Risiko“ die Transportverschlüsselung eine ausreichende Schutzmaßnahme nach Art. 32 DSGVO darstellen kann [21]. Erst bei hohem Risiko oder besonders sensiblen medizinischen Inhalten fordern sie Ende-zu-Ende-Verschlüsselung.

Also bist Du weiterhin für die inhaltliche Datensparsamkeit verantwortlich, wir für die technische Sicherheit der Versand-Infrastruktur.

Was bei der Rechnung tatsächlich rausgeht

Die Rechnung enthält Leistungsdatum, Dauer, Einsatzort, die Leistungsbeschreibung und – je nach Kostenträger – ein Aktenzeichen oder den Namen der gedolmetschten Person. Was nicht automatisch entsteht, sind Diagnosen oder inhaltliche Angaben zum Gespräch: Die Leistungsbeschreibung stammt aus Deiner Rechnungsvorlage und dem Titel Deines Kalendertermins.

Nennst Du Deinen Kalendertermin also „Onkologie-Beratung Frau M.", wandert dieser Text in den Auftrag und kann auf der Rechnung landen. Ein neutraler Titel wie „Dolmetscheinsatz Klinikum" verhindert das von vornherein – und Du kannst den Betreff am Auftrag jederzeit vor dem Versand anpassen.

Warum TLS in vielen Fällen ausreichend ist

Art. 32 DSGVO verlangt keine perfekten Sicherheitsmaßnahmen, sondern angemessene. Die Angemessenheit hängt vom Risiko ab. Für einfache Verwaltungsdaten wie Rechnungen ist das Risiko gering, wenn:

• keine Diagnosen enthalten sind
• die Empfängerbehörde TLS unterstützt
• Du Deinen DolmiDesk™-Zugang mit Zwei-Faktor-Authentifizierung oder Passkeys absicherst

Damit liegt der Schutz häufig über dem Niveau vieler herkömmlicher Praxislösungen, bei denen Rechnungen unverschlüsselt auf dem Laptop oder Smartphone liegen.

Checkliste für § 203 StGB- & DSGVO-Konformität

Mit DolmiDesk™:

• Ich habe den AV-Vertrag nach Art. 28 DSGVO mit DolmiDesk™ abgeschlossen (Einstellungen → Datenschutz).
• Ich habe die Verpflichtung auf das Berufsgeheimnis nach § 203 Abs. 4 StGB abgeschlossen.
• Ich habe das TOM-Dokument und die Liste der Unterauftragsverarbeiter gelesen und als Grundlage meiner Auswahlentscheidung dokumentiert.
• Ich habe meinen Zugang mit Zwei-Faktor-Authentifizierung oder Passkeys abgesichert.
• Ich habe DolmiDesk™ in mein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) aufgenommen.

Für meinen Kalender:

• Ich nutze für berufliche Termine Google Workspace (Business), kein privates Gmail.
• Ich habe den AV-Vertrag (Cloud Data Processing Addendum) mit Google digital unterzeichnet.
• Meine Termintitel enthalten keine Diagnosen – sie wandern in Auftrag und Rechnung.

Inhaltlich:

• Ich vermeide Diagnosen oder intimste Details im Freitext der Rechnung.
• Bei besonders sensiblen Einsätzen prüfe ich, ob die Route manuell eingetragen statt berechnet werden soll.

Fazit

Die Nutzung von DolmiDesk™ ist datenschutzkonform möglich, erfordert aber Disziplin bei der Einrichtung.

Dass bei einer gehosteten Anwendung ein Dienstleister beteiligt ist, ist kein Sonderfall, sondern der gesetzlich vorgesehene Normalfall: § 203 Abs. 3 und 4 StGB regeln ihn seit 2017 ausdrücklich [18]. Entscheidend ist, dass dieser Dienstleister vertraglich, technisch und strafrechtlich gebunden ist – und dass Deine Inhaltsdaten die EU nicht verlassen.

In vielen praktischen Szenarien kann ein professioneller Cloud-Dienst — insbesondere mit MFA, TLS, Backups, Redundanz und zertifizierten Rechenzentren — ein höheres Sicherheitsniveau bieten als lokal gespeicherte Dateien auf unverschlüsselten Geräten [22].

Nutze DolmiDesk™ mit Bedacht, halte Dich an die Checkliste und Du kannst Deinen Dolmetscher:innen-Alltag effizient und rechtskonform gestalten.

Haftungsausschluss

Keine Rechtsberatung

Die Inhalte dieses Artikels wurden mit größtmöglicher Sorgfalt erstellt und dienen ausschließlich der allgemeinen Information. Sie stellen keine Rechtsberatung dar und können eine individuelle Beratung durch eine Rechtsanwältin oder einen Rechtsanwalt nicht ersetzen.

Trotz sorgfältiger Recherche wird keine Gewähr für die Richtigkeit, Vollständigkeit und Aktualität der bereitgestellten Informationen übernommen. Rechtliche Bewertungen können sich ändern, insbesondere im Bereich Datenschutzrecht und internationaler Datentransfers.

Der Autor übernimmt keine Haftung für Schäden oder Verluste, die direkt oder indirekt aus der Nutzung der Informationen dieses Artikels entstehen.

Haftungsausschluss für die Nutzung von DolmiDesk™

DolmiDesk™ ist eine gehostete Web-Anwendung. Für die Inhaltsdaten, die Sie darin verarbeiten, sind Sie datenschutzrechtlich Verantwortliche:r; wir handeln insoweit als Auftragsverarbeiter nach Art. 28 DSGVO. Umfang, Zweck und Grenzen dieser Verarbeitung ergeben sich aus dem Auftragsverarbeitungsvertrag; unsere technischen und organisatorischen Maßnahmen sind im TOM-Dokument beschrieben. Im Verhältnis zwischen diesem Artikel und jenen Dokumenten gehen die Vertragsdokumente vor.

Die Verantwortung für die inhaltliche Gestaltung von Rechnungen, Kalendereinträgen und E-Mails, für Datensparsamkeit sowie für die Absicherung der eigenen Zugänge (z. B. Zwei-Faktor-Authentifizierung, Passkeys, Vergabe von Benutzerkonten) liegt bei den Nutzer:innen.

Es wird keine Haftung übernommen für:

• fehlerhafte Nutzung oder Konfiguration,
• Datenschutzverstöße, die aus unzureichend abgesicherten Zugängen der Nutzer:innen resultieren,
• die Inhalte der verarbeiteten oder versendeten Dokumente,
• Ausfälle, Änderungen oder Einschränkungen von Diensten Dritter (z. B. Google Kalender).

Nutzer:innen sind verpflichtet, die für sie geltenden beruflichen, vertraglichen und gesetzlichen Anforderungen — insbesondere DSGVO, BDSG und § 203 StGB — selbstständig zu prüfen und einzuhalten. Dies gilt namentlich für die sorgfältige Auswahl und die Verpflichtung mitwirkender Personen nach § 203 Abs. 4 StGB.

Die Nutzung von DolmiDesk™ erfolgt auf eigene Verantwortung.

---

1. Europäisches Parlament und Rat, Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung). 2016. [Online]. Verfügbar unter: https://eur-lex.europa.eu/eli/reg/2016/679/oj ⤴
2. Bundesrepublik Deutschland, Bundesdatenschutzgesetz (BDSG). 2017. [Online]. Verfügbar unter: https://www.gesetze-im-internet.de/bdsg_2018/ ⤴
3. Bundesrepublik Deutschland, Strafgesetzbuch (StGB) § 203 Verletzung von Privatgeheimnissen. [Online]. Verfügbar unter: https://www.gesetze-im-internet.de/stgb/__203.html ⤴
4. B. Gribl, „Von Speicher zu Smart: Was Nutzer heute von der Cloud erwarten“, Cloudcomputing Insider, Okt. 2025, [Online]. Verfügbar unter: https://www.cloudcomputing-insider.de/datenspeicherung-in-deutschland-und-eu-a-61a8c732cda320422173c3c442a8a324/ ⤴
5. P. Mell und T. Grance, „The NIST Definition of Cloud Computing“, Gaithersburg, MD, techreport Special Publication 800-145, 2011. ⤴
6. Scaleway SAS, „Privacy Policy“. [Online]. Verfügbar unter: https://www.scaleway.com/en/privacy-policy/ ⤴
7. European Data Protection Board, „Guidelines 07/2020 on the concepts of controller and processor in the GDPR“. 2021. [Online]. Verfügbar unter: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en ⤴
8. Cloudflare, Inc., „Cloudflare Privacy Policy“. [Online]. Verfügbar unter: https://www.cloudflare.com/privacypolicy/ ⤴
9. Stripe Payments Europe, Ltd., „Stripe Datenschutzerklärung“. [Online]. Verfügbar unter: https://stripe.com/de/privacy ⤴
10. PostHog, Inc., „PostHog Privacy Policy“. [Online]. Verfügbar unter: https://posthog.com/privacy ⤴
11. Google LLC, „Google Calendar API: Choose Auth Scopes“. [Online]. Verfügbar unter: https://developers.google.com/calendar/api/auth ⤴
12. U.S. Department of Commerce, „Data Privacy Framework List: Google LLC“. [Online]. Verfügbar unter: https://www.dataprivacyframework.gov/list ⤴
13. Google LLC, „Routes API Documentation“. [Online]. Verfügbar unter: https://developers.google.com/maps/documentation/routes ⤴
14. Google Cloud, „Google Workspace Trust & Privacy“. [Online]. Verfügbar unter: https://workspace.google.com/intl/de/security/ ⤴
15. I. Redaktion, „Was weiß Google über mich? Google-Daten einsehen und verwalten“, IONOS Digital Guide, Okt. 2022, [Online]. Verfügbar unter: https://www.ionos.de/digitalguide/online-marketing/suchmaschinenmarketing/was-weiss-google-ueber-mich/ ⤴
16. Gerichtshof der Europäischen Union, „Urteil des Gerichtshofs (Große Kammer) vom 16. Juli 2020. Data Protection Commissioner gegen Facebook Ireland Limited, Maximillian Schrems.“ 16. Juli 2020. [Online]. Verfügbar unter: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62018CJ0311 ⤴
17. European Commission, „Adequacy decision for the EU-US Data Privacy Framework“. Brussels, Juli 2023. [Online]. Verfügbar unter: https://commission.europa.eu ⤴
18. Bundesrepublik Deutschland, Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen. 2017. [Online]. Verfügbar unter: https://www.gesetze-im-internet.de/stgb/__203.html ⤴
19. Bundesamt für Sicherheit in der Informationstechnik, „TR-03108 Sicherer E-Mail-Transport“, BSI, Bonn, techreport, 2024. [Online]. Verfügbar unter: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Technische-Richtlinien/TR-nach-Thema-sortiert/tr03108/tr-03108.html ⤴
20. Datenschutzkonferenz (DSK), „Orientierungshilfe der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 27. Mai 2021“, Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, techreport, Juni 2021. [Online]. Verfügbar unter: https://www.datenschutzkonferenz-online.de/media/oh/20210616_orientierungshilfe_e_mail_verschluesselung.pdf ⤴
21. „Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail“, Datenschutzkonferenz (DSK), März 2020, [Online]. Verfügbar unter: https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/publikationen/DSK/orientierungshilfen/2020-DSK_OH-E-Mail-Verschluesselung.pdf ⤴
22. K. K. The Investopedia Team, „Cloud Security: Definition, How Cloud Computing Works, and Safety“, Investopedia, Sep. 2022, [Online]. Verfügbar unter: https://www.investopedia.com/terms/c/cloud-security.asp ⤴