DSGVO, StGB & Schweigepflicht: ist DolmiDesk rechtssicher?

Für Dolmetscher*innen, insbesondere Gebärdensprachdolmetscher*innen (DGS), ist der Schutz sensibler Klientendaten nicht nur eine bürokratische Pflicht nach der Datenschutz-Grundverordnung (DSGVO) [1] und dem Bundesdatenschutzgesetz (BDSG) [2], sondern berührt den Kern des Berufsgeheimnisses.

Wer im medizinischen oder juristischen Kontext arbeitet, unterliegt oft der Schweigepflicht gemäß § 203 StGB [3]. Ein Verstoß ist eine Straftat, die mit Geld- oder Freiheitsstrafen geahndet werden kann.

Die Skepsis gegenüber Cloud-Diensten ist daher verständlich und in Deutschland weit verbreitet [4]. Dieser Artikel analysiert die Faktenlage, die technische Architektur von DolmiDesk und die spezifischen Pflichten für Dich als Berufsträger*in.

TL;DR (Kurzfassung)

Ja, DolmiDesk kann rechtskonform genutzt werden. DolmiDesk ist eine Web-Anwendung, die ausschließlich in EU-Rechenzentren betrieben wird. Wir verarbeiten Deine Inhaltsdaten als Auftragsverarbeiter nach Art. 28 DSGVO – Du bleibst Verantwortlicher. Den Auftragsverarbeitungsvertrag (AVV), die technischen und organisatorischen Maßnahmen (TOM) und die Liste der Unterauftragsverarbeiter findest Du in der Anwendung unter Einstellungen → Datenschutz.

Die Architektur: Wer hält Deine Daten?

DolmiDesk ist eine klassische SaaS-Anwendung (Software-as-a-Service): Deine Daten liegen in einer Datenbank, die wir betreiben [5]. Das ist der ehrliche Ausgangspunkt – und genau deshalb ist entscheidend, wo diese Daten liegen, wie sie geschützt sind und wer rechtlich wofür einsteht.

DolmiDesk Architektur – Verarbeitung ausschließlich in der EU

Die tragenden Punkte dieser Architektur:

• Hosting ausschließlich in der EU. Anwendung, Datenbank, Dokumentenspeicher und der Versand von System-E-Mails laufen bei Scaleway SAS (Paris) in Rechenzentren in Frankreich und den Niederlanden [6]. Ein Drittlandtransfer findet dabei nicht statt.
• Mandantentrennung auf Datenbankebene. Jeder Account ist durch datenbankseitige Zugriffsregeln von allen anderen getrennt – nicht erst durch die Anwendungslogik, sondern eine Ebene tiefer.
• Feldweise Verschlüsselung. Besonders schutzbedürftige Felder werden einzeln verschlüsselt, jeweils gebunden an Mandant, Tabelle, Datensatz und Feld. Die Schlüssel werden pro Mandant verwaltet und lassen sich rotieren.
• Durchsuchbar trotz Verschlüsselung. Damit Du verschlüsselte Felder trotzdem durchsuchen kannst, arbeitet DolmiDesk mit sogenannten Blind Indexes (HMAC-Kurzwerten) statt mit Klartext-Suchspalten.
• Dokumente mit eigenen Schlüsseln. Erzeugte PDFs und hochgeladene Belege liegen dateiindividuell verschlüsselt in einem nicht öffentlich erreichbaren Speicher.
• Zugriffsschutz. Serverseitige Sitzungen, Zwei-Faktor-Authentifizierung und Passkeys.

Ehrlich gesagt

Eine Verschlüsselung, bei der wir die Schlüssel verwalten, schützt zuverlässig gegen Diebstahl von Datenträgern, gegen Zugriffe über die Datenbank­schicht und gegen fremde Mandanten – sie ist aber keine Ende-zu-Ende-Verschlüsselung. Ein Betrieb, der die Anwendung betreiben, Rechnungen erzeugen und E-Mails versenden können muss, muss die Daten zwangsläufig verarbeiten können. Genau deshalb ist der rechtliche Rahmen (AVV, Weisungsbindung, Verpflichtung auf das Berufsgeheimnis) kein Beiwerk, sondern der eigentliche Kern des Schutzes.

Die Rollenverteilung: Art. 28 DSGVO

Datenschutzrechtlich ist die Aufteilung eindeutig [7]:

Rolle	Wer	Wofür
Verantwortlicher (Art. 4 Nr. 7)	Du	Die Inhaltsdaten: Kund*innen, Einsätze, Rechnungen. Du entscheidest über Zwecke und Mittel.
Auftragsverarbeiter (Art. 4 Nr. 8)	DolmiDesk	Verarbeitet diese Daten ausschließlich weisungsgebunden zum Zweck der Bereitstellung der Anwendung.
Eigenverantwortlich	DolmiDesk	Nur für die eigenen Vertrags- und Abrechnungsdaten (Dein Konto, Deine Zahlung).

Daraus folgen konkrete Pflichten, die wir vertraglich übernehmen: Wir werten Deine Inhaltsdaten nicht für eigene Zwecke aus, geben sie nicht an Dritte weiter (außer an die unten genannten Unterauftragsverarbeiter und – wenn Du Adressvorschläge und Routenberechnung nutzt – Adressen an Google als eigenständig Verantwortlichen sowie – wenn Du die Anzeige in Google Kalender einschaltest – Deine Aufträge in den Kalender „DolmiDesk“ in Deinem eigenen Google-Konto) und unterstützen Dich bei Betroffenenanfragen.

Deine Pflicht: der AV-Vertrag

Art. 28 Abs. 3 DSGVO verlangt einen schriftlichen Vertrag zwischen Dir und uns [1]. Diesen AVV findest Du – zusammen mit dem TOM-Dokument und der Liste der Unterauftragsverarbeiter – in der Anwendung unter Einstellungen → Datenschutz. Ohne ihn ist der Einsatz nicht rechtskonform, unabhängig davon, wie gut die Technik ist.

Unterauftragsverarbeiter: die vollständige Liste

Art. 28 Abs. 2 DSGVO verlangt Transparenz über beauftragte Unterauftragsverarbeiter. Vollständig und mit Rechtsgrundlage für den Transfer:

Dienst	Anbieter & Sitz	Zweck	Ort der Verarbeitung	Transfergrundlage
Scaleway	Scaleway SAS, Paris (FR) [6]	Anwendung, Datenbank, Dokumente, System-E-Mails	Frankreich, Niederlande	Kein Drittlandtransfer (EU)
Cloudflare	Cloudflare, Inc., San Francisco (US) [8]	Auslieferung (CDN), Schutz vor Angriffen	Weltweites Netz, Verbindungsdaten	DPF + Standardvertragsklauseln
Stripe	Stripe Payments Europe, Ltd., Dublin (IE) [9]	Zahlungsabwicklung (Dein Abo)	EWR, Konzern in den USA	DPF + Standardvertragsklauseln
PostHog	PostHog, Inc., San Francisco (US) [10]	Anonyme Nutzungsstatistik – nur mit Einwilligung	EU-Cloud, Frankfurt am Main	Datenhaltung EU; DPF + SCC für Support
Google Workspace	Google Cloud EMEA Limited, Dublin (IE) [11]	Support-Postfach: E-Mails an support@ und Anfragen aus dem Kontaktformular	Google-Rechenzentren weltweit, u. a. EU und USA	DPF + Standardvertragsklauseln
Mistral AI	Mistral AI, Paris (FR) [12]	Texterkennung in Belegen ohne Textebene und in importierten Rechnungen	Nur EU-Endpunkt: EU/EFTA	EU-Anbieter; kein Transfer durch uns, SCC im DPA

Kein Unterauftragsverarbeiter: Google Maps Platform. Für Adressvorschläge und Routenberechnung übermittelt DolmiDesk Adressen an Google, sobald Du diese Funktionen nutzt – auf Deine Weisung. Google verarbeitet sie nicht in unserem Auftrag, sondern als eigenständig Verantwortlicher nach den Google Controller-Controller Data Protection Terms; für Daten aus dem EWR und der Schweiz ist das die Google Ireland Limited. Deshalb steht Google Maps in der Liste der Unterauftragsverarbeiter nicht in der Tabelle, sondern unter „Weitere Empfänger“. Einzelheiten stehen in der Datenschutzerklärung unter „Adressvorschläge und Routenberechnung (Google Maps Platform)“.

Wichtig zur Einordnung: Deine Klientendaten – Namen, Einsatzorte, Rechnungsinhalte – liegen bei Scaleway in der EU und verlassen diese Infrastruktur an zwei Stellen, die im selben Absatz stehen. Cloudflare sieht Verbindungsdaten (insbesondere IP-Adressen), keine Inhalte Deiner Aufträge. Stripe sieht Deine Zahlungsdaten, nicht die Deiner Kund*innen. PostHog erfasst keine Inhaltsdaten und ist ohne Deine Einwilligung vollständig abgeschaltet. Die erste Stelle ist Mistral AI: Kann DolmiDesk einen hochgeladenen Beleg auf den eigenen Servern nicht lesen – also bei einem Foto oder Scan ohne Textebene –, geht die Datei zur Texterkennung an den europäischen Endpunkt dieses französischen Anbieters, im Inhalt der Anfrage und ohne dass dort eine Datei abgelegt wird. Ebenso geht beim Import Deiner eigenen Rechnungen aus einem früheren Programm jede PDF-Datei dorthin, die keine E-Rechnung enthält, deren Positionen die Einsätze nennen – mit höchstens ihren ersten zwölf Seiten. Alles, was auf diesem Beleg oder dieser Rechnung abgebildet ist, sieht der Anbieter damit vollständig. Die zweite ist die Google Maps Platform: Für Adressvorschläge und Routenberechnung gehen Adressen, etwa Einsatzorte, an Google (siehe „Die Rolle von Google“). Eine weitere Stelle gibt es nur, wenn Du sie selbst einschaltest: Zeigst Du Deine Aufträge in Google Kalender an, gehen sie in den Kalender „DolmiDesk“ in Deinem eigenen Google-Konto (ebenfalls unter „Die Rolle von Google“). Belege mit Textebene, E-Rechnungen, beim Rechnungsimport XRechnungen und E-Rechnungen, deren Positionen die Einsätze nennen, und alle übrigen Daten verlassen unsere Server nicht.

Die Rolle von Google

Neben unserem Support-Postfach (Google Workspace, siehe Tabelle) ist Google nur an zwei klar abgegrenzten Stellen beteiligt: beim Kalender – beim Import einschließlich der Dateien in Google Drive, die an importierten Terminen hängen, und, wenn Du sie einschaltest, bei der Anzeige Deiner Aufträge – sowie bei Adressvorschlägen und Routenberechnung.

Der Kalender – Lesezugriff für den Import, ein eigener Kalender für die Anzeige

Für den Import fordert DolmiDesk beim Verbinden ausschließlich Lesezugriffe an [13]:

• calendar.readonly und calendar.events.readonly, um Deine Kalender und die Termine darin zu lesen;
• drive.readonly, um Dateien abzurufen, die an einem importierten Termin hängen (etwa eine Auftragsbestätigung), und sie am Auftrag abzulegen. Google vergibt diese Berechtigung nur für das ganze Drive; DolmiDesk ruft damit aber ausschließlich die Anhänge importierter Termine ab und liest keine anderen Dateien;
• openid und email, damit Du siehst, welches Konto verbunden ist und DolmiDesk erkennt, ob eine spätere Freigabe vom selben Konto kommt.

Mit diesen Berechtigungen kann DolmiDesk Deine Termine und Dateien weder ändern noch löschen.

Einen Schreibzugriff fordert DolmiDesk nur an, wenn Du unter Einstellungen → Konnektoren Aufträge in Google Kalender anzeigen einschaltest – und dann gesondert und eng begrenzt: calendar.app.created erlaubt DolmiDesk nur, einen eigenen Kalender anzulegen und in Kalendern zu schreiben, die es selbst angelegt hat. DolmiDesk legt in Deinem Google-Konto den Kalender „DolmiDesk“ an und hält dort Deine Aufträge aktuell; Deine übrigen Kalender, Termine und Dateien kann es auch damit weder ändern noch löschen. Was im Termin steht, wählst Du: Vollständig (Art und Anlass des Einsatzes, Datum und Uhrzeit, bei Einsätzen vor Ort die Adresse und das Verkehrsmittel, die Bezeichnungen der Kund*innen und des Kostenträgers, ein Link zum Auftrag) oder Nur Zeit + Auftragsnummer (keine Namen, kein Anlass, keine Adresse). Preise, Rechnungen, Kontaktdaten, Fahrzeiten und Anhänge gehen nie an Google, und vergangene Aufträge werden nicht neu übertragen. Beim Ausschalten kannst Du den Kalender „DolmiDesk“ mit allen Terminen löschen lassen. Einzelheiten stehen in der Datenschutzerklärung unter „Aufträge in Google Kalender anzeigen“.

Was das praktisch bedeutet

Der Kalender bleibt in Deiner Verantwortung und in Deinem Google-Konto. Die datenschutzrechtliche Beziehung zu Google für den Kalender selbst besteht zwischen Dir und Google – nicht zwischen uns und Google. Wenn Du dort berufliche Termine mit Klientendaten führst, gelten dafür weiterhin die Überlegungen aus dem folgenden Abschnitt. Das gilt auch für den Kalender „DolmiDesk“: Zeigst Du Deine Aufträge dort an, liegen sie auch bei Google. Können Namen, eine Krankenkasse als Kostenträger und der Anlass zusammen Gesundheitsdaten verraten (Art. 9 DSGVO), wähle Nur Zeit + Auftragsnummer.

Die Routenberechnung – mit Klartext-Adressen

Für Entfernung und Fahrzeit fragt DolmiDesk die Google Routes API ab [14]. Dabei werden Start- und Zieladresse im Klartext an Google übermittelt; zurück kommen ausschließlich Distanz und Dauer.

Dasselbe gilt für die Adressvorschläge beim Eintippen einer Adresse (Places API). Google verarbeitet diese Adressen nicht in unserem Auftrag, sondern als eigenständig Verantwortlicher nach den Google Controller-Controller Data Protection Terms und darf sie nach seiner Datenschutzerklärung auch für eigene Zwecke nutzen, etwa um seine Dienste zu verbessern.

Bitte genau lesen

Adressen von Einsatzorten können personenbeziehbar sein – etwa die Privatanschrift einer gedolmetschten Person. Diese Adressen gehen bei der Routenberechnung an Google. In unserer eigenen Datenbank speichern wir die zugehörigen Cache-Einträge nur unter einem HMAC-Kurzwert statt im Klartext; das ist eine Pseudonymisierung bei uns, ersetzt aber nicht die Übermittlung an Google.

Wann eine Adresse an Google geht:

• Beim Eintippen: Sobald Du in ein Adressfeld mindestens vier Zeichen eingibst oder einfügst, geht der Text für Adressvorschläge an Google (Places API) – in jedem Adressfeld, auch bei Kund*innen, Kostenträgern und in den Einstellungen, und auch dann, wenn Du keinen Vorschlag auswählst.
• Bei Aufträgen, die Du von Hand anlegst: Die Route wird nur berechnet, wenn Du „Automatisch berechnen“ drückst. Trägst Du Entfernung und Fahrzeit selbst ein, findet für diesen Auftrag keine Routenabfrage statt.
• Bei Terminen aus dem Kalender: Ein übernommener Termin mit Einsatzadresse und Uhrzeiten wird bei der Übernahme berechnet – per Klick ebenso wie über die Einstellung „Automatischer Import“. Das geschieht, bevor Du etwas eintragen kannst; ein später von Hand eingetragener Wert ersetzt das Ergebnis, nicht die Abfrage.

Für einen besonders sensiblen Einsatz heißt das: Lege den Auftrag von Hand an, statt den Termin aus dem Kalender zu übernehmen, und trage Entfernung und Fahrzeit selbst ein. Die Adressvorschläge beim Eintippen umgehst Du damit nicht.

Wenn Du Google für Kalender und E-Mail nutzt

Weil Dein Kalender bei Google liegt, ist die klassische Google-Frage relevant – allerdings ausschließlich für Dein eigenes Google-Konto, nicht für die Datenhaltung von DolmiDesk.

Merkmal	Privates Konto (@gmail.com)	Business Konto (Google Workspace)
Kosten	Kostenlos	Kostenpflichtig (ab ca. 6€/Monat)
Geschäftsmodell	Datenanalyse & Werbung	Software-Lizenzgebühren
Datenschutz	Google darf Daten teils scannen	Kein Werbe-Scanning, Daten gehören Dir [11]
AV-Vertrag	Nicht verfügbar	Enthalten & DSGVO-konform
Geeignet für § 203 StGB	❌ NEIN	✅ JA (unter Auflagen)

Viele Datenschutzbedenken stammen aus der Nutzung privater Konten, bei denen Google sich weitreichende Rechte zur Datenanalyse einräumt [15]. Im Business-Umfeld (Workspace) garantiert Google vertraglich, dass keine Daten für Werbezwecke gescannt werden [11].

Warnung

Führst Du berufliche Termine mit Klientenbezug in einem kostenlosen @gmail.com-Konto, verarbeitest Du Berufsgeheimnisse in einem Konto ohne AV-Vertrag. Für den Kalender als Quelle Deiner Einsätze gilt daher unverändert: kein privates Gmail-Konto für berufliche Klientendaten.

Rechtliche Sicherheit: USA & Drittlandtransfer

Ein Hauptkritikpunkt war lange der Datentransfer in die USA (bekannt durch das "Schrems II"-Urteil des EuGH [16]). Nach dem Wegfall des Privacy Shield Abkommens war unklar, ob US-Anbieter ausreichende Datenschutzgarantien bieten können.

Für DolmiDesk ist diese Frage deutlich entschärft: Deine Inhaltsdaten liegen bei Scaleway in Frankreich und den Niederlanden – hier findet überhaupt kein Drittlandtransfer statt [6]. Die Frage stellt sich nur noch für die Randbereiche: Auslieferung (Cloudflare), Zahlung (Stripe), Texterkennung auf Belegen ohne Textebene und auf importierten Rechnungen (Mistral AI – ein französischer Anbieter, dessen eigene Unterauftragsverarbeiter aber teils außerhalb der EU sitzen) und – falls Du sie nutzt – Kalender und Routen (Google).

Aktueller Stand (Data Privacy Framework)

Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss der EU-Kommission für das EU-US Data Privacy Framework (DPF).

• Das bedeutet: Die USA gelten datenschutzrechtlich nicht mehr als unsicheres Drittland, sofern das US-Unternehmen zertifiziert ist [17].
• Google LLC ist unter diesem Framework zertifiziert und steht auf der offiziellen Liste des US-Handelsministeriums und ist zum Zeitpunkt dieses Artikels (2025) bis zum 13. September 2026 zertifiziert [18].

Ergänzend stützen wir die betroffenen Verarbeitungen zusätzlich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO – also auf eine zweite, vom Angemessenheitsbeschluss unabhängige Grundlage. Sollte der DPF-Beschluss fallen, wie es dem Privacy Shield ergangen ist, bricht die Rechtsgrundlage nicht ersatzlos weg.

Deine Pflicht: der AV-Vertrag mit uns

Um Art. 28 DSGVO zu erfüllen, brauchst Du einen Auftragsverarbeitungsvertrag mit uns [1]. Du findest ihn in der Anwendung unter Einstellungen → Datenschutz, gemeinsam mit dem TOM-Dokument und der Liste der Unterauftragsverarbeiter.

Nutzt Du zusätzlich Google Workspace für Deinen Kalender, brauchst Du außerdem den AV-Vertrag mit Google – das ist ein davon unabhängiger Vertrag.

Wie? In der Google Admin-Konsole unter Konto > Kontoeinstellungen > Rechtliches und Compliance. Dort musst du dem "Cloud Data Processing Addendum (CDPA)" zustimmen.

Google Admin-Konsole: Standort des AV-Vertrags

Gemeinsame Verantwortung: Wer schützt was?

Auch bei einer gehosteten Anwendung gilt ein Shared Responsibility Model – die Aufteilung verschiebt sich nur:

• Du bist verantwortlich für:

  • die Inhalte, die Du eingibst (Datensparsamkeit, keine unnötigen Diagnosen)
  • die Auswahl und Verpflichtung Deiner Dienstleister (siehe § 203 StGB unten)
  • Deine Zugangsdaten: starke Anmeldung, Zwei-Faktor-Authentifizierung bzw. Passkeys
  • wer in Deinem Account ein Benutzerkonto hat
  • den Abschluss des AV-Vertrags

• DolmiDesk ist verantwortlich für:

  • Betrieb, Verfügbarkeit und Sicherheit der Anwendung
  • Verschlüsselung, Mandantentrennung und Schlüsselverwaltung
  • Auswahl und Kontrolle der Unterauftragsverarbeiter
  • Einhaltung des AV-Vertrags und Unterstützung bei Betroffenenanfragen
  • Meldung von Datenschutzverletzungen an Dich (Art. 33 Abs. 2 DSGVO)

Dieses Modell bedeutet: Solange Du keine sensiblen Details unnötig erfasst und Deine Zugänge absicherst, liegt der technische Schutz bei uns – der inhaltliche Schutz bei Dir.

§ 203 StGB: Dürfen wir Deine Daten überhaupt sehen?

Das ist die entscheidende Frage. Wenn Du eine gehostete Anwendung nutzt, ist ein Dritter beteiligt – daran führt kein Weg vorbei. Die gute Nachricht: Genau dieser Fall ist im Strafgesetzbuch ausdrücklich geregelt.

Die Rechtslage seit 2017

Bis 2017 war die Einbindung externer IT-Dienstleister durch Berufsgeheimnisträger*innen rechtlich heikel. Mit dem Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen wurden § 203 Abs. 3 und Abs. 4 StGB eingeführt [19].

Seither gilt [3]:

• § 203 Abs. 3 S. 2 StGB: Das Offenbaren gegenüber „sonstigen mitwirkenden Personen" ist kein unbefugtes Offenbaren, soweit es für die Inanspruchnahme der Tätigkeit dieser Personen erforderlich ist. IT-Dienstleister sind ausdrücklich erfasst.
• § 203 Abs. 4 StGB: Dafür musst Du die mitwirkende Person sorgfältig auswählen und sie zur Geheimhaltung verpflichten. Verstößt Du dagegen, machst Du Dich strafbar – nicht der Dienstleister.

Das ist Deine Pflicht, nicht unsere

§ 203 Abs. 4 StGB adressiert Dich als Berufsgeheimnisträger*in. Die sorgfältige Auswahl und die Verpflichtung des Dienstleisters sind Deine Aufgabe. Wir stellen Dir dafür die Unterlagen bereit – abschließen musst Du sie.

Was wir dafür bereitstellen

• Eine Verpflichtung auf das Berufsgeheimnis nach § 203 Abs. 4 StGB, die sich auf alle Personen erstreckt, die bei uns Zugang haben könnten.
• Das TOM-Dokument als Nachweis für Deine Auswahlentscheidung.
• Die Liste der Unterauftragsverarbeiter, damit Du weißt, wer noch beteiligt ist – denn auch Unterauftragsverarbeiter müssen nach § 203 Abs. 4 S. 2 StGB entsprechend verpflichtet sein.

Alle drei findest Du in der Anwendung unter Einstellungen → Datenschutz.

Nicht erfasst ist die Google Maps Platform. Google erhält Adressen nicht als Unterauftragsverarbeiter, sondern als eigenständig Verantwortlicher (siehe „Die Rolle von Google“) und ist weder durch uns noch durch diese Unterlagen zur Verschwiegenheit nach § 203 StGB verpflichtet. Kann schon ein Einsatzort ein fremdes Geheimnis sein – etwa die Privatanschrift einer gedolmetschten Person zusammen mit dem Termin –, lies vor der Eingabe den Hinweis „Bitte genau lesen“ im Abschnitt „Die Routenberechnung – mit Klartext-Adressen“: Dort steht, wann eine Adresse an Google geht und wie weit Du das vermeiden kannst.

Warum die Verschlüsselung hier zählt

Je weniger Klartext überhaupt zugänglich ist, desto kleiner der Kreis, der „offenbart" bekommt. Feldweise Verschlüsselung, Mandantentrennung und dateiindividuell verschlüsselte Dokumente reduzieren die tatsächliche Zugriffsmöglichkeit – und stützen damit Deine Auswahlentscheidung nach § 203 Abs. 4 StGB.

Berufsgeheimnis, DSGVO & Versand von Rechnungen per E-Mail

Hier wird es für Dolmetscher*innen spezifisch. Du verarbeitest oft Daten nach Art. 9 DSGVO (Gesundheitsdaten, z.B. "Dolmetschen bei Onkologie-Gespräch"). Aber auch hier treffen zwei Welten aufeinander: Die strenge Schweigepflicht und die digitale Realität der Kostenträger.

Darf ich Rechnungen per E-Mail senden?

Grundsätzlich ist eine unverschlüsselte E-Mail so offen wie eine Postkarte. Das Gesetz und die Berufsordnungen verbieten den unverschlüsselten Versand sensibler Daten. Aber: Die Rechnungsstellung ist für die Erfüllung Deines Auftrags notwendig - und die Kostenträger (z.B. Krankenkassen, Gerichte) erwarten eine Rechnung per E-Mail.

Grundsätzlich gilt eine unverschlüsselte E-Mail als unsicher ("Postkarten-Prinzip"). Doch für die Rechnungsstellung gelten Ausnahmen, die auf der Erforderlichkeit basieren.

Die Rechtsgrundlage für den Versand

Du darfst die Daten übermitteln, weil es ohne Übermittlung kein Geld gibt. Die DSGVO erlaubt dies ausdrücklich:

1. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO [1]): Die Rechnungsstellung ist ein wesentlicher Bestandteil Deines Vertrages mit dem Kostenträger. Ohne Übermittlung der Rechnung kann der Vertrag nicht vollständig erfüllt werden.
2. Geltendmachung von Ansprüchen (Art. 9 Abs. 2 lit. f DSGVO [1]): Selbst bei sensiblen Gesundheitsdaten ist die Verarbeitung (und Übermittlung) erlaubt, wenn sie "zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen" (hier: Dein Honoraranspruch) erforderlich ist.
3. Verwaltung des Sozialsystems (Art. 9 Abs. 2 lit. h DSGVO [1]): Wenn Du mit Krankenkassen oder Sozialträgern abrechnest, fällt dies unter die Verwaltung der Gesundheitsdienste.

Von daher ist der Versand von Rechnungen per E-Mail rechtlich zulässig, sofern angemessene Sicherheitsmaßnahmen gemäß Art. 32 DSGVO getroffen werden.

tipp

Was darf in einer Rechnung stehen – und was nicht?

Eine Rechnung für Dolmetschleistungen muss in der Regel keine besonderen Gesundheitsdaten enthalten.

Unproblematisch:

• Name des Kostenträgers
• Name der gedolmetschten Person (wenn erforderlich)
• Datum und Dauer der Leistung
• Leistungsbeschreibung wie „Gebärdensprachdolmetschen“
• Aktenzeichen der Behörde
• Ort der Leistung

Problematisch und zu vermeiden:

• Diagnosen („HIV-Beratung“, „Onkologie-Gespräch“, „Psychotherapie“)
• besonders intime Informationen („Krisenintervention nach Suizidversuch“)
• konkrete medizinische Details im Betreff oder E-Mail-Text

Wenn Du diese Grundsätze beachtest, fallen die meisten Rechnungen nicht unter Art. 9 DSGVO, sondern unter normale Verwaltungsdaten – was die Risiken deutlich reduziert.

Die technische Sicherheit (TLS vs. Ende-zu-Ende)

Die deutschen Datenschutzaufsichtsbehörden (DSK) fordern zwar idealerweise eine Ende-zu-Ende-Verschlüsselung (PGP/S/MIME), erkennen aber an, dass dies im Geschäftsverkehr oft fehlt [20].

Daher gilt Transportverschlüsselung (TLS) als akzeptabler Mindeststandard für den normalen Schriftverkehr, sofern keine hochsensiblen medizinischen Details (z.B. ausführliche psychologische Gutachten) im Klartext übertragen werden [21].

Der Versand erfolgt bei DolmiDesk über die Transactional-E-Mail-Infrastruktur von Scaleway in der EU [6] – nicht über Dein Gmail-Postfach. Die Übertragung ist TLS-gesichert; wenn die Empfänger-Behörde (z. B. AOK, Gericht) ebenfalls TLS unterstützt – heute der Regelfall –, wird die E-Mail auf dem Weg durch das Internet verschlüsselt übertragen [20].

warnung

Die Datenschutzkonferenz (DSK) betont in ihrer Orientierungshilfe ausdrücklich, dass bei „normalem Risiko“ die Transportverschlüsselung eine ausreichende Schutzmaßnahme nach Art. 32 DSGVO darstellen kann [22]. Erst bei hohem Risiko oder besonders sensiblen medizinischen Inhalten fordern sie Ende-zu-Ende-Verschlüsselung.

Also bist Du weiterhin für die inhaltliche Datensparsamkeit verantwortlich, wir für die technische Sicherheit der Versand-Infrastruktur.

Was bei der Rechnung tatsächlich rausgeht

Die Rechnung enthält Leistungsdatum, Dauer, Einsatzort, die Leistungsbeschreibung und – je nach Kostenträger – ein Aktenzeichen oder den Namen der gedolmetschten Person. Was nicht automatisch entsteht, sind Diagnosen oder inhaltliche Angaben zum Gespräch: Die Leistungsbeschreibung stammt aus Deiner Rechnungsvorlage und dem Titel Deines Kalendertermins.

Nennst Du Deinen Kalendertermin also „Onkologie-Beratung Frau M.", wandert dieser Text in den Auftrag und kann auf der Rechnung landen. Ein neutraler Titel wie „Dolmetscheinsatz Klinikum" verhindert das von vornherein – und Du kannst den Betreff am Auftrag jederzeit vor dem Versand anpassen.

Warum TLS in vielen Fällen ausreichend ist

Art. 32 DSGVO verlangt keine perfekten Sicherheitsmaßnahmen, sondern angemessene. Die Angemessenheit hängt vom Risiko ab. Für einfache Verwaltungsdaten wie Rechnungen ist das Risiko gering, wenn:

• keine Diagnosen enthalten sind
• die Empfängerbehörde TLS unterstützt
• Du Deinen DolmiDesk-Zugang mit Zwei-Faktor-Authentifizierung oder Passkeys absicherst

Damit liegt der Schutz häufig über dem Niveau vieler herkömmlicher Praxislösungen, bei denen Rechnungen unverschlüsselt auf dem Laptop oder Smartphone liegen.

Checkliste für § 203 StGB- & DSGVO-Konformität

Mit DolmiDesk:

• Ich habe den AV-Vertrag nach Art. 28 DSGVO mit DolmiDesk abgeschlossen (Einstellungen → Datenschutz).
• Ich habe die Verpflichtung auf das Berufsgeheimnis nach § 203 Abs. 4 StGB abgeschlossen.
• Ich habe das TOM-Dokument und die Liste der Unterauftragsverarbeiter gelesen und als Grundlage meiner Auswahlentscheidung dokumentiert.
• Ich habe meinen Zugang mit Zwei-Faktor-Authentifizierung oder Passkeys abgesichert.
• Ich habe DolmiDesk in mein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) aufgenommen.

Für meinen Kalender:

• Ich nutze für berufliche Termine Google Workspace (Business), kein privates Gmail.
• Ich habe den AV-Vertrag (Cloud Data Processing Addendum) mit Google digital unterzeichnet.
• Meine Termintitel enthalten keine Diagnosen – sie wandern in Auftrag und Rechnung.
• Zeige ich meine Aufträge in Google Kalender an, wähle ich Nur Zeit + Auftragsnummer, sobald Namen, Kostenträger und Anlass zusammen Gesundheitsdaten verraten könnten.

Inhaltlich:

• Ich vermeide Diagnosen oder intimste Details im Freitext der Rechnung.
• Bei besonders sensiblen Einsätzen lege ich den Auftrag von Hand an und trage Entfernung und Fahrzeit selbst ein, statt sie berechnen zu lassen (siehe „Die Routenberechnung – mit Klartext-Adressen“).

Fazit

Die Nutzung von DolmiDesk ist datenschutzkonform möglich, erfordert aber Disziplin bei der Einrichtung.

Dass bei einer gehosteten Anwendung ein Dienstleister beteiligt ist, ist kein Sonderfall, sondern der gesetzlich vorgesehene Normalfall: § 203 Abs. 3 und 4 StGB regeln ihn seit 2017 ausdrücklich [19]. Entscheidend ist, dass dieser Dienstleister vertraglich, technisch und strafrechtlich gebunden ist – und dass Deine Inhaltsdaten unsere europäische Infrastruktur an zwei Stellen verlassen, die oben unter Unterauftragsverarbeiter beschrieben sind: Ein Beleg ohne Textebene und beim Rechnungsimport jede PDF-Datei ohne E-Rechnung, deren Positionen die Einsätze nennen, gehen zur Texterkennung an den europäischen Endpunkt von Mistral AI, der in der EU und der EFTA verarbeitet, und Adressen für Adressvorschläge und Routenberechnung gehen an die Google Maps Platform – dort ohne Verpflichtung nach § 203 StGB (siehe „Was wir dafür bereitstellen“). Schaltest Du die Anzeige in Google Kalender ein, gehen Deine Aufträge außerdem in den Kalender „DolmiDesk“ in Deinem eigenen Google-Konto. Alles Übrige bleibt, wo es ist.

In vielen praktischen Szenarien kann ein professioneller Cloud-Dienst — insbesondere mit MFA, TLS, Backups, Redundanz und zertifizierten Rechenzentren — ein höheres Sicherheitsniveau bieten als lokal gespeicherte Dateien auf unverschlüsselten Geräten [23].

Nutze DolmiDesk mit Bedacht, halte Dich an die Checkliste und Du kannst Deinen Dolmetscher*innen-Alltag effizient und rechtskonform gestalten.

Haftungsausschluss

Keine Rechtsberatung

Die Inhalte dieses Artikels wurden mit größtmöglicher Sorgfalt erstellt und dienen ausschließlich der allgemeinen Information. Sie stellen keine Rechtsberatung dar und können eine individuelle Beratung durch eine Rechtsanwältin oder einen Rechtsanwalt nicht ersetzen.

Trotz sorgfältiger Recherche wird keine Gewähr für die Richtigkeit, Vollständigkeit und Aktualität der bereitgestellten Informationen übernommen. Rechtliche Bewertungen können sich ändern, insbesondere im Bereich Datenschutzrecht und internationaler Datentransfers.

Der Autor übernimmt keine Haftung für Schäden oder Verluste, die direkt oder indirekt aus der Nutzung der Informationen dieses Artikels entstehen.

Haftungsausschluss für die Nutzung von DolmiDesk

DolmiDesk ist eine gehostete Web-Anwendung. Für die Inhaltsdaten, die Sie darin verarbeiten, sind Sie datenschutzrechtlich Verantwortlicher; wir handeln insoweit als Auftragsverarbeiter nach Art. 28 DSGVO. Umfang, Zweck und Grenzen dieser Verarbeitung ergeben sich aus dem Auftragsverarbeitungsvertrag; unsere technischen und organisatorischen Maßnahmen sind im TOM-Dokument beschrieben. Im Verhältnis zwischen diesem Artikel und jenen Dokumenten gehen die Vertragsdokumente vor.

Die Verantwortung für die inhaltliche Gestaltung von Rechnungen, Kalendereinträgen und E-Mails, für Datensparsamkeit sowie für die Absicherung der eigenen Zugänge (z. B. Zwei-Faktor-Authentifizierung, Passkeys, Vergabe von Benutzerkonten) liegt bei den Nutzer*innen.

Es wird keine Haftung übernommen für:

• fehlerhafte Nutzung oder Konfiguration,
• Datenschutzverstöße, die aus unzureichend abgesicherten Zugängen der Nutzer*innen resultieren,
• die Inhalte der verarbeiteten oder versendeten Dokumente,
• Ausfälle, Änderungen oder Einschränkungen von Diensten Dritter (z. B. Google Kalender).

Nutzer*innen sind verpflichtet, die für sie geltenden beruflichen, vertraglichen und gesetzlichen Anforderungen — insbesondere DSGVO, BDSG und § 203 StGB — selbstständig zu prüfen und einzuhalten. Dies gilt namentlich für die sorgfältige Auswahl und die Verpflichtung mitwirkender Personen nach § 203 Abs. 4 StGB.

Die Nutzung von DolmiDesk erfolgt auf eigene Verantwortung.

---

1. Europäisches Parlament und Rat, Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung). 2016. [Online]. Verfügbar unter: https://eur-lex.europa.eu/eli/reg/2016/679/oj ⤴
2. Bundesrepublik Deutschland, Bundesdatenschutzgesetz (BDSG). 2017. [Online]. Verfügbar unter: https://www.gesetze-im-internet.de/bdsg_2018/ ⤴
3. Bundesrepublik Deutschland, Strafgesetzbuch (StGB) § 203 Verletzung von Privatgeheimnissen. [Online]. Verfügbar unter: https://www.gesetze-im-internet.de/stgb/__203.html ⤴
4. B. Gribl, „Von Speicher zu Smart: Was Nutzer heute von der Cloud erwarten“, Cloudcomputing Insider, Okt. 2025, [Online]. Verfügbar unter: https://www.cloudcomputing-insider.de/datenspeicherung-in-deutschland-und-eu-a-61a8c732cda320422173c3c442a8a324/ ⤴
5. P. Mell und T. Grance, „The NIST Definition of Cloud Computing“, Gaithersburg, MD, techreport Special Publication 800-145, 2011. ⤴
6. Scaleway SAS, „Privacy Policy“. [Online]. Verfügbar unter: https://www.scaleway.com/en/privacy-policy/ ⤴
7. European Data Protection Board, „Guidelines 07/2020 on the concepts of controller and processor in the GDPR“. 2021. [Online]. Verfügbar unter: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en ⤴
8. Cloudflare, Inc., „Cloudflare Privacy Policy“. [Online]. Verfügbar unter: https://www.cloudflare.com/privacypolicy/ ⤴
9. Stripe Payments Europe, Ltd., „Stripe Datenschutzerklärung“. [Online]. Verfügbar unter: https://stripe.com/de/privacy ⤴
10. PostHog, Inc., „PostHog Privacy Policy“. [Online]. Verfügbar unter: https://posthog.com/privacy ⤴
11. Google Cloud, „Google Workspace Trust & Privacy“. [Online]. Verfügbar unter: https://workspace.google.com/intl/de/security/ ⤴
12. Mistral AI, „Privacy Policy“. [Online]. Verfügbar unter: https://legal.mistral.ai/terms/privacy-policy ⤴
13. Google LLC, „Google Calendar API: Choose Auth Scopes“. [Online]. Verfügbar unter: https://developers.google.com/calendar/api/auth ⤴
14. Google LLC, „Routes API Documentation“. [Online]. Verfügbar unter: https://developers.google.com/maps/documentation/routes ⤴
15. I. Redaktion, „Was weiß Google über mich? Google-Daten einsehen und verwalten“, IONOS Digital Guide, Okt. 2022, [Online]. Verfügbar unter: https://www.ionos.de/digitalguide/online-marketing/suchmaschinenmarketing/was-weiss-google-ueber-mich/ ⤴
16. Gerichtshof der Europäischen Union, „Urteil des Gerichtshofs (Große Kammer) vom 16. Juli 2020. Data Protection Commissioner gegen Facebook Ireland Limited, Maximillian Schrems.“ 16. Juli 2020. [Online]. Verfügbar unter: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62018CJ0311 ⤴
17. European Commission, „Adequacy decision for the EU-US Data Privacy Framework“. Brussels, Juli 2023. [Online]. Verfügbar unter: https://commission.europa.eu ⤴
18. U.S. Department of Commerce, „Data Privacy Framework List: Google LLC“. [Online]. Verfügbar unter: https://www.dataprivacyframework.gov/list ⤴
19. Bundesrepublik Deutschland, Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen. 2017. [Online]. Verfügbar unter: https://www.gesetze-im-internet.de/stgb/__203.html ⤴
20. Bundesamt für Sicherheit in der Informationstechnik, „TR-03108 Sicherer E-Mail-Transport“, BSI, Bonn, techreport, 2024. [Online]. Verfügbar unter: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Technische-Richtlinien/TR-nach-Thema-sortiert/tr03108/tr-03108.html ⤴
21. Datenschutzkonferenz (DSK), „Orientierungshilfe der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 27. Mai 2021“, Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, techreport, Juni 2021. [Online]. Verfügbar unter: https://www.datenschutzkonferenz-online.de/media/oh/20210616_orientierungshilfe_e_mail_verschluesselung.pdf ⤴
22. „Maßnahmen zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail“, Datenschutzkonferenz (DSK), März 2020, [Online]. Verfügbar unter: https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/publikationen/DSK/orientierungshilfen/2020-DSK_OH-E-Mail-Verschluesselung.pdf ⤴
23. K. K. The Investopedia Team, „Cloud Security: Definition, How Cloud Computing Works, and Safety“, Investopedia, Sep. 2022, [Online]. Verfügbar unter: https://www.investopedia.com/terms/c/cloud-security.asp ⤴