Darf ich DeepL bei der Arbeit benutzen? DeepL-Datenschutz für Unternehmen

Dieser Beitrag erschien 2020 und wurde im September 2026 gegen die aktuelle Datenschutzerklärung und die Pro-AGB von DeepL (Stand Juli 2026) neu geschrieben. Die alte Empfehlung "personenbezogene Daten vorher schwärzen" reicht heute nicht mehr, weil DeepL die Nutzung selbst nach Version und Vertrag trennt.

Ist DeepL sicher? Die Kurzantwort

DeepL-Datenschutz hängt von der Version ab. Die kostenlose Version verarbeitet Texte laut Datenschutzerklärung zum Training der eigenen neuronalen Netze und ist für personenbezogene Daten nach den Nutzungsbedingungen ausgeschlossen. DeepL Pro löscht Texte nach der Übersetzung, verlangt bei personenbezogenen Daten aber einen Auftragsverarbeitungsvertrag, den das Unternehmen vor dem Einsatz abschließt.

Ohne Nutzungsregel entscheidet jede Person am Schreibtisch selbst, ob der Kundenvertrag in das Übersetzungsfenster wandert. Diese Entscheidung gehört in eine Richtlinie des Unternehmens.

DeepL Free oder DeepL Pro: Was mit den Texten passiert

Betreiber ist die DeepL SE mit Sitz in Köln. Ihre Datenschutzerklärung trennt in Ziffer 3 und 4 zwischen der kostenlosen Version und den Pro-Diensten.

In der kostenlosen Version verarbeitet DeepL hochgeladene Inhalte "für einen begrenzten Zeitraum", "um unsere neuronalen Netze und Algorithmen zu trainieren und zu verbessern". Das gilt auch für Korrekturen an Übersetzungsvorschlägen. Nach den Nutzungsbedingungen darf die kostenlose Version nicht für Texte verwendet werden, "die personenbezogene Daten jeglicher Art enthalten". Solche Texte sind "nur im Rahmen eines DeepL Pro-Abonnements" zulässig.

Für die Pro-Dienste (Übersetzer, API, Write) sichert Ziffer 4 zu, dass Texte nicht dauerhaft gespeichert und nach der Übersetzung gelöscht werden. Zur Qualitätsverbesserung werden sie nicht verwendet. Drei Ausnahmen stehen im Kleingedruckten. Die Funktionen "Gespeicherte Übersetzungen" und Glossar legen Inhalte im Konto ab. Ziffer 3.1.4 der Pro-AGB erlaubt bei bestimmten Fehlerbildern eine verschlüsselte Zwischenspeicherung von bis zu 72 Stunden zum Debugging. Und bei der Dokumentübersetzung speichert DeepL in Free wie Pro Metadaten wie Dateityp, Sprachkombination und Zeichenzahl für 14 Tage.

Ein weiterer Punkt ist der Verarbeitungsort. Ziffer 3.1.3 der Pro-AGB erlaubt DeepL, Inhalte auf eigenen Servern oder auf Infrastruktur von Cloud-Anbietern zu verarbeiten. DeepL behält sich vor, den Ort der Verarbeitung zu bestimmen; eine abweichende Vereinbarung ist möglich, muss aber verhandelt werden. Der Firmensitz in Köln ist keine vertragliche Zusage über den Standort der Daten.

"Pro" ist kein einzelner Tarif. Die Preisseite führt Individual, Team, Business und Enterprise. Individual nennt als ersten Vorteil "Keine Verwendung Ihrer Daten für das Modelltraining", Team und Business übernehmen alle Vorteile von Individual. Für ein Unternehmen zählt weniger das Zeichenkontingent als die Verwaltung: Single Sign-on gibt es ab Team, Domainverwaltung und Nutzerprovisionierung ab Business. Ohne diese Funktionen legen Beschäftigte private Konten an, und die IT sieht nichts davon.

Ist DeepL DSGVO-konform?

Die Frage ist so nicht zu beantworten, weil die DSGVO Verarbeitungen bewertet und keine Produkte. Verantwortlich für die Übersetzung eines Kundenschreibens bleibt das Unternehmen (Art. 4 Nr. 7 DSGVO). DeepL wird Auftragsverarbeiter (Art. 4 Nr. 8), sobald personenbezogene Daten an den Dienst gehen. Dafür verlangt Art. 28 Abs. 3 DSGVO einen Vertrag.

Personenbezogen ist mehr als der Name. Art. 4 Nr. 1 DSGVO erfasst "alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen". Eine E-Mail-Signatur, eine Personalnummer im Vertragsentwurf oder die Anrede in einem Angebot reichen aus.

Für die kostenlose Version folgt daraus: Personenbezogene Daten sind dort vertraglich ausgeschlossen, einen Auftragsverarbeitungsvertrag gibt es nicht. Wer sie trotzdem eingibt, verarbeitet ohne Art.-28-Vertrag und übergibt den Text für einen Zweck, den das Unternehmen nicht steuert: das Training der Modelle. Das betrifft auch Geschäftsgeheimnisse ohne Personenbezug, für die die DSGVO gar nicht gilt.

Wie eine Aufsichtsbehörde prüft, zeigt der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) im Papier "AI in a nutshell 2: KI-basierte Sprachübersetzungstools". Es verlangt, die Verarbeitungsvorgänge einzeln abzugrenzen, vom Training über die Speicherung von Anmelde- und Eingabedaten bis zu deren "Weiternutzung [...] etwa zum Weitertraining des KI-Systems". Für jeden Vorgang ist der Personenbezug zu prüfen und gegebenenfalls zu beschränken. Als Mittel dafür nennt das Papier "eine Dienstanweisung an die Beschäftigten betreffend die Eingabe der zu übersetzenden Inhalte oder Anonymisierung". Dazu kommt die Klärung der Verantwortlichkeit bis hin zum Auftragsverarbeitungsvertrag. Für eine Weitergabe an Dritte zum Weitertraining fehle öffentlichen Stellen "regelmäßig" die Rechtsgrundlage.

Das Papier richtet sich an bayerische Behörden. Die Prüfschritte lassen sich auf Unternehmen übertragen, dort mit Art. 6 Abs. 1 lit. b oder lit. f DSGVO als Rechtsgrundlage statt der behördlichen Aufgabenerfüllung.

DeepL AVV: ohne Auftragsverarbeitungsvertrag keine Personendaten

DeepL schreibt den Vertrag selbst vor. Ziffer 8.1.4 der Pro-AGB verpflichtet den Kunden, DeepL zu informieren und einen von DeepL gestellten Auftragsverarbeitungsvertrag abzuschließen, sobald personenbezogene Daten übermittelt werden sollen. Dieselbe Ziffer verlangt vom Kunden eine eigene Rechtsgrundlage für diese Daten. Den Vertragsschluss wickelt DeepL laut Datenschutzerklärung über sales(at)deepl.com ab.

Das Muster ist öffentlich einsehbar. Es benennt die DeepL SE als Auftragsverarbeiter und als betroffene Personengruppen Kunden, Beschäftigte und Bewerber des Verantwortlichen. Enthalten sind die Pflichten aus Art. 28 Abs. 3 DSGVO: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeitsverpflichtung des Personals, Maßnahmen nach Art. 32 DSGVO.

Ein unterschriebener AVV ist der Anfang der Prüfung. Art. 28 Abs. 1 DSGVO erlaubt nur Auftragsverarbeiter, die "hinreichend Garantie" für eine rechtskonforme Verarbeitung bieten. Bei DeepL bleiben vier Punkte zu klären. Die Cloud-Unterauftragnehmer und der Verarbeitungsort aus Ziffer 3.1.3. Der Debugging-Zugriff aus Ziffer 3.1.4. Die Löschfrist von 90 Tagen nach Vertragsende für gespeicherte Übersetzungen aus Ziffer 3.1.2. Und der SOC-2-Typ-II-Bericht aus dem Trust Center. Eine AVV-Prüfung läuft bei DeepL wie bei jedem anderen Cloud-Dienst. Wer ein ISMS nach ISO/IEC 27001:2022 betreibt, findet den Rahmen in den Controls 5.19 bis 5.23 des Annex A zu Lieferanten und Cloud-Diensten.

DeepL für Unternehmen: Nutzungsregel in fünf Schritten

Die Frage "Darf ich DeepL bei der Arbeit benutzen?" sollte keine Mitarbeiterin und kein Mitarbeiter allein beantworten müssen. Eine Nutzungsregel beantwortet sie einmal für alle:

1. Inhalte klassifizieren: öffentlich, intern, personenbezogen, vertraulich. Für jede Klasse steht fest, ob sie in die kostenlose Version, in den Pro-Tarif oder in gar keinen Cloud-Übersetzer darf. Personenbezogene Inhalte scheiden für die kostenlose Version nach den Nutzungsbedingungen aus.
2. Tarif wählen und AVV schließen. Ein Tarif mit zentraler Verwaltung (Single Sign-on ab Team, Domainverwaltung ab Business) bindet die Konten an das Unternehmen. Der AVV wird vor dem ersten personenbezogenen Datum unterschrieben.
3. Verarbeitung dokumentieren. Die Übersetzung mit DeepL wird als Verarbeitungstätigkeit nach Art. 30 DSGVO erfasst, mit Rechtsgrundlage, Datenkategorien und DeepL als Auftragsverarbeiter. Die Ergebnisse der AVV-Prüfung liegen dort ab.
4. Funktionen bewusst einstellen. Gespeicherte Übersetzungen und Glossare bleiben im Konto liegen, Dokumentübersetzungen hinterlassen 14 Tage lang Metadaten. Beides ist zulässig, gehört aber ins Löschkonzept und in die Konfigurationsvorgabe für die Konten.
5. Anweisen und schulen. Der BayLfD nennt die Dienstanweisung an Beschäftigte ausdrücklich als Mittel, den Personenbezug bei der Eingabe zu beschränken. Sie wirkt nur, wenn Beschäftigte den Unterschied zwischen Free und Pro kennen. Warum die kostenlose Version im Firmennetz gesperrt oder auf öffentliche Texte beschränkt ist, erklärt Security Awareness besser als eine Verbotsliste.

Dieselbe Prüfung gilt für jedes andere KI-Werkzeug aus der Cloud. Wie die Abwägung bei Sprachmodellen aussieht, beschreibt der Beitrag zu Chancen und Risiken von ChatGPT. Den Begriff der Auftragsverarbeitung erklärt der Wiki-Eintrag zu DSGVO und Datenschutz.

Einordnung

2020 lautete die Antwort auf die Titelfrage: personenbezogene Daten entfernen, dann geht es. 2026 ist sie eine Vertragsfrage. DeepL schließt die kostenlose Version für personenbezogene Daten in den Nutzungsbedingungen aus und bindet den Pro-Einsatz an einen Auftragsverarbeitungsvertrag. Damit ist DeepL im Unternehmen eine gewöhnliche Auftragsverarbeitung mit den üblichen Hausaufgaben: Vertrag, Prüfung der Garantien, Dokumentation, Anweisung.

Der Sitz in Köln erspart davon nichts. Die AGB behalten DeepL die Wahl der Infrastruktur und des Verarbeitungsorts vor, und die Debugging-Ausnahme zeigt, dass "wird gelöscht" im Vertragstext Bedingungen hat. Wer diese Punkte für alle Cloud-Dienste auf einmal klären will, tut das in einem ISMS nach ISO 27001.

Quellen

• DeepL SE: Datenschutzerklärung, Ziffern 3, 4, 6.5 und 7 (abgerufen 06.09.2026)
• DeepL SE: Allgemeine Geschäftsbedingungen DeepL Pro, Ziffern 3.1.2, 3.1.3, 3.1.4 und 8.1.4, Stand Juli 2026 (verbindlich ist die englische Fassung)
• DeepL SE: Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO, Muster (PDF)
• DeepL SE: Sicherheit und Compliance und Preise und Tarife (abgerufen 06.09.2026)
• Bayerischer Landesbeauftragter für den Datenschutz: AI in a nutshell 2: KI-basierte Sprachübersetzungstools (PDF) und Orientierungshilfe Datenschutz bei KI-Projekten, Stand 3/2026
• Verordnung (EU) 2016/679 (DSGVO): Art. 4, 6, 28, 30, 32