DeepL AVV: Was im Auftragsverarbeitungsvertrag steht (2026)
Was ist der DeepL AVV und wo erhalten Sie ihn?
Der DeepL AVV ist der Auftragsverarbeitungsvertrag der DeepL SE nach Art. 28 DSGVO für die bezahlten Pro-Dienste. Er ist integraler Bestandteil der DeepL Pro-Bedingungen, wird mit Vertragsabschluss verbindlich und ist zusammen mit Subprozessoren-Liste, Sicherheitsmaßnahmen und SCCs im Trust Center veröffentlicht.
- Vertragspartner ist die DeepL SE aus Köln; Ihr Unternehmen bleibt Verantwortlicher, AWS ist seit 2026 Unterauftragsverarbeiter des Hybrid-Modells.
- Der AVV wird automatisch mit Abschluss des Pro-Vertrags verbindlich — Abschnitt 8.1.5 der DeepL Pro-Bedingungen verlangt keine gesonderte Unterschrift.
- Internationale Übermittlungen stützen sich auf EU-US Data Privacy Framework und SCCs; die Datenresidenz-Option gilt für Team, Business und API for Business.
Ja — die DeepL SE stellt für alle bezahlten Pro-Dienste einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO bereit, und nach den aktuellen DeepL Pro-Bedingungen ist dieser AVV integraler Vertragsbestandteil, der automatisch mit Vertragsabschluss verbindlich wird. Sie müssen ihn nicht verhandeln. Das Dokument ist im DeepL Trust Center veröffentlicht — zusammen mit der Unterauftragsverarbeiter-Liste, die seit 2026 AWS enthält, den Sicherheitsmaßnahmen und den Standardvertragsklauseln (SCCs) für Übermittlungen in Drittländer.
Diese Seite ist eine unabhängige Kanzlei-Anmerkung zum DeepL AVV und zu den umliegenden Vertragsdokumenten — Klausel für Klausel, mit dem offiziellen Zugriffsweg. Sie ist kein DeepL-Dokument. Jede Aussage stammt aus eigenen Unterlagen von DeepL: den Pro-Bedingungen, dem Trust Center und der Infrastruktur- und Datenschutzhinweisen von DeepL, Stand Oktober 2026.
Geprüft: Oktober 2026
DeepL AVV in Kürze
| Punkt | Was DeepL dokumentiert (Stand Oktober 2026) |
|---|---|
| Vertragspartner | DeepL SE, Maarweg 165, 50825 Köln, Deutschland |
| Vertragliche Verankerung | Integraler Bestandteil der DeepL Pro-Bedingungen, verbindlich mit Vertragsabschluss (Abschnitt 8.1.5) |
| Rollen | Ihr Unternehmen = Verantwortlicher; DeepL SE = Auftragsverarbeiter; AWS = Unterauftragsverarbeiter |
| Transfermechanismus | EU-US Data Privacy Framework + Standardvertragsklauseln (SCCs); Transfer Impact Assessment im Trust Center |
| Unterauftragsverarbeiter | AWS für Business- und Enterprise-Inhalte seit 1. Januar 2026; aktuelle Liste im Trust Center |
| Standard-Verarbeitungsort | Globale AWS-Regionen (EU, USA, Japan) plus DeepL-Server in Europa; standardmäßig flüchtig |
| Speicherfristen | Keine Langzeitspeicherung im Standard; verschlüsselte Debugging-Ausnahme bis 72 Stunden; angeforderte Speicherung (z. B. gespeicherte Übersetzungen) gelöscht bis 90 Tage nach Vertragsende |
| Gratis-Produkte | Die kostenlose API darf Inhalte unbefristet speichern; personenbezogene Daten sind dort verboten (Abschnitt 3.3.2, 8.3.11) |
| Bezugsweg | DeepL Trust Center → Legal → Data Processing Agreement |
DeepL AVV Download: der offizielle Weg
Den AVV müssen Sie nicht mehr beim Sales anfordern. Das ist der aktuelle, ehrlich beschriebene Zugriffsweg:
- Öffnen Sie das DeepL Trust Center unter deepl.safebase.us. Der Bereich Legal führt den Data Processing Agreement zusammen mit „DPA Sub-Processors”, „DPA Technical and Organisational Measures” und „International Transfer Clauses” auf.
- Öffnen Sie den Eintrag Data Processing Agreement. Das Trust Center läuft über SafeBase. Dokumentenliste und Infrastruktur-Angaben sind öffentlich einsehbar; der Download der eigentlichen Dateien läuft über einen „Get access”-Anfragefluss (Name, Firmen-E-Mail, Zweck). Bei unserer letzten Prüfung war die vollständige AVV-Datei nicht anonym abrufbar — planen Sie einige Minuten für die Zugriffsanfrage ein.
- Als zahlender Pro-Kunde müssen Sie nichts unterschreiben. Abschnitt 8.1.5 der DeepL Pro-Bedingungen besagt, dass der AVV „integraler Bestandteil dieser Vereinbarung ist und mit deren Abschluss verbindlich wird”. Mit Abschluss Ihres Pro-Abonnements ist er bereits einbezogen.
- Archivieren Sie das vollständige Vertragsset. Legen Sie AVV, Pro-Bedingungen, die zum Bestellzeitpunkt vereinbarte Leistungsbeschreibung, die Subprozessoren-Liste, die TOMs und die Transferklauseln gemeinsam im Vendor-Ordner ab. Die Vertragsbedingungen des Datenresidenz-Add-ons erhalten Sie über Ihren Sales- oder Account-Kontakt.
Bei Enterprise- und Sales-Deals liefert Ihr DeepL-Accountteam das AVV-Paket üblicherweise direkt. Falls Ihre Prüfliste ein gegengezeichnetes Dokument verlangt, sprechen Sie das dort an — der Automatismus aus Abschnitt 8.1.5 ist die dokumentierte Antwort von DeepL darauf.
Für welche Tarife gilt der DeepL AVV?
Der AVV hängt an den bezahlten Pro-Diensten, nicht an einzelnen Produkten. Übersichtlich sieht die Zuordnung so aus:
| DeepL-Tarif | AVV-Pfad | Datenresidenz |
|---|---|---|
| DeepL Translator (free) und DeepL Free API | Kein AVV-Regelkreis; personenbezogene Daten über die Free API verboten | Nicht verfügbar |
| DeepL Übersetzer Pro (Einzelnutzer) | AVV über Abschnitt 8.1.5 automatisch einbezogen | Nicht Teil des Standardangebots |
| Team und Business | AVV automatisch einbezogen; Business mit 99,0 % Verfügbarkeit | Datenresidenz-Add-on, sales-unterstützt |
| API für Business (kostenpflichtig) | AVV automatisch einbezogen | Datenresidenz-Add-on, sales-unterstützt |
| DeepL for Enterprise | AVV über Account- oder Sales-Kontakt geliefert | Datenresidenz standardmäßig enthalten |
Prüfenswert für Einkaufsabteilungen: Weil der AVV mit dem Pro-Vertragsabschluss verbindlich wird, entfällt die frühere Praxis, die Freigabe bis zur Rückkehr eines unterschriebenen AVV zu stoppen. Gestoppt werden sollte nur dann, wenn personenbezogene Daten übermittelt werden sollen, bevor die Vertragsunterlagen im Vendor-Ordner archiviert sind.
Was im DeepL AVV steht, Punkt für Punkt
DeepL veröffentlicht den AVV selbst über das Trust Center; die umliegenden Pflichten stehen in den Pro-Bedingungen und den Infrastruktur-Hinweisen. Der folgende Durchgang dokumentiert jedes Art.-28-Thema aus diesen öffentlichen Quellen. Wo ein Punkt in der zugangsbeschränkten AVV-Datei liegt, sagen wir das — statt Klauselnummern zu erfinden.
Weisungen und Verarbeitungsumfang
Was die Unterlagen sagen: Abschnitt 8.1.5 der Pro-Bedingungen regelt Übermittlungen personenbezogener Daten: Der Kunde muss alle gesetzlichen Anforderungen für Erhebung, Verarbeitung und Nutzung der an DeepL übermittelten Daten einhalten und darf personenbezogene Daten ohne Einwilligung der betroffenen Person oder sonstige ausreichende Rechtsgrundlage nicht übermitteln. Der im Trust Center gelistete AVV ist das Art.-28-Instrument, und DeepL sagt eine angemessene Kooperation bei der Umsetzung der erforderlichen Rechtsgrundlagen zu.
Was das für deutsche Käufer bedeutet: Ihr Unternehmen bleibt Verantwortlicher. Klären Sie vor dem Rollout die Rechtsgrundlage für die personenbezogenen Daten, die Ihre Teams übersetzen wollen — Kunden-E-Mails, HR-Unterlagen oder Supporttickets brauchen jeweils eigene Begründungen. Der AVV deckt die Auftragsverarbeitung ab; er schafft keine Rechtsgrundlage für Sie.
Sicherheitsmaßnahmen (TOMs)
Was die Unterlagen sagen: Die Infrastruktur-Hinweise von DeepL nennen Verschlüsselung bei Übertragung und in Ruhe, Schlüsselkontrolle durch DeepL statt durch AWS sowie ein Zero-Trust-Sicherheitsmodell. Das Trust Center weist die Zertifizierung nach ISO/IEC 27001:2022, SOC 2 Type 2, das C5-Attest des BSI (Type 2) und HIPAA-Konformität aus und führt im Legal-Bereich ein Dokument „DPA Technical and Organisational Measures”.
Was das für deutsche Käufer bedeutet: C5 ist der Kriterienkatalog, auf den deutsche Behörden und viele Enterprise-Einkäufer screenen — seine Abdeckung beseitigt einen häufigen Beschaffungsblocker. Laden Sie das TOM-Dokument über denselben Trust-Center-Zugriff wie den AVV herunter, statt auf Marketingseiten zu verweisen.
Unterauftragsverarbeiter — einschließlich AWS
Was die Unterlagen sagen: AWS ist im Hybrid-Infrastrukturmodell 2026 als Unterauftragsverarbeiter dokumentiert: DeepL verarbeitet Business- und Enterprise-Inhalte auf AWS zusätzlich zu den eigenen europäischen Rechenzentren, während die proprietären Übersetzungsmodelle in einer von DeepL kontrollierten Umgebung laufen. Die aktuelle Subprozessoren-Liste ist im Trust Center veröffentlicht („DPA Sub-Processors”), und DeepL sagt, dass das Verhältnis zu AWS durch einen Vertrag mit den Pflichtangaben nach Art. 28 DSGVO geregelt ist.
Was das für deutsche Käufer bedeutet: Transparenz und ein Widerspruchsmechanismus existieren, aber der Standard ist weit gefasst: Ohne Datenresidenz-Vertrag können AWS-Regionen weltweit genutzt werden. Nehmen Sie die URL der Subprozessoren-Liste in Ihren Prüfvermerk auf und prüfen Sie sie bei jeder Verlängerung — genau diese Liste müssen Sie nach Art. 28 Abs. 2 DSGVO im Blick behalten.
Internationale Übermittlungen (SCCs und EU-US DPF)
Was die Unterlagen sagen: Die Infrastruktur-Hinweise von DeepL nennen das EU-US Data Privacy Framework und Standardvertragsklauseln als Garantien für internationale Datenübermittlungen und verweisen auf ein Transfer Impact Assessment (TIA) im Trust Center. Das Infrastruktur-Update bestätigt, dass SCCs für jede Verarbeitung außerhalb des EWR umgesetzt sind.
Was das für deutsche Käufer bedeutet: Ein Anbieter-TIA ist ein guter Startpunkt, aber die Verantwortung für die Transferbeurteilung bleibt beim Verantwortlichen. Prüfen Sie das TIA von DeepL gegen Ihre eigenen Datenkategorien, ergänzen Sie es, wo sich Ihr Szenario unterscheidet, und dokumentieren Sie das Ergebnis — genau hier liegt die häufigste Lücke in deutschen KI-Beschaffungsaudits.
Speicherfristen und Löschung
Was die Unterlagen sagen: Abschnitt 3.1.2 der Pro-Bedingungen beschränkt die Speicherung auf das technisch Erforderliche; darüber hinausgehende Speicherung erfolgt nur auf Kundenwunsch (zum Beispiel gespeicherte Übersetzungen), und diese Inhalte werden 90 Tage nach Vertragsende gelöscht. Abschnitt 3.1.4 erlaubt in Ausnahmefällen verschlüsselte Debugging-Speicherung von bis zu 72 Stunden mit automatischer Löschung, protokolliertem und von der Geschäftsleitung genehmigtem Schlüsselzugriff und ohne Verknüpfung mit einem einzelnen Kunden. Zugriffsprotokolle für Abrechnung und Sicherheit enthalten keine Inhalte.
Was das für deutsche Käufer bedeutet: Das sind konkrete, zitierfähige Speicherbedingungen — besser, als die meisten Consumer-KI-Tools sie bieten. Halten Sie sie präzise in Ihrem Verzeichnis von Verarbeitungstätigkeiten fest: standardmäßig flüchtig, 72-Stunden-Ausnahme für verschlüsseltes Debugging, Löschung angeforderter Speicherung bis 90 Tage nach Vertragsende.
Unterstützung der Verantwortlichen
Was die Unterlagen sagen: Die Pro-Bedingungen sagen DeepL eine angemessene Kooperation bei der Umsetzung der Rechtsgrundlagen zu (Abschnitt 8.1.5). Das Trust Center liefert die Nachweise, die ein Verantwortlicher für Rechenschaftspflichten braucht: Datenflussdiagramm, TIA, TOMs sowie ein Security- und Datenresidenz-Whitepaper in Englisch, Deutsch und Japanisch. Der Umgang mit Betroffenenanfragen ist im AVV-Dokument selbst geregelt, das über den Trust-Center-Zugriff verteilt wird.
Was das für deutsche Käufer bedeutet: Für eine Datenschutz-Folgenabschätzung erfüllen das öffentlich verfügbare Whitepaper und das Datenflussdiagramm meist die erforderliche Beschreibung der Verarbeitung. Wenn Ihre DSFA benannte Kontaktwege für Betroffenenanfragen verlangt, bestätigen Sie diese beim Account-Kontakt — dieses Detail liegt im zugangsbeschränkten Dokumentenset.
Datenresidenz-Option
Was die Unterlagen sagen: Das Datenresidenz-Add-on beschränkt Kundeninhalte auf eine gewählte Region — EU, USA oder Japan. Es steht sales-unterstützten Kunden der Tarife Team, Business und API for Business offen, ist im Tarif DeepL for Enterprise standardmäßig enthalten, auf eine Region pro Organisation beschränkt und muss für alle Abonnements im Umfang erworben werden. Operatives Logging und Monitoring können außerhalb der gewählten Region laufen, enthalten nach DeepL-Angaben aber keine Kundeninhalte.
Was das für deutsche Käufer bedeutet: EU-Datenresidenz ist vertraglich, kein separates Produkt: Kalkulieren Sie sie im Sales-Gespräch mit ein und beachten Sie, dass sie nicht über die Website selbst gebucht werden kann. Für Branchen mit strengen EU-Verarbeitungserwartungen kombinieren Sie das Residenz-Add-on mit der SCC- und TIA-Prüfung — Residenz reduziert Transferexposition, ersetzt aber keine Unterauftragsverarbeiter-Sorgfalt.
Was sich 2026 mit AWS geändert hat
Drei Fakten prägen die aktuelle Lage, und alle drei stammen aus dem Infrastruktur-Update von DeepL mit Wirkung zum 1. Januar 2026:
- Globale Verarbeitung ist der Standard. Kundeninhalte können über AWS-Regionen in der EU, den USA und Japan verarbeitet werden. Die alte Annahme „EU-only ab Werk” gilt für neue Verträge und Verlängerungen nicht mehr.
- Die eigenen Rechenzentren haben neue Rollen. Die proprietären Rechenzentren in Island und Schweden dienen Forschung, Modelltraining und dem Gratis-Tarif — die Business- und Enterprise-Verarbeitung ist ins Hybrid-Modell gewechselt.
- Widerspruchs- und Residenzpfade existieren. Kunden, die den AWS-Einsatz widersprechen, können DeepL bis zum Ende der laufenden Abrechnungsperiode nutzen; die Daten bleiben bis zum Vertragsende auf DeepL-Infrastruktur. Berechtigte Sales-Kunden können die Verarbeitung stattdessen über das Datenresidenz-Add-on auf eine Region festlegen.
Für eine Freigabeentscheidung heißt das praktisch: Die AWS-Beteiligung ist vertraglich dokumentiert, das Widerspruchsfenster ist kurz, und EU-only-Verarbeitung erfordert jetzt das Residenz-Add-on, statt Standard zu sein.
Was der DeepL AVV nicht abdeckt
- Branchenspezifische Geheimhaltung. Anwaltliches Berufsgeheimnis, medizinische Schweigepflicht und Bankgeheimnis sind Ihre Pflichten, nicht die des Auftragsverarbeiters — ein AVV hebt sie nicht auf.
- Hochrisiko-Nutzung nach dem EU-KI-Gesetz. Abschnitt 8.1.2 der Pro-Bedingungen erklärt, dass die Dienste nicht für Hochrisiko-Nutzung nach Artikel 6 des EU-KI-Gesetzes vorgesehen sind; die Beurteilung liegt allein beim Kunden.
- Der Gratis-Tarif. Die kostenlose API darf Inhalte unbefristet speichern und verbietet personenbezogene Daten kategorisch (Abschnitte 3.3.2, 8.3.11); der hier beschriebene AVV-Regelkreis gilt für bezahlte Dienste.
- Ihre eigene Verarbeitung von Nutzungsdaten. Nutzungsdaten, die DeepL über Ihre Nutzer bereitstellt (Abschnitt 3.1.10), machen Sie zum eigenständigen Verantwortlichen mit eigenen DSGVO-Pflichten.
- Vendor-Auswahl und Beschaffungsprüfung. Der AVV ist ein Artefakt der Art.-28-Prüfung, kein Ersatz für den strukturierten Vendor-Prozess — unser Leitfaden zur KI-Beschaffung unter DSGVO und AI Act und unser Beitrag zur KI-Uebersetzung zeigen den Ablauf.
DeepL AVV im Vergleich mit anderen KI-Anbietern
| Anbieter | AVV-Verfügbarkeit | Automatisch einbezogen? | Transfer-Garantien | EU-Datenresidenz |
|---|---|---|---|---|
| DeepL SE | Trust Center, Bestandteil der Pro-Bedingungen | Ja, mit Vertragsabschluss (Abschnitt 8.1.5) | EU-US DPF + SCCs, Anbieter-TIA veröffentlicht | Ja — Sales-Add-on; Enterprise-Standard |
| Anthropic (Claude) | AVV für Enterprise und API | Teil der Commercial Terms | SCCs | EU-Hosting für berechtigte Tarife |
| Asana | AVV auf allen bezahlten Tarifen | Ja, in den Bedingungen verankert | SCCs | Residenz-Optionen je nach Tarif |
| Grammarly | DPA für Enterprise | Über Enterprise-Vereinbarung | SCCs | Begrenzt, tarifabhängig |
Das Alleinstellungsmerkmal von DeepL ist der Einbezug-Automatismus: Anders als bei Anbietern, deren AVV einen separaten Klick-oder-Unterschrift-Schritt verlangt, binden die Pro-Bedingungen von DeepL den AVV mit Vertragsabschluss und veröffentlichen ihn schon vor Vertragsschluss zur Prüfung. Deshalb kann diese Seite den Dokumentinhalt annotieren, bevor Sie überhaupt mit dem Sales sprechen. Wie das bei anderen Anbietern aussieht, zeigen unsere Vergleiche zum Claude AVV und zum Anthropic-Vertragswerk.
FAQ: Häufige Fragen zum DeepL AVV
Hat DeepL einen AVV?
Ja. Die DeepL SE veröffentlicht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO in ihrem Trust Center, und nach den aktuellen Pro-Bedingungen (Abschnitt 8.1.5) ist er integraler Bestandteil des Pro-Vertrags, der automatisch mit dessen Abschluss verbindlich wird. Bezahlte Kunden müssen ihn nicht verhandeln oder gegenzeichnen; eine archivierte Kopie ist trotzdem gute Praxis.
Ist DeepL DSGVO-konform?
DeepL hat seinen Sitz in Köln und unterliegt unmittelbar der DSGVO. Das Unternehmen dokumentiert einen Art.-28-AVV, Übermittlungen über EU-US DPF und SCCs sowie Zertifizierungen nach ISO/IEC 27001:2022 und SOC 2 Type 2 und das C5-Attest. Ob ein konkreter Rollout konform ist, hängt von Ihrer Rechtsgrundlage, den aktivierten Funktionen und den Datenkategorien ab — diese Bewertung ist Ihre, nicht die des Anbieters.
Trainiert DeepL KI-Modelle mit Kundenübersetzungen?
Bei bezahlten Abonnements sagt DeepL, dass Daten nur zur Leistungserbringung verarbeitet und nicht zum Trainieren von Modellen außerhalb Ihres Kontos genutzt werden. Forschung und Modelltraining laufen auf der eigenen Infrastruktur in Island und Schweden, die auch den Gratis-Tarif bedient. Die kostenlose API darf Inhalte unbefristet speichern und verbietet personenbezogene Daten.
Wo werden DeepL-Daten gespeichert?
Standardmäßig können Kundeninhalte über die globalen AWS-Regionen von DeepL (EU, USA, Japan) plus DeepL-Server in Europa verarbeitet werden, und Übersetzungseingaben werden flüchtig verarbeitet. Speicherfunktionen wie gespeicherte Übersetzungen behalten Inhalte bis zur Löschung, mit Löschung 90 Tage nach Vertragsende. Das Datenresidenz-Add-on legt die Verarbeitung für berechtigte Tarife auf eine gewählte Region fest.
Nutzt DeepL AWS oder andere Unterauftragsverarbeiter?
Ja. AWS ist im Hybrid-Infrastrukturmodell 2026 als Unterauftragsverarbeiter dokumentiert und verarbeitet Business- und Enterprise-Inhalte, während die Modelle von DeepL in einer DeepL-kontrollierten Umgebung laufen. Die aktuelle Subprozessoren-Liste ist ein Rechtsdokument im Trust Center, und die Infrastruktur-Hinweise von DeepL beschreiben den Widerspruchspfad bei Änderungen.
Bietet DeepL EU-Datenresidenz?
Ja. Das Datenresidenz-Add-on deckt sales-unterstützte Tarife Team, Business und API for Business ab und ist im Tarif DeepL for Enterprise standardmäßig enthalten. Eine Region pro Organisation — EU, USA oder Japan — und Verpflichtung für alle Abonnements im Umfang. Logging und Monitoring können außerhalb der Region laufen, enthalten nach DeepL-Angaben aber keine Kundeninhalte.
Wie schließe ich den DeepL AVV ab?
In der Regel gar nicht separat. Abschnitt 8.1.5 der DeepL Pro-Bedingungen macht den Trust-Center-AVV zum integralen Bestandteil des Vertrags, verbindlich mit dessen Abschluss. Enterprise-Kunden erhalten den AVV über ihren Account- oder Sales-Kontakt, zusammen mit etwaigen Residenz-Bedingungen. Laden und archivieren Sie AVV, Subprozessoren-Liste, TOMs und Transferklauseln, bevor personenbezogene Daten übermittelt werden.
Dieser Beitrag enthält allgemeine Informationen und keine Rechtsberatung für den Einzelfall. Konkrete DeepL-Rollouts mit regulierten, geheimnisschutzrelevanten oder anderweitig besonders risikobehafteten Daten sollten individuell geprüft werden.
Compound Law berät Unternehmen, Gründer und In-house-Teams in Deutschland zu AVV-Prüfung, KI-Beschaffung, vertraulichkeitssensiblen Workflows und DSGVO-Umsetzung. Wenn Sie einen DeepL-Freigabevermerk, eine AVV-Prüfung oder einen größeren KI-Beschaffungsprozess aufsetzen wollen, kontaktieren Sie uns.
