Berufsgeheimnis und Übersetzungstools: in der Schweiz gespeichert, aber wo verarbeitet?

Speichern ist nicht Verarbeiten

Diese Unterscheidung lassen die meisten Verkaufsunterlagen im Unklaren, und genau sie entscheidet über alles.

Eine Plattform kann Ihre Dokumente ohne Weiteres auf Schweizer Servern hosten und jedes Segment zur Übersetzung an einen Motor schicken, der anderswo betrieben wird. Beide Aussagen sind gleichzeitig wahr, und für ein Dossier unter Berufsgeheimnis zählt nur die zweite. Auch eine vorübergehende Verarbeitung ist eine Verarbeitung: Der Text wurde ausserhalb Ihrer Rechtsordnung übermittelt, gelesen, berechnet und zurückgeschickt.

Verlangen Sie von einem Anbieter deshalb nie die Formulierung «Ihre Daten sind in der Schweiz», sondern einen Satz, der beides trennt: Speicherung auf Servern in der Schweiz in jedem Fall; Verarbeitung in der Schweiz in dieser Konfiguration, im Ausland in jener. Kann Ihr Gegenüber nicht getrennt antworten, kann es gar nicht antworten.

Was geschieht, wenn Sie einen im Ausland gehosteten Motor wählen

Professionelle Übersetzungsplattformen arbeiten heute mit mehreren Motoren: Sie steuern verschiedene Modelle, von denen einige von Dritten ausserhalb der Schweiz betrieben werden. Das ist gut, weil die Motoren unterschiedliche Stärken haben. Es verlangt aber Aufmerksamkeit, weil sich der Ort der Verarbeitung mit dem gewählten Motor ändert, bei jeder Übermittlung.

Dabei geschehen drei Dinge, die Sie kennen sollten.

• Der Text verlässt den nationalen Rahmen. Er geht an einen Betreiber, der einem anderen Recht untersteht, in einem Land, dessen Behörden andere Zugriffsbefugnisse haben können als die Ihren.
• Es stellt sich die Frage der Wiederverwendung. Ein Motor kann übermittelte Inhalte aufbewahren, zur Verbesserung seiner Modelle nutzen oder protokollieren. Die Bedingungen hängen vom Vertrag, vom Angebot und von der Vertragspartei ab. Stellen Sie diese Frage für jeden Motor schriftlich, statt von einer Annahme auszugehen.
• Die Kette der Auftragsbearbeitung wird länger. Zwischen Ihnen und dem Motor können ein Integrator, ein Hoster und ein Infrastrukturanbieter stehen. Jedes zusätzliche Glied ist ein weiterer Zugriffspunkt, den Sie dokumentieren müssen.

Umgekehrt beseitigt ein Motor, der im selben Land betrieben wird wie die Speicherung, diesen Bruch. Das ist die Logik des strengsten Modus einer Plattform. In Corrext schreibt die Option Highly sensitive content für Deutsch, Französisch, Italienisch und Englisch eine Speicherung und Verarbeitung ausschliesslich in der Schweiz vor. Gemäss der Definition in der Anwendung wird der übersetzte Inhalt zudem nicht in einem Translation Memory für künftige Projekte wiederverwendet.

Pseudonymisierung: was sie schützt und was nicht

Wer ein Dokument vor der Übermittlung an einen ausländischen Motor pseudonymisiert, entfernt oder ersetzt die Elemente, die Personen und Fall identifizieren: Namen der Parteien, Gesellschaften, Rechtsvertretungen, Adressen, Dossiernummern und manchmal sogar den Streitgegenstand.

Das ist eine ernsthafte Vorsichtsmassnahme. Sie hat zwei Grenzen, die klar benannt werden müssen.

• Sie ist keine Anonymisierung. Der Bezug zur Person bleibt bei Ihnen bestehen, und der Text bleibt Inhalt eines Dossiers. Das Risiko einer Offenlegung sinkt, verschwindet aber nicht.
• Der Kontext macht den Fall wieder erkennbar. Eine besondere Transaktion, eine ungewöhnliche Klausel oder eine Kombination von Datumsangaben, Gerichtsständen und Branchen kann genügen, um einen bekannten Fall zu erkennen, auch ohne einen einzigen Eigennamen. Je bekannter das Dossier, desto weniger schützt die Pseudonymisierung.

Hinzu kommt der praktische Aufwand: Vierzig Aktenstücke von Hand korrekt zu pseudonymisieren braucht Zeit. Eine unvollständige Pseudonymisierung erzeugt eine falsche Sicherheit, die schlimmer ist als gar keine, weil sie die Wachsamkeit senkt. Bei wirklich sensiblen Dossiers ist die richtige Antwort nicht, besser zu schwärzen, sondern das Land nicht zu verlassen.

Warum ein Warnhinweis im Tool mehr bringt als ein Reglement

Die meisten Organisationen haben eine Richtlinie für die Nutzung digitaler Tools. Sie wird beim Eintritt unterzeichnet, im Intranet abgelegt und an dem Tag vergessen, an dem eine Mitarbeiterin vierzig Aktenstücke auf Französisch verstehen muss, weil am nächsten Morgen die Verhandlung stattfindet. Das ist kein Problem der Disziplin, sondern des Zeitpunkts.

Eine Regel wird nur befolgt, wenn sie im Moment des Entscheids erscheint, bei der Person, die entscheidet. Genau das leistet ein kontextbezogener Warnhinweis. Wählen Sie in Corrext einen im Ausland gehosteten Motor, erscheint folgender Hinweis, so wie ihn die Anwendung anzeigt:

An diesem Mechanismus fallen drei Dinge auf, unabhängig vom Tool.

• Der Hinweis wird durch eine Handlung ausgelöst, nicht durch einen Kalender. Er erscheint nur, wenn das Risiko entsteht, und behält so seinen Wert als Warnung.
• Er gibt die Richtlinie der Organisation wieder, nicht die des Anbieters. Die Kanzlei entscheidet, was verboten ist. Das Tool erinnert nur dort daran, wo es nützt.
• Er blockiert nicht. Die Nutzerin oder der Nutzer bleibt verantwortlich und kann sich bewusst darüber hinwegsetzen. Ein Tool, das alles verbietet, wird am Ende durch frei verfügbare Dienste umgangen, die vor gar nichts warnen.

Dieser letzte Punkt ist für eine Rechtsabteilung der wichtigste. Das Hauptrisiko besteht nicht darin, dass jemand in einem kontrollierten Tool einen ausländischen Motor wählt. Es besteht darin, dass jemand einen Absatz in einen kostenlosen Onlinedienst kopiert, weil das genehmigte Tool Nein gesagt hat. Eine praktikable Richtlinie senkt das Risiko stärker als eine perfekte.

Zwölf Fragen an einen Anbieter

Standort

1. Wo stehen die Speicherserver, in welchem Land, und wer betreibt sie?
2. Wo findet die Verarbeitung für jeden angebotenen Motor statt?
3. Gibt es eine Konfiguration, in der die Verarbeitung das Land nie verlässt, und wie aktiviert man sie?
4. Welchem Recht untersteht der Vertrag, und welches Gericht ist zuständig?

Beteiligte

5. Welche Auftragsbearbeiter sind in der Kette beteiligt, und welche haben Zugriff auf den Inhalt?
6. Wer beim Anbieter kann ein Dokument technisch lesen, und wird dieser Zugriff protokolliert?
7. Sind die Lektorinnen und Lektoren angestellt oder selbständig, und welche Vertraulichkeitsverpflichtung bindet sie?
8. Ist eine Benachrichtigung vorgesehen, wenn eine Behörde Zugriff verlangt, soweit das anwendbare Recht dies erlaubt?

Daten und Nachweis

9. Welche Daten werden wozu wiederverwendet, und lässt sich das pro Projekt deaktivieren?
10. Wie lange werden Inhalte aufbewahrt, und nach welchem Verfahren werden sie gelöscht?
11. Welche Zertifizierung besteht, seit wann und für welchen genauen Geltungsbereich? Verlangen Sie das Zertifikat, nicht das Logo.
12. Wird ein Auftragsbearbeitungsvertrag angeboten, und sieht er ein realistisches Auditrecht vor?

Was Sie diese Woche entscheiden können

• Teilen Sie Ihre Dokumente in drei Kategorien ein: was jeder Motor übersetzen darf, was eine Verarbeitung im Inland verlangt und was die Kanzlei nicht verlässt. Die meisten Organisationen haben diese Übung nie gemacht, und sie braucht eine einzige Sitzung.
• Stellen Sie standardmässig ein genehmigtes Tool bereit. Solange es keines gibt, greifen alle zum nächstbesten Onlinedienst.
• Formulieren Sie die Regel als Wahl, nicht als Verbot: in diesem Fall dieser Modus, in jenem Fall der andere. Eine Regel, die mit «Es ist verboten» beginnt, sagt nicht, was zu tun ist.
• Prüfen Sie einmal jährlich die Antworten auf die obigen Fragen: Motoren, Auftragsbearbeiter und Bedingungen ändern sich schneller als Verträge.

Zum Schluss ein Wort zu den Rechtsgrundlagen. Der Datenschutz richtet sich nach dem Bundesgesetz über den Datenschutz (DSG) und, wenn Personen in der EU betroffen sind, nach der europäischen Datenschutz-Grundverordnung (DSGVO). Das anwaltliche Berufsgeheimnis ist im Strafrecht des Bundes und im Berufsrecht geregelt. Diese Rahmen ersetzen einander nicht, und ihre Anwendung auf ein bestimmtes Tool hängt von den Umständen ab. Dieser Artikel beschreibt eine vorsichtige Praxis. Er ersetzt nicht den Rat Ihrer Compliance-Verantwortlichen oder Ihres Anwaltsverbands.