Übersetzung vertraulicher Dokumente: wie sensible Unternehmensdaten geschützt werden

Bevor ein Vertrag die andere Partei erreicht, ein Patent angemeldet wird oder klinische Daten bei einer Regulierungsbehörde eingereicht werden, durchlaufen diese Dokumente einen Übersetzungsworkflow. Dieser Workflow umfasst externe Anbieter, Drittanbieter-Tools und Infrastruktur außerhalb des direkten Einflusses des Unternehmens. Für die meisten Unternehmen ist dies der Punkt, an dem die Vertraulichkeit ihrer Daten am stärksten gefährdet ist. Außerdem sind ihre Daten an dieser Stelle am wenigsten durch interne Richtlinien für Informationssicherheit geschützt.

Viele Unternehmen verfügen über strikte Sicherheitsstandards für ihre internen Systeme und Mitarbeitenden. Doch werden diese Standards nicht immer auch auf externe Sprachdienstleister ausgeweitet, obwohl regelmäßig höchst sensible Informationen in Übersetzungsworkflows bearbeitet werden, in denen Mitarbeitende, Technologien und Infrastruktur nicht direkt durch das Unternehmen kontrolliert werden können.

In diesem Leitfaden wird erklärt, wie die Übersetzung vertraulicher Dokumente sicher durchgeführt werden kann: wie Geschäftsdokumente nach Risikoniveau eingestuft werden, welche Sicherheitsprotokolle von einem Übersetzungsdienstleister gefordert werden müssen und warum die standardmäßig von den Teams genutzten Tools Risiken darstellen, die in den meisten Informationssicherheitsfunktionen nicht vollständig abgebildet wurden.

Übersetzung vertraulicher Dokumente: Anwendungsbereich und Definition

Was bei der Übersetzung eines vertraulichen Dokuments zu beachten ist

Im Kontext der Übersetzung umfasst ein vertrauliches Dokument jegliche Dateien, deren Offenlegung gegenüber nicht autorisierten Parteien juristischen, finanziellen, regulatorischen oder wettbewerblichen Schaden verursachen könnte. Dies umfasst Verträge, Finanzmodelle, Unterlagen zu Unternehmensfusionen und -übernahmen, Daten zu klinischen Studien, Patentanmeldungen, Beschäftigungsbedingungen, Zulassungsanträge und interne Strategiedokumente.

Der Anwendungsbereich ist breiter gefächert als die meisten Unternehmen zunächst annehmen. Das einer Vertraulichkeitsvereinbarung unterliegende technische Handbuch eines Produkts, interne Kommunikation zu Personalangelegenheiten während einer Umstrukturierung oder vorbereitete Produktpläne für die Markteinführung im Ausland zählen hierzu. Alle diese Inhalte werden regelmäßig und ohne weitere Beachtung von Sicherheitsrisiken an Übersetzungsdienstleister übergeben oder in Online-Tools übertragen.

Unterschied zwischen der Übersetzung vertraulicher und allgemeiner Dokumente

Bei der Übersetzung allgemeiner Dokumente stehen Genauigkeit und Bearbeitungszeit im Vordergrund. Die Übersetzung vertraulicher Dokumente fügt dem Ganzen jedoch eine Sicherheitskomponente zu. In diesem Fall ist es wichtig, wie die Ausgangsdatei dem Dienstleister zur Verfügung gestellt wird, wer während der Übersetzung Zugriff auf sie hat, wo sie gespeichert wird und was mit ihr nach der Lieferung geschieht.

Die linguistische Arbeit ist dieselbe. Doch die umgebenden Rahmenbedingungen unterscheiden sich.

Warum Geschäftsdokumente während der Übersetzung den größten Risiken ausgesetzt sind

Ungesicherte Dateiübertragung und Kommunikationskanäle

Die häufigste Art der Offenlegung bei einem Übersetzungsprozess ist zugleich die unscheinbarste: sie geschieht per E-Mail. Dokumente als unverschlüsselte Anhänge ohne Zugangskontrolle und Prüfpfad zu verschicken ist bei nicht strukturierten Übersetzungsworkflows nach wie vor die häufigste Methode der Datenübertragung. Eine unterschriebene Verschwiegenheitserklärung des Dienstleisters bietet keinen Schutz, wenn das Dokument über unsichere Kanäle verbreitet wird.

Übersetzende ohne formelle Verschwiegenheitsverpflichtung

An einer Übersetzung sind mehrere Parteien beteiligt. Viele Übersetzende arbeiten freiberuflich, daher hängt ihre Verpflichtung zur Vertraulichkeit von den Vereinbarungen bei Projektbeginn ab. Werden Übersetzende von verschiedenen Abteilungen über unterschiedliche Kanäle beauftragt, werden sensible Inhalte in erheblichem Umfang letztlich durch Personen bearbeitet, die nie eine Verschwiegenheitserklärung unterschrieben haben. Dies ist keine Seltenheit, sondern bei Unternehmen ohne zentrale Übersetzungsbeauftragung geradezu der Normalfall.

Risiken von KI-Tools in Workflows mit sensiblen Dokumenten

Kostenfreie KI-Übersetzungstools für Endverbraucher verarbeiten Inhalte unter der Bedingung, dass sie die eingespeisten Daten zur Verbesserung ihres Services oder zu interner Recherche verwenden dürfen. Laden Mitarbeitende vertrauliche Dokumente in eine öffentliche MT-Engine oder einen KI-Assistenten hoch, geben sie die Inhalte an einen Dritten weiter, der keiner Datenverarbeitungsvereinbarung oder Vertraulichkeitsverpflichtung unterliegt.

Rechtsabteilungen in verschiedenen Ländern haben begonnen, Leitlinien zur Verwendung von öffentlichen KI-Tools bei kundenspezifischen und vertraulichen Geschäftsdaten zu erstellen. Diese Erwägungen müssen auch bei der Auswahl von Anbietern für Übersetzungsdienstleistungen berücksichtigt werden.

Speicherung in der Cloud und Offenlegung auf externen Plattformen

Auch wenn Übersetzende einer Vertraulichkeitsvereinbarung unterliegen und Dateien sicher übertragen werden, erfolgt während des Projekts häufig eine Zwischenspeicherung der Dokumente auf gemeinsam genutzten Laufwerken, Projektmanagementplattformen oder Collaboration-Tools, die nicht explizit durch die Datenverarbeitungsvereinbarung mit dem Übersetzungsanbieter abgedeckt sind. Jede zusätzlich genutzte Plattform erhöht jedoch das Risiko einer nicht autorisierten Offenlegung.

Rahmen für die Einstufung der Vertraulichkeit von Geschäftsunterlagen

Nicht jedes Dokument erfordert denselben Grad an Schutz. Die Anwendung der strengsten Sicherheitsprotokolle bei jeder einzelnen Datei verursacht einen Aufwand, der nur dazu führen würde, dass Mitarbeitende nach Mitteln und Wegen suchen, sie vollständig zu umgehen. Ein abgestuftes System hilft Unternehmen dabei, Sicherheitsniveaus an die tatsächlichen geschäftlichen, rechtlichen und regulatorischen Risiken anzupassen.

Als Best Practice sollten Unternehmen ihre Dokumente anhand von Sicherheitsstufen klassifizieren und mit ihrem Sprachdienstleister die angemessenen Übersetzungsworkflows für jede Kategorie absprechen. Dadurch ist sichergestellt, dass Sicherheitsmaßnahmen, Technologien, Mitarbeitende und Qualitätskontrollen an das Vertraulichkeitsniveau angepasst sind. Unternehmen, die Unterstützung bei der Erstellung sichererer multilingualer Workflows benötigen, hilft das Language Consulting von Seprotec bei der Etablierung praktischer Steuerungsrahmenbedingungen und maßgeschneiderter Übersetzungsprozesse für ihre individuellen Sicherheitsanforderungen.

Stufe A — Streng vertraulich: Unternehmensfusionen und -übernahmen, IP, klinische und Finanzdaten

Dokumente dieser Kategorie bergen bei einer Offenlegung das höchste geschäftliche, juristische oder regulatorische Risiko. Dies umfasst Unterlagen zu Unternehmensfusionen und -übernahmen, Patentanmeldungen und Anmeldungen für geistiges Eigentum, Protokolle zu klinischen Studien, unveröffentlichte Finanzmodelle und Unterlagen zu Rechtsstreitigkeiten.

Dokumente der Stufe A erfordern eine reine Humanübersetzung durch geprüfte, einer Vertraulichkeitsvereinbarung unterliegenden Fachkräfte, eine Übertragung über verschlüsselte Kanäle mit Zugangsprotokollierung, die Verarbeitung in geschlossenen Umgebungen ohne Einspeisung in öffentliche MT-Engines sowie formelle Datenverarbeitungsvereinbarungen, die die Datenspeicherung und sichere Vernichtung abdecken.

Stufe B — Vertraulich: Verträge, Zulassungsanträge, Beschäftigungsbedingungen

Hierzu gehören standardmäßige Geschäftsvereinbarungen, Zulassungsanträge, Beschäftigungsverträge und Dokumente zur Produktcompliance. Das Risiko bei einer Offenlegung ist hoch, jedoch nicht so ausgeprägt wie bei Stufe A.

Dokumente der Stufe B profitieren von einer professionellen Übersetzung, gestützt durch Verschwiegenheitserklärungen, sicheres Dateihandling und DSGVO-konforme Datenverarbeitung, wobei nicht zwangsmäßig derselbe Umfang an Prüfungen der Übersetzenden notwendig ist.

Stufe C — Intern: Richtlinien, Schulungsmaterialien, Kommunikation zu Personalangelegenheiten

Content zu internen betrieblichen Abläufen, darunter Schulungsunterlagen, interne Richtlinien und alltägliche Kommunikation zu Personalangelegenheiten bergen bei Offenlegung ein geringeres Risiko und können durch Standard-Workflows professionell übersetzt werden.

Doch auch Content der Stufe C sollte nicht in öffentliche KI-Übersetzungstools eingespeist werden, bevor nicht überprüft wurde, wie die Plattform Informationen verarbeitet und speichert.

Warum kostenfreie Übersetzungstools ein Risiko für vertrauliche Unternehmensdaten darstellen

Was mit Texteingaben in öffentlichen MT-Engines geschieht

Texteingaben in kostenfreie Übersetzungstools für Endverbraucher werden in der Infrastruktur des Anbieters nach dessen eigenen Servicebedingungen verarbeitet. In vielen Fällen beinhaltet dies das Recht, den hochgeladenen Content zur Serviceverbesserung zu verwenden, was im Prinzip bedeuten kann, dass er zum Trainieren eines Sprachmodells verwendet wird.

Bei vertraulichen Geschäftsdokumenten heißt das aber, dass sensible Daten auf den Server einer Drittpartei übermittelt wurden und dort protokolliert und möglicherweise dauerhaft gespeichert werden. Ohne eine Datenverarbeitungsvereinbarung oder eine Vertraulichkeitsvereinbarung liegt keine Grundlage für einen vertraulichen Umgang vor.

Können Geschäftsdokumente sicher mit Google Translate übersetzt werden?

Nein, die Servicebedingungen von Google Translate erlauben es Google, den hochgeladenen Content weiterzuverarbeiten. Der Service bietet keine Datenverarbeitungsvereinbarung für Endverbraucher an, ist in seiner Standardversion nicht HIPAA-konform und kann keine Vertraulichkeit gewährleisten. Unternehmensabonnements von Google Workspace unterliegen anderen vertraglichen Bedingungen, doch die oftmals von Mitarbeitenden verwendete kostenfreie Version bietet keinen Schutz.

Dasselbe gilt für andere auf Endverbraucher zugeschnittene MT- und KI-Tools. Bietet das Tool keine Datenverarbeitungsvereinbarung, Vertraulichkeitsvereinbarung oder nachweisbare Datenisolierung, ist es nicht für die Übersetzung vertraulicher Dokumente geeignet.

Private KI-Umgebungen als Alternative für Unternehmen

Über private KI-Umgebungen laufen die Übersetzungsmodelle auf einer dedizierten Infrastruktur, bei der hochgeladener Content isoliert verarbeitet wird. Hier werden keine Trainingsdaten eines gemeinsam genutzten öffentlichen Modells verwendet und es unterliegt denselben Vertraulichkeitsverpflichtungen wie bei Humanübersetzungen.

Unsere Seprotec.ai-Plattform folgt eben diesen Sicherheitsprinzipien. Der gesamte Content unterliegt der geltenden Datenverarbeitungsvereinbarung (DPA) und einer Dienstleister-Vertraulichkeitsvereinbarung, wodurch derselben Kontrollkette wie bei Humanübersetzungen gefolgt wird. Die Plattform ist konform mit ISO 27001 und der DSGVO, wird in sicheren europäischen Rechenzentren gehostet (AWS und Azure in Deutschland) und ist durch mehrstufige Sicherheitsprotokolle geschützt, darunter SSL/TLS-Übertragungsverschlüsselung und SSE-S3-Verschlüsselung im Ruhezustand.

Sicherheitsprotokolle, die ein Übersetzungsdienstleister einhalten muss

Vertraulichkeitsvereinbarungen und Verschwiegenheitserklärungen auf Projektebene

Eine allgemeine Vertraulichkeitsvereinbarung, die gleich zu Beginn der Zusammenarbeit unterzeichnet wird, bildet die Grundvoraussetzung, ist aber noch keine Garantie. Zur umfassenden Gewährleistung der Verschwiegenheit muss sich die Vertraulichkeitsvereinbarung auch auf die einzelnen Fachkräfte für Übersetzung und Post-Editing, das Projektmanagement sowie Unterauftragnehmer erstrecken und nicht nur auf die Agentur als juristische Person. Diese Verpflichtungen müssen durch individuelle Maßnahmen des Anbietermanagements durchgesetzt werden, statt blind einer übergreifenden Vereinbarung zu folgen.

Zertifizierung nach ISO 27001 für das Informationssicherheitsmanagement

ISO 27001 ist die Internationale Norm für Systeme des Informationssicherheitsmanagements. Ein nach ISO 27001 zertifizierter Übersetzungsdienstleister hat nachweislich eines unabhängigen Audits Rahmenbedingungen zur Datenklassifizierung, Zugangskontrolle, zur Reaktion bei Vorfällen und zu kontinuierlichen Sicherheitsverbesserungen implementiert.

Hierbei handelt es sich um die bekannteste Zertifizierung für Informationssicherheit in der Übersetzungsbranche, mit der ein Übersetzungsdienstleister den Nachweis erbringt, dass Datensicherheit für ihn kein leeres Versprechen ist, sondern im Zentrum seiner Geschäftsprozesse steht.

Private oder geschlossene MT-Umgebungen für sensible Inhalte

Verwendet ein Übersetzungsdienstleister Machine Translation in seinen Workflows, so lautet die Frage, ob dies in einer öffentlich zugänglichen Umgebung oder einer privaten, geschlossenen geschieht. Datenisolierung in einer privaten Umgebung sollte vertraglich zugesichert werden, statt sich auf allgemeine Beschreibungen der technischen Fähigkeiten des Anbieters zu verlassen.

Rollenbasierte Zugangskontrolle auf „Need-to-know“-Basis

Der Zugang zu vertraulichen Dokumenten während der Übersetzung sollte auf die Personen beschränkt werden, die tatsächlich daran beteiligt sind. Eine rollenbasierte Zugangskontrolle stellt sicher, dass das Projektmanagement, QA-Prüfende und Übersetzende nur Zugriff auf die ihre Arbeit betreffenden Dateien haben. Übersetzende, die nur mit einem Teil eines Dokuments betraut sind, sollten daher nicht automatisch Zugriff auf nicht zugewiesene Teile haben.

Verschlüsselte Datenübertragung und Standards für sichere Speicherung

Datenübertragung sollte über verschlüsselte Kanäle erfolgen: SFTP, sichere Portale mit Authentifizierung oder API-basierte Übertragung mit dokumentierter Zugangskontrolle. Für Dienstleister, die vertrauliche Unternehmensunterlagen bearbeiten, ist die Übermittlung von Content der Stufe A oder Stufe B ohne Verschlüsselung und per E-Mail nicht akzeptabel. Auch die Speicherung sollte auf geprüfter und zertifizierter Infrastruktur mit Zugangsprotokollierung, definierten Aufbewahrungsfristen und dokumentierten Vernichtungsverfahren durchgeführt werden.

Vereinbarungen zur DSGVO-konformen Datenverarbeitung

Enthält das zu übersetzende Dokument persönliche Daten, ist eine Vereinbarung zur DSGVO-konformen Datenverarbeitung zwischen dem Datenverantwortlichem (dem Auftraggeber der Übersetzung) und dem Datenverarbeiter (dem Übersetzungsdienstleister) gesetzlich vorgeschrieben. In der Datenverarbeitungsvereinbarung wird festgelegt, wie Daten verarbeitet werden, zu welchem Zweck, auf welcher Infrastruktur und über welchen Zeitraum. Kann ein Anbieter keine Datenverarbeitungsvereinbarung vorweisen, ist dieser laut EU-Recht nicht befugt, mit persönlichen Daten zu arbeiten.

Bewertung eines Übersetzungsdienstleisters für vertrauliche Dokumente

Wichtige Zertifizierungen und Compliance-Standards

Grundlegende Zertifizierungen eines professionellen Übersetzungsdienstleisters sind ISO 9001 für Qualitätsmanagement und ISO 17100 für Übersetzungsdienstleistungen. Bei Workflows mit Machine Translation und Post-Editing durch Fachkräfte sollte auf die ISO 18587 geachtet werden, die den gesamten Post-Editing-Prozess und dafür notwendige Fähigkeiten abdeckt. Im Hinblick auf Informationssicherheit bei Übersetzungen sollten Übersetzungsdienstleister eine Zertifizierung nach ISO 27001 darlegen können. Bei Workflows mit medizinischem und biowissenschaftlichem Content, insbesondere bei der Medizinprodukt-Dokumentation, ist unter Umständen auch die ISO 13485 relevant. Prozesse, die die Verarbeitung persönlicher Daten beinhalten, sollten nachweislich DSGVO-konform durchgeführt werden und einer Datenverarbeitungsvereinbarung unterliegen. Alle Zertifizierungen sollten aktuell sein, unabhängig überprüft werden und anhand einer Zertifizierungsnummer mit Angabe der erteilenden Stelle nachprüfbar sein.

Fragen, die vor der Unterzeichnung eines Vertrages über Übersetzungsdienstleistungen zu klären sind

Mit fünf Fragen lässt sich ermitteln, ob ein Anbieter für die Arbeit mit vertraulichen Dokumenten geeignet ist:

1. Unterzeichnen Ihre Übersetzenden und Unterauftragnehmer Vertraulichkeitsvereinbarungen auf Projektebene oder lediglich allgemeine Vertraulichkeitsklauseln in einer übergreifenden Vereinbarung?
2. Verwenden Sie an irgendeiner Stelle ihres Workflows öffentliche oder für Endverbraucher zugängliche MT-Engines ohne ausdrückliche Zustimmung des Kunden?
3. Können Sie Unterlagen zu ihren Datenisolierungspraktiken bei der Verarbeitung mit MT vorlegen, darunter auch zur Infrastruktur, auf der die Modelle laufen?
4. Wie sieht Ihre Richtlinie zur Datenspeicherung aus und kann eine kürzere Speicherungszeit bei sensiblen Projekten vereinbart werden?
5. Ist Ihre Zertifizierung nach ISO 27001 noch aktuell und können Sie die Zertifizierungsnummer und den Abdeckungsbereich angeben?

Kann ein Anbieter diese fünf Fragen nicht zufriedenstellend beantworten, sollte sich mit Content der Stufe A oder Stufe B nicht an ihn gewandt werden.

Alarmsignale dafür, dass ein Anbieter nicht mit vertraulichem Content beaufragt werden sollte

Nach folgenden Punkten sollte Ausschau gehalten werden: keine bestehende oder angebotene Datenverarbeitungsvereinbarung; Weigerung anzugeben, welche MT-Systeme genau im Workflow verwendet werden; Unklarheit, ob Content in einer öffentlichen oder privaten MT-Umgebung verarbeitet wird; keine nachweisbare Zertifizierung nach ISO 27001 für Übersetzungsdienstleistungen; Vertraulichkeitsvereinbarungen, die nur für die Agentur, aber nicht für individuelle Auftragnehmer gelten.

Hierbei handelt es sich keineswegs um geringfügige Nachlässigkeiten im Verfahrensablauf. Sie deuten vielmehr auf strukturelle Schwächen im Hinblick auf die Informationssicherheit hin, deren fatales Ausmaß sich erst nach einem konkreten Zwischenfall zeigt.

Fragen, die Unternehmen vor der Übersetzung vertraulicher Dokumente stellen

Ist Google Translate für das Übersetzen vertraulicher Dokumente geeignet?

Nein, die Servicebedingungen erlauben es Google, den hochgeladenen Content weiterzuverarbeiten. Der Service bietet keine Datenverarbeitungsvereinbarung oder Gewährleistung für die Wahrung der Vertraulichkeit. Vertrauen Sie bei sensiblen Geschäftsdokumenten auf einen professionellen Übersetzungsdienstleister mit unterschriebener Datenverarbeitungsvereinbarung und Vertraulichkeitsvereinbarung, die für individuelle Übersetzende gelten, und eine geprüfte private KI-Infrastruktur für jegliche Verarbeitung mit MT.

Wie kann eine PDF-Datei mit vertraulichen Inhalten sicher übersetzt werden?

Arbeiten Sie mit einem professionellen Übersetzungsdienstleister zusammen, der eine sichere Datenübertragung (SFTP oder Kundenportal mit Authentifizierung), eine Vertraulichkeitsvereinbarung für alle Beteiligten, eine aktuelle Datenverarbeitungsvereinbarung und eine schriftliche Bestätigung vorweisen kann, dass ohne Zustimmung keine öffentliche MT-Engine verwendet wird. Die PDF-Datei darf nicht in reinen Text umgewandelt werden, der in ein öffentliches Übersetzungstool übertragen wird.

Für welche Dokumentarten sind Übersetzungsdienstleistungen mit Sicherstellung der Vertraulichkeit erforderlich?

Jegliche Dokumente, deren Offenlegung rechtlichen, finanziellen, regulatorischen oder wettbewerblichen Schaden verursachen kann: Unterlagen zu Unternehmensfusionen und -übernahmen, Patentanmeldungen, Daten zu klinischen Studien, Arbeitsverträge, Zulassungsanträge, Unterlagen zu Rechtsstreitigkeiten, Finanzmodelle, Kommunikation von Leitungs- und Kontrollgremien des Unternehmens und Strategiedokumente. Im Zweifelsfall sollte immer die höhere Vertraulichkeitsstufe und das restriktivere Protokoll verwendet werden.

Schließen Agenturen vor Beginn der Arbeit Vertraulichkeitsvereinbarungen?

Professionelle Übersetzungsagenturen sollten zu Beginn einer Zusammenarbeit Vertraulichkeitsvereinbarungen abschließen, die sich auf alle beteiligten individuellen Übersetzenden, die Fachkräfte für das Post-Editing und das Projektmanagement erstrecken. Ist ein Anbieter nicht in der Lage oder willens zu bestätigen, dass die Vertraulichkeitsvereinbarung auch individuelle Auftragnehmer abdeckt, kann eine vertrauliche Zusammenarbeit nicht sichergestellt werden.

Was ist die ISO 27001 und warum ist sie ausschlaggebend bei der Übersetzung?

Die ISO 27001 ist eine Internationale Norm für das Informationssicherheitsmanagement. Ein nach ISO 27001 zertifizierter Anbieter setzt ein unabhängig geprüftes Sicherheitsmanagementsystem ein, das Datenklassifizierung, Zugangskontrolle, die angemessene Reaktion bei Vorfällen und kontinuierliche Sicherheitsverbesserungen sicherstellt. Für Unternehmenskunden, die sensiblen Content bearbeiten, handelt es sich um die wichtigste Zertifizierung, die von einem Übersetzungsdienstleister gefordert werden muss, da sie unabhängig erteilt wird und daher vertrauenswürdig ist.