Wenn vertrauliche Dokumente übersetzt werden müssen – und warum die üblichen Tools ein Problem sind

Unternehmen, die international arbeiten, stehen vor einem Dilemma. Verträge, Finanzberichte, Patentunterlagen oder Due-Diligence-Pakete müssen für Partner, Investoren oder Behörden in anderen Ländern übersetzt werden. Gleichzeitig dürfen diese Dokumente auf keinen Fall in falsche Hände geraten.

Die naheliegende Lösung – Google Translate öffnen, Text reinkopieren, fertig – ist für sensible Geschäftsdokumente keine Option. Was viele nicht wissen oder ignorieren: Kostenlose Übersetzungsdienste speichern hochgeladene Inhalte, nutzen sie zum Training ihrer Algorithmen und verarbeiten sie auf Servern, deren Standort unklar ist. Wer vertrauliche Unternehmensdaten in ein Cloud-Tool kippt, verliert die Kontrolle darüber.

Vertrauliche Dokumente übersetzen: das rechtliche Problem dahinter

Die DSGVO regelt nicht nur, wo Daten gespeichert werden – sie erfasst jeden Verarbeitungsschritt. Sobald ein Dokument mit personenbezogenen Daten an einen externen Übersetzungsdienst übermittelt wird, liegt eine Auftragsverarbeitung vor. Das heißt konkret:

• Es braucht einen schriftlichen Vertrag nach Art. 28 DSGVO.
• Der Dienstleister darf nur weisungsgebunden handeln.
• Das Unternehmen muss dessen Zuverlässigkeit geprüft und dokumentiert haben.
• Betroffene (also Personen, deren Daten in den Dokumenten stecken) behalten ihre Rechte auf Auskunft, Berichtigung und Löschung.

Bei kostenlosen Cloud-Tools lässt sich das praktisch nicht umsetzen. Wer nutzt schon die AGB von Google Translate als Auftragsverarbeitungsvertrag?

Noch heikler wird es bei der Drittlandübermittlung. Seit dem Schrems-II-Urteil des EuGH ist der Datentransfer in die USA ohne zusätzliche Schutzmaßnahmen rechtswidrig. US-Anbieter unterliegen dem CLOUD Act, der amerikanischen Behörden weitreichende Zugriffsmöglichkeiten einräumt – ein direkter Widerspruch zum europäischen Datenschutzverständnis. Die möglichen Bußgelder: bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes.

Welche Dokumente besonders gefährdet sind

Nicht jedes interne Memo verdient den gleichen Schutzaufwand. Aber bestimmte Dokumententypen dulden null Kompromisse:

Due-Diligence-Unterlagen bei Firmenübernahmen enthalten das Innerste eines Unternehmens – Finanzkennzahlen, Kundenverträge, Rechtsstreitigkeiten, strategische Planungen. Wenn ein potenzieller Käufer aus dem Ausland Einsicht braucht, müssen Tausende Seiten übersetzt werden. Jeder externe Dienstleister, der dabei zum Einsatz kommt, erweitert den Kreis derjenigen mit Zugang.

Patentunterlagen repräsentieren oft jahrelange Forschung. Ihre vorzeitige Offenlegung kann Millionenwerte vernichten.

Medizinische Daten unterliegen neben der DSGVO auch der ärztlichen Schweigepflicht. Klinische Studien, Patientenakten oder Zulassungsunterlagen für den internationalen Markt zu übersetzen ist Pflicht – sie dabei unkontrolliert an Dritte zu geben undenkbar.

Mandantenunterlagen von Kanzleien und Wirtschaftsprüfern fallen unter das Berufsgeheimnis. Die Verschwiegenheitspflicht erstreckt sich auf sämtliche Hilfsmittel, also auch auf Übersetzungstools.

Was DeepL besser macht – und wo die Grenzen liegen

DeepL sitzt in Deutschland und unterliegt damit vollständig der DSGVO. Das ist ein echter Vorteil gegenüber US-Anbietern. Die kostenpflichtige Pro-Version verspricht, übermittelte Texte nicht zu speichern.

Trotzdem bleibt ein Grundproblem: Die Dokumente verlassen das eigene System. Sie werden an DeepL-Server übertragen, dort verarbeitet und zurückgeschickt. Für unkritische Geschäftskorrespondenz mag das akzeptabel sein. Für hochvertrauliche M&A-Unterlagen oder Patentanmeldungen in einem virtuellen Datenraum reicht es nicht.

Der Ansatz von docuKI-Translate

docurex hat mit docuKI-Translate einen anderen Weg gewählt: Die Übersetzung findet direkt im Dokumentenviewer des virtuellen Datenraums statt. Kein Export, kein Upload auf externe Server, keine Schnittstelle zu Drittanbietern. Die KI-Sprachmodelle laufen lokal in einem ISO 27001-zertifizierten Rechenzentrum in Deutschland.

Was das in der Praxis bedeutet:

• Keine Datenübertragung nach außen. Die Übersetzung passiert dort, wo das Dokument bereits liegt. Es gibt keinen Moment, in dem Inhalte das geschützte System verlassen.
• Kein zusätzlicher Auftragsverarbeitungsvertrag nötig. Weil kein externer Dienst beteiligt ist, entfallen die rechtlichen Konstruktionen, die sonst für Cloud-Anbieter erforderlich wären.
• Kein Drittland-Risiko. Verarbeitung in Deutschland, unter deutschem Recht, ohne Umwege.
• Nahtloser Workflow. Wer bereits im Datenraum arbeitet, kann Dokumente per Klick übersetzen lassen – ohne Medienbruch, ohne Schulungsaufwand.

Die ISO 27001-Zertifizierung des Rechenzentrums ist dabei mehr als ein Label. Sie garantiert dokumentierte Sicherheitsprozesse, regelmäßige externe Audits, systematisches Schwachstellenmanagement und definierte Abläufe für den Ernstfall.

Wo das besonders relevant wird

M&A-Transaktionen: Internationale Prüfungsteams brauchen Zugang zu Dokumenten in ihrer Sprache. Die Alternative – externe Übersetzer einschalten, die damit Einblick in Geschäftsgeheimnisse erhalten – widerspricht dem Prinzip der minimalen Zugriffsrechte. Mit einer integrierten Übersetzung im Datenraum sieht jeder Prüfer genau die Dokumente, die für ihn freigegeben sind, in seiner Sprache – ohne dass jemand anders involviert werden muss.

Regulierte Branchen: Banken müssen MaRisk und BAIT einhalten, Pharmaunternehmen GxP-Richtlinien, Betreiber kritischer Infrastruktur das IT-Sicherheitsgesetz. In all diesen Bereichen ist die Nutzung unkontrollierter externer Dienste für vertrauliche Dokumente faktisch ausgeschlossen. Eine lokale Lösung beseitigt dieses Problem.

Rechtsberatung und Wirtschaftsprüfung: Die anwaltliche Verschwiegenheitspflicht kennt keine Ausnahme für „war aber ein praktisches Tool“. Wer als Kanzlei mandantenrelevante Dokumente durch einen Cloud-Dienst schickt, riskiert berufsrechtliche Konsequenzen.

Worauf es am Ende ankommt

Unternehmen stehen nicht vor der Wahl zwischen Funktionalität und Datenschutz. Sie stehen vor der Frage, ob sie Datenschutz als durchgängiges Prinzip begreifen – oder als Hürde, die man bei Bedarf umgeht.

Die Erfahrung zeigt: Die Umgehung rächt sich. Nicht immer sofort, aber oft empfindlich. Wer heute in eine Infrastruktur investiert, die Übersetzung und Datenschutz zusammendenkt, spart sich morgen die Erklärung gegenüber Aufsichtsbehörden, Mandanten oder Transaktionspartnern, warum vertrauliche Informationen auf Servern gelandet sind, auf denen sie nichts zu suchen hatten.

Häufige Fragen

Kann ich Google Translate für interne Geschäftsdokumente nutzen? Für unkritische Texte ohne Personenbezug oder Geschäftsgeheimnisse – ja. Für vertrauliche Unternehmens­dokumente, Verträge, Finanzdaten oder Dokumente mit personenbezogenen Daten – nein. Google speichert hochgeladene Inhalte, verarbeitet sie auf US-Servern und nutzt sie zur Modellverbesserung.

Ist DeepL Pro eine sichere Alternative? Deutlich besser als kostenlose Dienste: Serverstandort in der EU, Zusage zur Nicht-Speicherung in der Pro-Version. Für mittelkritische Dokumente kann das ausreichen. Für hochvertrauliche Unterlagen in virtuellen Datenräumen bleibt das Grundproblem, dass Daten das eigene System verlassen.

Was passiert bei einem DSGVO-Verstoß durch einen Übersetzungsdienst? Das Unternehmen haftet – nicht der Übersetzungsdienst. Bußgelder bis zu 20 Millionen Euro oder vier Prozent des Jahresumsatzes sind möglich. Dazu kommen Schadensersatzansprüche Betroffener und Reputationsschäden, die sich schwer beziffern lassen.

Brauche ich einen Auftragsverarbeitungsvertrag, wenn ich docuKI-Translate nutze? Zwischen dem Unternehmen und docurex als Betreiber des Datenraums besteht ohnehin ein Vertragsverhältnis. Da keine externen Übersetzungsdienste beteiligt sind, entfällt der zusätzliche AVV-Aufwand für Drittanbieter.

Welche Sprachen unterstützt docuKI-Translate? Die gängigen Geschäftssprachen werden abgedeckt. Für die aktuelle Sprachliste empfiehlt sich ein Blick auf die docurex-Website oder eine direkte Anfrage beim Anbieter.

Wie schnell ist die Übersetzung? In Echtzeit – die lokale Verarbeitung vermeidet Netzwerk-Latenzen, die bei Cloud-Diensten durch Hin- und Rückübertragung entstehen. Für die meisten Dokumentenformate liefert das System Ergebnisse innerhalb von Sekunden.