Wohin das Dokument Ihres Kunden geht, wenn Sie mit Lingverra übersetzen

Warum das Ihre Frage ist — nicht nur unsere

Nach der DSGVO ist für die Daten des Kunden in erster Linie verantwortlich, wer über Zweck und Mittel der Verarbeitung entscheidet — also Sie. Setzen Sie dafür einen Dienst ein, verlangt das Gesetz, einen Auftragsverarbeiter zu wählen, der hinreichende Garantien für den Datenschutz bietet, und mit ihm einen Vertrag über die Auftragsverarbeitung zu schließen (Art. 28 DSGVO). Einfach gesagt: Sie haben das Recht — und die Pflicht —, zu wissen, was mit einem Dokument nach dem Hochladen geschieht.

Der Weg des Dokuments — Schritt für Schritt

1. Hochladen. Das Dokument gelangt in Ihr persönliches Konto und ist nur für Sie zugänglich. Es wird sofort verschlüsselt — mit einem eigenen Schlüssel, getrennt für jedes Dokument.
2. Übersetzung. Das Dokument wird in der Europäischen Union verarbeitet und nicht über sie hinaus übermittelt. Die Übersetzung erstellt ein KI-Modell auf einer Infrastruktur, die Anfragen und Antworten nicht speichert und nicht an den Modellentwickler weitergibt. Mit Ihren Dokumenten werden keine Modelle trainiert.
3. Ergebnis. Sie erhalten die Übersetzung im Layout des Originals: Tabellen, Blöcke und Stempel an ihrem Platz. Stellen, die das Modell unsicher gelesen hat, sind markiert — diese prüfen Sie zuerst. Korrektur, Unterschrift und Stempel bleiben bei Ihnen.
4. Löschung. Original und Übersetzung werden 72 Stunden nach der Bereitstellung automatisch gelöscht oder jederzeit manuell, wenn Sie es früher möchten. Die Löschung ist kryptografisch — mehr dazu unten.

Wie wir Ihre Dokumente schützen — und worauf das beruht

• Ein eigener Schlüssel für jedes Dokument (Art. 32(1)(a) DSGVO — Verschlüsselung). Jedes Dokument — Original wie Übersetzung — wird mit einem eigenen Schlüssel verschlüsselt, nicht mit einem für das ganze Konto und nicht mit einem für alle.
• Der Hauptschlüssel — in der EU und außerhalb unserer Server (Art. 32(1)(b), Art. 44 DSGVO). Die Dokumentschlüssel sind durch einen Hauptschlüssel geschützt, der im Schlüsselverwaltungsdienst AWS KMS in Frankfurt liegt. Er verlässt diesen Dienst nie und wird nicht auf unseren Servern gespeichert: Der Server kann nur eine Entschlüsselung anfordern. Die Arbeit mit Schlüsseln außerhalb der EU ist im Code gesperrt.
• Jeder Zugriff auf den Schlüssel wird protokolliert (Art. 5(2), Art. 32(1)(d) DSGVO). Jede Anfrage an den Hauptschlüssel wird in einem AWS-Protokoll festgehalten, das wir nicht ändern können. Alle 10 Minuten gleicht das System dieses Protokoll mit der Tätigkeit der Anwendung selbst ab. Hat ein anderer Dienst als unserer den Schlüssel genutzt, kam eine Anfrage nicht von unseren Servern oder passt eine Entschlüsselung zu keiner Aktion in der Anwendung, werden wir sofort alarmiert.
• Vorfallsprotokoll und Untersuchung (Art. 33(5) DSGVO). Jeder verdächtige Fall wird in das Vorfallsprotokoll eingetragen. Einträge lassen sich nicht nachträglich ändern — nur ergänzen. Für jeden Fall wird die Ursache ermittelt und festgehalten.
• 72 Stunden für die Meldung an die Aufsichtsbehörde (Art. 33(1), Art. 34 DSGVO). Betrifft ein Vorfall personenbezogene Daten, gibt das Gesetz 72 Stunden für die Meldung an die Aufsichtsbehörde. Die Frist überwacht die Automatik: Die Erinnerungen werden dringlicher, je näher sie rückt. Die Entscheidung über die Benachrichtigung der betroffenen Personen wird im selben Protokoll getroffen und dokumentiert.
• Löschung — kryptografisch, nicht bloßes Überschreiben (Art. 5(1)(e), Art. 17 DSGVO). Original und Übersetzung werden 72 Stunden nach der Bereitstellung automatisch gelöscht oder jederzeit manuell. Die Datei wird auf dem Datenträger überschrieben, doch dabei bleibt es nicht: Gewöhnliches Löschen erreicht keine Kopien — in Sicherungen, in internen Zellen des Datenträgers. Deshalb wird mit dem Dokument auch sein Schlüssel vernichtet. Ohne Schlüssel werden alle Kopien der verschlüsselten Daten, wo immer sie verblieben sind, zu einer Folge zufälliger Bytes, die sich nicht lesen lässt.
• Keine Schlüssel in Sicherungen (Art. 32(1)(c), Art. 25 DSGVO). Die Dokumentschlüssel sind bewusst von den Datenbanksicherungen ausgenommen. Eine Sicherung dient dazu, den Dienst wiederherzustellen — ein Dokument lässt sich daraus nicht entschlüsseln.
• Dokumente werden nicht zum Training verwendet (Art. 5(1)(b) DSGVO — Zweckbindung). Die Übersetzung erfolgt in der EU auf einer Infrastruktur, die Anfragen und Antworten nicht speichert und nicht an den Modellentwickler weitergibt.

Wer bei Lingverra für die Daten verantwortlich ist

Für die Verarbeitung personenbezogener Daten bei Lingverra sind wir verantwortlich. Mit jedem Nutzer gilt automatisch ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — Sie müssen ihn weder anfordern noch gesondert unterschreiben. Alle Unternehmen, die an der Verarbeitung beteiligt sind, sind öffentlich aufgeführt: was jedes tut, wo es sitzt und auf welcher Grundlage (Art. 28(2) und (4) DSGVO).

Und noch etwas: Wir nehmen keine Aufträge von Ihren Kunden an und konkurrieren nicht mit Ihnen — Kunde, Unterschrift und Honorar bleiben Ihre.

Fünf Fragen an jedes Werkzeug

Gleich, womit Sie arbeiten — diese Fragen helfen einzuschätzen, ob man einem Dienst Kundendokumente anvertrauen kann:

1. Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?
2. Wo werden die Daten verarbeitet — in der EU oder außerhalb?
3. Werden die Dokumente zum Training von Modellen verwendet?
4. Wie lange werden die Dokumente gespeichert, und können Sie sie selbst löschen?
5. Ist die Liste der Unterauftragsverarbeiter veröffentlicht?

Gibt es auf eine dieser Fragen keine klare Antwort in den Unterlagen des Dienstes, ist das ein Grund, aufmerksam zu werden.

Was Sie Ihrem Kunden sagen

Fragt ein Kunde, was mit seinen Dokumenten geschieht, genügt eine kurze Antwort: „Das Dokument wird in der EU verarbeitet, mit einem eigenen Schlüssel verschlüsselt, nicht zum Training von KI verwendet und nach 72 Stunden oder jederzeit manuell unwiderruflich gelöscht. Mit dem Dienst habe ich einen Auftragsverarbeitungsvertrag nach DSGVO.“ Für Ihre Unterlagen können Sie die Links zum Vertrag und zur Liste der Unterauftragsverarbeiter beifügen.

Häufige Fragen

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Liste der Unterauftragsverarbeiter

Weiterlesen: KI-Übersetzung und DSGVO — woran Sie einen sicheren Dienst erkennen

Weiterlesen: „Sind meine Daten sicher?“ — was Sie dem Kunden antworten