Was Übersetzungsagenturen über Datenschutz wissen müssen
Gesetzlich geschützte Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen.
Das können Name oder Geburtsdatum sein oder andere Informationen, wie z.B. Gesundheitsdaten, Informationen zur Kreditwürdigkeit oder zum Verhalten einer Person.
Das bisherige Schweizer Datenschutzgesetz schützt auch die Daten juristischer Personen. Die EU Datenschutz-Grundverordnung (DSGVO) und das revidierte Schweizer Datenschutzgesetz (DSG), das voraussichtlich 2022 in Kraft treten wird, beschränken den Schutz hingegen auf natürliche Personen.
Datenbearbeitung durch Übersetzen
Beim Übersetzen werden Daten verarbeitet. Enthält der zu übersetzende Text Personendaten, kommt das Datenschutzrecht zur Anwendung und die gesetzlichen Vorschriften müssen eingehalten werden. In Bezug auf die Datenverarbeitung liegt häufig ein Dreiparteienverhältnis vor: Der Übersetzer bearbeitet nicht nur die Daten des Kunden, sondern unter Umständen auch Personendaten Dritter.
Bei der Datenverarbeitung durch mehrere Parteien unterscheidet das Gesetz zwischen dem Verantwortlichen (“Controller”) und dem Auftragsbearbeiter (“Processor”), denen jeweils unterschiedliche Pflichten obliegen. Der Verantwortliche ist derjenige, der über den Zweck und die Mittel entscheidet, d.h. faktisch die Kontrolle über die Bearbeitung hat.
Sowohl die DSGVO als auch das Schweizer DSG erlauben es dem Verantwortlichen die Datenbearbeitung zu übertragen. Eine Einwilligung der Person, deren Daten bearbeitet werden, ist dafür grundsätzlich nicht erforderlich. In diesem Fall spricht man von Auftragsbearbeitung.
Der Verantwortliche ist verpflichtet dafür zu sorgen, dass der Beauftragte sich bei der Datenbearbeitung an das Gesetz hält. Dies ist mit einem Vertrag sicherzustellen, wobei das Gesetz vorgibt, was im Auftragsbearbeitungsvertrag geregelt sein muss.
Zudem muss sich der Verantwortliche vergewissern, dass der Beauftragte die Datensicherheit gewährleisten kann. Der Auftragsbearbeiter seinerseits darf die Datenbearbeitung nur mit vorgängiger Einwilligung des Verantwortlichen weiter übertragen.
Übersetzer als Verantwortlicher oder Auftragsbearbeiter?
Ein Dienstleister, der für Kunden Daten verarbeitet, handelt häufig als Auftragsbearbeiter. Dies ist zumindest dann der Fall, wenn der Kunde alleine über den Zweck und die Mittel der Bearbeitung entscheidet. Es sind aber auch Konstellationen denkbar, bei denen der Dienstleister zum Verantwortlichen wird in Bezug auf Personendaten, die er im Auftrag eines Kunden bearbeitet.
Die Frage, wer in einem Dienstleistungsverhältnis Verantwortlicher und wer (blosser) Auftragsbearbeiter ist, kann nicht allgemein beantwortet werden, sondern hängt von den konkreten Umständen ab.
Soweit der Kunde eines Übersetzungsanbieters ausschliesslich am Ergebnis der Übersetzung interessiert ist und keine besonderen Vorgaben zur Datenbearbeitung und dem Einsatz von technischen Mitteln macht, übernimmt der Übersetzungsdienstleister in der Regel die Rolle eines Verantwortlichen. Erhält der beauftragte Übersetzer hingegen enge Vorgaben zum Umgang mit den gelieferten Daten, handelt er eher als Auftragsbearbeiter.
Diese Rollenverteilung ist unter anderem dann relevant, wenn der Übersetzer selbst auf Leistungen von Dritten zurückgreift und beispielsweise mit CAT Tools und SaaS (Software as a Service) Technologien zum Editieren maschineller Übersetzung arbeitet.
Als Verantwortlicher hat er unter anderem dafür zu sorgen, dass der Technologieanbieter keine Datenschutzrechte verletzt. Als Auftragsbearbeiter darf er die genannten Tools grundsätzlich nur mit Einwilligung des Auftraggebers einsetzen.
Ebenfalls relevant sind in diesem Zusammenhang die gesetzlichen Vorschriften zur Übermittlung von Personendaten ins Ausland. Eine solche ist grundsätzlich auch ohne vorgängige Einwilligung der Person, deren Daten verarbeitet werden, zulässig, vorausgesetzt, das entsprechende Zielland gewährleistet einen angemessenen Datenschutz. Ob das zutrifft, ist insbesondere bei Ländern ausserhalb der EU im Einzelfall zu prüfen.