Auftragsbearbeitung nach Schweizer DSG: Hosting, SaaS und Agenturen

Webhosting, Cloud-Speicher, CRM, Newsletter-Software und externe Agenturen gehören für viele Unternehmen zum Alltag. Erhalten solche Dienstleister Zugriff auf Kunden-, Mitarbeiter- oder Nutzerdaten, liegt häufig eine Auftragsbearbeitung nach Art. 9 des Schweizer Datenschutzgesetzes vor. Der wichtigste Grundsatz: Auch nach der Auslagerung bleiben Sie als Verantwortlicher dafür zuständig, dass die Personendaten datenschutzkonform bearbeitet werden. Einen Überblick über die allgemeinen Pflichten bietet unser Ratgeber zum neuen Schweizer Datenschutzgesetz.

Wann liegt eine Auftragsbearbeitung vor?

Ein Auftragsbearbeiter bearbeitet Personendaten für den Verantwortlichen und grundsätzlich nach dessen Weisungen. Typische Beispiele sind ein Hoster, der eine Kundendatenbank speichert, ein SaaS-Anbieter für Buchhaltung oder CRM sowie eine Agentur, die Newsletter versendet oder Supportanfragen bearbeitet.

Entscheidend ist nicht die Bezeichnung im Vertrag, sondern die tatsächliche Tätigkeit. Bestimmt ein Dienstleister eigene Zwecke oder verwendet er Daten etwa für eigene Werbung, Produktentwicklung oder ein eigenes Kundenprofil, handelt er für diese Bearbeitung nicht mehr bloss als Auftragsbearbeiter. Je nach Ausgestaltung kann er selbst Verantwortlicher sein. Die Rollen müssen deshalb für jede Bearbeitung gesondert geprüft werden.

Die Verantwortung bleibt bei Ihrem Unternehmen

Sie müssen den Anbieter sorgfältig auswählen, verständlich instruieren und abhängig vom Risiko angemessen überwachen. Art. 9 DSG erlaubt die Übertragung nur für Bearbeitungen, die Sie selbst vornehmen dürften. Gesetzliche oder vertragliche Geheimhaltungspflichten dürfen nicht verletzt werden. Besonders bei Gesundheitsdaten, Berufsgeheimnissen oder umfangreichen Kundenbeständen reicht ein ungeprüfter Standardvertrag daher nicht aus.

Vor der Auswahl: Daten und Risiken erfassen

Prüfen Sie vor Vertragsabschluss, welche Daten der Anbieter erhält, zu welchen Zwecken er sie bearbeitet und wer darauf zugreifen kann. Relevant sind insbesondere:

• Art und Umfang der Personendaten sowie besonders schützenswerte Daten;
• Speicher-, Support- und Backup-Standorte;
• Administrationszugriffe und eingesetzte Unterauftragnehmer;
• Aufbewahrungs- und Löschfristen;
• Folgen eines Ausfalls, Verlusts oder unbefugten Zugriffs.

Je höher das Risiko, desto eingehender sollten Auswahl, Vertragsprüfung und Kontrolle ausfallen.

Was sollte der Vertrag regeln?

Das DSG verlangt keinen Vertrag mit einer bestimmten Überschrift. Eine nachvollziehbare schriftliche Vereinbarung ist jedoch der praktisch wichtigste Nachweis. Sie sollte mindestens Gegenstand, Dauer und Zweck der Bearbeitung, betroffene Daten und Personengruppen sowie die folgenden Punkte abdecken:

• Bearbeitung nur im vereinbarten Umfang und nach dokumentierten Weisungen;
• Vertraulichkeit der zugriffsberechtigten Personen;
• angemessene technische und organisatorische Sicherheitsmassnahmen;
• rasche Meldung von Datensicherheitsverletzungen;
• Unterstützung bei Auskunft, Berichtigung, Löschung und Behördenanfragen;
• Rückgabe oder Löschung der Daten nach Vertragsende;
• Kontroll-, Nachweis- und gegebenenfalls Auditrechte;
• Regeln für Unterauftragnehmer und Änderungen der Lieferkette.

Sicherheit nicht nur versprechen lassen

Allgemeine Aussagen wie «branchenübliche Sicherheit» sind wenig aussagekräftig. Lassen Sie sich risikogerechte Massnahmen erläutern: Verschlüsselung, Mehrfaktor-Authentifizierung, Rollen- und Berechtigungskonzepte, Protokollierung, Backups, Wiederherstellungstests, Schwachstellenmanagement und geregelte Löschprozesse. Zertifikate und Prüfberichte können die Kontrolle unterstützen, ersetzen aber keine Beurteilung des konkreten Dienstes.

Unterauftragnehmer und Auslandtransfers

Ein Auftragsbearbeiter darf weitere Anbieter nur mit vorgängiger Genehmigung beiziehen. Eine allgemeine Genehmigung ist möglich, sofern Änderungen mitgeteilt werden und Sie angemessen reagieren können. Verlangen Sie eine aktuelle Liste mit Funktionen und Bearbeitungsorten.

Werden Personendaten im Ausland gespeichert oder können Supportteams von dort darauf zugreifen, sind zusätzlich Art. 16 ff. DSG zu prüfen. Massgebend sind das konkrete Empfängerland und gegebenenfalls geeignete Garantien. Auch Ihre Datenschutzerklärung muss tatsächliche Empfänger, Staaten und nötige Garantien transparent abbilden. Hinweise zur Bestandsaufnahme finden Sie im Beitrag Datenschutzerklärung-Generator: Worauf Sie achten sollten.

Praktische Checkliste

1. Daten, Zwecke und Rollen dokumentieren.
2. Anbieter und Sicherheitsniveau risikobasiert prüfen.
3. Bearbeitungsorte und Unterauftragnehmer erfassen.
4. Auftragsbearbeitung schriftlich regeln.
5. Auslandtransfers separat beurteilen.
6. Datenschutzerklärung und internes Verzeichnis aktualisieren.
7. Änderungen, Vorfälle und Nachweise regelmässig kontrollieren.

Ein Vertrag allein garantiert keine DSG-Konformität. Entscheidend ist, ob Vereinbarung, Technik und tatsächliche Zusammenarbeit zusammenpassen. Bei sensiblen oder komplexen Auslagerungen empfiehlt sich eine Prüfung des Einzelfalls.

Weiterführende Ratgeber

• Personendaten ins Ausland übermitteln: Cloud- und US-Dienste nach Schweizer DSG
• Datenschutzverletzung in der Schweiz: Wann muss der EDÖB informiert werden?
• Datenschutz im Schweizer Online-Shop: Praxis-Check