Der Unterschied zwischen den beiden Rollen ist eine einzige Frage: Wer entscheidet über Zweck und Mittel der Bearbeitung? Wer das tut, ist Verantwortlicher (DSG Art. 5 Bst. j). Wer im Auftrag eines anderen bearbeitet, ist Auftragsbearbeiter (Bst. k). Die Rolle hängt nicht daran, wer die Technik besitzt, und nicht daran, wer die Rechnung stellt.
Wer im Kleinbetrieb Auftragsbearbeiter ist
| Wer | Rolle | Warum |
|---|---|---|
| Rechnungs- oder Handwerkersoftware in der Cloud | Auftragsbearbeiterin | Sie speichert deine Kundendaten, damit du damit arbeitest. Den Zweck bestimmst du |
| Hoster, Rechenzentrum, Sicherungsdienst | Auftragsbearbeiter | Speichert, ohne die Daten für eigene Zwecke zu nutzen |
| Externe Informatik, die auf deine Systeme zugreift | Auftragsbearbeiter | Zugriff auf Personendaten im Rahmen deines Auftrags |
| Inkassobüro, das in deinem Namen mahnt | Auftragsbearbeiter | Handelt nach deinen Vorgaben an deiner Forderung |
| Bank, Post, Anwältin, Revisionsstelle | In der Regel selbst verantwortlich | Sie handeln nach eigenen gesetzlichen Pflichten und entscheiden selbst über den Zweck |
Was du als Verantwortlicher trotzdem behältst
- Die Verantwortung. Lässt du Personendaten von einem Auftragsbearbeiter bearbeiten, bleibst du auskunftspflichtig (Art. 25 Abs. 4). Ein Auskunftsbegehren deines Kunden beantwortest du, nicht dein Anbieter.
- Die Prüfpflicht. Du musst dich insbesondere vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann (Art. 9 Abs. 2). «Der hat ja einen AVV» ist keine Prüfung.
- Die Meldung an den EDÖB. Der Auftragsbearbeiter meldet eine Verletzung der Datensicherheit so rasch als möglich dir (Art. 24 Abs. 3). Ob sie zu einem hohen Risiko führt und darum weitergemeldet wird, entscheidest und meldest du (Abs. 1).
- Die Genehmigung von Unterauftragsbearbeitern. Der Auftragsbearbeiter darf die Bearbeitung nur mit deiner vorgängigen Genehmigung einem Dritten übertragen (Art. 9 Abs. 3). Viele Verträge holen diese Genehmigung im Voraus ein und verpflichten sich, Wechsel anzukündigen.
Muss der AVV schriftlich sein?
Das DSG schreibt keine Form vor. Art. 9 Abs. 1 sagt nur, dass die Bearbeitung «vertraglich oder durch die Gesetzgebung» übertragen werden kann. Ein schriftlicher Vertrag ist trotzdem der übliche Weg, weil du sonst im Ernstfall nicht belegen kannst, welche Weisungen gegolten haben. Verbreitet ist, dass der Anbieter seinen AVV als eigene Seite veröffentlicht und ihn mit den allgemeinen Geschäftsbedingungen für angenommen erklärt.
Sinnvoll sind sechs Punkte darin: Gegenstand und Dauer der Bearbeitung, Bindung an deine Weisungen, technische und organisatorische Massnahmen, Umgang mit Unterauftragsbearbeitern, Unterstützung bei Auskunft, Berichtigung und Löschung, und was nach der Kündigung mit den Daten passiert. Den letzten Punkt liest fast niemand, und er ist der wichtigste: Wer nach der Kündigung nicht an seine Daten kommt, hat ein Aufbewahrungsproblem nach OR Art. 958f und nicht nur ein Datenschutzproblem.
Daten im Ausland
Liegen die Daten nicht in der Schweiz, kommt Art. 16 dazu. Unproblematisch ist die Bekanntgabe an Staaten mit angemessenem Datenschutz; welche das sind, steht in Anhang 1 der Datenschutzverordnung. Fehlt der Staat dort, braucht es eine Garantie nach Art. 16 Abs. 2, zum Beispiel Standarddatenschutzklauseln. In deiner Datenschutzerklärung nennst du den Staat, wenn Daten dorthin gehen (Art. 19 Abs. 4). Was sonst noch in die Erklärung gehört, steht im Ratgeber Das Datenschutzgesetz im Kleinbetrieb.
So macht es KIDESK
Im Sinn des Gesetzes ist KIDESK Auftragsbearbeiterin: Verantwortlich für die Daten deiner Kunden und Mitarbeitenden bleibst du. Der Auftragsbearbeitungsvertrag steht als eigene Seite auf kidesk.ch und wird mit den allgemeinen Geschäftsbedingungen angenommen. Die Angaben, die du für deine Datenschutzerklärung brauchst: Die Datenbank steht in Frankfurt, die Spracherkennung läuft in Zürich. Deine Daten kannst du jederzeit selbst exportieren und dein Konto löschen lassen.
Auftragsbearbeitungsvertrag von KIDESK Sicherheit und Datenhaltung
Häufige Fragen
Brauche ich mit jedem Softwareanbieter einen AVV?
Mit jedem, der Personendaten für dich bearbeitet, also praktisch mit jedem Programm, in dem Kunden- oder Mitarbeiterdaten liegen. Ein eigenes unterschriebenes Dokument ist nicht nötig, wenn der Anbieter einen AVV veröffentlicht und er Teil des Vertrags ist. Leg dir eine Kopie mit Datum ab.
Ist mein Subunternehmer ein Auftragsbearbeiter?
In der Regel nicht. Wer die Arbeit auf eigene Rechnung ausführt und über seine eigene Kundenbeziehung entscheidet, ist selbst Verantwortlicher. Auftragsbearbeitung liegt erst vor, wenn jemand Daten ausschliesslich nach deinen Vorgaben bearbeitet, ohne eigenen Zweck.
Was ist, wenn mein Anbieter einen Unterauftragsbearbeiter wechselt?
Er braucht dafür deine vorgängige Genehmigung (DSG Art. 9 Abs. 3). Üblich ist eine im Vertrag erteilte allgemeine Genehmigung, verbunden mit der Pflicht, Wechsel anzukündigen und dir ein Widerspruchsrecht zu geben. Prüf beim Abschluss, ob eine solche Klausel drinsteht.
Muss der Auftragsbearbeiter ein Bearbeitungsverzeichnis führen?
Grundsätzlich ja: Verantwortliche und Auftragsbearbeiter führen je ein Verzeichnis (DSG Art. 12 Abs. 1). Auch hier gilt die Befreiung für Organisationen mit weniger als 250 Mitarbeitenden (DSV Art. 24), solange keine besonders schützenswerten Daten in grossem Umfang bearbeitet werden.
Quellen
- Datenschutzgesetz (DSG), Art. 9: Bearbeitung durch Auftragsbearbeiter
- Datenschutzgesetz (DSG), Art. 5 Bst. j und k: Verantwortlicher und Auftragsbearbeiter
- Datenschutzgesetz (DSG), Art. 16, 24 Abs. 3, 25 Abs. 4 und 61 Bst. b
- Datenschutzverordnung (DSV), Anhang 1: Staaten mit angemessenem Datenschutz
- Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Dieser Text ist eine allgemeine Information für Schweizer Unternehmen und ersetzt keine Rechts- oder Steuerberatung im Einzelfall. Wenn dir ein Fehler auffällt, schreib uns, wir korrigieren ihn.
