# Auftragsbearbeitung: wenn ein anderer deine Daten bearbeitet.

Quelle: https://kidesk.ch/glossar/auftragsbearbeitung · Begriff · Thema: Datenschutz und Aufbewahrung · Stand: 2026-09-21 · Herausgeber: KIDESK, Büro-Software für Schweizer Unternehmen

**Kurz gesagt:** Auftragsbearbeitung heisst: Ein anderer bearbeitet Personendaten **für dich und nach deinen Vorgaben**, ohne selbst über Zweck und Mittel zu entscheiden (DSG Art. 5 Bst. k). Erlaubt ist das, wenn er die Daten nur so bearbeitet, wie du es selbst dürftest, und keine Geheimhaltungspflicht entgegensteht (Art. 9 Abs. 1). Du musst dich vergewissern, dass er die Datensicherheit gewährleisten kann (Abs. 2), und er darf nur mit deiner vorgängigen Genehmigung einen Dritten beiziehen (Abs. 3). Der Vertrag dazu heisst in der Praxis **Auftragsbearbeitungsvertrag**, kurz AVV.

Der Unterschied zwischen den beiden Rollen ist eine einzige Frage: Wer entscheidet über Zweck und Mittel der Bearbeitung? Wer das tut, ist **Verantwortlicher** (DSG Art. 5 Bst. j). Wer im Auftrag eines anderen bearbeitet, ist **Auftragsbearbeiter** (Bst. k). Die Rolle hängt nicht daran, wer die Technik besitzt, und nicht daran, wer die Rechnung stellt.

## Wer im Kleinbetrieb Auftragsbearbeiter ist

| Wer | Rolle | Warum |
| --- | --- | --- |
| Rechnungs- oder Handwerkersoftware in der Cloud | Auftragsbearbeiterin | Sie speichert deine Kundendaten, damit du damit arbeitest. Den Zweck bestimmst du |
| Hoster, Rechenzentrum, Sicherungsdienst | Auftragsbearbeiter | Speichert, ohne die Daten für eigene Zwecke zu nutzen |
| Externe Informatik, die auf deine Systeme zugreift | Auftragsbearbeiter | Zugriff auf Personendaten im Rahmen deines Auftrags |
| Inkassobüro, das in deinem Namen mahnt | Auftragsbearbeiter | Handelt nach deinen Vorgaben an deiner Forderung |
| Bank, Post, Anwältin, Revisionsstelle | In der Regel selbst verantwortlich | Sie handeln nach eigenen gesetzlichen Pflichten und entscheiden selbst über den Zweck |

Bei der Treuhandstelle ist die Zuordnung umstritten: Sie erledigt einerseits deine Buchhaltung nach deinen Vorgaben, untersteht andererseits eigenen Berufs- und Aufbewahrungspflichten. Klär die Rolle im Mandatsvertrag, statt sie offenzulassen.

## Was du als Verantwortlicher trotzdem behältst

- **Die Verantwortung.** Lässt du Personendaten von einem Auftragsbearbeiter bearbeiten, bleibst du auskunftspflichtig (Art. 25 Abs. 4). Ein Auskunftsbegehren deines Kunden beantwortest du, nicht dein Anbieter.
- **Die Prüfpflicht.** Du musst dich insbesondere vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann (Art. 9 Abs. 2). «Der hat ja einen AVV» ist keine Prüfung.
- **Die Meldung an den EDÖB.** Der Auftragsbearbeiter meldet eine Verletzung der Datensicherheit so rasch als möglich dir (Art. 24 Abs. 3). Ob sie zu einem hohen Risiko führt und darum weitergemeldet wird, entscheidest und meldest du (Abs. 1).
- **Die Genehmigung von Unterauftragsbearbeitern.** Der Auftragsbearbeiter darf die Bearbeitung nur mit deiner vorgängigen Genehmigung einem Dritten übertragen (Art. 9 Abs. 3). Viele Verträge holen diese Genehmigung im Voraus ein und verpflichten sich, Wechsel anzukündigen.

> **Achtung:** Das ist keine Formalie mit Bussgeldrisiko in der Theorie. Mit Busse bis CHF 250'000.00 wird auf Antrag bestraft, wer vorsätzlich die Datenbearbeitung einem Auftragsbearbeiter übergibt, ohne dass die Voraussetzungen nach Art. 9 Abs. 1 und 2 erfüllt sind (DSG Art. 61 Bst. b). Gebüsst wird die verantwortliche natürliche Person, nicht die Firma.

## Muss der AVV schriftlich sein?

Das DSG schreibt keine Form vor. Art. 9 Abs. 1 sagt nur, dass die Bearbeitung «vertraglich oder durch die Gesetzgebung» übertragen werden kann. Ein schriftlicher Vertrag ist trotzdem der übliche Weg, weil du sonst im Ernstfall nicht belegen kannst, welche Weisungen gegolten haben. Verbreitet ist, dass der Anbieter seinen AVV als eigene Seite veröffentlicht und ihn mit den allgemeinen Geschäftsbedingungen für angenommen erklärt.

Sinnvoll sind sechs Punkte darin: Gegenstand und Dauer der Bearbeitung, Bindung an deine Weisungen, technische und organisatorische Massnahmen, Umgang mit Unterauftragsbearbeitern, Unterstützung bei Auskunft, Berichtigung und Löschung, und was nach der Kündigung mit den Daten passiert. Den letzten Punkt liest fast niemand, und er ist der wichtigste: Wer nach der Kündigung nicht an seine Daten kommt, hat ein Aufbewahrungsproblem nach [OR Art. 958f](https://kidesk.ch/glossar/aufbewahrungspflicht) und nicht nur ein Datenschutzproblem.

## Daten im Ausland

Liegen die Daten nicht in der Schweiz, kommt Art. 16 dazu. Unproblematisch ist die Bekanntgabe an Staaten mit angemessenem Datenschutz; welche das sind, steht in Anhang 1 der Datenschutzverordnung. Fehlt der Staat dort, braucht es eine Garantie nach Art. 16 Abs. 2, zum Beispiel Standarddatenschutzklauseln. In deiner Datenschutzerklärung nennst du den Staat, wenn Daten dorthin gehen (Art. 19 Abs. 4). Was sonst noch in die Erklärung gehört, steht im Ratgeber [Das Datenschutzgesetz im Kleinbetrieb](https://kidesk.ch/ratgeber/datenschutzgesetz-fuer-kleinbetriebe).

## So macht es KIDESK

Im Sinn des Gesetzes ist KIDESK Auftragsbearbeiterin: Verantwortlich für die Daten deiner Kunden und Mitarbeitenden bleibst du. Der Auftragsbearbeitungsvertrag steht als eigene Seite auf kidesk.ch und wird mit den allgemeinen Geschäftsbedingungen angenommen. Die Angaben, die du für deine Datenschutzerklärung brauchst: Die Datenbank steht in Frankfurt, die Spracherkennung läuft in Zürich. Deine Daten kannst du jederzeit selbst exportieren und dein Konto löschen lassen.

- [Auftragsbearbeitungsvertrag von KIDESK](https://kidesk.ch/avv)
- [Sicherheit und Datenhaltung](https://kidesk.ch/sicherheit)

## Häufige Fragen

### Brauche ich mit jedem Softwareanbieter einen AVV?

Mit jedem, der Personendaten für dich bearbeitet, also praktisch mit jedem Programm, in dem Kunden- oder Mitarbeiterdaten liegen. Ein eigenes unterschriebenes Dokument ist nicht nötig, wenn der Anbieter einen AVV veröffentlicht und er Teil des Vertrags ist. Leg dir eine Kopie mit Datum ab.

### Ist mein Subunternehmer ein Auftragsbearbeiter?

In der Regel nicht. Wer die Arbeit auf eigene Rechnung ausführt und über seine eigene Kundenbeziehung entscheidet, ist selbst Verantwortlicher. Auftragsbearbeitung liegt erst vor, wenn jemand Daten ausschliesslich nach deinen Vorgaben bearbeitet, ohne eigenen Zweck.

### Was ist, wenn mein Anbieter einen Unterauftragsbearbeiter wechselt?

Er braucht dafür deine vorgängige Genehmigung (DSG Art. 9 Abs. 3). Üblich ist eine im Vertrag erteilte allgemeine Genehmigung, verbunden mit der Pflicht, Wechsel anzukündigen und dir ein Widerspruchsrecht zu geben. Prüf beim Abschluss, ob eine solche Klausel drinsteht.

### Muss der Auftragsbearbeiter ein Bearbeitungsverzeichnis führen?

Grundsätzlich ja: Verantwortliche und Auftragsbearbeiter führen je ein Verzeichnis (DSG Art. 12 Abs. 1). Auch hier gilt die Befreiung für Organisationen mit weniger als 250 Mitarbeitenden (DSV Art. 24), solange keine besonders schützenswerten Daten in grossem Umfang bearbeitet werden.

## Quellen

- [Datenschutzgesetz (DSG), Art. 9: Bearbeitung durch Auftragsbearbeiter](https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_9)
- [Datenschutzgesetz (DSG), Art. 5 Bst. j und k: Verantwortlicher und Auftragsbearbeiter](https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_5)
- [Datenschutzgesetz (DSG), Art. 16, 24 Abs. 3, 25 Abs. 4 und 61 Bst. b](https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_16)
- [Datenschutzverordnung (DSV), Anhang 1: Staaten mit angemessenem Datenschutz](https://www.fedlex.admin.ch/eli/cc/2022/568/de)
- [Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)](https://www.edoeb.admin.ch/de)

Dieser Text ist eine allgemeine Information für Schweizer Unternehmen und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.