Auftragsbearbeitung: Was müssen KMU beim Einsatz von ausländischen Dienstleistern beachten?
KURZ ZUSAMMENGEFASST
Werden Personendaten durch einen externen Dienstleister bearbeitet, liegt eine Auftragsbearbeitung vor. Dies gilt besonders, wenn der Dienstleister im Ausland ansässig ist. Unternehmen müssen dann prüfen, ob der Zielstaat ein angemessenes Datenschutzniveau bietet. Fehlt dieses, sind zusätzliche Massnahmen wie Standardvertragsklauseln oder Verschlüsselung zwingend erforderlich, um einen rechtssicheren Datentransfer zu gewährleisten.
Die wichtigsten Punkte:
- Prüfung, ob Personendaten durch den Dritten bearbeitet werden.
- Sicherstellung der Datensicherheit beim Dienstleister vor Vertragsschluss.
- Abschluss einer schriftlichen Vereinbarung über die Auftragsbearbeitung.
- Beachtung der Regeln für den Transfer ins Ausland (Angemessenheitsbeschluss oder Zusatzmassnahmen).
- Verantwortung liegt bei der natürlichen Person, die das Delikt begeht (bis CHF 250'000 Busse).
Dr. iur. Lukas Lezzi
RA Dr.iur. Lukas Lezzi, CIPP/E, CIPM, ist selbständiger Rechtsanwalt in Zürich (LezziLegal). Seine Tätigkeitsschwerpunkte liegen im Bereich Datenschutz- und Finanzmarkrecht.
Passende Arbeitshilfen
Welche datenschutzrechtlichen Pflichten haben KMU bei der Auftragsbearbeitung durch ausländische Dienstleister?
Gesetzliche Grundlagen
Grundsätzlich ist für die Bearbeitung von Personendaten in der Schweiz das Bundesgesetz über den Datenschutz (DSG) anwendbar. Falls Dienstleistungen oder Produkte in der EU/EWR angeboten werden, ist zusätzlich auch die Europäische Datenschutz-Grundverordnung (DSGVO) anwendbar. Zudem müssen andere regulatorische Bestimmungen noch beachtet werden, z.B. bei von der FINMA bewilligten Vermögensverwaltern oder bei Start-ups im Medizinalbereich, sofern sie Patientendaten bearbeiten.
Seit dem 1. September 2023 gilt in der Schweiz das revidierte DSG, welches inhaltlich grosse Ähnlichkeiten mit der DSGVO hat. Die Ausführungen in diesem Beitrag beziehen sich auf das revidierte DSG und es ist auch dringend empfohlen sich schon jetzt mit der Umsetzung auseinanderzusetzen, weil es keine Übergangsfrist geben wird.
Begriffe
Verantwortlicher für die Datenbearbeitung ist die Person, welche über den Zweck und die Mittel der Bearbeitung entscheidet. Ein KMU ist etwa als Verantwortlicher für die Bearbeitung seiner Kundendaten für die Rechnungsstellung zu sehen. Im Gegensatz dazu bearbeitet der Auftragsbearbeiter die Personendaten im Auftrag des Verantwortlichen (siehe nachfolgend).
Auftragsbearbeitung
Definition
Bei einem Beizug eines externen Dritten, z.B. einer Marketing-Agentur, einem Cloud-Service-Provider oder einer externen Buchhaltungsfirma, ist zuerst immer zu prüfen, ob Personendaten von diesem Dritten bearbeitet werden. Hier können etwa Kundendaten, aber auch Daten von Mitarbeitenden (z.B. bei einer Auslagerung der Lohnbuchhaltung) betroffen sein. Falls Personendaten betroffen sind, ist zu prüfen, ob es sich bei dem Verhältnis, um ein Auftragsbearbeitungsverhältnis handelt.
Eine Auftragsbearbeitung liegt immer dann vor, wenn ein Dritter die Personendaten nach Weisung und im Interesse des für die Datenbearbeitung Verantwortlichen bearbeitet. Der Auftragsbearbeiter bearbeitet die Personendaten nicht für eigene Zwecke, sondern nur für diejenigen Zwecke, welche der Verantwortliche ihm vorgibt. Der Auftragsbearbeiter ist der „verlängerte Arm“ des Verantwortlichen. In der Praxis kann die Abgrenzung teilweise schwierig zu ziehen sein. Grundsätzlich ist bei Cloud-Service Providern, bei Auslagerungen von unternehmensinternen, administrativen Aufgaben oder bei Einsatz von Marketing-Tools, wie E-Mail-Versand-Dienstleistungen, von einer Auftragsbearbeitung auszugehen.
Prüfung des Auftragsbearbeiter
Bevor ein Auftragsbearbeiter eingesetzt werden kann, muss von der Verantwortlichen geprüft werden, ob dieser in der Lage ist die Datensicherheit zu gewährleisten. Bei grossen, internationalen Cloud-Dienstleistern etwa ist dies kein Problem, weil diese Unternehmen über einen hohen Datensicherheitsstandard verfügen. Bei kleinen, lokalen Unternehmen, wie etwa einem kleinen Buchhaltungsbüro, gestaltet sich die Prüfung vielfach etwas ausführlicher und komplizierter. Grundsätzlich ist in einer solchen Situation darauf zu achten, dass der Dienstleister ein Datensicherheitskonzept und interne Vorgaben zum Datenschutzmanagement hat. Je sensibler die Personendaten, desto höher muss auch der Datensicherheitsstandard sein.
Vertragsinhalt
Liegt nun eine Auftragsbearbeitung vor, so muss mit dem Auftragsbearbeiter eine Vereinbarung über die Bearbeitung von Personendaten im Rahmen dieser Dienstleistung abgeschlossen werden. Üblicherweise hat ein KMU in Vertragsverhandlungen mit Dienstleistern zu wenig Verhandlungsmacht, um eigene Verträge durchzusetzen.
Passende Produkt-Empfehlungen
Auslandstransfer
Wenn sich nun ein solcher Auftragsbearbeiter im Ausland befindet, so ist zusätzlich zu prüfen, ob die Bestimmungen des DSG zur Auslandbekanntgabe erfüllt sind. Bei einer Bekanntgabe in den EU/EWR-Raum sind keine weiteren Massnahmen zu treffen. Bei einer Bekanntgabe ausserhalb der EU/EWR ist zu prüfen, ob der fragliche Staat einen angemessenen Datenschutz besitzt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) veröffentlicht eine Liste mit den Staaten, welche ein angemessenes Datenschutzniveau haben.
Falls nun ein Dienstleister in einem Land ohne angemessenen Datenschutz seinen Sitz hat, sind zusätzliche Massnahmen zu treffen, damit ein Transfer trotzdem stattfinden kann. Eine Möglichkeit ist, die Einwilligung der betroffenen Personen einzuholen. Dies ist allerdings nicht zu empfehlen, weil diese Einwilligung jederzeit auch widerrufen werden kann und dann die Bekanntgabe zu stoppen ist. In der Praxis werden üblicherweise sog. Standardvertragsklauseln der EU verwendet. Diese Standardvertragsklauseln können dann ein angemessenen Datenschutzniveau herstellen und ein Transfer kann stattfinden. Damit diese Wirkung eintritt, dürfen diese nur sehr eingeschränkt verändert werden (Anpassungen an das schweizerische Recht). Allerdings ist immer auch zu prüfen, ob gegebenenfalls andere Massnahmen, wie z.B. eine Verschlüsselung der Personendaten, nötig sind. Der EDÖB hat auf seiner Webseite umfangreiche Hilfestellungen und auch die Standardvertragsklauseln zum Download bereitgestellt.
Checkliste
- Ermitteln, ob der Dienstleister Personendaten bearbeitet (z. B. Cloud, Buchhaltung, Marketing).
- Prüfen, ob der Dienstleister über ein valides Datensicherheitskonzept verfügt.
- Feststellen, ob der Sitz des Dienstleisters im EU/EWR-Raum liegt (automatisch angemessen).
- Bei Sitz ausserhalb der EU/EWR: Prüfen, ob der Staat auf der EDÖB-Liste für angemessenen Datenschutz steht.
- Falls kein Angemessenheitsbeschluss vorliegt: Standardvertragsklauseln der EU verwenden.
- Klauseln nur mit minimalen Anpassungen an das schweizerische Recht nutzen.
- Bei sensiblen Daten zusätzliche Massnahmen wie Verschlüsselung implementieren.
- Schriftliche Auftragsbearbeitungsvereinbarung mit dem Dienstleister abschliessen.
- Vertragliche Abbildung der betroffenen Datenkategorien und Bearbeitungszwecke sicherstellen.
- Externe Rechtsberatung bei komplexen Fällen oder hohem Risiko einholen.
Strafrechtliche Konsequenzen
Wenn bei der Auftragsbearbeitung vorsätzliche Pflichten verletzt werden oder Personendaten in ein Land ohne angemessenen Datenschutz bekannt gegeben werden, ohne zusätzliche Massnahmen zu treffen, so liegt u.U. eine strafbare Handlung vor.
Das Delikt wird nur auf Antrag hin verfolgt. Es droht eine Strafe in Form einer Busse von bis zu CHF 250'000.00. Im Gegensatz zur DSGVO wird die natürliche Person, welche das Delikt begeht, direkt bestraft und nicht das Unternehmen.
Fazit
Auftragsbearbeitungsverhältnisse kommen in der Praxis sehr häufig vor. Für KMU ist es wichtig, dass die nötige Sorgfalt bei der Auswahl der Dienstleister ausgeübt wird und auch der Datenschutz beachtet wird. Auch wenn häufig die Standardauftragsbearbeitungsverträge der Dienstleister vorgelegt werden, so ist es dennoch wichtig, dass diese auf die Einhaltung der datenschutzrechtlichen Bestimmungen hin geprüft werden. Insb. ist auch darauf zu achten, dass die betroffenen Personendaten und Bearbeitungstätigkeiten richtig vertraglich abgebildet werden. Beim Auslandtransfer ist immer zu prüfen, ob der Zielstaat ein angemessenes Datenschutzniveau besitzt. Sollte dies nicht der Fall sein, so können häufig Standardvertragsklauseln eingesetzt werden. Allerdings sollte in solchen Fällen und insb. bei sensiblen Daten externe Unterstützung in Betracht gezogen werden.
FAQ: Auftragsbearbeitung
Wann liegt eine Auftragsbearbeitung vor?
Eine Auftragsbearbeitung liegt vor, wenn ein Dritter Personendaten nach Weisung und im Interesse des Verantwortlichen bearbeitet, ohne eigene Zwecke zu verfolgen. Dies ist beispielsweise bei Cloud-Providern oder externen Buchhaltungsbüros der Fall.
Was muss ich tun, wenn mein Dienstleister aus einem Land ohne angemessenen Datenschutz kommt?
In diesem Fall müssen zusätzliche Massnahmen getroffen werden. In der Praxis werden meist die Standardvertragsklauseln der EU verwendet, um ein angemessenes Datenschutzniveau herzustellen. Zusätzlich kann eine Verschlüsselung der Daten erforderlich sein.
Wer haftet bei Verstössen gegen das DSG bei Auftragsbearbeitung?
Im Gegensatz zur DSGVO wird bei Verstössen gegen das revidierte DSG die natürliche Person, die das Delikt vorsätzlich begeht, direkt mit einer Busse von bis zu CHF 250'000 bestraft, nicht das Unternehmen selbst.
Gibt es eine Übergangsfrist für das revidierte DSG?
Nein, das revidierte DSG ist seit dem 1. September 2023 in Kraft und es gibt keine Übergangsfrist. Unternehmen sollten die Umsetzung daher umgehend vorantreiben.
