Auftragsdatenbearbeitung: Outsourcing von Aufgaben im Digitalisierungszeitalter
KURZ ZUSAMMENGEFASST
Beim Outsourcing von Aufgaben, bei denen personenbezogene Daten an Dritte übermittelt werden, ist in der Schweiz ein Auftragsdatenverarbeitungsvertrag (ADV) gesetzlich vorgeschrieben. Der Auftraggeber bleibt trotz der Übertragung für die Einhaltung des Datenschutzes verantwortlich und muss den Auftragnehmer sorgfältig auswählen sowie die Datensicherheit vertraglich absichern und kontrollieren.
Die wichtigsten Punkte:
- Ein schriftlicher ADV ist dringend empfohlen, auch wenn das DSG formfrei bleibt, und für DSGVO-fallende Unternehmen zwingend.
- Der Auftragnehmer darf die Daten nur gemäss den Weisungen des Auftraggebers bearbeiten.
- Der Auftraggeber muss technische und organisatorische Massnahmen (TOM) beim Dienstleister überwachen.
- Datentransfers ins Ausland erfordern besondere Prüfung, falls kein angemessenes Datenschutzniveau besteht.
Urs Freytag
Urs Freytag, lic. iur. HSG, ist selbstständiger Rechtsanwalt und Notar in der Kanzlei factum advocatur, St. Gallen. Er ist spezialisiert auf die Beratung von KMU in den Bereichen Vertrags- und Gesellschaftsrecht, Technisches Recht, Informatikrecht und Datenschutzrecht.
Welche Voraussetzungen gelten für die Auftragsdatenbearbeitung beim Outsourcing in der Schweiz?
Outsourcing als Bedürfnis
Das Outsourcing von Tätigkeiten entspricht einem klaren Bedürfnis in einer arbeitsteiligen Wirtschaft und stellt eine Selbstverständlichkeit dar.
Beispielsweise überträgt eine Firma die Lohnbuchhaltung einem Treuhandunternehmen und übermittelt diesem zur Aufgabenerfüllung sämtliche lohnrelevanten Daten. Eine andere Firma überträgt Marketingaufgaben an ein spezialisiertes Unternehmen, welches zur Erfüllung dieser Aufgaben auf die Kundendaten zugreift. Schliesslich ist der gesamte Bereich des Cloud-Computing zu erwähnen, bei welchem die Daten einer Drittperson, der Betreiberin einer Cloud, zur Speicherung anvertraut werden.
Rechtliche Grundlagen
Datenschutzrechtlich handelt es sich bei der Überlassung personenbezogener Daten an Dritte um eine Bearbeitung durch Auftragsbearbeiter (Art. 9 DSG).
Die Regelung im DSG sind kurz gehalten. Die DSGVO hingegen setzt in Art. 28 ff. auf eine weit ausführlichere Regelung und verwendet terminologisch den Begriff der Auftragsverarbeitung (dieser Beitrag widmet sich schwergewichtig der Schweizer Regelung).
Risiken und Zulässigkeitsvoraussetzungen
Die Übertragung von personenbezogenen Daten an Dritte zwecks Erfüllung bestimmter Aufgaben ist in der Schweiz grundsätzlich zulässig und bedarf keiner speziellen Information der betroffenen Personen. Sie birgt jedoch verschiedene Risiken wie namentlich den unbefugten Zugriff auf die Daten, Datenverlust oder ungenügende Datensicherheit. Spezielle Risiken sind zudem mit einem Datentransfer ins Ausland verbunden.
Der Schweizer Gesetzgeber begegnet den vorgenannten Risiken, indem er im DSG die folgenden Zulässigkeitsvoraussetzungen vorgibt:
1. Vorliegen einer Vereinbarung oder gesetzlichen Grundlage
Auftragsdatenbearbeitung von Personendaten durch Dritte setzt das Vorliegen einer Vereinbarung oder einer gesetzlichen Grundlage voraus (wobei eine gesetzliche Grundlage vornehmlich im Verwaltungshandeln relevant ist). Wer also als Inhaber einer Datensammlung bzw. als Verantwortlicher einem Auftragsbearbeiter Daten zur Bearbeitung übermittelt, hat mit diesem einen sogenannten Auftragsdatenbearbeitervertrag (ADV) zu schlies sen (siehe ausführlich nachfolgend). Als Synonym ist in der Praxis auch der Begriff Auftragsverarbeitungsvertrag (AVV) geläufig.
2. Die Daten dürfen nur so bearbeitet werden, wie der Auftraggeber selbst es tun dürfte
Das Gesetz schreibt vor, dass der Auftragsdatenbearbeitung in Bezug auf die Datenbearbeitung nicht über das hinausgehen darf, was dem Auftraggeber selbst gestattet ist. Die Übertragung der Datenbearbeitung darf daher für die betroffenen natürlichen Personen, deren Daten bearbeitet werden, keine Verschlechterung der Rechtsstellung bewirken. Mit anderen Worten ist der Auftragnehmer in gleichem Ausmass für die Datenbearbeitung verantwortlich wie der Auftraggeber.
Der Auftraggeber hat insbesondere die Pflicht, den Auftragsbearbeiter sorgfältig auszuwählen, über den Zweck und Umfang der Datenbearbeitung zu instruieren und die Einhaltung der Datenbearbeitungsgrundsätze zu überwachen.
Jetzt Member werden und weiterlesen:
- Unlimitierter Zugriff auf alle 1300 Arbeitshilfen
- Alle kostenpflichtigen Beiträge auf weka.ch frei
- Zugriff auf alle Videos
- Täglich aktualisiert
- Wöchentlich neue Inhalte und Arbeitshilfen
- Exklusive Spezialangebote
- News- & Update-Services
- Seminargutscheine
