08.09.2020

Auftragsdatenbearbeitung: Outsourcing von Aufgaben im Digitalisierungszeitalter

Heutzutage erledigt kaum ein Unternehmen sämtliche Aufgaben selbst, sondern lagert einen Teil gegen Entgelt an Drittfirmen aus. Mit dem Outsourcing von Aufgaben ist im Digitalisierungszeitalter regelmässig ein Datentransfer an die Auftragnehmer verbunden. Werden dabei auch personenbezogene Daten an Dritte übermittelt, stellt sich aus datenschutzrechtlicher Sicht die Frage, unter welchen Voraussetzungen der Datentransfer zulässig ist, welche Informationspflichten bestehen und welche Regeln von Auftraggeber bzw. Auftragnehmer zu beachten sind.

Von: Urs Freytag  DruckenTeilen 

Urs Freytag

Urs Freytag, lic. iur. HSG, ist selbstständiger Rechtsanwalt und Notar in der Kanzlei factum advocatur, St. Gallen. Er ist spezialisiert auf die Beratung von KMU in den Bereichen Vertrags- und Gesellschaftsrecht, Technisches Recht, Informatikrecht und Datenschutzrecht.

Auftragsdatenbearbeitung

Outsourcing als Bedürfnis 

Das Outsourcing von Tätigkeiten entspricht einem klaren Bedürfnis in einer arbeitsteiligen Wirtschaft und stellt eine Selbstverständlichkeit dar.

Beispielsweise überträgt eine Firma die Lohnbuchhaltung einem Treuhandunternehmen und übermittelt diesem zur Aufgabenerfüllung sämtliche lohnrelevanten Daten. Eine andere Firma überträgt Marketingaufgaben an ein spezialisiertes Unternehmen, welches zur Erfüllung dieser Aufgaben auf die Kundendaten zugreift. Schliesslich ist der gesamte Bereich des Cloud-Computing zu erwähnen, bei welchem die Daten einer Drittperson, der Betreiberin einer Cloud, zur Speicherung anvertraut werden.

Rechtliche Grundlagen 

Datenschutzrechtlich handelt es sich bei der Überlassung personenbezogener Daten an Dritte um eine sogenannte Datenbearbeitung durch Dritte (Art. 10a DSG) bzw. – nach neuer Terminologie im E-DSG – um eine Bearbeitung durch Auftragsbearbeiter (Art. 8 E-DSG).

Die Regelungen im DSG bzw. E-DSG sind kurz gehalten und inhaltlich weitgehend identisch. Die DSGVO hingegen setzt in Art. 28 ff. auf eine weit ausführlichere Regelung und verwendet terminologisch den Begriff der Auftragsverarbeitung (wir berichteten in der Ausgabe 03/2019 über die europäische Regelung; die vorliegende Ausgabe widmet sich schwergewichtig der Schweizer Regelung).

Risiken und Zulässigkeitsvoraussetzungen

Die Übertragung von personenbezogenen Daten an Dritte zwecks Erfüllung bestimmter Aufgaben ist in der Schweiz grundsätzlich zulässig und bedarf keiner speziellen Information der betroffenen Personen. Sie birgt jedoch verschiedene Risiken wie namentlich den unbefugten Zugriff auf die Daten, Datenverlust oder ungenügende Datensicherheit. Spezielle Risiken sind zudem mit einem Datentransfer ins Ausland verbunden.

Der Schweizer Gesetzgeber begegnet den vorgenannten Risiken, indem er im aktuell noch geltenden DSG bzw. im E-DSG die folgenden Zulässigkeitsvoraussetzungen vorgibt:

1. Vorliegen einer Vereinbarung oder gesetzlichen Grundlage 

Auftragsdatenbearbeitung von Personendaten durch Dritte setzt das Vorliegen einer Vereinbarung oder einer gesetzlichen Grundlage voraus (wobei eine gesetzliche Grundlage vornehmlich im Verwaltungshandeln relevant ist). Wer also als Inhaber einer Datensammlung (Terminologie DSG) bzw. als Verantwortlicher (neue Terminologie E-DSG bzw. DSGVO) einem Auftragsbearbeiter Daten zur Bearbeitung übermittelt, hat mit diesem einen sogenannten Auftragsdatenbearbeitervertrag (ADV) zu schlies sen (siehe ausführlich nachfolgend). Als Synonym ist in der Praxis auch der Begriff Auftragsverarbeitungsvertrag (AVV) geläufig.

Dies ist ein kostenloser Beitrag. Sie möchten von fundiertem Praxiswissen rund um den Datenschutz profitieren und die Anforderungen sicherstellen? Jetzt Newsletter abonnieren.

2. Die Daten dürfen nur so bearbeitet werden, wie der Auftraggeber selbst es tun dürfte 

Das Gesetz schreibt vor, dass der Auftragsdatenbearbeitung in Bezug auf die Datenbearbeitung nicht über das hinausgehen darf, was dem Auftraggeber selbst gestattet ist. Die Übertragung der Datenbearbeitung darf daher für die betroffenen natürlichen Personen, deren Daten bearbeitet werden, keine Verschlechterung der Rechtsstellung bewirken. Mit anderen Worten ist der Auftragnehmer in gleichem Ausmass für die Datenbearbeitung verantwortlich wie der Auftraggeber.

Der Auftraggeber hat insbesondere die Pflicht, den Auftragsbearbeiter sorgfältig auszuwählen, über den Zweck und Umfang der Datenbearbeitung zu instruieren und die Einhaltung der Datenbearbeitungsgrundsätze zu überwachen.

3. Keine vertragliche oder gesetzliche Geheimhaltungspflicht

Der Datenbearbeitung dürfen weiter keine vertraglichen oder gesetzlichen Geheimhaltungsverpflichtungen entgegenstehen (z.B. Verbot einer weiteren Datenauslagerung an einen Subunternehmer).

4. Gewährleistung der Datensicherheit bzw. deren Überwachung

Die Datensicherheit stellt ein Kernelement jeder Datenbearbeitung dar, wofür der Auftragsbearbeiter Gewähr zu leisten hat. Konkret verlangt der Gesetzgeber vom Auftragsbearbeiter angemessene technische und organisatorische Massnahmen (z.B. Pseudonymisierung und Verschlüsselung der Daten) zum Schutz gegen unbefugtes Bearbeiten. Dies ist deshalb von grosser Wichtigkeit, weil es der Auftraggeber ist, welcher rechtlich für die Einhaltung des Datenschutzes verantwortlich bleibt.

Weil dieser aber nicht selbst in der Lage ist, die technischen und organisatorischen Massnahmen beim Auftragsbearbeiter umzusetzen (und dies auch nicht muss), trifft den Auftraggeber im Wesentlichen die Sorgfaltspflicht, die Einhaltung der Datensicherheit vertraglich abzusichern. Damit aber nicht genug, er muss sie auch kontrollieren, indem er sich vergewissert, dass die Umsetzung tatsächlich erfolgt (z.B. durch Einholen eines schriftlichen Berichts oder durch Vornahme eines Audits).

Produkt-Empfehlungen

  • IT-Verträge

    IT-Verträge

    Die wichtigsten IT-Verträge nach Schweizer Recht – von Experten geprüft und laufend aktualisiert.

    ab CHF 198.00

  • Anwendbarkeit der EU DSGVO in der Schweiz

    Anwendbarkeit der EU DSGVO in der Schweiz

    Ein Datenschutzleitfaden für Schweizer Unternehmen.

    Mehr Infos

  • InformatikPraxis

    InformatikPraxis

    DIE ultimative Praxislösung für IT-Entscheider!

    Mehr Infos

Seminar-Empfehlungen

  • Praxis-Seminar, 1 Tag, ZWB, Zürich

    IT-Verträge entwerfen und verhandeln

    Rechtssicherheit bei IT-Projekten, Outsourcing und Cloud Computing

    Nächster Termin: 12. November 2020

    mehr Infos

  • Praxis-Seminar, 1 Tag, ZWB, Zürich

    Data Protection Officer (DPO) nach revidiertem DSG und DSGVO

    Datenschutz-Anforderungen für Schweizer Unternehmen nach revidiertem DSG und DSGVO (GDPR) erfolgreich umsetzen

    Nächster Termin: 17. November 2020

    mehr Infos

  • Praxis-Seminar, 1 Tag, ZWB, Zürich

    Workshop Datenschutz in der Praxis

    Das revidierte Schweizer Datenschutzgesetz, die DSGVO und deren Folgen für Schweizer Unternehmen

    Nächster Termin: 26. November 2020

    mehr Infos

Um unsere Website laufend zu verbessern, verwenden wir Cookies. Durch die Nutzung dieser Website stimmen Sie der Verwendung von Cookies zu. Mehr Infos