Auftragsbearbeitung (Datenverarbeitungsvertrag)
Eine Auftragsbearbeitung ist ein schriftlicher Vertrag, den das revDSG vorschreibt. Er regelt die Beziehung zwischen Ihrem Unternehmen und jedem externen Anbieter—Lohnbüro, Recruiting-Plattform, HR-Software—der Mitarbeiterdaten für Sie verarbeitet. Sie klärt, wer für Datensicherheit, Compliance und Meldung von Datenschutzpannen verantwortlich ist.
Wenn Sie ein HR-Softwaresystem, ein Lohnbüro oder eine Recruiting-Plattform nutzen, hat dieser Anbieter Zugriff auf sensible Mitarbeiterdaten: Namen, Löhne, Gesundheitsdaten, AHV-Nummern. Das revDSG verpflichtet Sie, mit jedem solchen Anbieter einen schriftlichen Vertrag zu unterzeichnen.
Das ist kein optionales Extra. Es ist eine rechtliche Pflicht. Ohne sie teilen sich Ihr Unternehmen und der Anbieter die Haftung für Datenpannen und Geldbussen.
Wann brauchen Sie eine Auftragsbearbeitung?
Sie brauchen sie, wenn ein Dritter Mitarbeiterdaten für Sie verarbeitet. Häufige Fälle: Lohnabrechnung, Recruiting-Software, Leistungsverwaltung, Hintergrundüberprüfungen, Arbeitssicherheit oder Arbeitszeiterfassung.
Auch Cloud-Speicher (Google Drive, OneDrive) mit Mitarbeiterdateien benötigen einen Vertrag. Ob der Anbieter in der Schweiz, der EU oder im Ausland sitzt—die Regel gilt.
- Lohnbüros und Lohnabrechnung
- Recruiting-Plattformen und ATS-Systeme
- HR-Management-Software
- Hintergrundüberprüfungen
- Arbeitsmedizinische und Sicherheitsberatung
- Cloud-Speicher oder Backups für Mitarbeiterdossiers
Ihre Pflichten als Arbeitgeber
Sie müssen schriftlich festhalten, welche Daten der Anbieter verarbeitet, zu welchem Zweck, wie lange sie gespeichert werden und wer für Sicherheit und Pannenmeldung verantwortlich ist. Der Anbieter muss schriftlich zusichern, dass er die Daten nicht für eigene Zwecke nutzt und das revDSG einhält.
Sie müssen auch die Sicherheitsmassnahmen des Anbieters prüfen—mindestens eine grundlegende Kontrolle. Falls der Anbieter eine Panne mit Auswirkung auf Ihre Mitarbeitenden erleidet, müssen Sie die kantonale Datenschutzbehörde innerhalb von 72 Stunden benachrichtigen. Der Anbieter muss Sie dabei vertraglich unterstützen.
- Dokumentieren Sie Zweck und Umfang der Datenverarbeitung
- Verlangen Sie schriftliche Zusicherung des Anbieters zu Datensicherheit
- Klären Sie Rollen: Wer meldet Pannen, löscht Daten, behandelt Auskunftsanfragen?
- Bewahren Sie eine Kopie für Audits auf
- Überprüfen und aktualisieren Sie die Vereinbarung bei Änderungen
- Nehmen Sie nicht an, dass die Allgemeinen Bedingungen des Anbieters ausreichen
Der häufigste Fehler
Die Annahme, dass der Standard-Vertrag oder die Allgemeinen Bedingungen des Anbieters ausreichen. Das ist falsch. Ein Standard-Vertrag erfüllt die revDSG-Anforderungen meist nicht, weil er Rollen, Sicherheitsstandards und Pannenprozeduren nicht klärt.
Der zweite Fehler: Die Auftragsbearbeitung einmal unterzeichnen und nie mehr aktualisieren. Wenn sich Ihre Nutzung ändert—zum Beispiel Sie speichern jetzt Gesundheitsdaten oder erweitern in ein anderes Land—müssen Sie den Vertrag aktualisieren. Ein Jurist sollte jede Vorlage vor Unterzeichnung prüfen.
- Verwenden Sie einen schriftlichen Vertrag, nicht nur E-Mail-Bestätigungen
- Verlassen Sie sich nicht allein auf die Datenschutzerklärung des Anbieters
- Aktualisieren Sie die Vereinbarung bei Änderungen der Datenverarbeitung
- Führen Sie ein Archiv aller Auftragsbearbeitungen für Audits
- Fragen Sie den Anbieter: 'Haben Sie einen revDSG-konformen Datenverarbeitungsvertrag?'
- Erwägen Sie rechtliche Prüfung, wenn der Anbieter unklar oder unwillig ist
Häufige Fragen
- Brauche ich eine Auftragsbearbeitung für jede Software?
- Nur wenn der Anbieter personenbezogene Daten für Sie verarbeitet. Allgemeine Business-Software (Rechnungswesen, Kunden-CRM) ohne Mitarbeiterdaten benötigt keine. Aber jedes HR-, Lohn- oder Recruiting-Tool braucht eine.
- Kann ich eine Vorlage des Anbieters verwenden?
- Ja, aber prüfen Sie sie sorgfältig. Sie muss alle revDSG-Anforderungen abdecken: Datenskope, Zweck, Dauer, Sicherheit, Pannenmeldung und Haftung des Anbieters. Wenn sie unklar ist, bitten Sie um Klarstellung oder konsultieren Sie einen Jurist.
- Was passiert, wenn ich keine Auftragsbearbeitung habe?
- Ihr Unternehmen und der Anbieter teilen sich die rechtliche Haftung für Datenpannen und Bussgelder. Die kantonale Datenschutzbehörde kann Strafen verhängen. Sie verletzen auch Ihre Sorgfaltspflicht gegenüber Mitarbeitenden. Das Risiko ist real.
Allgemeine Informationen für Schweizer Arbeitgeber, keine Rechtsberatung. Lassen Sie alles mit rechtlichen Folgen von einer Juristin prüfen.