Auftragsdatenbearbeitung

Das revDSG erlaubt weiterhin das Outsourcing, d.h. die Auslagerung von Datenbearbeitungen beziehungsweise von Arbeiten, welche mit der Bearbeitung von Personendaten in Zusammenhang stehen. Jedoch werden dabei gewisse Ansprüche an die Person gestellt, die diese sog. Auftragsdatenbearbeitung durchführt. Ausserdem liegt es in der Verantwortung des Auftraggebers, sicherzustellen, dass sich der Auftragsdatenbearbeiter an diese Voraussetzungen und Vorgaben hält.

Das Outsourcing von Datenbearbeitungen ist in der Praxis weit verbreitet. Im Gesetz wird dies "Bearbeitung durch Auftragsbearbeiter" genannt (im EU-Recht: "Auftragsdatenverarbeitung"). Hierzu gibt es einige Regeln zu beachten.

Das Schweizer Recht (Art. 9 revDSG) sieht in Sachen Auftragsdatenbearbeitung grundsätzlich dieselben Pflichten – wenn auch weniger ausführlich beschrieben – für den Verantwortlichen vor wie das EU-Recht (Art. 28 DSGVO), ausser dass im Schweizer Recht keine Mindestangaben für den Inhalt des Vertrages vorgegeben werden, die Verantwortliche und Auftragsdatenbearbeiter abschliessen müssen.

Der "Verantwortliche" ist dasjenige Unternehmen bzw. diejenige Person, welche(s) über die Bearbeitung von Personendaten entscheidet, indem es den Zweck und die Mittel (wie z.B. Auswertungen von Rückmeldungen oder Korrespondenz von Kunden, Cookies auf Webseiten, Speicherort der Personendaten) für eine Datenbearbeitung festlegt – der englische Begriff dafür ist "controller".

Der Verantwortliche kann die Bearbeitung von Personendaten an einen "Auftragsbearbeiter" übertragen, d.h. outsourcen – der englische Begriff für den Auftragsbearbeiter ist "processor". Ein Auftragsbearbeiter bearbeitet Personendaten im Auftrag des Verantwortlichen und entscheidet nicht über den Zweck und die Mittel einer Datenbearbeitung. Der Auftragsbearbeiter darf die Daten auch nicht für eigene Zwecke bearbeiten. Es ist nicht immer eindeutig, wer Verantwortlicher und wer Auftragsdatenbearbeiter im Sinne des revDSG ist. Dies ist immer einzelfallabhängig zu klären. Nachfolgend aber einige Beispiele zur Illustration.

Für den Fall, dass die Bearbeitung von Daten an Personen innerhalb des Unternehmens delegiert wird, gilt: Mitarbeitende sind keine Auftragsdatenbearbeiter. Aber eine Gruppengesellschaft, die für eine andere Gesellschaft derselben Gruppe z.B. Lohnzahlungen vornimmt, kann ein Auftragsdatenbearbeiter sein.

Im EU-Recht gibt es einen spezifischen Artikel (Art. 26 DSGVO) der von "gemeinsam für die Verarbeitung Verantwortliche[n]" spricht. Dies geht nur implizit aus der Definition des Verantwortlichen im Schweizer Recht hervor (Art. 5 lit. j revDSG: "allein oder zusammen mit anderen"). Das Schweizer Recht sieht zu dieser sog. "joint controllership" keine speziellen Regeln vor; im EU-Recht müssen gemeinsam verantwortliche Personen jedoch eine schriftliche Vereinbarung zur Aufgabenverteilung festlegen. Auch wenn dies im Schweizer Recht nicht vorgesehen ist, ist es dennoch sinnvoll, eine solche Vereinbarung vorzusehen, um mehr Klarheit für die involvierten Parteien betreffend ihrer Rechte und Pflichten sowie Verantwortlichkeiten im jeweiligen Vertragsverhältnis zu schaffen. Joint controller können zwei (oder mehr) Unternehmen bzw. zwei Organe sein, die gemeinsame Entscheidungen (über den Zweck und die Mittel) zur Bearbeitung von Personendaten treffen.

Ein Beispiel für gemeinsam Verantwortliche im Alltag kann ein Reisebüro sein, welches gemeinsam mit einer Hotelkette und einer Airline eine Internet-Plattform zum Anbieten von Reise-Packages aufbaut. Die drei Unternehmen vereinbaren, welche Personendaten wo gespeichert werden, und wer auf diese zugreifen kann. Ausserhalb der Internet-Plattform besteht jedoch keine gemeinsame Datenbearbeitung.

Ein weiteres Beispiel für gemeinsame Verantwortliche im Alltag ist das Beispiel von zwei Unternehmen, welche gemeinsam ein Produkt entwickelt haben und einen Marketing-Event dazu organisieren wollen. Um dies zu tun, teilen sie untereinander Personendaten ihrer Klienten und entscheiden gemeinsam, wen sie auf welche Art für diesen Event einladen wollen, wie Feedback zum Event gesammelt wird, und welche darauffolgenden Promotion-Aktionen getroffen werden sollen. Im Hinblick auf diese Marketingaktion qualifizieren können beiden Unternehmen als gemeinsame Verantwortliche für die bearbeiteten Personendaten qualifizieren.

Zur Zulässigkeit der Auftragsdatenbearbeitung ist eine vertragliche Vereinbarung zwischen der verantwortlichen Person und dem Auftragsbearbeiter (ein sogenannter "Auftragsdatenbearbeitungsvertrag") abzuschliessen. Im Gegensatz zur DSGVO enthält das revDSG keine spezifischen Vorgaben zum Inhalt solcher Verträge.

• Die Vereinbarung sollte insbesondere regeln, welche Daten wie bearbeitet werden, und sicherstellen, dass die Datenbearbeitung von dem Auftragsbearbeiter auch korrekt durchgeführt wird.

Die verantwortliche Person muss sicherstellen, dass der Auftragsbearbeiter die Daten nur so bearbeitet, wie die verantwortliche Person es selbst tun dürfte; das bedeutet, dass der Auftragsdatenbearbeiter die Daten insbesondere auch nicht für eigene oder Drittinteressen bearbeiten darf.

Die verantwortliche Person muss sicherstellen, dass es keine Geheimhaltungspflicht gibt, gegen die der Verantwortliche mit einem Outsourcing verstossen würde (z.B. bedarf ein Outsourcing durch eine Bank allenfalls einer Einwilligung der Bankkunden aufgrund des Bankgeheimnisses). Gibt es eine Geheimhaltungspflicht, muss eventuell die Einwilligung der betroffenen Personen vor dem Outsourcing eingeholt werden.

Die verantwortliche Person muss sicherstellen, dass der Auftragsdatenbearbeiter angemessene technische und organisatorische Sicherheitsmassnahmen zum Schutz der Personendaten implementiert hat. Siehe hierzu der Beitrag zur "Datensicherheit" .

Je nachdem, ob ein Unternehmen in einem stark regulierten Bereich tätig ist, wie z.B. im Banken- oder Versicherungswesen, sind allenfalls zusätzliche Voraussetzungen zu erfüllen.

• Wenn ein Auftragsdatenbearbeiter einen Subunternehmer mit der Bearbeitung von Daten des Verantwortlichen beauftragen will, sind dieselben allgemeinen Voraussetzungen einzuhalten. Der Subunternehmer muss grundsätzlich dieselben Pflichten erfüllen, wie der Auftragsdatenbearbeiter gegenüber dem Verantwortlichen.
• Wenn der Auftragsbearbeiter an ein Subunternehmen outsourcen will, braucht er hierzu als Erstes die Zustimmung der verantwortlichen Person.
• Wenn die verantwortliche Person nur eine allgemeine Zustimmung gibt, muss der Auftragsbearbeiter die verantwortliche Person über jede Änderung der Subunternehmer informieren. Wie im europäischen Recht hat dann auch der Verantwortliche ein Widerspruchsrecht in einem solchen Fall, d.h. wenn ein Verantwortlicher mit dem Outsourcing nicht einverstanden ist, muss eine vertragliche Lösung dafür vereinbart werden (allenfalls auch ein beidseitiges Kündigungsrecht).

In solchen Fällen ist der Dritte ein eigenständiger Verantwortlicher. Dies bedeutet, dass nach Bekanntgabe der Daten an den Dritten, dieser selbst für die Einhaltung des revDSG verantwortlich ist.

Das Unternehmen, welches Personendaten dem Dritten bekanntgeben will, muss dann aber ebenfalls sicherstellen, ob die Bekanntgabe mit den Datenschutzgrundsätzen überhaupt vereinbar ist. Zudem muss es abklären, ob es sich um besonders schützenswerte Personendaten handelt, denn wenn besonders schützenswerte Personendaten Dritten bekanntgegeben werden, muss ein Rechtfertigungsgrund vorliegen (ausdrückliche Einwilligung, überwiegendes privates oder öffentliches Interesse oder gesetzlichen Grundlage).

Auch gilt eine Informationspflicht von Seite des Unternehmens, welches Personendaten einem Dritten bekannt geben will, an die betroffenen Personen – diese müssen nach Gesetz darüber informiert werden, wer die Empfänger ihrer Daten sind und welche Kategorien ihrer Personendaten Dritten bekanntgegeben werden.

Ja, für die vorsätzliche Verletzung dieser Voraussetzungen sieht das DSG auf Antrag eine Busse von bis zu CHF 250'000.- vor (Art. 61 lit. b revDSG).

Der EDÖB kann auf Anzeige hin oder von Amtes wegen eine Untersuchung einleiten, wenn Anzeichen dafür bestehen, dass ein Unternehmen ohne Erfüllung der Voraussetzungen nach Art. 9 revDSG einen Auftragsbearbeiter beauftragt hat (Art. 49 revDSG). Im Anschluss an eine Untersuchung kann der EDÖB eine Verfügung erlassen, in welcher angeordnet werden kann, dass die Bearbeitung von Personendaten angepasst, unterbrochen oder abgebrochen wird und die Personendaten selbst ganz oder teilweise gelöscht werden (Art. 51 revDSG). In diesem Rahmen kann der EDÖB auch Gebühren erheben (Art. 59 revDSG).

Dies verdeutlicht, wie wichtig es für ein Unternehmen ist, die anwendbaren Voraussetzungen einzuhalten und deren Erfüllung sauber zu dokumentieren.

Was muss ein Unternehmen in Bezug auf die Auftragsdatenbearbeitung prüfen?