Auftragsverarbeitung (Datenschutz bei Cloud und Dienstleistern)
Kurz gesagt
Einen Auftragsverarbeitungsvertrag brauchen Sie, wenn ein Dienstleister personenbezogene Daten aus Ihrem ERP in Ihrem Auftrag verarbeitet, etwa bei Cloud-Betrieb, Wartung, Support oder Lohnabrechnung. In Deutschland und Österreich verlangt Art. 28 DSGVO, dass die Verarbeitung auf einem Vertrag oder einem anderen bindenden Rechtsinstrument mit festgelegten Inhalten beruht. In der Schweiz verlangt Art. 9 DSG die Übertragung durch Vertrag oder Gesetzgebung und die Prüfung der Datensicherheit.
Das Wichtigste
- Auftragsverarbeitung: ein Dienstleister verarbeitet personenbezogene Daten nur im Auftrag und nach Weisung des Verantwortlichen (Art. 4 Nr. 7 und 8 DSGVO).
- Deutschland und Österreich: Nach Art. 28 Abs. 3 DSGVO beruht die Verarbeitung auf einem Vertrag oder einem anderen bindenden Rechtsinstrument mit festgelegten Inhalten; Abs. 9 verlangt die schriftliche Form, die auch elektronisch sein kann.
- Deutschland und Österreich: Ohne dokumentierte Weisung darf der Auftragsverarbeiter personenbezogene Daten nur verarbeiten, wenn ihn das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, dazu verpflichtet, und muss Sie vor der Verarbeitung darüber informieren, ausser das Recht verbietet die Mitteilung wegen eines wichtigen öffentlichen Interesses (Art. 28 Abs. 3 lit. a DSGVO).
- Schweiz: Art. 9 Abs. 1 DSG lässt die Übertragung an einen Auftragsbearbeiter durch Vertrag oder Gesetzgebung zu; Abs. 2 verlangt die Vergewisserung über die Datensicherheit.
- Weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen (Art. 28 Abs. 2 DSGVO).
- Ohne Verarbeitung personenbezogener Daten im Auftrag besteht keine Pflicht zu einem Auftragsverarbeitungsvertrag.
Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten durch einen Dienstleister, der dabei ausschliesslich im Auftrag und nach Weisung des Verantwortlichen handelt. Der Vertrag oder das andere bindende Rechtsinstrument, das dies festhält, ist der Auftragsverarbeitungsvertrag (AVV). In der Schweiz heisst die Rolle Auftragsbearbeiter; Grundlage ist dort Art. 9 DSG.
Wann Sie einen Auftragsverarbeitungsvertrag brauchen
Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet, Auftragsverarbeiter, wer die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 7 und 8 DSGVO). Entscheidend ist die Verarbeitung im Auftrag, nicht der bloße Datenzugriff: Ein Dienstleister, der Ihre Daten technisch nur sieht oder speichert, wird dadurch allein nicht zum Auftragsverarbeiter. Im ERP-Umfeld liegt Auftragsverarbeitung vor bei Cloud-Betrieb, bei Wartung, Fernwartung und Support, die einen Zugriff auf Produktivdaten einschliessen, bei externer Datensicherung und bei der Lohn- und Gehaltsabrechnung durch ein Rechenzentrum, jeweils soweit der Dienstleister die Daten nach Ihrer Weisung verarbeitet. Handelt der Dienstleister dagegen eigenständig verantwortlich, wie es die Datenschutzkonferenz für ein Inkassobüro mit Forderungsübertragung annimmt, ist es keine Auftragsverarbeitung. Liegt Auftragsverarbeitung vor, beruht sie in Deutschland und Österreich auf einem Vertrag oder einem anderen bindenden Rechtsinstrument nach Art. 28 Abs. 3 DSGVO.
Verarbeitet der Dienstleister keine personenbezogenen Daten, liegt keine Auftragsverarbeitung vor; wer nur Hardware liefert oder Software ohne Datenzugriff installiert, braucht keinen Auftragsverarbeitungsvertrag. Wer ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO führt, nimmt die Verarbeitung mit der Kategorie der Empfänger auf (Art. 30 Abs. 1 lit. d DSGVO); den Vertrag selbst verlangt Art. 30 nicht. Ihn zu den Nachweisen zu legen, ist eine organisatorische Empfehlung.
Was der Vertrag enthalten muss
Art. 28 Abs. 3 DSGVO benennt, was der Vertrag oder das andere bindende Rechtsinstrument regelt und wozu er den Auftragsverarbeiter verpflichtet. Die Tabelle übersetzt den Katalog in eine Prüfliste für einen ERP-Anbietervertrag.
| Pflichtinhalt nach Art. 28 DSGVO | Was Sie im ERP-Anbietervertrag prüfen |
|---|---|
| Gegenstand und Dauer der Verarbeitung (Abs. 3) | Leistungsumfang (Module, Mandant, Betrieb, Support) und Laufzeit benannt? |
| Art und Zweck der Verarbeitung (Abs. 3) | Zweck (Bereitstellung, Wartung, Support, Datensicherung) benannt? |
| Art der personenbezogenen Daten (Abs. 3) | Kunden-, Lieferanten- und Beschäftigtendaten erfasst? |
| Kategorien betroffener Personen (Abs. 3) | Kunden, Lieferanten, Beschäftigte und Ansprechpartner genannt? |
| Pflichten und Rechte des Verantwortlichen (Abs. 3) | Ihre Pflichten und Rechte als Verantwortlicher festgehalten (Weisungs- und Prüfungsrecht)? |
| lit. a: Verarbeitung nur auf dokumentierte Weisung, auch bei Übermittlung an ein Drittland oder an eine internationale Organisation | Wie Sie Weisungen erteilen (Form, Empfänger, Nachweis) geregelt? |
| lit. a, Ausnahme: Verarbeitung ohne Weisung nur, wenn den Anbieter Unions- oder Mitgliedstaatenrecht dazu verpflichtet; dann vorherige Mitteilung dieser Anforderungen an Sie, ausser das Recht verbietet die Mitteilung wegen eines wichtigen öffentlichen Interesses | Beruft sich der Anbieter nur auf ihn bindendes Unions- oder Mitgliedstaatenrecht, und informiert er Sie vor der Verarbeitung über diese Anforderungen? |
| lit. b: Vertraulichkeit der befugten Personen | Mitarbeitende des Anbieters zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen? |
| lit. c: Maßnahmen nach Art. 32 | Verschlüsselung, Zugriffssteuerung und Datensicherung konkret benannt? |
| lit. d: weitere Auftragsverarbeiter nach den Absätzen 2 und 4 | Liste, Genehmigungsverfahren, bei allgemeiner Genehmigung Änderungsanzeige mit Widerspruchsrecht? |
| lit. e: Unterstützung bei Anträgen auf Wahrnehmung der Rechte | Auskunfts-, Berichtigungs- und Löschanträge unterstützt? |
| lit. f: Unterstützung nach den Artikeln 32 bis 36 | Hilfe bei Datenschutz-Folgenabschätzung und Pannenmeldung zugesagt? |
| lit. g: Löschung oder Rückgabe nach Abschluss der Leistung | Wahlrecht des Verantwortlichen zwischen Löschung und Rückgabe; ausgenommen nur eine Speicherpflicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten; Rückgabe in einem nutzbaren Format geregelt? |
| lit. h: Nachweis, Überprüfungen und Inspektionen | Prüfungen erlaubt; Nachweise (Berichte, Zertifikate) genannt? |
| letzter Unterabsatz zu lit. h: Unterrichtung bei rechtswidriger Weisung | Anbieter informiert Sie unverzüglich, wenn er eine Weisung für rechtswidrig hält? |
| Schriftform (Abs. 9) | Vertrag oder anderes Rechtsinstrument schriftlich abgefasst, auch in einem elektronischen Format? |
Die Ausnahme zu lit. a gehört in dieselbe Prüfung: Ohne Weisung darf der Auftragsverarbeiter personenbezogene Daten nur verarbeiten, wenn ihn das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, dazu verpflichtet. Er teilt Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Die Ausnahme ist damit auf das Unions- oder Mitgliedstaatenrecht begrenzt, dem der Anbieter unterliegt; ein allgemeiner Vorbehalt eigener Rechtspflichten ginge weiter als die Norm.
Auch die Ausnahme zu lit. g ist eng gefasst: Die Löschung oder Rückgabe entfällt nur, wenn nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (Art. 28 Abs. 3 lit. g DSGVO); auf diese beiden Rechtsordnungen ist die Ausnahme begrenzt.
Zwei Punkte stehen ausserhalb des Katalogs, gehören aber in dieselbe Prüfung: Weitere Auftragsverarbeiter darf der Anbieter nur mit Ihrer vorherigen gesonderten oder allgemeinen schriftlichen Genehmigung einsetzen. Bei einer allgemeinen Genehmigung muss er Ihnen jede beabsichtigte Hinzuziehung oder Ersetzung anzeigen, damit Sie widersprechen können (Art. 28 Abs. 2 DSGVO). Bestimmt er entgegen der Verordnung selbst über Zwecke und Mittel, gilt er als Verantwortlicher (Art. 28 Abs. 10 DSGVO).
Rechtsgrundlage in Deutschland, Österreich und der Schweiz
In Deutschland und Österreich gilt Art. 28 DSGVO unmittelbar, ab 25. Mai 2018 (Art. 99 Abs. 2 DSGVO); Abs. 1 verlangt hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. In der Schweiz gilt die DSGVO nicht als solche. Art. 9 DSG erlaubt die Übertragung durch Vertrag oder Gesetzgebung nur, wenn die Daten so bearbeitet werden, wie es der Verantwortliche selbst dürfte, und keine Geheimhaltungspflicht entgegensteht; der Verantwortliche muss sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann, und einer Weitergabe an Dritte vorgängig zustimmen (Art. 9 Abs. 1 bis 3 DSG, in der Fassung des revidierten Gesetzes seit 1. September 2023). Ein Dienstleister mit Sitz in der Schweiz kann zusätzlich nach Art. 3 Abs. 2 DSGVO erfasst sein, wenn er Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet.
Ob eine Übermittlung in ein Drittland zulässig ist, regelt der Vertrag nicht; dafür gilt Datentransfer ins Drittland. Eine Datenschutzverletzung beim Dienstleister meldet dieser Ihnen unverzüglich (Art. 33 Abs. 2 DSGVO); Ihre Meldung an die Aufsichtsbehörde richtet sich nach Meldung einer Datenpanne und entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 Abs. 1 DSGVO).
Nicht zu verwechseln mit
- Verantwortlicher und Auftragsverarbeiter: Der Verantwortliche entscheidet über Zweck und Mittel, der Auftragsverarbeiter führt die Verarbeitung weisungsgebunden aus (Art. 4 Nr. 7 und 8 DSGVO).
- Gemeinsame Verantwortlichkeit: Entscheiden zwei Stellen gemeinsam über Zwecke und Mittel, ist es keine Auftragsverarbeitung, sondern eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.
- Auftrag im ERP: Ein Kunden- oder Fertigungsauftrag ist ein Geschäftsvorgang und keine Datenverarbeitung im Auftrag.
- Drittlandübermittlung: Sie ist eine eigene Voraussetzung nach Art. 44 ff. DSGVO; ein AVV ersetzt sie nicht.