Vorlage Auftragsbearbeitungsvertrag (Art. 9 DSG, Art. 28 DSGVO)

Art. 9 DSG
Art. 28 DSGVO
Etwa 40 Minuten
Italiano · Deutsch · Français · English

Kurz gesagt

Der Vertrag, den Sie mit jedem Dienstleister schliessen, der in Ihrem Auftrag Personendaten bearbeitet, zum Beispiel für das Hosting oder die Lohnbuchhaltung. Er legt fest, was der Dienstleister mit den Daten tun darf, wie er sie schützt und was am Ende geschieht.

Für wen: Der Dienstleister. Beide Seiten unterschreiben; er gilt zusammen mit dem Dienstleistungsvertrag.
Vorher zu entscheiden: Wer der Dienstleister ist und welche Leistung er erbringt; in den drei Anhängen beschreiben Sie die anvertrauten Daten, die Sicherheitsmassnahmen und die zugelassenen Unterauftragnehmer.
Danach: Lassen Sie ihn vom Dienstleister unterschreiben, laden Sie die unterschriebene Kopie hoch und verknüpfen Sie ihn mit dem Eintrag in der Liste der Dienstleister.

Was sie enthält

1Präambel
2Gegenstand und Begriffe
3Weisungen des Verantwortlichen
4Vertraulichkeit
5Datensicherheit
6Unterauftragsbearbeiter
7Ort der Bearbeitung und Bekanntgabe ins Ausland
8Unterstützung des Verantwortlichen
9Verletzungen der Datensicherheit
10Kontrollen und Audits
11Rückgabe und Löschung der Daten
12Haftung
13Dauer und Beendigung
14Schlussbestimmungen
15Unterschriften
16Anhang 1 – Beschreibung der Bearbeitung
17Anhang 2 – Technische und organisatorische Massnahmen
18Anhang 3 – Genehmigte Unterauftragsbearbeiter

Ein Auszug

Präambel

Der Auftragsbearbeiter erbringt für den Verantwortlichen die folgende Dienstleistung (nachfolgend der «Hauptvertrag»): __________.
Zur Erbringung der Dienstleistung bearbeitet der Auftragsbearbeiter Personendaten im Auftrag des Verantwortlichen. Der Verantwortliche entscheidet über die Zwecke und Mittel der Bearbeitung; der Auftragsbearbeiter handelt nur in seinem Auftrag.
Dieser Vertrag regelt die Bearbeitung durch einen Auftragsbearbeiter im Sinne von Art. 9 des Bundesgesetzes über den Datenschutz (DSG).
Dieser Vertrag enthält die Elemente, die Art. 28 Abs. 3 der Verordnung (EU) 2016/679 (DSGVO) verlangt.

1. Gegenstand und Begriffe

1.1 Der Vertrag legt die Pflichten der Parteien bei der Bearbeitung von Personendaten fest, die der Auftragsbearbeiter im Auftrag des Verantwortlichen durchführt. Gegenstand, Dauer, Art und Zweck der Bearbeitung, Arten von Daten und Kategorien betroffener Personen sind in Anhang 1 beschrieben.

Der ganze Text entsteht auf der Plattform, mit den Angaben Ihrer Organisation bereits eingesetzt.

DSG und DSGVO im Vergleich

	DSG (Schweiz)	DSGVO (EU)
Form	Vertrag oder Gesetz; das DSG schreibt keinen Mindestinhalt vor (Art. 9 Abs. 1)	Vertrag oder anderes Rechtsinstrument, schriftlich, auch in elektronischem Format (Art. 28 Abs. 3 und 9)
Inhalt	Der Auftragsbearbeiter bearbeitet die Daten nur so, wie der Verantwortliche es selbst tun dürfte, und gewährleistet ihre Sicherheit (Art. 9 Abs. 1-2)	Verbindliche Liste: Gegenstand, Dauer, Art, Zweck, Arten von Daten, Weisungen, Vertraulichkeit, Sicherheit, Unterstützung, Löschung, Überprüfungen (Art. 28 Abs. 3)
Unterauftragsbearbeiter	Nur mit vorgängiger Genehmigung des Verantwortlichen (Art. 9 Abs. 3)	Schriftliche Genehmigung, gesondert oder allgemein mit Einspruchsrecht (Art. 28 Abs. 2 und 4)

Die Vorlage passt sich an: Sie wählt die Absätze nach den Gesetzen, die für Ihre Organisation gelten.