Was ist bei der Beauftragung eines Auftragsbearbeiters zu beachten?

Teil 8 unserer Serie zum Datenschutzrecht in der Schweiz

In diesem Teil unserer Serie analysieren wir, welche Vorgaben nach dem Bundesgesetz über den Datenschutz (DSG) bei der Beauftragung eines Auftragsbearbeiters für die Bearbeitung von Personendaten zu beachten sind.

Gesetzliche Grundlagen

Gemäss Art. 9 DSG darf die Bearbeitung von Personendaten vertraglich oder durch Gesetz einem Auftragsbearbeiter übertragen werden, sofern

1. die Daten nur so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und
2. keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet.

Das Gesetz verlangt ausserdem, dass der Verantwortliche sicherstellt, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann, etwa anhand einer Checkliste oder Einsicht in entsprechende Informationssicherheits-Standards (ISO-Zertifizierung). Eine Weitervergabe der Bearbeitung an Dritte ist nur mit vorgängiger Genehmigung des