Datenstandort Schweiz

Der Auftragsverarbeitungsvertrag (AVV), erklärt

Für: Geschäftsführer, Einkauf und Datenschutzverantwortliche, die SaaS-Verträge prüfen.

Kurz erklärt

Ein AVV regelt, was ein Dienstleister mit den Personendaten seines Kunden tun darf: nur auf Weisung, mit Geheimhaltung, dokumentierten Sicherheitsmassnahmen, offengelegten Subprozessoren, Unterstützung bei Betroffenenanfragen und Löschung bei Vertragsende. Ohne AVV ist Cloud-Nutzung mit Personendaten nicht zulässig.

Der AVV ist das eine Dokument, das niemand liest und jeder braucht. Er verwandelt den Anbieter vom fremden Dritten in einen weisungsgebundenen Gehilfen — rechtlich der Unterschied zwischen einer Datenweitergabe und einer Auftragsbearbeitung. Er muss nicht lang sein. Er muss die richtigen Dinge sagen.

Was ein AVV enthalten muss

Nach Art. 9 revDSG und Art. 28 DSGVO im Kern:

Gegenstand, Dauer, Art und Zweck der Bearbeitung, Datenkategorien, betroffene Personen
Bearbeitung nur auf dokumentierte Weisung des Verantwortlichen
Geheimhaltungspflicht des Personals
Technische und organisatorische Massnahmen (TOMs), mindestens als Anhang
Subprozessoren: Liste, Genehmigung, Informationspflicht bei Änderungen
Unterstützung bei Betroffenenrechten und Datenpannen
Löschung oder Rückgabe nach Vertragsende
Kontroll- und Auditrechte des Verantwortlichen

Die Fünf-Minuten-Prüfung

Bevor man einen Anbieter-AVV unterschreibt: Sind die Subprozessoren namentlich mit Land aufgeführt? Steht drin, wie man über neue Subprozessoren informiert wird? Gibt es einen TOM-Anhang, der mehr sagt als «angemessene Massnahmen»? Ist die Löschfrist nach Kündigung genannt? Und: Gilt der Vertrag nach Schweizer Recht oder verweist er auf einen Gerichtsstand in Übersee? Vier von fünf Antworten sollten positiv sein.

Flenios AVV

Flenio stellt einen AVV nach Art. 28 DSGVO und Art. 9 revDSG zur Verfügung — mit Subprozessorliste inkl. Ländern und Aktivierungsstatus, TOM-Anhang, Ankündigung von Änderungen und Schweizer Recht. Er kann direkt aus dem Trust Center bezogen werden; für Kanzleien gibt es eine Ergänzung zum Berufsgeheimnis.

Häufige Fragen

Brauche ich einen AVV mit jedem SaaS-Tool?

Mit jedem, das Personendaten für dich verarbeitet — also praktisch jedem: E-Mail, CRM, Projekttool, Zeiterfassung. Ausnahme: Tools ohne Personendaten (reine Rechner ohne Login).

Was, wenn der Anbieter keinen AVV anbietet?

Dann verarbeitet er Daten ohne Rechtsgrundlage für dich. Bei US-Anbietern ist ein «Data Processing Addendum» meist in den AGB verlinkt — suchen, herunterladen, ablegen.

Muss ich den AVV unterschreiben?

Viele SaaS-AVVs gelten durch Akzeptieren der AGB. Trotzdem: eine Kopie mit Datum ablegen. Bei einer Prüfung durch den EDÖB oder einen Mandanten ist das der Nachweis.