Datenschutz beim Outsourcing: nDSG-Grundlagen für Schweizer KMU
Sie lagern an eine Remote-Assistenz im Ausland aus? Die nDSG-Grundlagen für KMU: Bekanntgabe ins Ausland, Auftragsverarbeitung, Sicherheit und Meldepflichten.
Wer Arbeit an eine Remote-Assistenz delegiert, teilt oft Personendaten: Kunden-E-Mails, Kontaktlisten, Rechnungen, Angaben zu Mitarbeitenden. In der Schweiz sind diese Daten durch das revidierte Bundesgesetz über den Datenschutz geschützt – das nDSG (auch revDSG; englisch nFADP) –, das am 1. September 2023 in Kraft getreten ist. Arbeitet Ihre Assistenz im Ausland, gelten zusätzliche Regeln. Dieser Artikel gibt KMU einen praktischen Überblick darüber, was vor und während des Outsourcings zu beachten ist.
Hinweis: Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Die Datenschutzanforderungen hängen von Ihrer konkreten Situation ab. Bitte wenden Sie sich an eine qualifizierte Schweizer Anwältin, einen qualifizierten Schweizer Anwalt oder eine Datenschutzfachperson, bevor Sie Entscheidungen über Ihre Pflichten treffen.
Was das nDSG abdeckt
Das nDSG gilt für die Bearbeitung von Personendaten natürlicher Personen durch private Unternehmen und Bundesorgane. «Bearbeiten» ist weit gefasst: Erheben, Speichern, Verwenden, Bekanntgeben oder Löschen von Daten fallen alle darunter. Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB; englisch FDPIC).
Bei einem KMU betrifft das typischerweise Daten über Kundinnen und Kunden, Interessenten, Kontaktpersonen bei Lieferanten sowie Mitarbeitende.
Verantwortliche und Auftragsbearbeiter
Wenn Sie eine Aufgabe mit Personendaten auslagern, bleibt Ihr Unternehmen in der Regel Verantwortlicher: Sie entscheiden, warum und wie die Daten bearbeitet werden. Der Outsourcing-Anbieter handelt im Allgemeinen als Auftragsbearbeiter, der die Daten in Ihrem Auftrag und nach Ihren Weisungen bearbeitet.
Nach dem nDSG dürfen Sie die Bearbeitung einem Auftragsbearbeiter übertragen, wenn – vereinfacht gesagt:
- der Auftragsbearbeiter die Daten nur so bearbeitet, wie Sie es selbst tun dürften
- keine gesetzliche oder vertragliche Geheimhaltungspflicht dies verbietet
- Sie sicherstellen, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann
Auftragsverarbeitungsverträge
Ein schriftlicher Auftragsverarbeitungsvertrag (AVV) ist der übliche Weg, diese Beziehung zu dokumentieren. Er regelt typischerweise Umfang und Zweck der Bearbeitung, die betroffenen Datenarten, Sicherheitsmassnahmen, Vertraulichkeit, den Beizug von Unterauftragsbearbeitern und was mit den Daten bei Vertragsende geschieht. NDAs sind nützlich, ersetzen einen AVV aber in der Regel nicht.
Bekanntgabe ins Ausland
Das ist der zentrale Punkt, wenn Ihre Assistenz aus einem anderen Land arbeitet. Das nDSG erlaubt die freie Bekanntgabe von Personendaten ins Ausland nur, wenn der Schweizerische Bundesrat festgestellt hat, dass das Zielland einen angemessenen Schutz gewährleistet. Der Bundesrat führt eine Liste dieser Länder.
Die Philippinen stehen zum Zeitpunkt der Erstellung dieses Artikels nicht auf dieser Liste. Eine Bekanntgabe in Länder ohne angemessenen Schutz erfordert in der Regel geeignete Garantien. Eine gängige Option sind vom EDÖB anerkannte Standardvertragsklauseln, oft basierend auf den EU-Standardvertragsklauseln mit schweizspezifischen Anpassungen. Es gibt weitere Mechanismen und eng begrenzte Ausnahmen, die jedoch mit fachlicher Beratung geprüft werden sollten.
Gut zu wissen: Auch wenn eine Remote-Assistenz auf Daten zugreift, die auf Servern in der Schweiz oder in der EU gespeichert sind, kann dies als Bekanntgabe ins Ausland gelten, weil der Zugriff aus einem anderen Land erfolgt.
Verzeichnis der Bearbeitungstätigkeiten
Das nDSG verpflichtet Verantwortliche und Auftragsbearbeiter, ein Verzeichnis der Bearbeitungstätigkeiten zu führen. Unternehmen mit weniger als 250 Mitarbeitenden sind davon ausgenommen, es sei denn, sie bearbeiten umfangreich besonders schützenswerte Personendaten oder führen ein Profiling mit hohem Risiko durch. Auch wenn die Ausnahme greift, ist eine einfache Übersicht – welche Daten Sie bearbeiten, warum, wohin sie gehen und wer Zugriff hat – gute Praxis und erleichtert Entscheidungen zum Outsourcing.
Massnahmen zur Datensicherheit
Von Ihnen wird erwartet, dass Sie eine dem Risiko angemessene Datensicherheit gewährleisten. Bei der Zusammenarbeit mit einer Remote-Assistenz gehören dazu praktische Massnahmen wie:
| Massnahme | So sieht sie in der Praxis aus |
|---|---|
| Zugriffskontrolle | Rollenbasierte Berechtigungen; die Assistenz sieht nur, was die Aufgabe erfordert |
| Verwaltung von Zugangsdaten | Ein geschäftlicher Passwort-Manager statt geteilter Passwörter |
| Authentifizierung | Zwei-Faktor-Authentifizierung bei allen wichtigen Konten |
| Gerätestandards | Aktuelle Betriebssysteme, Bildschirmsperre, Virenschutz |
| Vertraulichkeit | Unterzeichnete NDAs und klare Anweisungen zum Umgang mit Daten |
| Offboarding | Eine Checkliste, um bei Arbeitsende alle Zugriffe umgehend zu entziehen |
Solche Praktiken bauen wir in jede Vermittlung ein; Details finden Sie unter So funktioniert’s. Keine davon macht ein Unternehmen für sich allein gesetzeskonform, doch zusammen verringern sie das Risiko.
Meldung von Datensicherheitsverletzungen
Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen, muss der Verantwortliche sie dem EDÖB so rasch wie möglich melden. Auftragsbearbeiter müssen den Verantwortlichen so rasch wie möglich über eine Verletzung informieren. In manchen Fällen müssen auch die betroffenen Personen informiert werden. Ihr AVV sollte festlegen, wie und wie schnell Ihr Anbieter Sie benachrichtigt.
Die Informationspflicht
Wenn Sie Personendaten beschaffen, müssen Sie die betroffenen Personen informieren – typischerweise mit einer Datenschutzerklärung. Geben Sie Daten ins Ausland bekannt, sollte die Erklärung in der Regel die betreffenden Länder und gegebenenfalls die herangezogenen Garantien nennen. Wenn Sie mit dem Outsourcing auf die Philippinen beginnen, prüfen Sie, ob Ihre Datenschutzerklärung angepasst werden muss.
Eine praktische Checkliste für KMU
- Erfassen Sie, auf welche Personendaten Ihre Assistenz zugreifen wird.
- Schliessen Sie mit Ihrem Anbieter einen Auftragsverarbeitungsvertrag ab.
- Treffen Sie geeignete Garantien für die Bekanntgabe ins Ausland, etwa vom EDÖB anerkannte Standardvertragsklauseln.
- Aktualisieren Sie Ihre Datenschutzerklärung.
- Setzen Sie Zugriffskontrollen, einen Passwort-Manager und 2FA ein.
- Vereinbaren Sie einen Prozess für die Meldung von Datensicherheitsverletzungen.
- Überprüfen Sie Ihre Regelungen regelmässig mit einer qualifizierten Fachperson.
Mehr zur Strukturierung delegierter Arbeit finden Sie bei unserer Leistung Administrative Unterstützung oder im Artikel Wie Schweizer KMU mit einer virtuellen Assistenz Administrationskosten senken.
Das Wichtigste in Kürze
- Das nDSG gilt seit dem 1. September 2023 und deckt die meisten Personendaten ab, mit denen KMU umgehen.
- Beim Outsourcing wird Ihr Anbieter in der Regel zum Auftragsbearbeiter; halten Sie dies in einem AVV fest.
- Eine Bekanntgabe auf die Philippinen erfordert in der Regel Garantien wie vom EDÖB anerkannte Standardvertragsklauseln.
- Sicherheitsmassnahmen, Abläufe bei Datensicherheitsverletzungen und eine aktuelle Datenschutzerklärung gehören alle dazu.
- Lassen Sie sich für Ihre konkrete Situation immer von einer qualifizierten Schweizer Anwältin oder einem qualifizierten Schweizer Anwalt beraten.
Fragen dazu, wie wir mit Daten bei unseren Assistenzen umgehen? Buchen Sie eine kostenlose Beratung, und wir erklären Ihnen unsere Praktiken.
Verfasst von
Team Swiss Virtual Assistant
Redaktion
Praktische Tipps zu Delegieren, Automatisierung und Remote-Teams für Unternehmerinnen und Unternehmer in der Schweiz und den Nachbarländern – geschrieben von den Menschen, die unsere virtuellen Assistentinnen und Assistenten rekrutieren, schulen und betreuen.
