Veröffentlicht am
Zwei Dinge müssen stehen, bevor der erste Kundendatensatz zum Softwareanbieter fliesst: ein Vertrag, der die Voraussetzungen von Artikel 9 des Datenschutzgesetzes erfüllt, und eine eigene Organisation, die diese Zusagen nachprüfbar macht. Strafbar ist bei einem Verstoss der Broker und nicht der Anbieter, denn Artikel 61 Buchstabe b DSG stellt es unter Busse bis zu 250 000 Franken, die Datenbearbeitung einem Auftragsbearbeiter zu übergeben, ohne dass die Voraussetzungen nach Artikel 9 Absätze 1 und 2 erfüllt sind.
Die Vertragsarbeit ist deshalb nicht delegierbar. Der Anbieter kann ein Musterdokument liefern; für dessen Inhalt haftet, wer über Zweck und Mittel der Bearbeitung entscheidet.
Dieser Beitrag geht die Klauseln in der Reihenfolge durch, in der sie gebraucht werden: Haftung, Artikel 9, Geheimhaltung, Unterbeauftragung, Prüfrechte, Ausland, Verzeichnis, Betroffenenrechte, Meldekette, Löschung. Er beschreibt kein Produkt, sondern was in jedem solchen Vertrag stehen muss.
Artikel 61 DSG trägt die Sachüberschrift «Verletzung von Sorgfaltspflichten» und nennt drei Tatbestände: die Bekanntgabe ins Ausland unter Verstoss gegen Artikel 16 Absätze 1 und 2 und ohne dass die Voraussetzungen nach Artikel 17 erfüllt sind (Buchstabe a), die Übergabe an einen Auftragsbearbeiter ohne die Voraussetzungen nach Artikel 9 Absätze 1 und 2 (Buchstabe b) und die Missachtung der Mindestanforderungen an die Datensicherheit (Buchstabe c). Alle drei richten sich gegen private Personen und sind mit Busse bis zu 250 000 Franken bedroht.
Der Zusatz zu Buchstabe a wird oft weggelassen und gehört zum Tatbestand. Strafbar ist die Bekanntgabe ins Ausland erst, wenn weder Artikel 16 eingehalten ist noch eine der Ausnahmen von Artikel 17 vorliegt — Artikel 17 zählt sie abschliessend auf, darunter die ausdrückliche Einwilligung der betroffenen Person und der unmittelbare Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags. Wer nur Artikel 16 prüft, prüft die Strafnorm nicht zu Ende.
Zwei Eigenheiten werden übersehen. Erstens werden diese Übertretungen überwiegend nur auf Antrag verfolgt: Artikel 61 und Artikel 62 sagen das durchgehend, Artikel 60 nur in seinem ersten Absatz. Artikel 60 Absatz 2 — falsche Auskunft an den EDÖB oder verweigerte Mitwirkung in einer Untersuchung — trägt die Wendung «auf Antrag» nicht und wird von Amtes wegen verfolgt. Wer sich darauf verlässt, ohne Strafantrag geschehe nichts, liegt gerade dort falsch, wo die Aufsicht selbst betroffen ist. Zweitens richtet sich die Busse gegen natürliche Personen; nach Artikel 64 Absatz 2 DSG kann die Behörde jedoch, wenn eine Busse von höchstens 50 000 Franken in Betracht fällt und die Ermittlung der strafbaren Person unverhältnismässig wäre, stattdessen den Geschäftsbetrieb zur Bezahlung verurteilen.
Verfolgt wird nach Artikel 65 Absatz 1 DSG durch die Kantone. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist keine Strafbehörde, kann aber Anzeige erstatten und die Rechte einer Privatklägerschaft wahrnehmen.
Die Norm ist kurz, und jeder ihrer Absätze erzeugt mindestens eine Vertragsklausel.
1 Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn: a. die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte; und b. keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. 2 Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. 3 Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen. 4 Er kann dieselben Rechtfertigungsgründe geltend machen wie der Verantwortliche.
DSG Art. 9
Buchstabe a heisst Zweckbindung. Der Anbieter darf die Daten so bearbeiten, wie der Broker selbst es dürfte, und keinen Schritt weiter; der Massstab steht in Artikel 6 Absatz 3 DSG, wonach Personendaten nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft und nur damit vereinbar bearbeitet werden dürfen. Nach Artikel 9 Absatz 4 DSG erbt der Auftragsbearbeiter dieselben Rechtfertigungsgründe wie der Verantwortliche, damit aber auch deren Grenzen. Im Vertrag wird daraus eine Klausel, die den Zweck benennt und jede Eigenverwendung des Anbieters ausschliesst, insbesondere zu eigenen Auswertungs- oder Trainingszwecken.
Buchstabe b ist die Prüfung, die am häufigsten unterbleibt. Er macht die Übertragung davon abhängig, dass keine gesetzliche oder vertragliche Geheimhaltungspflicht sie verbietet. Nachzusehen ist das in den eigenen Unterlagen des Brokers: in Courtage- und Zusammenarbeitsvereinbarungen mit Versicherern, in Mandatsverträgen, in Verschwiegenheitszusagen gegenüber Firmenkunden.
Die zugehörige Strafnorm ist Artikel 62 DSG: Wer geheime Personendaten vorsätzlich offenbart, von denen er bei der Ausübung seines Berufes, der die Kenntnis solcher Daten erfordert, Kenntnis erlangt hat, wird auf Antrag mit Busse bis zu 250 000 Franken bestraft, und zwar nach Absatz 3 auch nach Beendigung der Berufsausübung. Dazu kommt Artikel 30 Absatz 2 Buchstabe c DSG, wonach eine Persönlichkeitsverletzung insbesondere vorliegt, wenn Dritten besonders schützenswerte Personendaten bekanntgegeben werden; Gesundheitsdaten aus Krankentaggeld- oder Schadendossiers fallen nach Artikel 5 Buchstabe c Ziffer 2 DSG darunter. Der Vertrag muss die Vertraulichkeitsbindung des eingesetzten Personals deshalb ausdrücklich mittragen.
Artikel 9 Absatz 3 DSG erlaubt dem Auftragsbearbeiter die Weitergabe an einen Dritten nur mit vorgängiger Genehmigung des Verantwortlichen. Artikel 7 DSV führt aus, wie diese Genehmigung aussehen darf: Sie kann spezifischer oder allgemeiner Art sein. Bei einer allgemeinen Genehmigung informiert der Auftragsbearbeiter den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Dritter, und der Verantwortliche kann Widerspruch gegen diese Änderung erheben.
Weder eine Frist für diese Information noch eine Form für die Genehmigung nennt die Verordnung. Beides gehört in den Vertrag, sonst läuft das Widerspruchsrecht ins Leere: Eine Information, die gleichzeitig mit dem Wechsel eintrifft, lässt keinen Widerspruch mehr zu. Und zwischen Broker und Rechenzentrum stehen in der Regel mehrere Unternehmen, jedes davon ein solcher Dritter.
Wie eine Anbieterzusage dazu klingen kann, zeigt der Wortlaut der Subprozessorenseite dieser Plattform: «Bei wesentlichen Änderungen unserer Sub-Processor-Liste informieren wir unsere Kunden mit angemessener Vorlaufzeit (DSGVO Art. 28 Abs. 2).» Ob eine solche Zusage im Einzelfall genügt, entscheidet der Vertrag und nicht die Seite.
Artikel 9 Absatz 2 DSG verlangt vom Verantwortlichen, sich zu vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Wie das geschieht, sagt das Gesetz nicht; es nennt aber zwei Instrumente, die als Beleg taugen. Artikel 13 DSG lässt Systeme, Produkte und Dienstleistungen von anerkannten unabhängigen Zertifizierungsstellen bewerten, und Artikel 11 DSG erlaubt Berufs-, Branchen- und Wirtschaftsverbänden, dem EDÖB Verhaltenskodizes vorzulegen, zu denen dieser Stellung nimmt.
Ein Prüfrecht gegenüber dem Auftragsbearbeiter kennt das Gesetz dagegen nicht. Eine Volltextsuche im Erlass ergab null Treffer auf «Audit» und null auf «Überprüfung», bei 18 Treffern auf «Auftragsbearbeiter». Wer ein Einsichts- oder Nachweisrecht haben will, muss es vereinbaren.
Der Katalog der technischen und organisatorischen Massnahmen steht in den Artikeln 1 bis 5 DSV. Für die Vertragsarbeit zählt daraus vor allem Artikel 1 Absatz 5: Schutzbedarf, Risiko und Massnahmen sind über die gesamte Bearbeitungsdauer hinweg zu überprüfen und nötigenfalls anzupassen. Eine Zusicherung, die nur den Zustand bei Vertragsschluss beschreibt, deckt diese Daueraufgabe nicht ab.
Artikel 16 Absatz 1 DSG erlaubt die Bekanntgabe ins Ausland, wenn der Bundesrat für den betreffenden Staat einen angemessenen Schutz festgestellt hat. Diese Feststellung ist eine Liste und keine Einschätzung: Anhang 1 DSV. Am Erlasstext im Stand vom 1. Dezember 2025 ausgezählt enthält er 44 nummerierte Einträge; Nummer 44 sind die Vereinigten Staaten, dort aber nur für Organisationen, die nach den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA zertifiziert sind.
Fehlt der Zielstaat, greift Artikel 16 Absatz 2 DSG mit fünf Garantien. Zwei davon sind Vertragsarbeit: Buchstabe b, Datenschutzklauseln, die dem EDÖB vorgängig mitgeteilt wurden, und Buchstabe d, Standarddatenschutzklauseln, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat. Der Unterschied ist nicht formal: Buchstabe b verlangt eine Mitteilung, Buchstabe d eine Prüfung durch den Beauftragten, dessen Ergebnis er nach Artikel 10 Absatz 2 DSV innerhalb von 90 Tagen mitteilt.
Was in solchen Klauseln mindestens stehen muss, zählt Artikel 9 Absatz 1 DSV in zehn Buchstaben auf, und die Liste taugt als Prüfraster für jeden Auftragsbearbeitungsvertrag, auch ohne Auslandbezug: die Bearbeitungsgrundsätze; Kategorien der Daten und der betroffenen Personen; Art und Zweck der Bekanntgabe; Zielstaaten und deren Anforderungen; Anforderungen an Aufbewahrung, Löschung und Vernichtung; Empfänger; Massnahmen zur Datensicherheit; die Meldepflicht bei Verletzungen der Datensicherheit; die Informationspflicht der Empfänger, soweit diese Verantwortliche sind; und die Rechte der betroffenen Person.
Absatz 2 derselben Bestimmung geht über das Unterschreiben hinaus: Der Verantwortliche und bei Vertragsklauseln auch der Auftragsbearbeiter müssen angemessene Massnahmen treffen, um sicherzustellen, dass der Empfänger die Klauseln einhält.
Artikel 12 Absatz 1 DSG verlangt von Verantwortlichen und Auftragsbearbeitern je ein eigenes Verzeichnis der Bearbeitungstätigkeiten. Vier der sieben Mindestangaben des Verantwortlichen nach Absatz 2 lassen sich ohne den Anbieter gar nicht ausfüllen: die Kategorien der Empfängerinnen und Empfänger, wenn möglich die Aufbewahrungsdauer oder die Kriterien zu deren Festlegung, wenn möglich eine allgemeine Beschreibung der Sicherheitsmassnahmen und, bei Bekanntgabe ins Ausland, der Staat samt den Garantien nach Artikel 16 Absatz 2.
Daraus folgt eine Klausel, die in Musterverträgen oft fehlt: ein Anspruch auf genau diese Angaben, in aktueller Fassung, mit Nachmeldepflicht bei Änderungen. Absatz 3 verlangt vom Auftragsbearbeiter ohnehin ein eigenes Verzeichnis mit den Angaben nach Absatz 2 Buchstaben f und g; der Broker hat davon nichts, solange er sie nicht bekommt.
Die Erleichterung für kleinere Unternehmen trägt hier selten: Artikel 24 DSV befreit Unternehmen mit weniger als 250 Mitarbeitenden von der Verzeichnispflicht, nimmt die Befreiung aber zurück, sobald besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet.
Artikel 25 Absatz 4 DSG lässt keinen Zweifel: Lässt der Verantwortliche Personendaten von einem Auftragsbearbeiter bearbeiten, so bleibt er auskunftspflichtig. Artikel 17 Absatz 2 DSV ergänzt die Gegenseite: Betrifft ein Begehren Daten, die von einem Auftragsbearbeiter bearbeitet werden, so unterstützt dieser den Verantwortlichen bei der Erteilung der Auskunft, sofern er das Begehren nicht im Auftrag des Verantwortlichen beantwortet.
Die Frist macht daraus eine Terminfrage. Nach Artikel 18 Absatz 1 DSV ist die Auskunft innerhalb von 30 Tagen seit Eingang des Begehrens zu erteilen, und diese Frist läuft beim Broker. Eine Mitwirkungsfrist des Anbieters, die 30 Tage nicht deutlich unterschreitet, ist wertlos. Auch die Kosten sind gedeckelt: Artikel 25 Absatz 6 DSG schreibt kostenlose Auskunft vor, und wo Artikel 19 DSV bei unverhältnismässigem Aufwand eine Beteiligung zulässt, beträgt sie höchstens 300 Franken.
In dieselbe Klausel gehören zwei weitere Rechte, weil sie technische Mitwirkung verlangen: die Datenherausgabe in einem gängigen elektronischen Format und die Ansprüche nach Artikel 32 DSG auf Berichtigung, Löschung oder Vernichtung.
Artikel 24 Absatz 1 DSG verpflichtet den Verantwortlichen, dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit zu melden, die voraussichtlich zu einem hohen Risiko für die betroffene Person führt; Absatz 3 verpflichtet den Auftragsbearbeiter, so rasch als möglich dem Verantwortlichen zu melden. Was als Verletzung gilt, sagt Artikel 5 Buchstabe h DSG: dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt werden.
Der Vertrag muss aus dieser unbestimmten Zeitangabe eine bestimmte machen, denn die Frist des Brokers beginnt faktisch erst mit der Meldung des Anbieters. Dazu gehört der Inhalt: Artikel 15 Absatz 1 DSV zählt sieben Angaben auf, von der Art der Verletzung über Zeitpunkt und Dauer, Kategorien und ungefähre Anzahl der betroffenen Daten und Personen bis zu Folgen, Massnahmen und Ansprechperson. Ein Anbieter, der nur mitteilt, dass etwas vorgefallen sei, macht die Meldung des Brokers unvollständig.
Artikel 15 Absatz 4 DSV verlangt zudem eine Dokumentation mit Tatsachen, Auswirkungen und ergriffenen Massnahmen, ab der Meldung mindestens zwei Jahre aufzubewahren. Auch dafür braucht der Broker Material aus dem Betrieb des Anbieters.
Hier endet das, was das Schweizer Datenschutzrecht ausdrücklich vorgibt. Weder das Datenschutzgesetz noch die Datenschutzverordnung kennen eine Bestimmung, die den Auftragsbearbeiter verpflichtet, die Daten am Ende des Auftrags zurückzugeben oder zu löschen. Eine Volltextsuche in beiden Erlassen ergab null Treffer auf «Rückgabe», null auf «zurückgeb» und null auf «Beendigung des Auftrags».
Was es gibt, liegt eine Ebene daneben. Artikel 6 Absatz 4 DSG verlangt Vernichtung oder Anonymisierung, sobald die Daten nicht mehr erforderlich sind; diese Pflicht trifft den Verantwortlichen, der sie ohne den Anbieter nicht erfüllen kann. Und das Recht auf Datenherausgabe nach Artikel 28 DSG steht der betroffenen Person zu, nicht dem Broker.
Wer wissen will, wie eine ausformulierte Regel dazu aussieht, findet sie im EU-Recht. Artikel 28 Absatz 3 Buchstabe g der Datenschutz-Grundverordnung verlangt, dass der Vertrag vorsieht, dass der Auftragsverarbeiter
nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löscht oder zurückgibt, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht
DSGVO Art. 28 Abs. 3 Bst. g
Der räumliche Anwendungsbereich der Datenschutz-Grundverordnung steht in ihrem Artikel 3. Absatz 1 knüpft an eine Niederlassung in der Union an. Absatz 2 erfasst die Verarbeitung von Daten betroffener Personen, die sich in der Union befinden, durch einen nicht in der Union niedergelassenen Verantwortlichen, wenn sie damit zusammenhängt, diesen Personen Waren oder Dienstleistungen anzubieten oder ihr Verhalten in der Union zu beobachten.
Ob das auf einen bestimmten Schweizer Broker zutrifft, beurteilt dieser Beitrag nicht. Trifft es zu, kommt mit Artikel 28 DSGVO ein dichterer Pflichtenkatalog dazu, als ihn Artikel 9 DSG kennt: dokumentierte Weisungsbindung, Vertraulichkeitsverpflichtung der befugten Personen, Unterstützung bei Betroffenenrechten und bei den Pflichten der Artikel 32 bis 36, Löschung oder Rückgabe am Ende, ein Nachweis- und Inspektionsrecht des Verantwortlichen sowie die Schriftform nach Absatz 9, die auch elektronisch erfüllt werden kann.
Ein Satz aus Absatz 10 ist auch ausserhalb des EU-Rechts lehrreich: Ein Auftragsverarbeiter, der unter Verstoss gegen die Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, gilt insoweit als Verantwortlicher. Die Rolle folgt der Entscheidungsmacht, nicht der Bezeichnung im Vertrag.
Ein Auftragsbearbeitungsvertrag beantwortet Datenschutzfragen und sonst nichts. Er ersetzt nicht die aufsichtsrechtliche Informationspflicht: Artikel 45 Absatz 1 Buchstabe e VAG verlangt von Vermittlerinnen und Vermittlern eine eigene Information der Kundschaft über Ziel und Umfang der Bearbeitung, über die Empfängerin oder den Empfänger der Daten sowie deren Aufbewahrung.
In die Gegenrichtung gilt dasselbe. Aus dem Aufsichtsrecht lässt sich kein Datenschutznachweis ableiten, und ein aufsichtsrechtliches Auslagerungsregime für Broker existiert nicht: Das FINMA-Rundschreiben 2018/3 «Outsourcing» führt in Ziffer III seines Geltungsbereichs Banken und Wertpapierhäuser, bewilligungspflichtige Versicherungsunternehmen, Verwalter von Kollektivvermögen und Fondsleitungen sowie selbstverwaltete SICAV auf. Versicherungsvermittlerinnen und Versicherungsvermittler stehen dort nicht.
Daraus folgt der Satz, der jede Ausschreibungsantwort tragen sollte: Belegbar sind einzelne Pflichten mit einzelnen Fundstellen. Eine pauschale Konformitätsbehauptung ist keine davon.
Wer den Beitrag auf das Nötigste zusammenzieht, behält zehn Klauseln, jede mit einer Fundstelle:
SOTHURA SAFE ist eine Schweizer Software-Plattform für Versicherungsberater und -broker; zur eigenen Verarbeitung gilt der Wortlaut der Sicherheitsseite: «Speicherung zu 100 % in der Schweiz; die KI-Auswertung läuft in Zürich und weicht nur bei Überlast auf einen EU-Standort aus — Verarbeitung damit ausschliesslich in der Schweiz und der EU, Kunden-, Vertrags- und Dokumentdaten gehen nicht in die USA oder andere Drittstaaten».
SOTHURA SAFE GmbH, Wassergasse 5, 4573 Lohn-Ammannsegg, Kanton Solothurn. Eingetragen im Handelsregister des Kantons Solothurn, UID CHE-429.131.582. Die Geschäftsführung liegt bei Silvio Siegenthaler und Michel Di Vito, Zeichnungsberechtigung Kollektivunterschrift zu zweien. Die vollständige Anbieterkennzeichnung steht im Impressum.