Braucht es einen Vertrag mit Anbietern, die Daten für uns bearbeiten?
Von Advisorn · aktualisiert am 17. Oktober 2026 · Art. 9 DSG, Art. 28 DSGVO
Kurz gesagt
Ja. Ein Unternehmen kann die Bearbeitung von Personendaten vertraglich einem Anbieter (Auftragsbearbeiter) übertragen, wenn dieser die Daten nur so bearbeitet, wie es das Unternehmen selbst tun dürfte, und ihre Sicherheit gewährleistet (Art. 9 DSG). Der Anbieter darf die Bearbeitung nur mit vorgängiger Genehmigung des Unternehmens einem Dritten übertragen; nach DSGVO muss der Vertrag schriftlich sein und den Inhalt von Art. 28 DSGVO haben.
Wer Auftragsbearbeiter ist
Wer in Ihrem Auftrag und nach Ihren Weisungen Daten bearbeitet: der Anbieter der Unternehmenssoftware, der Cloud-Dienst, die Treuhänderin, die die Löhne macht, die Agentur, die die Newsletter verschickt. Nicht dazu gehört, wer selbst entscheidet, wie die Daten verwendet werden, etwa eine Bank oder eine Versicherung für ihre eigenen Zwecke.
Was in den Vertrag gehört
- Gegenstand, Dauer, Art und Zweck der Bearbeitung;
- die Pflicht, Ihre Weisungen zu befolgen und die Vertraulichkeit zu wahren;
- die Massnahmen zur Datensicherheit;
- die Regeln zu Unterauftragsbearbeitern;
- die Unterstützung bei der Beantwortung von Begehren und bei Verletzungen der Datensicherheit;
- die Rückgabe oder Löschung der Daten am Ende.
Verwandte Fragen
Allgemeine Informationen, keine Beratung zu Ihrem Fall: Für Ihren Fall gilt der Gesetzestext. Für eine Frage zu Ihrem Fall gibt es die Beratung von Advisorn.