Erstellt eine rechtssichere Datenverarbeitungsvereinbarung (DPA) – kostenlos

Ein DPA ist erforderlich, sobald die EU-DSGVO gilt und ihr personenbezogene Daten an einen Dienstleister übermittelt, der ausschliesslich nach euren Vorgaben (als Auftragsverarbeiter) handelt. Dasselbe gilt, wenn euer Unternehmen als Dienstleister für ein anderes Unternehmen tätig ist. 

Laut EU-DSGVO gibt es klare Vorgaben, die in einer DPA geregelt sein müssen. Diese stehen in Art. 28 EU-DSGVO und umfassen Punkte wie den Zweck, die Dauer und die Art der Verarbeitung. Ausserdem muss sichergestellt werden, dass die Mitarbeitenden des Auftragsverarbeiters zur Vertraulichkeit verpflichtet sind. Der Auftragsverarbeiter darf nur auf Anweisung des Verantwortlichen handeln, muss den Verantwortlichen bei der Einhaltung der Rechte von Betroffenen unterstützen und die Sicherheit der personenbezogenen Daten garantieren. Insgesamt müssen alle Anforderungen der EU-DSGVO erfüllt werden. 

Im Schweizer Recht liegt der Fokus darauf, dass der Verantwortliche sicherstellt, dass der Auftragsverarbeiter die Sicherheit und Integrität der Daten gewährleistet. Zusätzlich muss die Vereinbarung festlegen, dass der Auftragsverarbeiter Subunternehmer nur mit vorheriger Zustimmung des Verantwortlichen einsetzen darf. Außerdem ist der Verantwortliche über Datenpannen zu informieren. 

Ja, aber nur mit vorheriger Genehmigung des Verantwortlichen. Dies kann fallweise erfolgen, indem der Auftragsverarbeiter bei jeder neuen Zusammenarbeit eine Genehmigung einholt, oder generell in der DPA festgelegt werden, dass zukünftige Subunternehmer erlaubt sind. 

Ja, in bestimmten Fällen werden personenbezogene Daten nicht an einen Auftragsverarbeiter übermittelt, sondern an ein anderes Unternehmen, das gemeinsam mit eurem die Zwecke und Mittel der Verarbeitung bestimmt (Joint Controller). In solchen Fällen muss die Beziehung in einer Vereinbarung geregelt werden, die die jeweiligen Verantwortlichkeiten und die Einhaltung der Betroffenenrechte sowie die Bereitstellung der Datenschutzinformationen festlegt.