Die Treuhänderin sagte, damit sei das Thema erledigt

Physio Aarelauf AG

Bahnhofstrasse 31

4600 Olten

MediPlan Software GmbH

Technoparkstrasse 1

8005 Zürich

Olten, 15. August 2026

Auftragsbearbeitungsvertrag

zwischen der Physio Aarelauf AG, Bahnhofstrasse 31, 4600 Olten (Verantwortliche), und der MediPlan Software GmbH, Technoparkstrasse 1, 8005 Zürich (Auftragsbearbeiterin).

1. Gegenstand und Dauer

Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich zur Erbringung der im Hauptvertrag vereinbarten Leistungen (Terminplanung, Patientendossier, Verlaufsdokumentation, Abrechnung, Personalmodul) für die vier Standorte der Verantwortlichen. Der Vertrag gilt für die Dauer des Hauptvertrags.

2. Kategorien von Daten und betroffenen Personen

Bearbeitet werden Personendaten von Patientinnen und Patienten (Identifikations- und Kontaktdaten, AHV-Nummer, Versichertennummer, Zuweisungen, Diagnosen, Verlaufsberichte, Abrechnungsdaten) sowie von Mitarbeitenden. Es handelt sich bei den Gesundheitsdaten um besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c DSG.

3. Weisungsbindung

Die Auftragsbearbeiterin bearbeitet die Daten ausschliesslich nach dokumentierten Weisungen der Verantwortlichen. Hält sie eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit. Eine Bearbeitung zu eigenen Zwecken, insbesondere zu Analyse-, Trainings- oder Produktentwicklungszwecken, ist ausgeschlossen.

4. Unterauftragsbearbeitung

Die Auftragsbearbeiterin zieht Unterauftragsbearbeiter nur mit vorgängiger Genehmigung der Verantwortlichen bei (Art. 9 Abs. 3 DSG). Sie führt eine Liste der eingesetzten Unterauftragsbearbeiter mit Name, Sitz, Leistung und Bearbeitungsort; die Liste ist Anhang 1 dieses Vertrags. Vor jedem Wechsel informiert sie die Verantwortliche mit einer Frist von dreissig Tagen. Die Verantwortliche kann widersprechen; im Widerspruchsfall steht ihr ein ausserordentliches Kündigungsrecht zu. Die Auftragsbearbeiterin überbindet den Unterauftragsbearbeitern dieselben Pflichten und haftet für sie wie für eigenes Handeln.

5. Bearbeitung im Ausland

Eine Bekanntgabe von Personendaten ins Ausland ist nur zulässig, wenn der Zielstaat einen angemessenen Schutz gewährleistet oder geeignete Garantien nach Art. 16 Abs. 2 DSG bestehen. Die Auftragsbearbeiterin nennt in Anhang 1 für jeden ausländischen Bearbeitungsort die massgebende Grundlage. Bearbeitungen ausserhalb der Schweiz und des Europäischen Wirtschaftsraums, insbesondere Support- und Sicherungsleistungen in den Vereinigten Staaten, bedürfen der ausdrücklichen vorgängigen Zustimmung der Verantwortlichen.

6. Datensicherheit

Die Auftragsbearbeiterin trifft die technischen und organisatorischen Massnahmen nach Art. 8 DSG. Sie dokumentiert diese in Anhang 2, der Bestandteil dieses Vertrags ist, und hält ihn aktuell. Wegen der Bearbeitung besonders schützenswerter Personendaten sind insbesondere Verschlüsselung bei Übertragung und Speicherung, rollenbasierte Zugriffskontrolle, Protokollierung der Zugriffe und regelmässige Wiederherstellungstests vorzusehen.

7. Meldung von Verletzungen der Datensicherheit

Die Auftragsbearbeiterin meldet der Verantwortlichen jede Verletzung der Datensicherheit unverzüglich, spätestens innert 24 Stunden nach Kenntnis, mit den Angaben, welche die Verantwortliche für ihre Meldung nach Art. 24 DSG benötigt. Sie unterstützt sie bei der Aufarbeitung.

8. Rechte der betroffenen Personen

Die Auftragsbearbeiterin unterstützt die Verantwortliche bei der Beantwortung von Auskunfts-, Berichtigungs-, Löschungs- und Herausgabebegehren und leitet direkt bei ihr eingehende Begehren unverzüglich weiter, ohne sie selbst zu beantworten.

9. Kontrolle

Die Verantwortliche kann die Einhaltung dieses Vertrags überprüfen oder durch unabhängige Dritte überprüfen lassen, nach Voranmeldung und ohne Beeinträchtigung des Betriebs. Anerkannte Zertifikate und Prüfberichte werden angerechnet.

10. Rückgabe und Löschung

Nach Beendigung gibt die Auftragsbearbeiterin sämtliche Daten in einem gängigen, maschinenlesbaren Format heraus und löscht sie anschliessend einschliesslich aller Sicherungskopien innert dreissig Tagen. Die Herausgabe erfolgt ohne zusätzliche Vergütung. Die Löschung wird schriftlich bestätigt.

11. Haftung

Jede Partei haftet für die Verletzung ihrer Pflichten nach diesem Vertrag nach den gesetzlichen Bestimmungen. Eine Freistellung der Auftragsbearbeiterin durch die Verantwortliche für Schäden aus dem Verantwortungsbereich der Auftragsbearbeiterin ist ausgeschlossen.

12. Anwendbares Recht und Gerichtsstand

Schweizer Recht. Gerichtsstand ist Olten.

Anhang 1: Liste der Unterauftragsbearbeiter mit Bearbeitungsort und Grundlage der Auslandbekanntgabe.

Anhang 2: Technische und organisatorische Massnahmen.

Freundliche Grüsse

Physio Aarelauf AG
Claudia Rüfenacht, Geschäftsführerin

Physio Aarelauf AG

Bahnhofstrasse 31

4600 Olten

MediPlan Software GmbH

Technoparkstrasse 1

8005 Zürich

Olten, 15. August 2026

Auftragsbearbeitungsvertrag — unser Gegenvorschlag

Sehr geehrte Damen und Herren

Wir haben Ihren Entwurf eines Auftragsbearbeitungsvertrags vom 2. Juni 2026 geprüft. Wir können ihn in der vorliegenden Fassung nicht unterzeichnen und legen Ihnen eine überarbeitete Fassung vor.

Drei Punkte sind für uns nicht verhandelbar:

1. Unterauftragsbearbeitung. Ihre Ziffer 3 erlaubt den Beizug und Austausch von Unterauftragsbearbeitern nach freiem Ermessen und ohne Information. Nach Art. 9 Abs. 3 des Datenschutzgesetzes ist dafür unsere vorgängige Genehmigung erforderlich. Wir benötigen eine Liste der eingesetzten Unterauftragsbearbeiter, eine Information vor jedem Wechsel und ein Widerspruchsrecht.

2. Bearbeitung im Ausland. Ihre Ziffer 4 nennt Hosting in der Schweiz, erlaubt aber Support-, Wartungs- und Sicherungsleistungen weltweit, «namentlich in den Vereinigten Staaten». Ihr Leistungsbeschrieb bestätigt einen Support in Texas und ein Backup bei einem US-Anbieter. Eine Bekanntgabe ins Ausland setzt nach Art. 16 DSG einen angemessenen Schutz oder geeignete Garantien voraus. Ihr Entwurf nennt keine. Wir benötigen die Angabe, auf welche Grundlage Sie sich stützen.

3. Haftung und Freistellung. Ihre Ziffern 6 und 7 begrenzen Ihre Haftung auf die Jahresentgelte und verlangen zusätzlich eine Freistellung durch uns. In dieser Kombination trügen wir das gesamte Risiko einer Bearbeitung, die in Ihrem Verantwortungsbereich liegt.

Wir bearbeiten Gesundheitsdaten von rund 6'400 Patientinnen und Patienten. Das sind besonders schützenswerte Personendaten. Wir bitten Sie um Rückmeldung bis zum 12. September 2026.

Freundliche Grüsse

Physio Aarelauf AG
Claudia Rüfenacht, Geschäftsführerin

Beilagen:

– Auftragsbearbeitungsvertrag, überarbeitete Fassung

— Rechtsdokumente und Rechtsschriften zum Fixpreis

Ihr nächster Schritt — Auftragsbearbeitungsvertrag (Auftrag LW-BSP-2026-J01)

1. Was Sie erhalten haben

• Auftragsbearbeitungsvertrag aus Ihrer Sicht — unterschriftsreif, mit zwei Anhängen.

• Begleitschreiben an den Anbieter — benennt die drei Änderungspunkte.

• Dieses Hinweisblatt — was Ihre Treuhänderin nicht richtig gesagt hat.

• FAQ — die häufigsten Anschlussfragen.

2. Die Verantwortung bleibt bei Ihnen

Ihre Treuhänderin hat gesagt, mit der Unterschrift sei das Thema Datenschutz erledigt. Das trifft nicht zu, und der Irrtum ist teuer.

Sie sind Verantwortliche im Sinne des Datenschutzgesetzes, weil Sie über Zweck und Mittel der Bearbeitung entscheiden. Ein Auftragsbearbeitungsvertrag regelt, was der Anbieter darf und muss. Er verschiebt die Verantwortung nicht. Kommt es zu einem Vorfall, sind Sie die Ansprechpartnerin der Betroffenen und der Behörde — nicht der Anbieter.

Ihre Beobachtung zur Busse ist dagegen richtig: Das Gesetz sieht Bussen bis CHF 250'000 vor, und sie richten sich gegen die verantwortliche natürliche Person, nicht gegen die Gesellschaft. Ein tragfähiger Vertrag und dokumentierte Massnahmen sind das, was dieses Risiko senkt.

3. Drei Punkte im Anbietervertrag, die nicht tragen

Erstens: Der Anbieter darf nach seiner Ziffer 3 Unterauftragnehmer nach freiem Ermessen einsetzen und austauschen, ohne Sie zu informieren. Das Gesetz verlangt Ihre vorgängige Genehmigung. Ohne Liste wissen Sie nicht einmal, wer Ihre Patientendaten bearbeitet.

Zweitens, und das ist der schwerste Punkt: Vorne steht «Hosting Schweiz», hinten steht, dass Support und Backup weltweit erbracht werden dürfen, «namentlich in den Vereinigten Staaten». Im Leistungsbeschrieb steht es konkret: Support in Texas, Backup gespiegelt bei einem US-Anbieter. Eine Bekanntgabe ins Ausland braucht einen angemessenen Schutz oder Garantien. Der Vertrag nennt keine. Sie haben das im Kleingedruckten gefunden — genau dort steckt es.

Drittens: Der Anbieter begrenzt seine Haftung auf die Jahresentgelte und verlangt zusätzlich, dass Sie ihn freistellen. Zusammen tragen Sie damit praktisch alles.

4. Was Sie zusätzlich brauchen

Sie führen ein Verzeichnis der Bearbeitungstätigkeiten. Die Ausnahme für kleine Unternehmen gilt nicht, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden — 6'400 Patientendossiers sind ein grosser Umfang. Das Verzeichnis ist nicht Gegenstand dieses Auftrags; wir weisen darauf hin, damit Sie es nicht übersehen.

5. So gehen Sie vor

1. Vertrag und Begleitschreiben prüfen und unterschreiben.

2. Beides dem Anbieter zustellen und die Liste der Unterauftragsbearbeiter sowie die Grundlage für die Bearbeitung in den USA verlangen. Ohne diese beiden Angaben bleiben die Anhänge leer und der Vertrag unvollständig.

3. Antwort bis zum 12. September 2026 einfordern.

4. Lehnt der Anbieter ab, entscheiden Sie auf dieser Grundlage über den Hauptvertrag.

6. Was offen bleibt

• Ob der Anbieter die Änderungen akzeptiert, wissen wir nicht; er verwendet einen Standardvertrag.

• Ohne die Liste der Unterauftragsbearbeiter lässt sich die Bearbeitung im Ausland nicht abschliessend beurteilen.

• Ihr eigenes Bearbeitungsverzeichnis und Ihre eigenen technischen Massnahmen sind nicht Gegenstand dieses Auftrags.

• Wir geben keine Prognose ab und versprechen keine Bussenfreiheit.

— Rechtsdokumente und Rechtsschriften zum Fixpreis

Häufige Anschlussfragen (Auftrag LW-BSP-2026-J01)

Sind wir mit der Unterschrift aus der Verantwortung?

Nein. Sie bleiben Verantwortliche. Der Vertrag regelt die Pflichten des Anbieters und schützt Sie dadurch — er verschiebt die Verantwortung aber nicht.

Der Anbieter sagt, das Hosting sei in der Schweiz. Reicht das?

Nein. Support und Backup laufen laut Leistungsbeschrieb über die USA. Auch das ist eine Bekanntgabe ins Ausland und braucht eine Grundlage nach Art. 16 DSG.

Was, wenn der Anbieter unsere Fassung ablehnt?

Dann haben Sie eine Entscheidungsgrundlage: Sie wissen, welche Punkte er nicht erfüllen will, und können den Hauptvertrag daran messen. Schriftlich dokumentiert ist das auch für Sie eine Absicherung.

Brauchen wir wirklich ein Bearbeitungsverzeichnis?

Ja. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitenden gilt nicht, wenn besonders schützenswerte Personendaten in grossem Umfang bearbeitet werden.

Haftet die Geschäftsführung wirklich persönlich?

Die Bussen des Datenschutzgesetzes richten sich gegen die verantwortliche natürliche Person. Ein tragfähiger Vertrag und dokumentierte Massnahmen sind der wirksamste Schutz dagegen.

Ich habe eine Rückfrage zum Werk.

Rückfragen zum gelieferten Werk beantworten wir über Ihre Auftragsseite. Ändert oder ergänzt sich der Sachverhalt, ist das ein neuer Auftrag (max. 50% Rabatt).