Auftragsbearbeitungsvertrag (AVV)

Wer Personendaten durch Dritte bearbeiten lässt — etwa über IT-, Hosting-, Marketing- oder Treuhanddienste —, bleibt dafür verantwortlich. Die Bearbeitung ist vertraglich zu regeln, und die Datensicherheit muss gleichwertig gewährleistet sein.

Der Vertrag hält fest, welche Daten zu welchem Zweck bearbeitet werden, ob Unterauftragsbearbeiter zugelassen sind, welche technischen und organisatorischen Massnahmen gelten und was bei Beendigung mit den Daten geschieht.

Werden Daten ins Ausland übermittelt, braucht es zusätzlich eine Grundlage nach Art. 16 f. DSG. Unterliegt das Unternehmen auch der DSGVO, sind deren Anforderungen mitzudenken.