Kostenlose Vorlage: Auftragsbearbeitungsvertrag (AVV) nach nDSG
Der Auftragsbearbeitungsvertrag (AVV) ist nach Art. 9 nDSG zwingend, sobald ein Schweizer Unternehmen die Bearbeitung von Personendaten an Dritte auslagert — etwa an Cloud-Anbieter, IT-Dienstleister, Marketing-Agenturen oder Lohnbuchhaltungen. Die Doxuno-Vorlage deckt Zweck, Datenarten, Sub-Bearbeiter, TOM, Datenexport und Meldepflichten nDSG-konform ab und berücksichtigt auch DSGVO-Anforderungen für grenzüberschreitende Konstellationen.
Hosting und Betrieb der Kundendatenbank, Versand von transaktionalen und Marketing-E-Mails, Cloud-Speicherung sowie Analyse von Nutzungsdaten im Rahmen der Software-as-a-Service-Plattform des Verantwortlichen.
Die Bearbeitung umfasst insbesondere die Tätigkeiten der Erhebung, Speicherung, Organisation, Strukturierung, Veränderung, Abfrage, Verwendung, Offenlegung, Löschung und Vernichtung der Personendaten im Rahmen des vereinbarten Zwecks (nDSG Art. 5 lit. d). Eine Bearbeitung für eigene Zwecke des Auftragsbearbeiters oder zu anderen als den vereinbarten Zwecken ist ausgeschlossen.
Kundinnen und Kunden des Verantwortlichen, Interessenten und Newsletter-Abonnenten, Mitarbeitende und externe Beraterinnen/Berater, Nutzerinnen und Nutzer der Webplattform.
Kategorien der bearbeiteten Personendaten:
Kontaktdaten (Name, Vorname, Anschrift, E-Mail, Telefon), Vertrags- und Abrechnungsdaten, Nutzungs- und Verhaltensdaten (Loginzeiten, IP-Adressen, Browsertyp), Kommunikationsverlauf.
Art der Daten / besonders schützenswerte Personendaten:
Keine besonders schützenswerten Personendaten im Sinne von nDSG Art. 5 lit. c werden regelmässig bearbeitet. Sollte ausnahmsweise eine Bearbeitung erforderlich werden, informieren sich die Parteien vorgängig gegenseitig.
Die Parteien werden die vorstehenden Angaben bei Bedarf gemeinsam aktualisieren und in einem Nachtrag zu diesem Vertrag festhalten (nDSG Art. 12 — Bearbeitungsverzeichnis).
• sie durch eine Rechtsvorschrift der Schweiz oder — bei grenzüberschreitender Bearbeitung — der EU/des EWR vorgeschrieben ist; in diesem Fall teilt der Auftragsbearbeiter dem Verantwortlichen die rechtliche Verpflichtung vor der Bearbeitung mit, soweit die Mitteilung nicht aus wichtigen Gründen untersagt ist;
• der Verantwortliche einer zusätzlichen Bearbeitung ausdrücklich schriftlich zugestimmt hat.
Der Auftragsbearbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen das nDSG, die EU-DSGVO oder andere datenschutzrechtliche Bestimmungen verstösst.
Der Auftragsbearbeiter gewährt Zugriff auf die Personendaten nur denjenigen Mitarbeitenden und Beauftragten, die diesen zur Erfüllung ihrer Aufgaben im Rahmen dieses Vertrags zwingend benötigen (Grundsatz «need-to-know»).
Der Auftragsbearbeiter verpflichtet eingesetzte Unterauftragsbearbeiter vertraglich zu Datenschutzpflichten, die denjenigen dieses Vertrags inhaltlich entsprechen (nDSG Art. 9 Abs. 3). Er haftet für das Handeln der Unterauftragsbearbeiter wie für eigenes Handeln. Eine Liste der aktuell eingesetzten Unterauftragsbearbeiter wird dem Verantwortlichen auf Anfrage offengelegt.
Aktuell eingesetzte Unterauftragsbearbeiter:
Amazon Web Services EMEA SARL, Luxembourg (Cloud-Hosting, Rechenzentren in Frankfurt DE); Twilio Ireland Limited, Dublin (E-Mail-Versand); Stripe Payments Europe Ltd., Dublin (Zahlungsabwicklung).
Die Meldung enthält mindestens:
• die Art der Verletzung, einschliesslich der Kategorien und (soweit bekannt) der Anzahl der betroffenen Personen und Datensätze;
• die voraussichtlichen Folgen der Verletzung;
• die getroffenen oder vorgeschlagenen Massnahmen zur Behebung und zur Minderung möglicher nachteiliger Auswirkungen;
• Name und Kontaktdaten des Datenschutzberaters oder der Ansprechperson.
Der Verantwortliche entscheidet über die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) nach nDSG Art. 24 sowie über allfällige Informationen an die betroffenen Personen. Der Auftragsbearbeiter unterstützt den Verantwortlichen bei der Erfüllung dieser Meldepflichten.
Technische Massnahmen:
Verschlüsselung der Datenübertragung (TLS) und der Datenspeicherung (AES-256 oder gleichwertig); rollenbasierte Zugriffskontrolle und Berechtigungskonzept; Multi-Faktor-Authentifizierung für administrative Zugänge; Protokollierung und Auditierung sicherheitsrelevanter Zugriffe; Firewall und Intrusion Detection; regelmässige Datensicherung mit getestetem Wiederherstellungsverfahren; Pseudonymisierung bzw. Anonymisierung, wo technisch sinnvoll; Patch- und Update-Management; physische Zugangskontrolle zu Rechenzentren.
Organisatorische Massnahmen:
Vertraulichkeitsverpflichtung aller mit der Bearbeitung betrauten Personen; regelmässige Datenschutz- und Informationssicherheitsschulungen; schriftliche interne Datenschutzrichtlinie; regelmässige interne und externe Audits; Notfall- und Kontinuitätsmanagement; dokumentiertes Verfahren zur Behandlung von Datenschutzverletzungen; Bestellung eines Datenschutzberaters.
Der Auftragsbearbeiter überprüft die Wirksamkeit der Massnahmen regelmässig und passt sie bei Bedarf an den aktuellen Stand der Technik und an neu erkannte Risiken an.
• Beantwortung von Anfragen der betroffenen Personen auf Auskunft, Berichtigung, Einschränkung, Datenherausgabe oder Löschung (nDSG Art. 25-28);
• Durchführung von Datenschutz-Folgenabschätzungen (nDSG Art. 22), soweit erforderlich;
• Erfüllung der Informationspflichten gegenüber betroffenen Personen (nDSG Art. 19);
• Führung des Bearbeitungsverzeichnisses (nDSG Art. 12).
Der Auftragsbearbeiter leitet Anfragen betroffener Personen, die direkt an ihn gerichtet werden, unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht eigenständig, sofern der Verantwortliche nichts anderes dokumentiert anweist.
Der Auftragsbearbeiter legt dem Verantwortlichen auf Anfrage alle für den Nachweis der Einhaltung der Pflichten nach diesem Vertrag erforderlichen Informationen, Nachweise und Zertifikate (z.B. ISO 27001, SOC 2, ISAE 3402) vor.
(b) Schriftform: Änderungen, Ergänzungen und Nebenabreden zu diesem Vertrag bedürfen zu ihrer Gültigkeit der Schriftform (OR Art. 13, 16). Dies gilt auch für den Verzicht auf das Schriftformerfordernis selbst.
(c) Anwendbares Recht: Dieser Vertrag untersteht ausschliesslich schweizerischem Recht, unter Ausschluss der kollisionsrechtlichen Verweisungsnormen. Ergänzend kommt — soweit extraterritorial anwendbar — die EU-Datenschutz-Grundverordnung (Art. 28 DSGVO) zur Anwendung.
(d) Gerichtsstand: Ausschliesslicher Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist Zürich (ZPO Art. 17 — vertraglicher Gerichtsstand).
(e) Rangfolge: Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.
Was ist ein Auftragsbearbeitungsvertrag?
Ein Auftragsbearbeitungsvertrag (AVV) regelt die datenschutzrechtlichen Pflichten zwischen einem Verantwortlichen und einem Auftragsbearbeiter im Sinne von nDSG Art. 5 lit. j und k. Verantwortlicher ist, wer allein oder gemeinsam über Zweck und Mittel der Bearbeitung entscheidet; Auftragsbearbeiter ist, wer Personendaten im Auftrag und nach Weisung bearbeitet — typischerweise Cloud-Provider, SaaS-Anbieter, Rechenzentren, IT-Support, Payroll-Dienstleister oder externe Callcenter.
Die Pflicht zum Abschluss eines AVV ergibt sich direkt aus nDSG Art. 9: Der Verantwortliche darf die Bearbeitung nur übertragen, wenn der Auftragsbearbeiter die Daten gleich dem Verantwortlichen schützt, die Bearbeitung auf Weisung erfolgt und die Grundsätze der Datenbearbeitung (nDSG Art. 6) eingehalten werden. Der AVV dokumentiert diese Voraussetzungen vertraglich und ist bei Prüfungen durch den EDÖB vorzuweisen.
Bei grenzüberschreitender Bearbeitung gilt zusätzlich Art. 28 DSGVO, sofern der Dienstleister in der EU ansässig ist oder der Verantwortliche EU-Betroffene bearbeitet. Die Doxuno-Vorlage berücksichtigt beide Regelwerke, damit der AVV auch für Konstellationen wie "CH-Verantwortlicher → EU-Cloud-Anbieter" oder "CH-Verantwortlicher → US-Sub-Bearbeiter mit Standardvertragsklauseln" einsetzbar ist.
Was diese Vorlage abdeckt
Die Doxuno-Vorlage deckt alle Pflichtangaben nach nDSG Art. 9 ab sowie die in der Praxis erwarteten Zusatzklauseln für Cloud- und SaaS-Konstellationen.
Gegenstand, Art und Zweck der Bearbeitung
Konkretisierung gemäss nDSG Art. 5 lit. d
Vertragsdauer
Gleichlauf mit dem Hauptvertrag, Fortwirkung der Pflichten
Kategorien betroffener Personen und Datenarten
Inkl. Markierung besonders schützenswerter Daten (nDSG Art. 5 lit. c)
Weisungsrecht des Verantwortlichen
Dokumentierte Weisungen, Zweckbindung (nDSG Art. 6 Abs. 3)
Technische und organisatorische Massnahmen (TOM)
Datensicherheit nach nDSG Art. 7 und 8
Sub-Bearbeiter
Totalverbot, Zustimmungspflicht oder Genehmigungsliste
Ort der Bearbeitung und Datenexport
Adäquanzbeschlüsse und Garantien nach nDSG Art. 16–18
Meldepflicht bei Datenverletzungen
Unterstützung der Meldung an EDÖB (nDSG Art. 24)
Unterstützung bei Betroffenenrechten
Auskunfts-, Berichtigungs- und Herausgaberechte (nDSG Art. 25–28)
Audit- und Kontrollrechte
On-site-Audit, Berichte oder unabhängige Zertifizierung
Rückgabe und Löschung der Daten
Klare Regelung zum Vertragsende
Haftung, Schadloshaltung und Gerichtsstand
ZPO Art. 17 und Haftungsregelungen
So erstellen Sie Ihren AVV
Die Vorlage ist so strukturiert, dass auch Nicht-Juristen den AVV Schritt für Schritt ausfüllen können.
- 1
Erfassen Sie die Parteien
Geben Sie Firma, Adresse, UID und Ansprechperson für Verantwortlicher (Auftraggeber) und Auftragsbearbeiter (Auftragnehmer) an. Bei grossen Organisationen benennen Sie den Datenschutzberater (DSB nach nDSG Art. 10), falls vorhanden.
- 2
Definieren Sie Bearbeitung und Datenkategorien
Beschreiben Sie Gegenstand und Zweck der Bearbeitung (z. B. "Hosting des CRM-Systems", "Lohnbuchhaltung"). Listen Sie die Kategorien betroffener Personen (Kunden, Mitarbeitende, Website-Nutzer) sowie die Datenarten (Kontaktdaten, Zahlungsdaten, Gesundheitsdaten) auf.
- 3
Regeln Sie Sub-Bearbeiter und Ort der Bearbeitung
Entscheiden Sie, ob Sub-Bearbeitung generell zulässig, zustimmungspflichtig oder verboten ist. Geben Sie den geografischen Ort der Bearbeitung an (z. B. "Schweiz", "EU", "USA mit Standardvertragsklauseln") — bei Drittländern prüfen Sie den Angemessenheitsbeschluss (nDSG Art. 16).
- 4
Legen Sie TOM und Meldefristen fest
Wählen Sie die erforderlichen technischen (Verschlüsselung, Zugriffskontrollen, Backups) und organisatorischen Massnahmen (Schulungen, Zutrittskonzepte). Bestimmen Sie die Meldefrist für Datenverletzungen (nach nDSG Art. 24 "raschmöglich"; praxisüblich 24–72 Stunden).
- 5
Beendigung und Unterschrift
Legen Sie fest, ob bei Vertragsende die Daten gelöscht oder zurückgegeben werden und innerhalb welcher Frist. Bestimmen Sie den Gerichtsstand, laden Sie das PDF herunter und lassen Sie es von beiden zeichnungsberechtigten Vertretern unterzeichnen.
Rechtliche Hinweise nach Schweizer Recht
Der AVV ist ein zentraler Bestandteil der Datenschutz-Compliance. Einige Anforderungen des nDSG gehen über DSGVO-Standardvorlagen hinaus und sollten beachtet werden.
Diese Vorlage dient ausschliesslich zu Informationszwecken und ersetzt keine individuelle Rechtsberatung. Bei Bearbeitung besonders schützenswerter Personendaten (nDSG Art. 5 lit. c), umfangreichem Profiling oder Drittlandtransfers in Staaten ohne Angemessenheitsbeschluss empfehlen wir die Prüfung durch einen Datenschutzspezialisten.
Geprüft nach Schweizer Recht (nDSG, DSV, OR, ZPO)
Pflichtinhalt nach nDSG Art. 9
Art. 9 nDSG schreibt vor, dass der Auftragsbearbeiter die Daten "gleich dem Verantwortlichen" schützt. Der Vertrag muss daher regeln: Gegenstand und Zweck der Bearbeitung, Weisungsrecht, Datensicherheit (TOM nach nDSG Art. 7–8), Sub-Bearbeitung, Unterstützung bei Betroffenenrechten, Rückgabe/Löschung bei Vertragsende sowie Audit-Rechte. Fehlt eine dieser Angaben, ist die Bearbeitung rechtswidrig und kann strafrechtliche Sanktionen bis CHF 250’000 (nDSG Art. 60 ff.) nach sich ziehen.
Drittlandtransfer (nDSG Art. 16–18)
Die Bekanntgabe von Personendaten ins Ausland ist nur zulässig, wenn das Zielland einen angemessenen Schutz gewährleistet (nDSG Art. 16 Abs. 1) — der Bundesrat führt eine Liste (DSV Anhang 1). Fehlt die Angemessenheit, sind geeignete Garantien nötig (Standardvertragsklauseln der EDÖB, verbindliche unternehmensinterne Datenschutzvorschriften oder ausdrückliche Einwilligung der Betroffenen). Für Transfers in die USA nach dem "Swiss-US Data Privacy Framework" gilt nur, wenn das US-Unternehmen zertifiziert ist.
Meldung von Datenverletzungen (nDSG Art. 24)
Bei einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte der betroffenen Personen führt, meldet der Verantwortliche dem EDÖB "raschmöglich". Der Auftragsbearbeiter muss den Verantwortlichen seinerseits unverzüglich informieren. In der Praxis sind im AVV Fristen von 24–72 Stunden üblich. Der AVV sollte die Form der Meldung (E-Mail an definierte Adresse) und den Mindestinhalt regeln.
Verhältnis zu DSGVO und Schweizer Besonderheiten
Für CH-Unternehmen, die EU-Betroffene bearbeiten oder EU-Dienstleister einsetzen, gelten nDSG und DSGVO parallel. Das nDSG kennt — anders als die DSGVO — kein formales Verbotsprinzip, sondern einen risikobasierten Ansatz mit Informations-, Auskunfts- und Meldepflichten. In der Praxis werden AVV häufig "nDSG-/DSGVO-dual" ausgestaltet; Art. 28 DSGVO und nDSG Art. 9 sind weitgehend kompatibel. Unterschiede: nDSG kennt keine CH-spezifische "Joint Controllership"-Regelung und weniger strenge Einwilligungsanforderungen.
Häufige Fragen
Erstellen Sie jetzt Ihren Auftragsbearbeitungsvertrag
nDSG- und DSGVO-konform, fachlich geprüft und sofort als PDF einsetzbar — auch für Cloud- und SaaS-Konstellationen mit Drittlandbezug.
Kostenlos · Sofort PDF · Kein Konto erforderlich