Auftragsverarbeitung

Definition

Bei der Auftragsverarbeitung bearbeitet eine Firma Personendaten nicht für sich selbst, sondern im Auftrag einer anderen. Die auftraggebende Stelle entscheidet, wofür und wie die Daten genutzt werden, die Dienstleisterin führt es technisch aus. Die EU-Datenschutz-Grundverordnung (DSGVO) spricht von Auftragsverarbeitung, das Schweizer Datenschutzgesetz (DSG) von Auftragsbearbeitung. Die Idee ist dieselbe.

Die Verantwortung bleibt bei Ihnen. Deshalb verlangt man einen schriftlichen Vertrag, oft AVV genannt (Auftragsverarbeitungsvertrag). Er regelt, was der Dienst mit den Daten tun darf und wie er sie schützt. Die genauen Anforderungen hängen vom anwendbaren Recht ab und sind im Zweifel von einer Fachperson zu prüfen.

Einfach erklärt

Ein Beispiel aus dem Alltag: Sie geben Ihre Lohnabrechnung einem Treuhandbüro. Das Büro darf die Daten nur für diesen Zweck verwenden, muss sie schützen und darf sie nicht für eigene Zwecke nutzen. Genau das hält der Vertrag fest. Ein KI-Dienst, der Ihre Texte verarbeitet, ist rechtlich oft in derselben Rolle.

Typische Inhalte eines solchen Vertrags:

1. Zweck und Art der Datenbearbeitung
2. Pflicht zur Geheimhaltung und zu Schutzmassnahmen
3. Regeln für Unterauftragnehmer, also weitere Firmen, die der Anbieter einsetzt
4. Löschung oder Rückgabe der Daten nach Ende des Auftrags
5. Standort der Datenverarbeitung

Beispiel

Ein Beispiel: Eine Arztpraxis in Olten möchte Terminanfragen per KI vorsortieren. Bevor irgendetwas eingeführt wird, fragt die Praxisleitung beim Anbieter nach den Vertragsunterlagen, nach Standort und Unterauftragnehmern und lässt sie von der Datenschutzberatung durchsehen. Solange das nicht geklärt ist, gelangen keine echten Patientendaten in das Werkzeug.

Nicht verwechseln

Die Auftragsverarbeitung ist nicht dasselbe wie die Einwilligung der betroffenen Person und ersetzt sie auch nicht. Sie regelt das Verhältnis zwischen Ihnen und dem Dienstleister, nicht zwischen Ihnen und den Menschen, deren Daten es sind. Wie Sie solche Verträge erkennen, lesen Sie unter Auftragsverarbeitung bei KI erkennen.

So hilft Ihnen Alpasana

Die KI-Weiterbildung für Unternehmen von absofort behandelt laut Angebotsbeschreibung Datenschutz und den verantwortungsvollen Umgang mit Unternehmensdaten, mit Kontaktmöglichkeit für Firmenlösungen. Rechtsverbindliche Verträge prüft diese Schulung nicht, sie schärft aber den Blick für die richtigen Fragen.