Auftragsbearbeiter: die verantwortliche Person bleibt verpflichtet

Ein KMU, das E-Mail, Buchhaltung oder die Kundendatei einem Dienstleister anvertraut, bleibt datenschutzrechtlich verantwortlich. Der Auftragsbearbeiter bearbeitet die Daten nur nach Weisung und mit genügenden Sicherheitsgarantien. Der Vertrag beschreibt Gegenstand, Dauer, Art der Bearbeitung und die Massnahmen. Eine Bekanntgabe aus der Schweiz ist nur zulässig, wenn das Gesetz sie erlaubt, namentlich bei angemessenem Schutz im Empfängerstaat oder bei geeigneten Klauseln. Der Name des Dienstleisters steht in der Datenschutzerklärung, wenn Empfänger zu nennen sind.