Brauchen Sie einen AVV für Ihr Formular-Tool?

„Gibt es einen Auftragsverarbeitungsvertrag?“ ist eine der ersten Fragen, die Beschaffung oder Datenschutz einem Formular-Anbieter stellen — und sie verdient eine bessere Antwort als „ja, hier ist ein PDF“. Die Kurzfassung: Wer Antworten für Sie speichert oder übermittelt, ist Ihr Auftragsbearbeiter, Sie sind der Verantwortliche, und dieses Verhältnis braucht einen Vertrag. Die längere und nützlichere Fassung lautet, dass die Schweizer Anforderung deutlich dünner ist als die europäische, dass die meisten Schweizer Organisationen ohnehin beiden Regimes unterstehen und dass ein unterschriebener Vertrag weniger der tatsächlichen Risiken abdeckt, als die Person mit der Unterschriftenmappe annimmt.

Dieser Beitrag ist die praktische Ergänzung zu unserem Leitfaden zur nDSG-Konformität von Online-Formularen. Dort geht es um den gesamten Pflichtenkatalog; hier um genau das eine Dokument, nach dem alle fragen — und um die Lücke zwischen dem, was darin steht, und dem, was es bewirkt.

Was ist ein AVV — und wie heisst er in der Schweiz korrekt?

Es ist der Vertrag über die Bearbeitung von Personendaten durch einen Anbieter nach Ihren Weisungen. Die Bezeichnungen unterscheiden sich nach Rechtsordnung und Sprache, was in der Schweizer Beschaffung selbst zur Fehlerquelle wird, weil ein Dokument Prüfende in vier Sprachen überzeugen muss:

• DE (EU-Sprachgebrauch) — Auftragsverarbeitungsvertrag, durchgehend zu AVV verkürzt. Danach suchen deutschsprachige Einkäuferinnen und Einkäufer, und so heisst bei den meisten Anbietern die Datei.
• DE (Schweizer Gesetzeswortlaut) — das nDSG nennt die Partei Auftragsbearbeiter, nicht Auftragsverarbeiter. Streng korrekt heisst das Dokument in der Schweiz also Auftragsbearbeitungsvertrag. Verstanden werden beide; auffindbar ist eher „AVV“.
• EN — data processing agreement (DPA), teils auch data processing addendum, weshalb Anbieter beides mit DPA abkürzen.
• FR — contrat de sous-traitance, der Anbieter ist der sous-traitant.
• IT — contratto sul trattamento dei dati; die nLPD nennt den Anbieter responsabile del trattamento und Sie titolare del trattamento.

Brauchen Sie einen AVV für Ihr Formular-Tool?

Mit grosser Sicherheit ja. Massgebend ist weder die Grösse Ihrer Organisation noch die Sensibilität der Daten, sondern die Struktur des Verhältnisses. Art. 5 lit. j nDSG definiert den Verantwortlichen als diejenige Person, die über Zweck und Mittel der Bearbeitung entscheidet; lit. k definiert den Auftragsbearbeiter als diejenige Person, die im Auftrag des Verantwortlichen Personendaten bearbeitet. Sie haben die Fragen gewählt, Sie entscheiden, wem die Antworten dienen, Sie entscheiden über die Löschung. Damit sind Sie Verantwortlicher für jede Einsendung — auch im Gratisplan.

Wenn das Werkzeug gar nicht Ihr Auftragsbearbeiter ist

Es gibt eine wichtige Ausnahme, und sie ist die schlechtere, nicht die bessere Nachricht. Ein Anbieter, der die Daten für eigene Zwecke nutzt — Profilbildung über Teilnehmende, Training von Modellen mit Einsendungen, Anreicherung eines Werbegraphen, Verkauf aggregierter Auswertungen —, handelt insoweit nicht bloss nach Ihren Weisungen. In diesem Umfang ist er selbst Verantwortlicher, und was Sie tun, ist keine Übertragung, sondern eine Bekanntgabe von Personendaten an Dritte: andere Rechtsgrundlage, anderer Eintrag in der Datenschutzerklärung, anderes Gespräch mit den Teilnehmenden. Das ist einer der konkreten Preise hinter unserem Beitrag zu den versteckten Kosten kostenloser Formular-Tools: Gratis ist der Dienst oft deshalb, weil die Bearbeitung eben nicht rein in Ihrem Auftrag erfolgt.

Die Auftragsbearbeiter hinter dem Formular-Tool

Die Formularplattform ist selten die einzige Stelle. Ein typischer Formular-Stack umfasst zusätzlich einen E-Mail-Dienst, der die Benachrichtigung mit den Antworten versendet, einen Objektspeicher für hochgeladene Dateien, eine Tabelle oder ein CRM, in das exportiert wird, und zunehmend einen KI-Anbieter hinter einer Zusammenfassungs- oder Übersetzungsfunktion. Jede dieser Stellen ist entweder Unterauftragsbearbeiter Ihres Anbieters oder direkt Ihr Auftragsbearbeiter. Die Frage lautet nicht „hat der Anbieter mir ein PDF geschickt“, sondern „ist jede Stelle, die diese Daten berührt, von irgendetwas erfasst“.

Was Art. 9 nDSG tatsächlich verlangt

Weniger, als die meisten erwarten — die Überraschung geht regelmässig in die Richtung „das soll alles sein?“. Art. 9 Abs. 1 nDSG erlaubt, die Bearbeitung vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter zu übertragen, sofern die Daten so bearbeitet werden, wie es der Verantwortliche selbst tun dürfte, und sofern keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. Art. 9 Abs. 2 verlangt vom Verantwortlichen, sich insbesondere zu vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Art. 9 Abs. 3 verlangt die vorgängige Genehmigung, bevor der Auftragsbearbeiter an einen Dritten weiterüberträgt. Art. 9 Abs. 4 erlaubt ihm dieselben Rechtfertigungsgründe wie dem Verantwortlichen.

Das ist die ganze Bestimmung. Es gibt im Schweizer Recht keinen gesetzlichen Katalog zwingender Klauseln und kein ausdrückliches Schriftformerfordernis — die Übertragung kann grundsätzlich auf einem gewöhnlichen Vertrag beruhen. Das ist aber kein Freibrief, das Dokument wegzulassen. Art. 61 lit. b nDSG stellt es unter Busse bis 250'000 Franken, auf Antrag und gegen die verantwortliche natürliche Person, die Bearbeitung einem Auftragsbearbeiter zu übergeben, ohne die Voraussetzungen von Art. 9 Abs. 1 und 2 zu erfüllen. Wenn eine Aufsichtsbehörde oder eine Gegenpartei fragt, wie Sie sich über die Datensicherheit vergewissert haben, ist ein schriftlicher Vertrag mit Sicherheitsanhang die einzige Antwort, die standhält.

Was Art. 28 DSGVO ergänzt — und weshalb er meist ohnehin gilt

Die DSGVO ist weit detaillierter. Art. 28 Abs. 3 verlangt einen für den Auftragsverarbeiter bindenden Vertrag, der Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festlegt — und der dem Auftragsverarbeiter acht konkrete Pflichten auferlegt. Art. 28 Abs. 9 verlangt Schriftform, einschliesslich elektronischer Form. Art. 28 Abs. 2 regelt Unterauftragsverarbeiter, und nach Art. 28 Abs. 4 haftet Ihnen der erste Auftragsverarbeiter voll für deren Versäumnisse.

Die meisten Schweizer Organisationen können das nicht als fremdes Problem abtun. Steht Ihr Formular Teilnehmenden in der EU offen — eine grenzüberschreitend beworbene Veranstaltungsanmeldung, eine Karriereseite, eine Kundenbefragung mit deutschen oder französischen Kundinnen —, kann die DSGVO über ihre Marktortregel direkt neben dem nDSG gelten. Die praktische Folge ist erfreulich einfach: Schreiben Sie nach Art. 28, und Art. 9 ist als Teilmenge erfüllt. Ein Dokument, beide Regimes. Wo die beiden sonst auseinanderlaufen, zeigt unser Vergleich von DSGVO und nDSG für Formulardaten.

Was muss im AVV stehen? Eine Checkliste

Prüfen Sie das Dokument eines Anbieters gegen diese Liste. Die ersten sechs Punkte sind der Art.-28-Kern; die übrigen entscheiden darüber, ob der Vertrag Ihnen im Ernstfall nützt oder bloss im Ordner liegt.

1. Beschreibung des Umfangs. Gegenstand, Dauer, Art und Zweck der Bearbeitung, Kategorien von Personendaten und betroffenen Personen. Pauschalformeln wie „Kundendaten“ zeigen, dass der Anhang nie auf ein Formularprodukt angepasst wurde — Datei-Uploads und Freitextantworten verdienen eine eigene Erwähnung.
2. Bearbeitung nur auf dokumentierte Weisung, auch für jede Übermittlung in einen Drittstaat, mit der Pflicht, Sie zu informieren, wenn der Anbieter eine Weisung für rechtswidrig hält.
3. Vertraulichkeit: Alle vom Anbieter zur Bearbeitung befugten Personen sind vertraglich oder gesetzlich zur Verschwiegenheit verpflichtet.
4. Sicherheitsmassnahmen, konkret genug beschrieben, um beurteilt zu werden — Verschlüsselung auf dem Transportweg und im Ruhezustand, Schlüsselverwaltung, Zugriffskontrolle, Mandantentrennung, Sicherung und Wiederherstellung, Rhythmus von Penetrationstests. „Branchenübliche Massnahmen“ ist kein Sicherheitsanhang.
5. Unterauftragsbearbeiter: namentlich oder als Liste, mit Meldemechanismus für Änderungen und Widerspruchsrecht.
6. Unterstützung: bei Betroffenenanfragen, Sicherheitsvorfällen und Folgenabschätzungen — mit ausdrücklichen Reaktionsfristen.
7. Löschung oder Rückgabe am Vertragsende nach Ihrer Wahl, einschliesslich Sicherungskopien und mit genannter Aufbewahrungsdauer der Backups. Fragen Sie ausdrücklich, wie lange gelöschte Antworten in Sicherungen fortbestehen.
8. Audit- und Informationsrechte, und was der Anbieter statt einer Vor-Ort-Prüfung praktisch anbietet — ein aktueller Bericht, ein Zertifizierungsumfang, ein ausgefüllter Sicherheitsfragebogen.
9. Meldung von Verletzungen an Sie, mit einer Frist, die Ihnen die eigene Frist noch lässt. Nach Art. 24 Abs. 1 nDSG melden Sie dem EDÖB so rasch als möglich, wenn ein hohes Risiko wahrscheinlich ist; nach Art. 33 DSGVO haben Sie 72 Stunden. Ein Anbieter, der nur „unverzüglich“ zusagt, hat sein Problem auf Ihre Uhr geschoben.
10. Bearbeitungsorte und die Grundlage jeder Auslandbekanntgabe — eine von diesem Vertrag getrennte Frage, die unser Leitfaden zur Auslandbekanntgabe vollständig behandelt.
11. Anwendbares Recht und Gerichtsstand. Für einen Schweizer Verantwortlichen lohnt es sich, Schweizer Recht und Schweizer Gerichtsstand zu verhandeln; genau das haben Schweizer Rahmenverträge gegenüber grossen Anbietern erreicht.
12. Haftung und ihre Ausnahmen. Lesen Sie nach, was mit der Haftungsobergrenze geschieht, wenn der Fehler ein Datenschutzfehler ist; eine Obergrenze in Höhe einer Monatsgebühr macht die obigen Auditrechte zum einzig realen Rechtsbehelf.

Die Pflichten, die das Schweizer Recht dem Anbieter direkt auferlegt

Hier liegt der wirkliche Schweizer Unterschied, den in der Verhandlung meist keine Seite erwähnt: Mehrere Pflichten treffen den Auftragsbearbeiter kraft Gesetzes, ob Ihr Vertrag sie wiederholt oder nicht. Nach Art. 8 nDSG gewährleisten der Verantwortliche und der Auftragsbearbeiter durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit. Die Datenschutzverordnung macht das für beide konkret:

• Art. 1 DSV — Verantwortlicher und Auftragsbearbeiter müssen den Schutzbedarf der Personendaten bestimmen und die im Hinblick auf das Risiko geeigneten Massnahmen festlegen, beurteilt nach ausdrücklich genannten Kriterien.
• Art. 2 DSV — die Massnahmen müssen Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit sicherstellen.
• Art. 3 DSV — konkrete Kontrollen sind benannt: Zugriffskontrolle, Zugangskontrolle, Benutzerkontrolle sowie weitere Massnahmen für Verfügbarkeit und Integrität.
• Art. 4 DSV — protokolliert werden müssen Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten, wenn besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet werden oder ein Profiling mit hohem Risiko erfolgt und präventive Massnahmen den Datenschutz nicht gewährleisten können.
• Art. 5 DSV — der private Verantwortliche und sein privater Auftragsbearbeiter müssen ein Bearbeitungsreglement erstellen, wenn sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen.
• Art. 12 Abs. 3 nDSG — der Auftragsbearbeiter führt ein eigenes Verzeichnis seiner Bearbeitungstätigkeiten, mit Angaben zu sich und zu Ihnen, zu den in Ihrem Auftrag durchgeführten Kategorien von Bearbeitungen, zu den Sicherheitsmassnahmen und zu Bekanntgaben ins Ausland.
• Art. 24 Abs. 3 nDSG — der Auftragsbearbeiter meldet dem Verantwortlichen eine Verletzung der Datensicherheit so rasch als möglich. Diese Pflicht ist gesetzlich, nicht bloss vertraglich.

Unterauftragsbearbeiter: der Anhang, den alle ungelesen akzeptieren

Art. 9 Abs. 3 nDSG verlangt die vorgängige Genehmigung des Verantwortlichen, bevor ein Auftragsbearbeiter die Arbeit weitergibt. Art. 28 Abs. 2 DSGVO lässt diese Genehmigung gesondert oder allgemein zu; bei allgemeiner Genehmigung muss der Anbieter beabsichtigte Hinzufügungen oder Ersetzungen mitteilen, damit Sie widersprechen können. In der Praxis sind gehostete Formular-Tools aus fremden Diensten zusammengesetzt, die Liste ist also nie leer: Cloud-Infrastruktur, Objektspeicher, Transaktions-E-Mail, Fehlerüberwachung, Support-Ticketing — und als jüngster Zugang ein Modellanbieter hinter jeder KI-Funktion.

Das saubere Muster ist unspektakulär: allgemeine Genehmigung akzeptieren, die Liste der Unterauftragsbearbeiter am Tag der Unterzeichnung herunterladen, zusammen mit dem Vertrag ablegen und die Änderungsmeldungen abonnieren. Der Sinn der Kopie liegt darin, festzuhalten, was Sie genehmigt haben; ohne sie verweist „wir haben die Liste genehmigt“ auf ein Dokument, das sich seither verändert hat. Das Fehlermuster ist ebenso beständig: Niemand liest die Liste, achtzehn Monate später erscheint eine KI-Funktion, Einsendungen erreichen einen Modellanbieter in einer anderen Rechtsordnung, und in den Unterlagen steht nirgends, dass jemand dem zugestimmt hätte.

Was ein unterschriebener AVV nicht leistet

Dieser Abschnitt ist der wichtigste, weil der AVV das Compliance-Dokument ist, das am ehesten mit einer Lösung verwechselt wird. Er verteilt Verantwortung zwischen zwei Unternehmen. Er ändert nicht, was technisch möglich ist — und vier Lücken überleben jede Unterschrift:

• Er hindert den Anbieter nicht daran, Ihre Einsendungen zu lesen. Liegen Antworten in einer Form vor, die der Anbieter entschlüsseln kann, können Supportpersonal, Administration, automatisierte Systeme und alle, die diese kompromittieren, den Inhalt lesen. Der Vertrag macht das zur Vertragsverletzung, nicht zur Unmöglichkeit. Verschlüsselung im Ruhezustand ändert daran nichts, weil der Anbieter die Schlüssel hält.
• Er entbindet nicht von einer Geheimhaltungspflicht. Art. 9 Abs. 1 lit. b verbietet bereits die Übertragung, wenn Geheimhaltungsrecht sie untersagt, und Art. 321 StGB bindet Sie persönlich, unabhängig davon, was Ihr Anbieter unterschrieben hat.
• Er macht eine Auslandbekanntgabe nicht zulässig. Auftragsbearbeitung und Bekanntgabe ins Ausland sind zwei getrennte Prüfungen. Ein einwandfreier Art.-28-Vertrag mit einem Anbieter in einem Staat ohne angemessenen Schutz braucht weiterhin vom EDÖB anerkannte Standardvertragsklauseln und eine Transferprüfung.
• Er verschiebt Ihre Haftung gegenüber der betroffenen Person nicht. Sie bleiben Verantwortlicher. Eine vertragliche Schadloshaltung hilft Ihnen allenfalls im Regress gegen den Anbieter; sie beantwortet weder die Frage der betroffenen Person, deren Daten offengelegt wurden, noch diejenige der Aufsichtsbehörde.

Ein Auftragsverarbeitungsvertrag hält fest, wer wofür einzustehen hat. Er kann nicht festhalten, wer wozu in der Lage ist — das entscheidet die Architektur, lange bevor jemand zum Stift greift.

Erübrigt Ende-zu-Ende-Verschlüsselung den AVV?

Nein — und wer Ihnen etwas anderes erzählt, verkauft zu viel, uns eingeschlossen. Auch bei Zero-Knowledge-Verschlüsselung bearbeitet der Anbieter Personendaten in Ihrem Auftrag: Kontoangaben, Formularmetadaten, Zeitstempel von Einsendungen, Protokolle auf IP-Ebene und den Geheimtext selbst, der Personendatum bleibt, solange irgendwo ein Schlüssel dazu existiert. Sie bleiben Verantwortlicher, der Anbieter bleibt Auftragsbearbeiter, Art. 9 nDSG und Art. 28 DSGVO gelten weiter, und Sie schulden weiterhin das Verzeichnis nach Art. 12 und die Information nach Art. 19.

Was Ende-zu-Ende-Verschlüsselung ändert, ist nicht die Existenz des Vertrags, sondern die Grösse des Risikos, das er tragen soll. Hält der Anbieter keinen brauchbaren Schlüssel, hängt die Vertraulichkeit der Antworten nicht mehr an der Disziplin seines Personals, seinen Zugriffskontrollen oder dem Verhalten seiner Unterauftragsbearbeiter. Das Hindernis von Art. 9 Abs. 1 lit. b — eine Geheimhaltungspflicht, die die Übertragung verbietet — wird architektonisch beantwortet, weil es kein Geheimnis zu offenbaren gibt. Und die Beurteilung von Verletzungen verschiebt sich: Ein Vorfall beim Anbieter legt Geheimtext offen, was nach Art. 24 nDSG ein wesentlich anderes Meldegespräch ergibt — ausgeführt in unserem Beitrag zu Meldepflicht und Verschlüsselung.

So kommen Sie zu einem AVV — und behalten ihn brauchbar

Das Dokument zu bekommen ist die leichtere Hälfte. Es brauchbar zu halten — auffindbar, aktuell und passend zu dem, was Sie tatsächlich einsetzen — ist das, woran eine Prüfung zwei Jahre später scheitert.

Warnsignale im AVV eines Anbieters

• Im Gratis- oder Einstiegsplan gibt es gar keinen AVV. Häufig — und disqualifizierend, wenn Sie darin fremde Personendaten erheben.
• Der Sicherheitsanhang besteht aus Adjektiven. „Nach dem Stand der Technik“, „bankentauglich“, „militärische Verschlüsselung“ — nichts davon ist eine Massnahme.
• Keine Liste der Unterauftragsbearbeiter oder eine Liste ohne Zusage, Änderungen zu melden.
• Schweigen zur Löschung oder eine Löschzusage nur für das Produktivsystem, ohne Aussage zu Sicherungskopien.
• Meldung von Verletzungen „sobald vernünftigerweise machbar“ ohne äussere Frist, während Ihre eigene Uhr nach Art. 24 nDSG und Art. 33 DSGVO sofort läuft.
• Einseitige Änderungsrechte über den gesamten Vertrag einschliesslich Sicherheitsanhang, ohne Ankündigung.
• Ein in der Schweiz vermarktetes Produkt, dessen Vertrag nur die DSGVO erwähnt. Kein K.-o.-Kriterium — Art.-28-Wortlaut deckt Art. 9 ab —, aber ein Hinweis darauf, dass die Schweizer Prüfung nie stattgefunden hat. Und Art. 61 nDSG ist eine Schweizer Bestimmung.

Fazit: Brauchen Sie einen AVV für Ihr Formular-Tool?

Ja. Jedes gehostete Formular-Tool bearbeitet Personendaten in Ihrem Auftrag; damit ist es Ihr Auftragsbearbeiter und der Vertrag eine Rechtspflicht — nach Art. 9 nDSG mit einer Bussdrohung bis 250'000 Franken, nach Art. 28 DSGVO mit zwingendem Klauselkatalog, sobald das europäische Regime zu Ihnen reicht. Schreiben Sie nach Art. 28, sichern Sie die Liste der Unterauftragsbearbeiter, legen Sie den Vertrag zum Bearbeitungsverzeichnis und prüfen Sie ihn, wenn sich Funktionen ändern.

Und seien Sie sich im Klaren darüber, was Sie damit gekauft haben. Der Vertrag legt fest, wer einzustehen hat, wenn etwas schiefgeht. Er legt nicht fest, wer Ihre Einsendungen lesen kann — das entscheidet das Verschlüsselungsmodell, und keine Vertragsformulierung ändert daran etwas. Für gewöhnliche Formulardaten ist ein solider AVV mit einem kompetenten Anbieter eine verhältnismässige Antwort. Für Einsendungen unter einem Berufsgeheimnis oder überall dort, wo die ehrliche Anforderung lautet, dass niemand ausserhalb Ihrer Organisation den Inhalt je lesen kann, ist der Vertrag die zweite Frage und die Architektur die erste.