Datenschutz für SaaS-Anbieter als Auftragsverarbeiter, rechtlich geführt
Als B2B-SaaS-Anbieter sind Sie für Ihre Kundendaten in der Regel Auftragsverarbeiter. Jeder Enterprise-Kunde verlangt vor dem Go-live einen unterzeichneten AVV, eine Sub-Prozessor-Liste und saubere Transfer-Nachweise. Wir liefern die rechtliche Datenschutz-Grundlage als Auftragsverarbeiter, die Kunden-Redlines übersteht und keinen Deal aufhält.
Als SaaS-Anbieter sind Sie meist Auftragsverarbeiter
Wer Kundendaten im Auftrag des Kunden verarbeitet, ist Auftragsverarbeiter nach GDPR Art. 28 und Auftragsbearbeiter nach nDSG Art. 9. Diese Rolle bringt klar definierte Pflichten mit, und Ihre Kunden prüfen sie vor dem Vertrag.
Der typische B2B-SaaS-Vertrag funktioniert nur, wenn Ihre Auftragsverarbeitung sauber geregelt ist. Ein Enterprise-Kunde gibt seine Personendaten nicht in Ihre Plattform, bevor ein unterzeichneter AVV vorliegt. Fehlt er oder hält er der Kundenprüfung nicht stand, bleibt der Abschluss in der Beschaffung hängen.
Die Pflichten der Auftragsverarbeitung greifen unabhängig von Ihrer Grösse. Vom Startup bis zum etablierten ISV gelten dieselben Anforderungen, nur skaliert die Zahl der Verträge und Sub-Prozessoren mit jedem neuen Kunden.
Ein belastbarer AVV / DPA nach GDPR Art. 28 und nDSG Art. 9 als Standardvertrag für jeden Kunden
Eine aktuelle Sub-Prozessor-Liste mit Flow-down-AVV zu jedem Unterauftragnehmer (Hosting, E-Mail, Analytics, KI-Dienste)
Ein Verarbeitungsverzeichnis als Auftragsverarbeiter nach Art. 30(2) GDPR
Technische und organisatorische Massnahmen nach Art. 32 GDPR, dokumentiert und nachweisbar
Ein Prozess zur Meldung von Datenschutzverletzungen an den Verantwortlichen innert 72 Stunden
SCC und ein Transfer-Impact-Assessment für Sub-Prozessoren ausserhalb der EU oder der Schweiz
So schaffen wir Ihre Datenschutz-Grundlage als Auftragsverarbeiter
Wir machen aus dem AVV ein Verkaufsinstrument statt einer Bremse. Sie bekommen Vorlagen und Prozesse, die Sie jedem Kunden vorlegen können, und einen schnellen Verhandlungsweg, wenn der Kunde redlinet.
Wir erstellen Ihren AVV anwaltlich, abgestimmt auf Ihre Verarbeitungen und ausbalanciert für die Kundenseite. Eine ausgewogene Vorlage übersteht die meisten Redlines unverändert, weil sie marktübliche Klauseln bereits sauber abbildet. Wo ein Kunde verhandelt, klären wir die wenigen offenen Punkte schnell.
Für die Sub-Prozessoren bauen wir eine gepflegte Liste, beschaffen die Flow-down-AVV zu jedem Unterauftragnehmer und richten einen Änderungs- und Benachrichtigungsprozess ein, damit ein neuer Dienst nie unbemerkt in Ihre Verarbeitung gelangt. Das Verarbeitungsverzeichnis nach Art. 30(2) und die Transfer-Map führen wir in der Priverion-Plattform, der Schweizer Datenschutz-Management-Software.
Für Sub-Prozessoren ausserhalb der EU oder der Schweiz erstellen wir die SCC und ein Transfer-Impact-Assessment, das die Rechtslage im Zielland bewertet und die ergänzenden Massnahmen dokumentiert. So liegt der Transfer-Nachweis bereit, bevor ein Kunde danach fragt.
Schnelligkeit ist Teil des Mandats. Wir arbeiten mit klaren Reaktionszeiten, damit ein Kunden-AVV nie zum Engpass im Sales-Zyklus wird. Wo Sie es wünschen, übernehmen wir die Kundenverhandlung direkt in Deutsch, Französisch oder Englisch.
Warum SIDD für Ihre Auftragsverarbeitung
Der AVV ist ein Rechtsdokument, kein Konfigurationsformular. Genau dort liegt unser Schwerpunkt, gestützt auf ein eigenes Technik-Team für die Massnahmen nach Art. 32.
Rechtlich geführt
Ihr AVV wird von promovierten Juristinnen und Juristen mit CIPP/E erstellt. Eine anwaltlich ausbalancierte Vorlage übersteht Kunden-Redlines, weil die Klauseln rechtlich tragen und nicht nur formal vorhanden sind.
Schweizer Berufsgeheimnis
Wo ein SIDD-Anwalt in anwaltlicher Funktion berät, können Ihre Angaben dem Berufsgeheimnis nach Art. 321 StGB unterliegen, zusätzlich zur vertraglichen Vertraulichkeit. Den genauen Schutzumfang klären wir mandatsbezogen.
Schnell genug für Sales
Wir arbeiten mit klaren Reaktionszeiten auf Kunden-AVV und Redlines. Ein Datenschutzpunkt soll Ihren Abschluss beschleunigen, nicht ausbremsen, und wir verhandeln auf Wunsch direkt mit der Kundenseite.
Prüffähige Nachweise
Verarbeitungsverzeichnis nach Art. 30(2), Sub-Prozessor-Liste, Massnahmen und Transfer-Map pflegen wir in der Priverion-Plattform. Fragt ein Kunde oder eine Behörde nach, liegt der Nachweis als gepflegtes Tooling vor.
Vom AVV bis zum DPO
Sie können mit dem AVV-Pack starten und denselben Partner als externen Datenschutzberater oder als externen Datenschutzbeauftragten nach GDPR Art. 37 weiterführen. So bleibt der Datenschutz aus einer Hand, während Sie wachsen.
Mehrsprachig & unabhängig
Wir verhandeln Kunden-AVV in Deutsch, Französisch und Englisch, relevant für Kunden in CH, EU, UK und US. Da wir kein eigenes SOC verkaufen, bleiben unsere Empfehlungen zu Massnahmen und Sub-Prozessoren unabhängig.
Zwei Wege zu einer belastbaren Auftragsverarbeitung
AVV & Sub-Prozessor-Pack
Festpreis
Der einmalige Aufbau Ihrer Datenschutz-Grundlage als Auftragsverarbeiter, fertig zum Vorlegen vor jedem Enterprise-Kunden.
Anwaltlich erstellter AVV / DPA nach GDPR Art. 28 und nDSG Art. 9, redline-fest
Sub-Prozessor-Liste mit Flow-down-AVV und Änderungs- und Benachrichtigungsprozess
Verarbeitungsverzeichnis nach Art. 30(2) in der Priverion-Plattform
SCC und Transfer-Impact-Assessment für Sub-Prozessoren ausserhalb der EU oder der Schweiz
Vorlage der technischen und organisatorischen Massnahmen nach Art. 32 zum Anhängen an den AVV
Der laufende Betrieb: jemand, der Kunden-AVV verhandelt, die Sub-Prozessoren pflegt und bei Vorfällen die 72-Stunden-Meldung an Ihre Kunden steuert.
Externer Datenschutzberater nach nDSG oder externer Datenschutzbeauftragter nach GDPR Art. 37
Laufende Verhandlung eingehender Kunden-AVV und Redlines, in DE, FR oder EN
Pflege von Sub-Prozessor-Liste, Verzeichnis und Transfer-Map in der Priverion-Plattform
Steuerung der Meldung von Datenschutzverletzungen an die betroffenen Verantwortlichen innert 72 Stunden
Ansprechpartner für Kundenfragen zum Datenschutz im Vendor-Security-Review
LexCMD
Unser Werkzeug: LexCommand
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihren AVV und das Transfer-Impact-Assessment: LexCommand belegt jede Klausel und jede Länderbewertung mit der zum Stichtag geltenden Fassung von GDPR Art. 28, nDSG Art. 9 und SCC als Fussnote, sauber getrennt nach CH und EU, sodass jeder Sub-Prozessor-Nachweis im Vendor-Review verlinkbar bleibt.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen
Sind wir als SaaS-Anbieter Verantwortlicher oder Auftragsverarbeiter?
Für die Kundendaten in Ihrer Plattform sind Sie in der Regel Auftragsverarbeiter, weil Sie diese im Auftrag und nach Weisung des Kunden verarbeiten. Für eigene Daten wie Ihre Mitarbeitenden oder Ihr Marketing sind Sie Verantwortlicher. Wir grenzen die Rollen fallbezogen ab, damit der AVV die richtigen Verarbeitungen abdeckt.
Reicht ein einziger Standard-AVV für alle unsere Kunden?
In den meisten Fällen ja. Eine anwaltlich ausbalancierte Vorlage deckt die marktüblichen Anforderungen ab und übersteht die meisten Redlines unverändert. Verlangt ein grosser Kunde sein eigenes Papier, prüfen und verhandeln wir dieses für Sie, damit Sie keine untragbaren Klauseln unterschreiben.
Wie schnell ist ein Kunden-AVV verhandelt?
Wir arbeiten mit klaren Reaktionszeiten, damit der AVV nie zum Engpass im Sales-Zyklus wird. Mit einer guten Standardvorlage sind die meisten AVV schnell unterschriftsreif, weil nur wenige offene Punkte bleiben. Die konkreten Fristen halten wir im Mandat fest.
Was passiert bei einer Datenschutzverletzung?
Als Auftragsverarbeiter melden Sie eine Verletzung dem Verantwortlichen, also Ihrem Kunden, ohne unangemessene Verzögerung, in der Praxis orientiert an einer 72-Stunden-Logik. Wir richten den Meldeprozess und die Vorlagen vorher ein und steuern im Ernstfall die Kommunikation an Ihre Kunden. Ein eigenes Incident-Response-Team oder SOC betreiben wir nicht, hier arbeiten wir mit Ihren technischen Stellen oder Partnern zusammen.
Brauchen wir für unsere US- oder UK-Sub-Prozessoren etwas Besonderes?
Für Sub-Prozessoren ausserhalb der EU oder der Schweiz braucht es eine geeignete Transfergrundlage, in der Regel SCC mit einem Transfer-Impact-Assessment, das die Rechtslage im Zielland und ergänzende Massnahmen bewertet. Für das Vereinigte Königreich nutzen wir die passenden Mechanismen. Wir erstellen diese Nachweise und halten sie aktuell.
Können Sie den AVV auch auf Französisch und Englisch verhandeln?
Ja. Wir erstellen und verhandeln Kunden-AVV durchgängig in Deutsch, Französisch und Englisch, relevant für Kunden in der Schweiz, der EU, dem Vereinigten Königreich und den USA.
Passende nächste Schritte
Ihre Datenschutz-Grundlage als Auftragsverarbeiter hängt eng mit Vertretung und Datenresidenz zusammen:
Bereit für einen AVV, der Deals gewinnt statt blockiert?
Wir schaffen Ihre Datenschutz-Grundlage als Auftragsverarbeiter: anwaltlicher AVV, Sub-Prozessor-Governance, Verzeichnis und Transfer-Nachweise, bereit für jeden Enterprise-Kunden.
