Express Kurier. Direkt.
Auch Overnight.
x25pronto Schweiz bringt Ware direkt ans Ziel. Für kleine Ware fährt ein Auto. Für mehr Platz gibt es Transporter oder XL. Direkt, Express und Overnight fahren von Montag bis Sonntag. Freie Zeiten stehen im Kalender.
Datenschutz im Betrieb: Auftragsdatenverarbeitung mit Kurierdiensten
Wie Schweizer Unternehmen ADV-Verträge mit Kurierdiensten rechtssicher gestalten: Pflichtinhalte, Löschfristen, Zugriffskonzepte und Prüfpfade in klaren Punkten.
Kurzantwort
Für Schweizer Firmen ist die ADV mit Kurierdiensten ein klarer Vertragspunkt: regeln Sie Zweck, Art der Daten, Löschfristen, Zugriffssicherheit und Prüfpfade schriftlich. Legen Sie Kontrollrechte und technische sowie organisatorische Massnahmen (TOM) fest. Sorgen Sie für vereinbarte Löschfristen, Protokollierung von Zugriffen und ein Prüfverfahren für Audits.
Warum eine ADV mit Kurierdiensten nötig ist
Kurierdienste verarbeiten personenbezogene Daten Ihrer Absender, Empfänger und Sendungsdetails. Wenn sie in Ihrem Auftrag handeln, liegt eine Auftragsdatenverarbeitung (ADV) vor. Ein schriftlicher Vertrag schafft Rechtssicherheit, reduziert Haftungsrisiken und dokumentiert Verantwortlichkeiten gegenüber der Aufsichtsbehörde.
Pflichtinhalte einer ADV-Vereinbarung
Die Vereinbarung sollte mindestens Zweck und Dauer der Verarbeitung, Kategorien betroffener Daten (Name, Adresse, Telefonnummer, Referenznummern), Rechte und Pflichten des Auftraggebers und -nehmers sowie konkrete Löschfristen enthalten. Beschreiben Sie Datenweitergaben an Subunternehmer und Regeln zur internationalen Übermittlung.
Konkrete Klauseln: Löschfristen und Archivierung
Definieren Sie unterschiedliche Fristen je Datenkategorie. Beispiel: Sendungsdetails, die für Zustellnachweise nötig sind, könnten 6–12 Monate aufbewahrt werden; personenbezogene Marketingdaten sind früher zu löschen, wenn kein Erlaubnisgrund besteht. Regeln Sie zudem, wie Daten sicher gelöscht werden (physisch/elektronisch) und wie Nachweise über Löschvorgänge zu erbringen sind.
Zugriffsrechte, Rollen und minimale Datenzugriffe
Beschreiben Sie, welche Mitarbeitenden Zugang haben dürfen und zu welchem Zweck. Verwenden Sie das Prinzip der minimalen Rechtevergabe. Legen Sie Protokollierungspflichten fest: wer hat wann auf welche Daten zugegriffen, geändert oder exportiert. Vereinbaren Sie die sichere Authentifizierung für Zugang (z. B. starke Passwörter, 2FA) und regelmässige Rechteüberprüfungen.
Prüfpfade und Audit-Rechte für den Auftraggeber
Vereinbaren Sie Prüf- und Kontrollrechte. Erlauben Sie stichprobenartige Audits oder verlangen Sie jährliche Prüfberichte. Legen Sie Form und Umfang der Protokolle fest (Zugriffslogs, Löschnachweise, Vorfallberichte). Definieren Sie Fristen für Lieferungen von Prüfunterlagen an den Auftraggeber, etwa 10 Arbeitstage.
Technische und organisatorische Massnahmen (TOM)
Die ADV muss TOM beschreiben: Verschlüsselung bei Datenübertragung, sichere Speicherung, Zugriffskontrolle, Transport-Sicherheitsprozesse (z. B. Verriegelung von Sendungsbegleitdokumenten), Mitarbeitendenschulungen und Vorfallmanagement. Benennen Sie Verantwortliche für Datenschutz beim Kurierdienst und beim Auftraggeber.
Häufige Fragen
Brauche ich eine ADV, wenn der Kurier nur Adressen druckt?
Ja. Schon das einfache Verarbeiten von personenbezogenen Daten im Auftrag (z. B. Drucken, Sortieren, Zustellen) kann eine ADV auslösen. Schliessen Sie eine ADV ab und regeln Sie die Verarbeitungsschritte.
Wie kurz dürfen Löschfristen in der ADV sein?
Löschfristen sollen sachgerecht sein. Sie richten sich nach dem Zweck der Verarbeitung und gesetzlichen Aufbewahrungsanforderungen. Kurzfristige Nachweise wie Zustellbelege können mehrere Monate nötig sein; irrelevante Daten müssen zeitnah gelöscht werden.
Kann ich stichprobenweise Audits durchführen?
Ja. Vereinbaren Sie im Vertrag das Recht auf stichprobenartige Audits oder verlangen Sie regelmässige Prüfberichte des Dienstleisters. Definieren Sie Umfang, Häufigkeit und Fristen für Bereitstellung von Unterlagen.
Was tun bei einem Datenvorfall mit einer Kurierlieferung?
Der Kurierdienst muss Meldepflichten einhalten. Vereinbaren Sie Meldezeiten (z. B. 72 Stunden für meldepflichtige Vorfälle) und das Format der Meldung. Regeln Sie Massnahmen zur Begrenzung des Schadens und zu Nachweisen gegenüber Behörden und Betroffenen.