Konkretisierung der Fragestellung:

Ein Unternehmen mit Sitz in der Schweiz bietet Beratungsdienstleistungen für Unternehmen (!) in der EU an: Es berät bei der Instandhaltung mit SAP und unterstützt mit der Analyse, über Konzeption und Implementierung bis hin zum Betrieb bei SAP; es unterstützt dabei Betreiber, Hersteller und Instandhalter von Assets dabei, ein nachhaltiges Asset Management auf Basis von SAP zu realisieren. Dabei gewinnt es etwa bei der Erstellung von Instandhaltungsplänen via SAP Einsicht darin, welche Beschäftigten der B2B-Kunden wann wo zur Instandhaltung eingesetzt sind. 

Gilt die DSGVO für diesen Sachverhalt? 

Ja, denn es ist Art. 3 Abs. 1 DSGVO bzw. Art. 3 Abs. 2 DSGVO anwendbar.

• AV-Vertragsverhältnis gegeben, insofern hat sich das Schweizer Unternehmen an die DSGVO-Vorgaben zu halten.
• Dass die Verarbeitung in der Schweiz stattfindet, ist irrelevant.
• EDSA geht in seinen Leitlinien 3/2018 zum räumlichen Anwendungsbereich der DSGVO (Artikel 3) auf S. 12 auf den wie hier geschilderten Fall ein, dass der Verantwortliche in der Union sitzt und der Auftragsverarbeiter in einem Drittstaat. Der EDSA geht davon aus, dass dem Verantwortlichen die Pflicht zur Zusammenarbeit mit geeigneten Auftragsverarbeitern nach Art. 28 Abs. 1 DSGVO trifft und dass ein AVV mit dem Auftragsverarbeiter zu schließen ist, der die Voraussetzungen von Art. 28 Abs. 3 DSGVO erfüllt.

Stand: 12.10.2022