Ergänzende Hinweise für schweizerische Berufsgeheimnisträger

Version

1. Gegenstand und Geltungsbereich

Dieses Dokument („Ergänzende Hinweise“) erläutert die Anwendbarkeit der zwischen der BRYTER GmbH („BRYTER“) und dem Kunden geschlossenen Vertragsdokumente – bestehend aus Rahmenvertrag, Auftragsverarbeitungsvertrag (AVV) und Datenschutzerklärung, jeweils in der aktuellen Version – auf Kunden, die schweizerischem Berufsrecht unterliegen.

Die genannten Vertragsdokumente unterliegen deutschem Recht (Rahmenvertrag Ziff. 16.5) und referenzieren deutsche berufs- und strafrechtliche Normen. Die in diesem Dokument enthaltenen Hinweise stellen klar, dass die im Vertragswerk geregelten Schutzmassnahmen die materiellen Anforderungen des schweizerischen Berufsrechts – insbesondere von Art. 13 BGFA, Art. 321 StGB und Art. 34–38 der Schweizerischen Standesregeln (SSR) – erfüllen.

Dieses Dokument begründet keine eigenständigen vertraglichen Verpflichtungen und verändert die bestehenden Vertragsdokumente nicht. Es dient ausschliesslich der Erläuterung und Zuordnung und ist als Auslegungshilfe für schweizerische Berufsgeheimnisträger konzipiert.

Das Vertragswerk verwendet die Begriffe der DSGVO („personenbezogene Daten“, „Auftragsverarbeiter“). Diese entsprechen den Begriffen „Personendaten“ und „Auftragsbearbeiter“ des schweizerischen Datenschutzgesetzes (DSG). Wo nachstehend auf das Vertragswerk Bezug genommen wird, wird die Terminologie des Vertragswerks beibehalten.

Diese Hinweise ersetzen keine individuelle Rechtsberatung. Für vertiefte Rückfragen steht das Legal-Team von BRYTER unter legal@bryter.io zur Verfügung.

Klarstellung zum Adressatenkreis

Die Ausführungen zur anwaltlichen Verschwiegenheit nach Art. 13 BGFA und Art. 321 StGB gelten für im Anwaltsregister eingetragene Anwältinnen und Anwälte in unabhängiger Tätigkeit. Angestellte Unternehmensjuristinnen und -juristen unterstehen dem anwaltlichen Berufsgeheimnis nach dem BGFA in der Regel nicht; für sie sind das Geschäftsgeheimnis, arbeits- und vertragsrechtliche Verschwiegenheitspflichten sowie das DSG massgeblich.

Ergänzend ist auf Art. 160a ZPO hinzuweisen, der am 1. Januar 2025 in Kraft getreten ist: Eine Partei kann die Mitwirkung und die Herausgabe von Unterlagen im Zusammenhang mit der Tätigkeit ihres unternehmensinternen Rechtsdienstes im Zivilprozess verweigern, wenn kumulativ die Partei im schweizerischen Handelsregister oder einem vergleichbaren ausländischen Register eingetragen ist, der Rechtsdienst von einer Person mit kantonalem Anwaltspatent geleitet wird und die betreffende Tätigkeit bei einer Anwältin oder einem Anwalt als berufsspezifisch gelten würde; Gleiches gilt für die im Rechtsdienst tätigen Unternehmensjuristinnen und -juristen. Diese Bestimmung begründet kein Berufsgeheimnis im Sinne von Art. 321 StGB und gilt nicht für Straf- und Verwaltungsverfahren.

Die datenschutzrechtlichen Ausführungen in Ziffer 5 dieser Ergänzenden Hinweise gelten für Rechtsabteilungen unverändert.

2. Normzuordnung

Die folgende Tabelle ordnet die im Vertragswerk referenzierten deutschen Normen den korrespondierenden schweizerischen Vorschriften zu. Soweit der AVV oder der Rahmenvertrag auf die nachstehend genannten deutschen Vorschriften Bezug nehmen, gelten die dort geregelten Verpflichtungen materiell auch für die entsprechenden schweizerischen Sachverhalte.

Regelungsgegenstand	Im Vertragswerk referenzierte deutsche Norm	Korrespondierende schweizerische Norm
Anwaltliche Verschwiegenheit	§ 43a Abs. 2 BRAO	Art. 13 Abs. 1 BGFA; Art. 321 Ziff. 1 StGB; Art. 4 SSR
Verpflichtung von Mitarbeitenden und Hilfspersonal	§ 43a Abs. 2 S. 4–8 BRAO	Art. 13 Abs. 2 BGFA; Art. 4 Abs. 4 SSR; Art. 321 Ziff. 1 StGB (Hilfspersonen)
Einbindung externer Dienstleister (Rechtsanwälte)	§ 43e BRAO	Art. 38 SSR i.V.m. Art. 12 lit. a und Art. 13 BGFA; SAV-Wegleitung für IT-Outsourcing und Cloud-Computing
Notarielle Verschwiegenheit	§ 18 BNotO	Art. 321 Ziff. 1 StGB; kantonales Notariatsrecht (bei Amtsnotariat zusätzlich Art. 320 StGB)
Einbindung externer Dienstleister (Notare)	§ 26a BNotO	Keine bundesrechtliche Entsprechung; kantonales Notariatsrecht (die SSR binden Notare nicht unmittelbar, werden in der Praxis aber als Massstab herangezogen)
Strafrechtlicher Schutz von Berufsgeheimnissen	§ 203 StGB	Art. 321 StGB (Amtsgeheimnis: Art. 320 StGB)
Zeugnis- bzw. Mitwirkungsverweigerungsrecht (Zivilverfahren)	§ 383 Abs. 1 Nr. 6 ZPO	Art. 166 Abs. 1 lit. b ZPO
Zeugnisverweigerungsrecht (Strafverfahren)	§ 53, § 53a StPO	Art. 171 StPO
Beschlagnahmeschutz (Strafverfahren)	§ 97 Abs. 2 StPO (AVV Ziff. 6.7)	Art. 264 Abs. 1 lit. c und d StPO i.V.m. Art. 248 StPO (Siegelung)
Nationales Datenschutzrecht	BDSG (ergänzend zur DSGVO)	DSG und DSV (die DSGVO ist in der Schweiz nicht unmittelbar anwendbar)
Auftragsverarbeitung / Auftragsbearbeitung	Art. 28 DSGVO	Art. 9 DSG
Datensicherheit	Art. 32 DSGVO	Art. 8 DSG, Art. 1–5 DSV; Art. 37 SSR
Bekanntgabe ins Ausland	Art. 44 ff. DSGVO	Art. 16 f. DSG, Anhang 1 DSV
Meldung von Verletzungen der Datensicherheit	Art. 33, 34 DSGVO	Art. 24 DSG
Datenschutz-Folgenabschätzung	Art. 35 DSGVO	Art. 22 DSG
Berufsgeheimnisschutz im aufsichtsbehördlichen Verfahren	§ 29 Abs. 3 BDSG (Öffnungsklausel Art. 90 DSGVO)	Art. 49 Abs. 3 i.V.m. Art. 50 Abs. 2 DSG

3. Wahrung von Berufsgeheimnissen (AVV Abschnitt 6)

Abschnitt 6 des AVV („Wahrung von Berufsgeheimnissen und berufsrechtlicher Verschwiegenheit“, Ziff. 6.1–6.7) regelt den Schutz von Berufsgeheimnissen und referenziert dabei die deutschen Normen §§ 43a, 43e BRAO, §§ 18, 26a BNotO sowie § 203 StGB. Die dort geregelten Verpflichtungen erfüllen die materiellen Anforderungen des schweizerischen Berufsrechts wie folgt:

3.1 Verschwiegenheitsverpflichtung (Art. 13 BGFA, Art. 321 StGB, Art. 4 SSR)

AVV Ziff. 6.3 und 6.4 verpflichten BRYTER und sämtliche mit der Verarbeitung von Berufsgeheimnissen befassten Personen zur strikten Verschwiegenheit. Die Verpflichtung erstreckt sich auf jede technische oder organisatorische Zugriffsmöglichkeit, unabhängig davon, ob eine tatsächliche inhaltliche Einsichtnahme erfolgt (AVV Ziff. 6.3). Dies entspricht den Anforderungen des Art. 13 Abs. 2 BGFA und des Art. 4 Abs. 4 SSR, wonach Anwältinnen und Anwälte sicherstellen, dass ihre Hilfspersonen das Berufsgeheimnis wahren.

Nach AVV Ziff. 6.2 behandelt BRYTER sämtliche im Auftrag verarbeiteten Daten vorsorglich als potenziell berufsgeheimnisgeschützt, sofern nicht eindeutig etwas anderes feststeht. Damit wird auch dem Umstand Rechnung getragen, dass das Berufsgeheimnis nach Art. 321 StGB und Art. 4 Abs. 1 SSR alle Informationen erfasst, die der Anwältin oder dem Anwalt in Ausübung des Berufs anvertraut worden sind.

3.2 Stellung als Hilfsperson (Art. 38 Abs. 1 SSR, Art. 321 Ziff. 1 StGB)

Nach herrschender schweizerischer Lehre und nach Art. 38 Abs. 1 SSR gelten Anbieter von IT- und Cloud-Dienstleistungen als Hilfspersonen der Anwältin oder des Anwalts. Die Bekanntgabe von Mandatsdaten an eine Hilfsperson stellt daher kein unbefugtes Offenbaren im Sinne von Art. 321 StGB dar. Art. 38 Abs. 1 SSR verlangt, dass Drittanbieter darauf hingewiesen werden, dass sie als Hilfspersonen dem Berufsgeheimnis selbst unterstehen.

Die nach AVV Ziff. 6.4 und 6.5 vorgesehene Verpflichtung und Belehrung der eingesetzten Personen und Unterauftragsverarbeiter erfasst neben § 203 StGB auch die entsprechenden ausländischen Straf- und Berufsrechtsnormen, für schweizerische Verantwortliche mithin Art. 321 StGB (bzw. Art. 320 StGB bei Amtsträgern) sowie Art. 13 BGFA.

Nach vertretbarer Auffassung ist ein zusätzlicher, formalisierter Hinweis des Kunden gegenüber BRYTER zur Erfüllung von Art. 38 Abs. 1 SSR damit nicht zwingend. Da der Nachweis der Instruktion der Hilfsperson im Aufsichts- oder Strafverfahren jedoch beim Berufsgeheimnisträger liegt, wird die Aufnahme eines Aktenvermerks – mit Verweis auf AVV Abschnitt 6 und dieses Dokument – in die interne Compliance-Dokumentation empfohlen.

3.3 Anforderungen an das Outsourcing (Art. 38 SSR, SAV-Wegleitung)

Die SAV-Wegleitung für IT-Outsourcing und Cloud-Computing konkretisiert die Sorgfaltspflichten bei der Auswahl, der vertraglichen Ausgestaltung und der Überwachung des IT-Dienstleisters. Die nachstehende Übersicht ordnet diese Anforderungen den entsprechenden Regelungen des Vertragswerks zu.

Anforderung (Art. 38 SSR / SAV-Wegleitung)	Umsetzung im Vertragswerk	Vertragliche Grundlage
Schriftlicher Vertrag mit dem Dienstleister	Rahmenvertrag, Order Form und AVV bilden ein schriftliches Vertragswerk; der Abschluss kann auch elektronisch erfolgen	Rahmenvertrag Ziff. 16.1–16.2; AVV
Sorgfältige Auswahl (Erfahrung, Referenzen, Sicherheitsniveau, Serverstandort, Behördenanfragen)	Einsatz etablierter Enterprise-Cloud-Anbieter (AWS, Microsoft Azure) mit anerkannten Sicherheitszertifizierungen; dokumentierte technische und organisatorische Massnahmen; vollständige Offenlegung der Standorte	AVV Anlage 1 und 2; AVV Ziff. 9.1–9.5
Hinweis auf Hilfspersonenstellung und vertragliche Geheimhaltungspflicht	Strikte Verschwiegenheitsverpflichtung von BRYTER und aller befassten Personen; Belehrung über straf- und berufsrechtliche Folgen; Kenntnisnahme umfasst jede technische Zugriffsmöglichkeit	AVV Ziff. 6.3–6.5
Klarheit über Ort der Bearbeitung und Speicherung	Namentliche Auflistung sämtlicher Unterauftragsverarbeiter mit Unternehmens- und Serverstandort; Bearbeitung grundsätzlich in der EU bzw. im EWR	AVV Anlage 1; AVV Ziff. 8
Beizug von Subunternehmern vertraglich eingeschränkt und namentlich aufgeführt; Überbindung der Pflichten	Zustimmung bezieht sich auf die in Anlage 1 namentlich genannten Unterauftragsverarbeiter; Änderungen nur nach vorheriger Information mit Widerspruchsfrist von 15 Werktagen; Überbindung im Wesentlichen gleicher Pflichten sowie der berufsrechtlichen Verschwiegenheit, auch auf weitere Unterauftragsverhältnisse	AVV Ziff. 6.5, 7.1–7.5; Anlage 1
Datenherrschaft verbleibt beim Anwalt; Herausgabe auf Verlangen	Bearbeitung ausschliesslich auf dokumentierte Weisung; nach Vertragsende Löschung oder Rückgabe nach Wahl des Verantwortlichen	AVV Ziff. 3.4, 4.1, 10.1–10.3
Pflichten bei Herausgabebegehren Dritter und Behörden	Widerspruch soweit rechtlich zulässig und unverzügliche Information des Verantwortlichen; Hinweis an beteiligte Stellen auf die alleinige Verfügungsbefugnis des Verantwortlichen	AVV Ziff. 6.7, 12.1
Kontrolle des Zugriffs (wer, wann, wozu)	Rollenbasiertes Berechtigungskonzept, Need-to-know-Prinzip, Protokollierung, Kenntnisnahme nur im zwingend erforderlichen Umfang	AVV Ziff. 6.3; Anlage 2 Ziff. 2, 3, 6
Datensicherheit und Information bei Sicherheitsvorfällen	Verschlüsselung bei Übertragung und im Ruhezustand, Mandantentrennung, Incident-Response-Verfahren; Unterstützung bei Meldepflichten	AVV Ziff. 5.3, 9.1–9.4; Anlage 2 Ziff. 3–8
Weisungs-, Kontroll- und Auditrechte	Weisungsrecht in Textform; Prüfungsrecht des Verantwortlichen selbst oder durch fachlich geeignete Dritte; Vor-Ort-Prüfungen einmal pro Kalenderjahr	AVV Ziff. 3.4–3.10
Backup, Disaster Recovery, Verfügbarkeit	Regelmässige Datensicherungen, Wiederherstellungsverfahren und Notfallkonzepte, regelmässige Überprüfung der Wiederanlaufprozesse	AVV Anlage 2 Ziff. 7 und 8
Unterstützung bei Vertragsende; Vorkehren für den Insolvenzfall	Jederzeitiger Zugriff auf die Kundendaten während der Laufzeit und abschliessender Export vor Laufzeitende; ordentliche Kündigung mit 90 Tagen auf das Ende der Laufzeit; Rückgabe oder Löschung nach Wahl des Kunden; Rechte nach der Verordnung (EU) 2023/2854 (Data Act). Eine gesonderte Regelung für den Insolvenzfall von BRYTER besteht nicht; vgl. dazu den Hinweis nach dieser Tabelle	Rahmenvertrag Ziff. 9.5, 15.2, 15.8; AVV Ziff. 10.1–10.3, 12.1
Risikobasierte Überwachung des Dienstleisters	Die SAV-Wegleitung lässt bei überschaubaren Kanzleigrössen das Abstützen auf eine Zertifizierung des Dienstleisters genügen. BRYTER ist nach ISO/IEC 27001:2022 zertifiziert (RSM Certification GmbH, Kennung RSMCERT.2023.11, zuletzt bestätigt am 18. Dezember 2025) und verfügt über einen SOC 2 Type II-Bericht (Security, Availability, Confidentiality), dessen Prüfungsumfang BEAMON AI ausdrücklich einschliesst	AVV Ziff. 3.6, 9.1–9.5; Zertifizierungsnachweise auf Anfrage

Hinweis zum Insolvenzfall: Die SAV-Wegleitung empfiehlt, im Lichte von Art. 211 SchKG Vorkehren für den Insolvenzfall des Dienstleisters zu treffen. Das Vertragswerk enthält hierzu keine gesonderte Regelung; es räumt dem Kunden jedoch während der gesamten Laufzeit Zugriff auf seine Daten sowie einen Exportanspruch ein (Rahmenvertrag Ziff. 15.8) und gewährt ein Recht zur ausserordentlichen Kündigung im Insolvenzfall (Rahmenvertrag Ziff. 15.3). Kanzleien, die dieser Empfehlung Rechnung tragen wollen, können den Exportanspruch in regelmässigen Abständen ausüben und die exportierten Daten in ihre eigene Datensicherung einbeziehen.

3.4 Zeitlich unbegrenzte Fortgeltung

Die Verschwiegenheitsverpflichtungen nach AVV Abschnitt 6 bestehen zeitlich unbegrenzt fort, auch über die Beendigung des Rahmenvertrags hinaus (AVV Ziff. 6.6). Dies entspricht der in Art. 13 Abs. 1 BGFA und Art. 4 Abs. 1 SSR geregelten zeitlich unbeschränkten anwaltlichen Verschwiegenheitspflicht.

3.5 Vermutung nach Art. 38 Abs. 2 SSR

Nach Art. 38 Abs. 2 SSR ist die Speicherung und sonstige Bearbeitung von Daten, die dem Berufsgeheimnis unterstehen, beim Betreiber von Infrastrukturen oder Applikationen für die Mandatsführung zulässig, wenn die Datensicherheit nach Art. 37 SSR gewährleistet und der Zugang zu den Informationen nur unter Wahrung der Bestimmungen zum Schutz des Berufsgeheimnisses möglich ist. Bei ausreichend erfahrenen Anbietern von Cloudlösungen mit Datenspeicherung und -bearbeitung im Inland, in der EU, der EFTA oder im Vereinigten Königreich wird dies vermutet.

Die Speicherung und Bearbeitung der Kundendaten von BEAMON AI erfolgt in EU-Rechenzentren (Amazon Web Services, Frankfurt am Main; Microsoft Azure, EU-Rechenzentrumsregionen). Die Vermutung des Art. 38 Abs. 2 SSR greift daher für den Kernbetrieb der Lösung.

3.6 Dokumentierte Sorgfalt auf Seiten des Verantwortlichen

Die Sorgfaltspflichten nach Art. 38 SSR treffen den Berufsgeheimnisträger; die Nachweislast für Auswahl, Instruktion und Überwachung liegt bei ihm. Empfohlen werden daher:

ein Aktenvermerk zur sorgfältigen Auswahl und zur Hilfspersonenstellung, mit Verweis auf AVV Abschnitt 6 und dieses Dokument;
eine interne Weisung zur KI-Nutzung. Die SAV-Wegleitung für den Umgang mit künstlicher Intelligenz empfiehlt, für den Gebrauch von KI-Systemen eine interne Weisung zu erlassen; diese sollte insbesondere die eigenständige Prüfpflicht für sämtliche KI-Outputs, das Rollen- und Berechtigungskonzept regeln;
ein Transparenzhinweis in der Mandatsvereinbarung oder in der Vollmacht zum Einsatz externer IT-Dienstleister und KI-gestützter Assistenzsysteme;
die Aufnahme von BRYTER als Auftragsbearbeiterin in das Verzeichnis der Bearbeitungstätigkeiten (vgl. Ziffer 5).

4. Behördliche Massnahmen, Hausdurchsuchung und Beschlagnahmeschutz

AVV Ziff. 6.7 referenziert die deutschen Verfahrensnormen § 53a StPO und § 97 Abs. 2 StPO. Die dort geregelte Verpflichtung von BRYTER ist jedoch nicht auf deutsche Verfahren beschränkt. Sie erfasst nach ihrem Wortlaut jede behördliche Vernehmung oder Massnahme, die auf die Herausgabe solcher Informationen gerichtet ist, und gilt damit auch für Massnahmen nach schweizerischem Verfahrensrecht, insbesondere für Hausdurchsuchungen und Editionsverlangen nach Art. 241 ff. bzw. Art. 265 StPO.

Das schweizerische Berufs- und Standesrecht kennt – anders als § 40 Abs. 3 Z 3 der österreichischen RL-BA 2015 – keine ausdrückliche standesrechtliche Pflicht, eine Informationspflicht bei Hausdurchsuchungen vertraglich zu vereinbaren. AVV Ziff. 6.7 geht insoweit über die schweizerischen Mindestanforderungen hinaus.

Ergänzend ist auf den verfahrensrechtlichen Schutz hinzuweisen: Nach Art. 264 Abs. 1 lit. c und d StPO sind Aufzeichnungen und Korrespondenz aus dem Verkehr mit Anwältinnen und Anwälten von der Beschlagnahme ausgenommen; der Schutz gilt nach der Konzeption der Bestimmung unabhängig vom Lageort und vom Gewahrsamsinhaber. Der Inhaber kann sich mittels Siegelung nach Art. 248 StPO gegen die Durchsuchung wehren. Im Zivilverfahren besteht ein Mitwirkungsverweigerungsrecht nach Art. 166 Abs. 1 lit. b ZPO, im Strafverfahren ein Zeugnisverweigerungsrecht nach Art. 171 StPO, das auch Hilfspersonen erfasst.

Hinweis: Soweit Daten in Deutschland gespeichert sind, richten sich Massnahmen deutscher Behörden nach deutschem Verfahrensrecht (insbesondere §§ 97, 160a StPO). Ob und in welchem Umfang sich schweizerische Berufsträger auf diese Bestimmungen berufen können, ist im Einzelfall zu beurteilen. Die Verpflichtung von BRYTER nach AVV Ziff. 6.7 zum Widerspruch und zur unverzüglichen Information besteht davon unabhängig. Die Information ermöglicht dem Verantwortlichen zudem, eigene Rechtsbehelfe zu ergreifen und allfällige Schranken einer Mitwirkung an ausländischen Verfahren – namentlich Art. 271 StGB – zu berücksichtigen. Konkret bedeutet dies: Bei einem direkten Herausgabe- oder Editionsbegehren einer ausländischen Behörde sollte der Berufsgeheimnisträger vor jeder eigenen Mitwirkungshandlung prüfen, ob eine Herausgabe ausserhalb des Rechtshilfewegs gegen Art. 271 StGB verstösst, und im Zweifel den Rechtshilfeweg beschreiten.

4.1 Restrisiko bei US-Cloud-Konzernen (CLOUD Act)

Der schweizerische Beschlagnahmeschutz richtet sich an schweizerische Behörden; ausländische Behördenzugriffe erfasst er nicht. Auch bei ausschliesslicher Datenhaltung in EU-Rechenzentren kann der US CLOUD Act die US-Muttergesellschaften der eingesetzten Cloud-Anbieter erfassen, soweit diesen rechtliche oder faktische Verfügungsgewalt über die Daten zukommt. Ein solches Restrisiko lässt sich vertraglich mindern, aber nicht vollständig ausschliessen.

Risikomindernd wirken die Datenhaltung in EU-Rechenzentren, die Verschlüsselung bei der Übertragung und im Ruhezustand, die Standardvertragsklauseln sowie die Verpflichtung von BRYTER nach AVV Ziff. 6.7, behördlichen Massnahmen soweit rechtlich zulässig zu widersprechen und den Verantwortlichen unverzüglich zu informieren. Die Schutzwirkung der Verschlüsselung im Ruhezustand ist gegenüber einem Herausgabeverlangen, das sich an den schlüsselverwaltenden Anbieter selbst richtet, allerdings begrenzt.

Bei besonders sensiblen Mandaten ist dieses Restrisiko in die Sorgfaltsprüfung nach Art. 38 SSR – dort im Rahmen des Auswahlkriteriums „Umgang mit Behördenanfragen“ – einzubeziehen.

5. Datenschutzrecht (DSG und DSV)

Die DSGVO ist in der Schweiz nicht unmittelbar anwendbar. Für den Kunden als Verantwortlichen gilt das schweizerische DSG; die DSGVO kann daneben zur Anwendung gelangen, soweit der Kunde Tätigkeiten mit Bezug zur EU ausübt (Art. 3 Abs. 2 DSGVO). BRYTER unterliegt als in Deutschland niedergelassener Auftragsverarbeiter der DSGVO; der AVV erfüllt daher die Anforderungen des Art. 28 DSGVO.

Die Anforderungen des Art. 9 DSG an die Auftragsbearbeitung sind damit erfüllt und werden vom AVV übertroffen. Im Einzelnen:

Rollenverteilung: Der Kunde ist Verantwortlicher (Art. 5 lit. j DSG), BRYTER ist Auftragsbearbeiterin (Art. 5 lit. k DSG) – AVV Ziff. 1.1.
Zulässigkeit (Art. 9 Abs. 1 DSG): Die Bearbeitung erfolgt ausschliesslich so, wie der Verantwortliche sie selbst vornehmen dürfte (AVV Ziff. 1.2, 4.1). Der Übertragung steht keine Geheimhaltungspflicht entgegen, da BRYTER als Hilfsperson im Sinne von Art. 321 StGB in den Geheimnisbereich einbezogen und zur Verschwiegenheit verpflichtet ist (vgl. Ziffer 3.2).
Datensicherheit (Art. 9 Abs. 2, Art. 8 DSG, Art. 1–5 DSV): Dokumentierte technische und organisatorische Massnahmen in AVV Anlage 2; Anpassungspflicht an den Stand der Technik nach AVV Ziff. 9.3.
Unterauftragsbearbeitung (Art. 9 Abs. 3 DSG): Die erforderliche vorgängige Genehmigung wird für die in Anlage 1 namentlich genannten Unterauftragsverarbeiter ausdrücklich erteilt (AVV Ziff. 7.1); weitere Änderungen bedürfen der vorherigen Mitteilung und unterliegen einem Widerspruchsrecht (AVV Ziff. 7.2–7.3).
Meldung von Verletzungen der Datensicherheit (Art. 24 DSG): Die Meldung an den EDÖB und gegebenenfalls an die betroffene Person obliegt dem Verantwortlichen; BRYTER unterstützt ihn dabei nach AVV Ziff. 5.3. Zu beachten ist, dass die Meldeschwelle des Art. 24 DSG (hohes Risiko) von jener des Art. 33 DSGVO abweicht.
Datenschutz-Folgenabschätzung (Art. 22 DSG): BRYTER stellt die erforderlichen Informationen zur Verfügung (AVV Ziff. 4.3).
Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG): Die Aufnahme von BRYTER als Auftragsbearbeiterin wird empfohlen; die Ausnahme für kleinere Unternehmen nach Art. 12 Abs. 5 DSG i.V.m. Art. 24 DSV greift bei der Bearbeitung besonders schützenswerter Personendaten in grossem Umfang regelmässig nicht. Da Mandatsdaten regelmässig besonders schützenswerte Personendaten enthalten – etwa zu Gesundheit, zu verwaltungs- und strafrechtlichen Verfolgungen oder zu Massnahmen der sozialen Hilfe –, greift die Ausnahme in der Praxis nahezu nie; das Führen eines Verzeichnisses ist damit faktisch obligatorisch.
Information der betroffenen Personen (Art. 19 DSG): Der Verantwortliche informiert die betroffenen Personen über die Beschaffung von Personendaten, einschliesslich der Kategorien der Empfänger. Bei Mandatsverhältnissen empfiehlt sich zudem ein Transparenzhinweis in der Mandatsvereinbarung zum Einsatz externer IT-Dienstleister und KI-gestützter Assistenzsysteme (vgl. SAV-Wegleitung für IT-Outsourcing und Cloud-Computing, Information des Klienten).

Berufsgeheimnis im aufsichtsbehördlichen Verfahren: Nach Art. 49 Abs. 3 DSG besteht eine Mitwirkungspflicht gegenüber dem EDÖB. Art. 50 Abs. 2 DSG stellt klar, dass die Befugnisse des EDÖB unter dem generellen Vorbehalt des Berufsgeheimnisses stehen. Rechtsanwältinnen und Rechtsanwälte können sich daher gegenüber dem EDÖB auf das Berufsgeheimnis berufen, soweit die berechtigte Person sie nicht davon entbunden hat. Diese Bestimmung entspricht funktional der Öffnungsklausel des Art. 90 DSGVO und deren Umsetzung in § 29 Abs. 3 BDSG.

6. Keine Nutzung zu Trainings- oder eigenen Zwecken

BRYTER verwendet den Content des Kunden nicht zum Training maschineller Lernmodelle. Die Nutzung der KI-Dienste begründet keinerlei Rechte von BRYTER zur Nutzung des Contents für Trainings-, Analyse- oder sonstige eigene Zwecke (Rahmenvertrag Ziff. 12.2.1 und 12.2.2). Dies ist auch vertraglich mit den Unterauftragsverarbeitern – insbesondere Microsoft Azure – sichergestellt. In diesem Zusammenhang verarbeitete personenbezogene Daten werden nicht zum Training oder zur Verbesserung allgemeiner KI- oder maschineller Lernmodelle verwendet (Datenschutzerklärung).

Die SAV-Wegleitung für den Umgang mit künstlicher Intelligenz stellt bei der Beurteilung von KI-Anwendungen zentral darauf ab, was mit den Eingabedaten geschieht, wer darauf Zugriff hat und wo sie gespeichert werden. Der vertragliche Ausschluss der Trainingsnutzung und die Bearbeitung in EU-Rechenzentren adressieren diese Punkte unmittelbar.

7. Unterauftragsverarbeiter

Die vollständige Liste der Unterauftragsverarbeiter ergibt sich aus Anlage 1 des AVV. Datenschutzrechtlich gilt für die Bekanntgabe ins Ausland Art. 16 DSG: Deutschland und die übrigen EU- bzw. EWR-Staaten sind in Anhang 1 DSV als Staaten mit angemessenem Datenschutz aufgeführt. Die Bekanntgabe an BRYTER und an die in der EU bzw. im EWR bearbeitenden Unterauftragsverarbeiter erfordert daher keine zusätzlichen Garantien nach Art. 16 Abs. 2 DSG. Für Unterauftragsverarbeiter mit Sitz in den USA ist zu beachten: Die von DataDog Inc. bearbeiteten System- und Nutzungsmetriken werden auf Servern in Frankfurt am Main gespeichert.

8. Besondere Hinweise für Notarinnen und Notare

Das Notariatsrecht ist in der Schweiz kantonal geregelt; eine bundesrechtliche Entsprechung zu § 26a BNotO als Befugnisnorm für die Einbindung externer Dienstleister besteht nicht. Notarinnen und Notare sind in Art. 321 Ziff. 1 StGB ausdrücklich als Berufsgeheimnisträger genannt; die Regelungen des AVV Abschnitt 6 gelten für sie entsprechend.

Zu beachten ist die Unterscheidung nach dem kantonalen Notariatssystem: Im freiberuflichen Notariat gelten die vorstehenden Ausführungen sinngemäss. Im Amtsnotariat und im gemischten System kann die Urkundsperson demgegenüber dem Amtsgeheimnis nach Art. 320 StGB unterstehen. Dieses folgt anderen Regeln – insbesondere hinsichtlich der Entbindung, die eine schriftliche Zustimmung der vorgesetzten Behörde erfordern kann – und kann dem EDÖB nach herrschender Auffassung nicht entgegengehalten werden. Notarinnen und Notaren wird daher empfohlen, die Zulässigkeit des Outsourcings zusätzlich anhand des einschlägigen kantonalen Notariats- und Aufsichtsrechts zu prüfen.

Zu beachten ist ferner, dass die SSR Standesregeln des Schweizerischen Anwaltsverbands sind und Notarinnen und Notare nicht unmittelbar binden. Insbesondere kann die günstige Vermutung nach Art. 38 Abs. 2 SSR für das Amtsnotariat nicht ohne Weiteres beansprucht werden, da das Amtsgeheimnis nach Art. 320 StGB und das kantonale Aufsichtsrecht strengere Massstäbe vorsehen können – bis hin zu Bewilligungserfordernissen oder Verboten des Cloud-Outsourcings von Urkundendaten.

9. Massgebliche Grundlagen und Praxis

Anders als in Österreich, wo § 40 Abs. 3 RL-BA 2015 fünf kumulative Voraussetzungen für die Einbindung externer Dienstleister aufstellt, ergeben sich die Anforderungen in der Schweiz aus dem Zusammenspiel von Gesetz, Standesrecht und Verbandspraxis:

Art. 12 lit. a und Art. 13 BGFA sowie Art. 321 StGB als gesetzliche Grundlagen der sorgfältigen Berufsausübung und des Berufsgeheimnisses.
Art. 34–38 der Schweizerischen Standesregeln (SSR) vom 9. Juni 2023, in Kraft seit 1. Juli 2023, mit dem VI. Teil „Digitalisierung und Outsourcing“; Art. 38 SSR erklärt Outsourcing ausdrücklich für zulässig und stellt die Anbieter den Hilfspersonen nach Art. 321 StGB gleich.
SAV-Wegleitung für IT-Outsourcing und Cloud-Computing (SAV-Fachgruppe Digitalisierung), welche die Sorgfaltspflichten bei Auswahl, Vertragsgestaltung und Überwachung konkretisiert und Cloud-Provider nach herrschender Lehre als Hilfspersonen einordnet.
SAV-Wegleitung für den Umgang mit künstlicher Intelligenz, die die Einhaltung der Outsourcing-Regeln als eigenständigen zulässigen Weg für den Einsatz von KI-Anwendungen anerkennt.

Die Verpflichtungen von BRYTER und sämtlicher Unterauftragsverarbeiter nach AVV Abschnitt 6 entsprechen diesen Anforderungen. Ein separates Addendum zur Verschwiegenheit ist nach schweizerischem Berufs- und Standesrecht nicht erforderlich.

Stand: August 2026.