Outsourcing-Vertrag Schweiz (OR Art. 394 ff.; DSG SR 235.1)

Der Outsourcing-Vertrag ist ein in der Schweiz nach Obligationenrecht OR Art. 394 ff. (SR 220) geregeltes rechtsverbindliches schriftliches Dokument. Er regelt die Pflichten der Parteien, die Gegenleistung, die Laufzeit und die Rechte bei Pflichtverletzung.

Outsourcing in der Schweiz hat in den letzten Jahren erheblich an Bedeutung gewonnen. Besonders im Bereich IT-Outsourcing (Cloud-Computing, Rechenzentrumsbetrieb, Helpdesk), HR-Outsourcing (Lohnbuchhaltung, Personaladministration) und im Finanzsektor (Back-Office, Compliance-Funktionen) lagern Schweizer Unternehmen Kernprozesse aus. Das Schweizer Datenschutzgesetz (DSG, SR 235.1), das am 1. September 2023 in revidierter Fassung in Kraft getreten ist, stellt besondere Anforderungen an das Outsourcing von Prozessen, bei denen Personendaten verarbeitet werden.

Gemäss DSG Art. 9 darf der Auftraggeber (Verantwortlicher für die Datenbearbeitung) Personendaten an einen Auftragsbearbeiter (den Outsourcing-Dienstleister) weitergeben, sofern dieser die Daten nur so bearbeitet, wie der Auftraggeber selbst es dürfte, und keine gesetzlichen oder vertraglichen Geheimhaltungspflichten die Weitergabe verbieten. Der Auftraggeber muss sicherstellen, dass der Dienstleister angemessene technische und organisatorische Massnahmen (TOM) zum Datenschutz trifft und die Daten bei Vertragsende unwiderruflich löscht oder zurückgibt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat Leitlinien zu Auftragsbearbeitung und Outsourcing auf edoeb.admin.ch publiziert, die verbindliche Mindestanforderungen für alle Schweizer Auftragsbearbeitungsvereinbarungen festlegen.

Für FINMA-regulierte Unternehmen (Banken nach BankG SR 952.0, Versicherungen nach VAG SR 961.01, Finanzinstitute nach FINIG SR 954.1) gilt zusätzlich das FINMA-Rundschreiben 2018/3 (FINMA-RS 18/3) über Outsourcing. Dieses schreibt bei wesentlichem Outsourcing umfangreiche Anforderungen vor: schriftliche Outsourcing-Vereinbarung mit Mindestinhalt (Rz. 55 ff.), uneingeschränkte Prüf- und Kontrollrechte der FINMA und des Revisionsorgans (Rz. 63), Business-Continuity-Plan und Exit-Strategie (Rz. 71 ff.). Das FINMA-RS 18/3 gilt auch für Sub-Outsourcing-Ketten und verlangt, dass das beaufsichtigte Institut gegenüber der FINMA jederzeit vollumfänglich verantwortlich bleibt — auch wenn es Funktionen ausgelagert hat.

Das revidierte Datenschutzgesetz (DSG, SR 235.1), das am 1. September 2023 in Kraft getreten ist, schreibt in Art. 9 vor, dass bei Outsourcing mit Personendatenverarbeitung eine schriftliche Auftragsbearbeitungsvereinbarung abzuschliessen ist. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat Leitlinien zur Auftragsbearbeitung publiziert, die für alle Schweizer Unternehmen gelten. Verstösse gegen DSG Art. 9 können nach DSG Art. 60 mit Bussgeldern bis CHF 250'000.- bestraft werden; für strafrechtlich verantwortliche natürliche Personen können Bussgelder persönlich verhängt werden. Schweizer Unternehmen, die Personendaten ins Ausland outsourcen, müssen zudem prüfen, ob das Zielland ein angemessenes Datenschutzniveau bietet (Liste des EDÖB), oder Standardvertragsklauseln (SCC) als Garantie vereinbaren. Forms-legal.com bietet Musterverträge für Outsourcing-Vereinbarungen nach Schweizer Recht, die OR Art. 394 ff., DSG Art. 9 und FINMA-RS 18/3 vollständig berücksichtigen.

Ein Outsourcing-Vertrag in der Schweiz ist in verschiedenen Situationen notwendig, in denen ein Unternehmen Geschäftsprozesse oder IT-Systeme an externe Dienstleister auslagert.

Erste Situation: IT-Outsourcing an einen Cloud-Provider. Ein Schweizer KMU lagert seine Serverinfrastruktur an einen Cloud-Provider wie Amazon Web Services (AWS), Microsoft Azure oder einen Schweizer Cloud-Anbieter wie Exoscale (Switch) aus. Da der Cloud-Provider Personendaten verarbeitet (Kundendaten, Mitarbeiterdaten, E-Mails), ist gemäss DSG Art. 9 ein Auftragsbearbeitungsvertrag zwingend, der als Teil des Outsourcing-Vertrags oder als separates Dokument gestaltet sein kann.

Zweite Situation: Lohnbuchhaltung und HR-Administration. Ein mittelgrosses Schweizer Unternehmen lagert die Lohnbuchhaltung und AHV/IV-Abrechnungen an ein Treuhandbüro oder HR-Softwareanbieter (z.B. Abacus, Sage, SAP SuccessFactors) aus. Der Outsourcing-Vertrag regelt, welche Personalinformationen der Dienstleister erhält, welche AHV-Ausgleichskassen-Meldungen er übernimmt, und wie die Datensicherheit der Mitarbeiterdaten gewährleistet wird.

Dritte Situation: Call-Center und Kundendienst. Ein Schweizer Detailhändler lagert seinen Kundendienst an ein externes Call-Center in der Schweiz oder im Ausland aus. Der Outsourcing-Vertrag regelt Service-Level-Agreements (SLA), Qualitätsstandards, Sprachen (Deutsch, Französisch, Italienisch, Englisch), Datenschutz und den Umgang mit Kundenbeschwerden.

Vierte Situation: Outsourcing im Finanzsektor unter FINMA-Regulierung. Eine Schweizer Bank lagert ihre IT-Infrastruktur oder Compliance-Funktionen aus. Das FINMA-RS 18/3 verlangt in diesem Fall einen Outsourcing-Vertrag mit spezifischem Mindestinhalt, einschliesslich Notfallplanung (Business Continuity Management, BCM), uneingeschränkten Prüfrechten der FINMA und einer definierten Exit-Strategie.

Fünfte Situation: Offshore-Outsourcing in Länder ausserhalb der EU/EFTA. Wird Outsourcing an Dienstleister in Ländern ohne angemessenes Datenschutzniveau (z.B. Indien, Philippinen, Kolumbien) vergeben, verlangt das revidierte DSG (Art. 16 ff.) spezifische Garantien zum Schutz der Personendaten — z.B. Standardvertragsklauseln (SCC) analog zur EU-DSGVO oder ausdrückliche Einwilligung der betroffenen Personen. Der EDÖB führt eine Liste von Ländern mit angemessenem Datenschutzniveau auf edoeb.admin.ch.

Sechste Situation: Outsourcing im Rahmen von Unternehmenswachstum oder -restrukturierung. Wenn ein Schweizer Unternehmen nach einer Fusion, Übernahme oder Restrukturierung bestimmte Supportfunktionen (HR, IT, Buchhaltung) zentralisieren oder auslagern möchte, ist ein klarer Outsourcing-Vertrag unerlässlich. Er definiert die Übergabe laufender Verträge, den Datentransfer und die Verantwortlichkeiten während der Transitionsphase. Ohne klaren Vertrag entstehen in Restrukturierungsphasen oft ungeklärte Haftungsfragen zwischen der alten und neuen Organisationsstruktur.

Ein rechtswirksamer Outsourcing-Vertrag in der Schweiz nach OR Art. 394 ff. und DSG Art. 9 muss mehrere Pflichtbestandteile enthalten, die die Rechte und Pflichten beider Parteien klar definieren.

Präzise Leistungsbeschreibung (Statement of Work). Die ausgelagerten Leistungen müssen so präzise beschrieben werden, dass klar ist, was zum Leistungsumfang gehört und was nicht (Out-of-Scope). Vage Formulierungen wie IT-Betreuung führen zu Streitigkeiten über den Leistungsumfang. Eine Anlage zum Vertrag (Statement of Work oder Service Description) sollte die Leistungen technisch und inhaltlich genau beschreiben.

Service Level Agreement (SLA) mit messbaren Kennzahlen. Der SLA definiert die Qualitätsstandards: Verfügbarkeit (z.B. 99,5% pro Monat, gemessen 24/7), Reaktionszeiten bei Störungen (kritisch: Antwort < 1h; hoch: < 4h; normal: < 8h; niedrig: < 24h), Wiederherstellungszeiten (Recovery Time Objective RTO) und maximale Datenverlusttoleranz (Recovery Point Objective RPO). Unterschreitung der SLA-Vorgaben muss zu vertraglichen Konsequenzen führen (Gutschriften, Vertragsstrafen nach OR Art. 160).

Datenschutzklausel nach DSG Art. 9. Bei Outsourcing mit Personendatenverarbeitung muss der Vertrag eine Datenschutzklausel enthalten, die gemäss DSG Art. 9 die Pflichten des Auftragsbearbeiters (Dienstleisters) definiert: ausschliessliche Datenbearbeitung nach Weisungen des Auftraggebers, Datenlöschung nach Vertragsende, Meldung von Datenschutzverletzungen nach DSG Art. 24, keine Weitergabe an Subunternehmer ohne Zustimmung des Auftraggebers, und Umsetzung angemessener TOM zum Datenschutz.

FINMA-Anforderungen (bei regulierten Unternehmen). Für Banken und Versicherungen nach FINMA-RS 18/3 sind folgende Zusatzklauseln erforderlich: vollständige Prüf- und Kontrollrechte der FINMA (Rz. 63), Business Continuity Plan (BCP) und Exit-Strategie (Rz. 71), Auditrecht des Revisionsorgans und der internen Revision, Einschränkungen bei Sub-Outsourcing (Rz. 67) und Informationspflicht bei wesentlichen Änderungen (Rz. 59).

Vergütung und Preisanpassung. Das Vergütungsmodell (monatliche Pauschale, Time-and-Material, nutzungsbasiert) ist eindeutig zu definieren. Anpassungsklauseln für Inflation (Schweizer Landesindex der Konsumentenpreise LIK, herausgegeben vom Bundesamt für Statistik BFS) oder für Volumenänderungen verhindern spätere Preisstreitigkeiten. Alle Preise in CHF (Schweizer Franken) mit Angabe, ob MWST (8,1% Normalsatz 2026, 2,6% Sondersatz für bestimmte Leistungen) inklusive oder exklusive ist.

Kündigung, Exit-Management und Transition. Eine klare Kündigungsregelung mit Fristen (typisch 3-12 Monate) und ein verbindlicher Exit-Plan sind unverzichtbar. Der Dienstleister muss bei Kündigung während einer definierten Übergangszeit (Transition Period) weiterhin leisten und die Rückübertragung der Leistungen aktiv unterstützen — inklusive Übergabe von Daten in verarbeitbarem Format, Dokumentation, Zugangsdaten und laufenden Systemen. Ohne Exit-Plan entsteht ein Vendor Lock-in, der die Kündigung praktisch unmöglich macht.

Haftungsbeschränkungen und Versicherungen. Der Outsourcing-Vertrag muss Haftungsobergrenzen (z.B. maximale Haftung in Höhe der letzten 12 Monatsgebühren), Ausschlüsse für mittelbare Schäden (entgangener Gewinn, Betriebsunterbrechungsschäden) und Anforderungen an die Versicherungsdeckung des Dienstleisters (IT-Haftpflichtversicherung, Cyber-Versicherung nach dem Schweizer Cyber-Risiko-Marktstandard) klar regeln. Haftungsausschlüsse für Vorsatz und grobe Fahrlässigkeit sind nach OR Art. 100 Abs. 1 nichtig und daher unwirksam, auch wenn sie explizit vertraglich vereinbart wurden — ein häufig übersehener Punkt beim Vertragsabschluss. Forms-legal.com stellt Outsourcing-Vertragsvorlagen bereit, die alle diese Elemente nach Schweizer Recht vollständig abdecken und als solide Verhandlungsgrundlage für beide Parteien dienen.

Das Ausfüllen des Outsourcing-Vertrags in der Schweiz erfordert sorgfältige Vorbereitung, um alle gesetzlichen Anforderungen nach OR und DSG zu erfüllen.

Schritt 1 — Leistungsumfang präzise definieren. Erstellen Sie vor der Vertragsunterzeichnung eine detaillierte Leistungsbeschreibung (Statement of Work). Was wird genau ausgelagert? Was verbleibt beim Auftraggeber? Wie werden Schnittstellen (Übergabepunkte) definiert? Ohne präzise Leistungsbeschreibung entstehen im laufenden Betrieb Streitigkeiten über Verantwortlichkeiten.

Schritt 2 — SLA-Kennzahlen verhandeln und messen. Legen Sie gemeinsam mit dem Dienstleister realistische und messbare SLA-Werte fest. Holen Sie vorab mindestens drei Angebote ein, um Marktpreise und übliche SLA-Werte zu kennen. Vereinbaren Sie ein monatliches SLA-Reporting und klare Konsequenzen bei Unterschreitung (z.B. Gutschrift von 10% der Monatsgebühr bei weniger als 99% Verfügbarkeit).

Schritt 3 — Datenschutzanforderungen prüfen. Stellen Sie fest, ob und welche Personendaten der Dienstleister verarbeiten wird. Bei Personendaten ist eine Datenschutzfolgeabschätzung (DSFA) nach DSG Art. 22 zu prüfen. Ergänzen Sie den Vertrag um eine Anlage zu technischen und organisatorischen Massnahmen (TOM), die der Dienstleister schriftlich bestätigt. Falls der Dienstleister Daten ins Ausland übermittelt, prüfen Sie, ob das Zielland ein angemessenes Datenschutzniveau hat (EDÖB-Liste adäquater Länder auf edoeb.admin.ch).

Schritt 4 — FINMA-Prüfung (nur für regulierte Unternehmen). Falls Ihr Unternehmen von der FINMA beaufsichtigt wird, prüfen Sie, ob das geplante Outsourcing als wesentliches Outsourcing nach FINMA-RS 18/3 gilt. Wesentliches Outsourcing liegt vor, wenn die ausgelagerte Funktion für die Geschäftstätigkeit, das Risikomanagement oder die Compliance des Unternehmens wichtig ist. Bei wesentlichem Outsourcing ist die FINMA vorab zu informieren.

Schritt 5 — Exit-Plan definieren. Klären Sie vor Vertragsabschluss, wie das Outsourcing bei Kündigung rückgängig gemacht werden kann. Wer hat die Daten? In welchem Format werden Daten übergeben? Wie lange dauert eine Transition? Ein fehlender Exit-Plan führt bei Kündigung zu Abhängigkeit (Lock-in) und hohen Transitionskosten.

Schritt 6 — Unterzeichnung und Archivierung. Der Vertrag ist von der Geschäftsleitung beider Parteien zu unterzeichnen; bei Kollektivzeichnung müssen die richtigen zeichnungsberechtigten Personen gemäss Handelsregister unterzeichnen. Erstellen Sie zwei Originale und archivieren Sie Ihren Vertrag mindestens 10 Jahre (gesetzliche Aufbewahrungsfrist für Geschäftsunterlagen nach OR Art. 958f Abs. 1). Führen Sie eine Vertragsdatenbank mit Vertragsbeginn, Vertragsdauer, Kündigungsfristen und nächsten Verlängerungsdaten, damit Kündigungsfristen nicht verpasst werden (automatische Verlängerungsklauseln in Outsourcing-Verträgen sind häufig).

Der Outsourcing-Vertrag in der Schweiz unterliegt mehreren gesetzlichen Anforderungen, die aus verschiedenen Bundesgesetzen und Regulatorien resultieren.

OR Art. 394-406 — Auftragsrecht. Der Outsourcing-Vertrag ist in der Schweiz in der Regel als Auftrag nach OR Art. 394 ff. zu qualifizieren, sofern es sich um eine Dienstleistung handelt (nicht um die Herstellung eines Werks, die unter Werkvertrag nach OR Art. 363 ff. fiele). Der Auftragnehmer (Dienstleister) ist nach OR Art. 398 Abs. 2 zur sorgfältigen und getreuen Ausführung verpflichtet. Wichtig: Nach OR Art. 404 kann der Auftrag jederzeit von beiden Seiten widerrufen werden — dies ist ein dispositives Recht, das im Outsourcing-Vertrag durch Mindestlaufzeiten und Kündigungsfristen eingeschränkt wird, was die Gerichte in der Schweiz grundsätzlich zulassen, sofern die Einschränkung nicht übermässig ist (OR Art. 27).

DSG Art. 9 — Auftragsbearbeitung und Datenweitergabe. Bei Verarbeitung von Personendaten durch den Dienstleister ist DSG Art. 9 einzuhalten: Der Auftragsbearbeiter darf Daten nur nach Weisung des Verantwortlichen bearbeiten; er muss angemessene technische und organisatorische Massnahmen zum Datenschutz treffen; er darf Daten nur mit Zustimmung des Verantwortlichen an Subunternehmer weitergeben. Verletzungen von DSG Art. 9 können zu Verwaltungssanktionen und strafrechtlichen Konsequenzen nach DSG Art. 60 ff. führen.

FINMA-RS 18/3 — Outsourcing bei Banken und Versicherungen. Das FINMA-Rundschreiben 2018/3 gilt für alle von der FINMA beaufsichtigten Unternehmen (Banken nach BankG SR 952.0; Versicherungen nach VAG SR 961.01; kollektive Kapitalanlagen nach KAG SR 951.31; Finanzinstitute nach FINIG SR 954.1). Bei wesentlichem Outsourcing (Rz. 10 ff. des FINMA-RS 18/3) sind umfangreiche Anforderungen an den Outsourcing-Vertrag zu erfüllen: Schriftform, Mindestinhalt nach Rz. 55, uneingeschränkte FINMA-Prüfrechte (Rz. 63), Business-Continuity-Plan und Exit-Strategie (Rz. 71), Kontrolle über Sub-Outsourcing (Rz. 67).

OR Art. 958f — Aufbewahrungspflicht. Verträge und Geschäftskorrespondenz im Zusammenhang mit Outsourcing-Vereinbarungen sind nach OR Art. 958f für 10 Jahre aufzubewahren. Diese Frist beginnt mit dem Ende des Geschäftsjahrs, in dem der Vertrag geschlossen wurde.

AMLA / GwG — Geldwäschereibezogene Anforderungen. Bei Outsourcing von Compliance-Funktionen (KYC, AML-Screening) an Dritte ist zu beachten, dass die geldwäschereirechtliche Verantwortlichkeit beim beaufsichtigten Institut verbleibt (GwG SR 955.0). Der Outsourcing-Vertrag muss die entsprechenden Pflichten des Dienstleisters klar regeln.

Häufige Fehler beim Outsourcing-Vertrag in der Schweiz führen zu Leistungsstreitigkeiten, Datenschutzverletzungen oder regulatorischen Problemen.

Fehler 1 — Fehlende oder zu vage Leistungsbeschreibung. Ein Outsourcing-Vertrag ohne präzise Leistungsbeschreibung ist die häufigste Ursache für Streitigkeiten. Was ist im Preis inbegriffen? Was sind Zusatzleistungen? Ohne klare Abgrenzung entstehen endlose Diskussionen darüber, was der Dienstleister schuldet.

Fehler 2 — Keine datenschutzrechtliche Auftragsbearbeitungsvereinbarung. Viele Outsourcing-Verträge in der Schweiz enthalten keine oder eine unvollständige Datenschutzklausel nach DSG Art. 9. Dies stellt eine Verletzung des DSG dar und kann zu Bussgeldern von bis zu CHF 250'000.- nach DSG Art. 60 führen. Seit dem Inkrafttreten des revidierten DSG am 1. September 2023 hat der EDÖB die Aufsicht verschärft.

Fehler 3 — Kein SLA oder unklare SLA-Kennzahlen. Ein Outsourcing-Vertrag ohne SLA oder mit rein qualitativen Formulierungen (z.B. der Dienst wird zuverlässig betrieben) gibt dem Auftraggeber keine klare Grundlage für Reklamationen. Messbarer SLA ist die Grundlage für Gutschriften und Schadenersatz nach OR Art. 97 ff.

Fehler 4 — Kein Exit-Plan. Bei der Vertragsunterzeichnung denkt kaum jemand an die Kündigung — doch ohne Exit-Plan und Datenportabilität ist das Unternehmen im Kündigungsfall vom Dienstleister abhängig (Vendor Lock-in). Vereinbaren Sie die Datenübergabe im Format X, Transitionszeit von Y Monaten und eine Exit-Gebühr von höchstens Z CHF.

Fehler 5 — Fehlende FINMA-Compliance. Banken und Versicherungen, die Outsourcing ohne die Anforderungen des FINMA-RS 18/3 abschliessen, riskieren aufsichtsrechtliche Massnahmen der FINMA — bis hin zu Lizenzentzug. Die FINMA prüft Outsourcing-Vereinbarungen im Rahmen von Vor-Ort-Prüfungen (on-site inspections) und verlangt die Vorlage der schriftlichen Outsourcing-Verträge für alle als wesentlich eingestuften Auslagerungen.

Fehler 6 — Fehlende Regelung für geistiges Eigentum. Wenn der Dienstleister im Rahmen des Outsourcing-Auftrags Software-Code, Analysen, Datenbanken, Berichte oder andere Werke erstellt, ist zu klären, wem das geistige Eigentum gehört. Nach Schweizer Urheberrecht (URG, SR 231.1) entstehen Urheberrechte beim Schöpfer (dem Dienstleister), nicht automatisch beim Auftraggeber. Ohne klare Regelung entstehen nach Vertragsende Streitigkeiten über Nutzungsrechte. Vereinbaren Sie, dass alle im Auftrag des Auftraggebers erstellten Werke diesem gehören (Vollrechtsübertragung) oder dem Auftraggeber eine unwiderrufliche, weltweite, unbegrenzte Lizenz zur Nutzung eingeräumt wird (Nutzungsrechtsübertragung nach URG Art. 16).