Vertraulichkeit und Zugriffe bei temporärer Legal- und Compliance-Unterstützung

Kurzantwort: Vertrauliche Daten schützen Unternehmen beim Einsatz externer Juristen und Compliance-Fachkräfte mit vier Bausteinen: einer vertraglichen Geheimhaltung, die auch direkt gegenüber dem Einsatzbetrieb gilt, einem Zugriffskonzept nach dem Need-to-know-Prinzip, einer Einweisung am ersten Tag und einer dokumentierten Rückgabe am Ende des Einsatzes. Die Verantwortung für den Datenschutz bleibt beim Unternehmen: In Deutschland gelten Leiharbeitnehmer im Verhältnis zum Entleiher datenschutzrechtlich als Beschäftigte (§ 26 Abs. 8 Nr. 1 BDSG). In der Schweiz verpflichtet Art. 321a Abs. 4 OR Arbeitnehmende zur Verschwiegenheit, auch nach Ende des Arbeitsverhältnisses, soweit berechtigte Interessen es erfordern.

Dieser Ratgeber richtet sich an General Counsel, Heads of Compliance, Informationssicherheit und HR in der Schweiz und in Deutschland, die temporäre Fachkräfte einsetzen. Er zeigt, welche Vertraulichkeitsregeln für externe Juristen gelten, wie Verträge und Zugriffe aufgebaut werden und was am Einsatzende zu tun ist.

Vertraulichkeit in vier Phasen: wer was verantwortet

Vertraulichkeit bei Interim-Einsätzen ist eine Abfolge von Massnahmen vor, während und nach dem Einsatz.

Im Staff Leasing liegt das fachliche Weisungsrecht beim Unternehmen, und die Fachkraft ist in seine Organisation integriert. Im Freelancing erbringt die Fachkraft ihre Leistung eigenverantwortlich im Rahmen des vereinbarten Mandats. Beide Modelle verlangen dieselben Bausteine, aber unterschiedliche Verträge.

Geheimhaltung vertraglich regeln: Arbeitsvertrag, Verleihvertrag, NDA

Die gesetzliche Verschwiegenheitspflicht besteht im Staff Leasing gegenüber dem Arbeitgeber, also dem Verleiher. Deshalb braucht der Einsatzbetrieb eine eigene vertragliche Grundlage. Drei Ebenen greifen ineinander:

• Arbeitsvertrag zwischen Verleiher und Fachkraft: In der Schweiz gilt die Verschwiegenheitspflicht nach Art. 321a Abs. 4 OR, auch nach Vertragsende.
• Verleihvertrag zwischen Verleiher und Einsatzbetrieb: Er ist in der Schweiz schriftlich (Art. 22 AVG), in Deutschland in Textform (§ 12 Abs. 1 AÜG) abzuschliessen. Er sollte festhalten, dass der Verleiher die Fachkraft zur Geheimhaltung gegenüber dem Einsatzbetrieb verpflichtet.
• Persönliche Geheimhaltungserklärung (NDA): Die Fachkraft unterzeichnet direkt gegenüber dem Einsatzbetrieb. So kann das Unternehmen Ansprüche selbst geltend machen. Im Freelancing ist die Geheimhaltung Teil des Mandatsvertrags; der Beauftragte haftet für getreue und sorgfältige Ausführung (Art. 398 Abs. 2 OR).

Was eine Geheimhaltungsvereinbarung enthalten sollte

• Definition vertraulicher Informationen, einschliesslich Personendaten, Mandats- und Kundendaten
• Nutzung nur für den Einsatz, keine Kopien auf private Geräte oder Konten
• Verbot, Inhalte in nicht freigegebene Tools einzugeben, auch in KI-Anwendungen
• Rückgabe- und Löschpflicht mit schriftlicher Bestätigung
• Fortgeltung nach Einsatzende und Hinweis auf gesetzliche Geheimnispflichten, etwa das Bankkundengeheimnis
• Pflicht, Interessenkonflikte und frühere Mandate für Gegenparteien offenzulegen

In Deutschland hat die Vereinbarung einen zusätzlichen Zweck: Eine Information ist nur dann ein Geschäftsgeheimnis, wenn der Inhaber angemessene Geheimhaltungsmassnahmen getroffen hat (§ 2 Nr. 1 lit. b GeschGehG). Verträge und ein Zugriffskonzept sind dafür ein Nachweis.

Berufsgeheimnis und Legal Privilege in Deutschland und der Schweiz

Interim-Juristen in Rechtsabteilungen treten nicht als Anwältinnen oder Anwälte auf. Für sie gilt in der Regel die arbeits- und vertragsrechtliche Verschwiegenheit, nicht das anwaltliche Berufsgeheimnis. Das wirkt sich auf den Schutz von Unterlagen in Verfahren aus.

Deutschland

• Syndikusrechtsanwälte haben im Strafverfahren für das, was ihnen in dieser Eigenschaft anvertraut wurde, grundsätzlich kein Zeugnisverweigerungsrecht (§ 53 Abs. 1 S. 1 Nr. 3 StPO, vorbehaltlich § 53a StPO).
• Ein per Arbeitnehmerüberlassung eingesetzter Jurist kann laut BGH bei einer Kanzlei weder als Rechtsanwalt noch als Syndikusrechtsanwalt zugelassen werden, wenn er nach aussen auftritt (BGH, Urteil vom 20.03.2023 – AnwZ (Brfg) 12/21). Weil Arbeitgeber der Verleiher ist und Syndikusrechtsanwälte nur in Rechtsangelegenheiten ihres Arbeitgebers tätig sein dürfen (§ 46 Abs. 5 BRAO), ist das nach unserer Einschätzung auch in einer Unternehmens-Rechtsabteilung zu erwarten; ausdrücklich entschieden ist es nicht.
• Setzt eine Kanzlei Projektjuristen ein, muss sie diese als mitwirkende Personen zur Geheimhaltung verpflichten; unterlässt sie das, droht Strafbarkeit (§ 203 Abs. 3, 4 StGB). Für Dienstleister verlangt § 43e BRAO einen Vertrag in Textform mit Verschwiegenheitspflicht.

Schweiz

• Seit dem 1. Januar 2025 kann eine Partei im Zivilprozess die Herausgabe von Unterlagen ihres unternehmensinternen Rechtsdienstes verweigern, wenn dieser von einer Person mit Anwaltspatent geleitet wird (Art. 167a ZPO). Dritte im Rechtsdienst können sich unter denselben Voraussetzungen darauf berufen. Ob eine überlassene Interim-Fachkraft als solche dritte Person gilt, ist nicht entschieden. Die Norm gilt nicht im Straf- oder Verwaltungsverfahren.
• Unternehmensjuristen eines Arbeitgebers ohne Registereintrag können nicht ins Anwaltsregister eingetragen werden (Art. 8 Abs. 1 lit. d BGFA). Ob sie unter das strafrechtliche Berufsgeheimnis nach Art. 321 StGB fallen, ist umstritten; verlassen Sie sich deshalb nicht darauf, sondern regeln Sie die Vertraulichkeit vertraglich.

Für die Praxis heisst das: Privilegierte Arbeit gehört in der Schweiz unter die Leitung einer patentierten Person, in Deutschland oft in Abstimmung mit der externen Kanzlei.

Bankkundengeheimnis und Outsourcing bei Finanzinstituten

Bei Schweizer Banken kommt das Bankkundengeheimnis hinzu. Art. 47 BankG bestraft mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe, wer ein Geheimnis offenbart, das ihm als Organ, Angestellter, Beauftragter oder Liquidator einer Bank anvertraut worden ist. Die Strafbarkeit gilt auch nach Beendigung des Dienstverhältnisses (Art. 47 Abs. 4 BankG). Ob eine verliehene Fachkraft als Angestellte oder Beauftragte der Bank erfasst ist, regelt das Gesetz nicht ausdrücklich; die Bank sollte das vor dem Einsatz klären. In der Praxis verpflichten Banken Interim-Fachkräfte zusätzlich vertraglich und weisen sie auf Art. 47 BankG hin.

Davon zu trennen ist die Frage, ob ein Einsatz als Outsourcing gilt. Nach FINMA-Rundschreiben 2018/3 liegt ein Outsourcing vor, wenn ein Dienstleister selbständig und dauernd eine wesentliche Funktion erfüllt (Rz 2). Eine weisungsgebundene, integrierte Fachkraft im Personalverleih erfüllt dieses Merkmal in der Regel nicht; ein Freelancer, der eine Funktion eigenständig übernimmt, unter Umständen schon. Das ist eine Einschätzung; das RS 2018/3 gilt laut FINMA-Liste der Rundschreiben weiterhin, und die Einordnung im Einzelfall dokumentiert das Institut. Entscheide über Aufnahme und Abbruch von Geschäftsbeziehungen bleiben ohnehin bei der Bank. Mehr zu typischen Einsätzen in Banken zeigt die Seite AML-, KYC- und Financial-Crime-Compliance.

Datenschutz: wer verantwortlich ist

Verantwortlicher im Sinne von DSGVO und Schweizer DSG bleibt das Unternehmen, in dessen Auftrag die Daten bearbeitet werden. Die Rolle der Fachkraft hängt vom Einsatzmodell ab:

• Staff Leasing: Die Fachkraft arbeitet unter der Aufsicht des Verantwortlichen und darf Daten nur auf dessen Weisung verarbeiten (Art. 29, Art. 32 Abs. 4 DSGVO). In Deutschland ist sie Beschäftigte im Verhältnis zum Entleiher (§ 26 Abs. 8 Nr. 1 BDSG). Der Verleiher selbst verarbeitet die Daten Ihres Unternehmens dabei nicht; ein Auftragsverarbeitungsvertrag mit ihm ist deshalb nach unserer Einschätzung in der Regel nicht nötig, solange er keinen Zugriff auf diese Daten erhält.
• Freelancing: Arbeitet die Fachkraft in den Systemen des Unternehmens und nach dessen Vorgaben, ist sie meist ebenfalls unterstellte Person. Bearbeitet sie Daten in eigenen Systemen, kann eine Auftragsverarbeitung vorliegen (Art. 28 DSGVO; Art. 9 DSG). Die Abgrenzung ist im Einzelfall zu prüfen.
• Schweiz: Die Bearbeitung darf einem Auftragsbearbeiter nur übertragen werden, wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegensteht (Art. 9 Abs. 1 lit. b DSG). Verantwortlicher und Auftragsbearbeiter gewährleisten eine dem Risiko angemessene Datensicherheit (Art. 8 DSG).

Interim-Fachkräfte müssen den internen Meldeweg für Datenschutzverletzungen kennen. Nach der DSGVO ist eine Verletzung binnen 72 Stunden der Aufsichtsbehörde zu melden; nach dem revDSG meldet der Verantwortliche dem EDÖB so rasch als möglich, wenn voraussichtlich ein hohes Risiko besteht (Art. 33 DSGVO; Art. 24 DSG). Wo Unterschiede zwischen DSGVO und revDSG ins Gewicht fallen, zeigt der Ratgeber DSGVO und revDSG im Vergleich.

Zugriffskonzept: Need-to-know, Protokollierung, Geräte

Ein Zugriffskonzept beschränkt die Rechte der Interim-Fachkraft auf das, was die Aufgabe verlangt, und macht Zugriffe nachvollziehbar. Diese Punkte gehören hinein:

• Rollen statt Einzelrechte: eine Rolle pro Aufgabe, etwa „Vertragsprüfung Einkauf“ oder „KYC-Review Segment X“, mit Ablaufdatum gleich Einsatzende.
• Need-to-know: keine Vollzugriffe auf Laufwerke oder Mandatsablagen; sensible Dossiers wie Untersuchungen, HR-Fälle oder M&A-Projekte nur nach Freigabe.
• Geräte: Firmengerät oder gesicherter Remote-Zugang, keine lokale Ablage, gesperrte USB-Ports und Druckfreigaben nach Bedarf.
• Protokollierung: Zugriffe auf besonders schützenswerte Daten protokollieren und stichprobenweise prüfen. In Deutschland ist bei technischen Kontrolleinrichtungen ein Mitbestimmungsrecht des Betriebsrats möglich (§ 87 Abs. 1 Nr. 6 BetrVG).
• Remote-Arbeit: Arbeitsort, Bildschirmschutz und Telefonate ausdrücklich regeln; keine Unterlagen an private Konten.

Beispiel: Eine Schweizer Privatbank setzt eine Interim-Compliance-Fachkraft für periodische KYC-Überprüfungen ein. Die Fachkraft erhält Lesezugriff auf die Dossiers eines Kundensegments und Schreibrechte nur im Review-Tool. Eskalationen laufen an die interne Compliance; Entscheide über Kundenbeziehungen trifft die Bank. Weitere Einsatzformen beschreibt die Seite Interim Compliance. Die Schritte für die ersten Wochen fasst der Ratgeber Onboarding von Interim-Fachkräften zusammen.

Ende des Einsatzes: Zugriffe entziehen, Unterlagen zurückgeben

Am letzten Einsatztag werden alle Zugriffe gesperrt und alle Unterlagen zurückgegeben; die Verschwiegenheit gilt weiter. In der Schweiz hat jede Vertragspartei bei Beendigung des Arbeitsverhältnisses der anderen alles herauszugeben, was sie für dessen Dauer erhalten hat (Art. 339a OR). Im Staff Leasing besteht dieses Verhältnis zum Verleiher; die Rückgabe an den Einsatzbetrieb sollte deshalb im NDA und im Verleihvertrag stehen.

1. Konten, VPN, Token und Gruppenmitgliedschaften am letzten Tag sperren, nicht erst nach der Schlussrechnung.
2. Laufende Dossiers übergeben und die Übergabe dokumentieren.
3. Geräte, Badges und Papierunterlagen zurücknehmen.
4. Löschung lokaler Kopien und privater Notizen schriftlich bestätigen lassen.
5. Fortgeltende Verschwiegenheit und Ansprechperson für spätere Rückfragen festhalten.

Grenzen und Risiken

• Alpinum Solutions stellt Legal- und Compliance-Fachkräfte über Staff Leasing und Freelancing bereit. Alpinum ist keine Kanzlei; die Verantwortung für Datenschutz, Informationssicherheit und Geheimnisschutz bleibt beim Unternehmen.
• Ein NDA ersetzt kein Zugriffskonzept. Die meisten Vorfälle entstehen durch zu breite Rechte, nicht durch fehlende Unterschriften.
• Gesetzliche Schutzrechte wie das Verweigerungsrecht nach Art. 167a ZPO setzen eine bestimmte Organisation voraus. Ob sie für eine konkrete Konstellation greifen, ist mit der Rechtsabteilung oder einer Kanzlei zu klären.

Häufige Fragen zur Vertraulichkeit bei externen Juristen

Braucht es eine separate Geheimhaltungsvereinbarung?

Im Staff Leasing ist sie in der Regel sinnvoll. Die gesetzliche Verschwiegenheitspflicht nach Art. 321a Abs. 4 OR besteht gegenüber dem Arbeitgeber, also dem Verleiher. Eine persönliche Erklärung direkt gegenüber dem Einsatzbetrieb gibt dem Unternehmen eigene Ansprüche und regelt Themen wie Bankkundengeheimnis, KI-Tools und Rückgabe konkret. Im Freelancing gehört die Geheimhaltung in den Mandatsvertrag.

Darf ein Interim-Compliance-Officer Kundendaten einsehen?

Ja, soweit die Aufgabe es verlangt und das Zugriffskonzept es vorsieht. Die Fachkraft verarbeitet Daten auf Weisung des Unternehmens, das Verantwortlicher bleibt. Bei Schweizer Banken kommt das Bankkundengeheimnis nach Art. 47 BankG hinzu; die Bank klärt vorab, wie sie die Fachkraft darauf verpflichtet. Zugriffe auf ganze Kundenbestände ohne Aufgabenbezug braucht es nicht.

Sind Gespräche mit Unternehmensjuristen geschützt?

Nur eingeschränkt. In der Schweiz gilt seit 2025 ein Verweigerungsrecht im Zivilprozess für Unterlagen des unternehmensinternen Rechtsdienstes, wenn eine patentierte Person ihn leitet (Art. 167a ZPO). In Deutschland haben Syndikusrechtsanwälte im Strafverfahren grundsätzlich kein Zeugnisverweigerungsrecht (§ 53 StPO). Für besonders sensible Fragen wird deshalb oft eine externe Kanzlei eingebunden.

Wer haftet, wenn eine Interim-Fachkraft Daten weitergibt?

Gegenüber Behörden und Betroffenen bleibt das Unternehmen als Verantwortlicher in der Pflicht. Intern kommen Ansprüche gegen die Fachkraft aus Arbeits-, Mandats- oder Geheimhaltungsvertrag in Betracht, je nach Modell auch gegen den Anbieter. Welche Haftung der Verleih- oder Mandatsvertrag vorsieht, sollte vor dem Einsatz geklärt sein.

Nächster Schritt

Klären Sie Vertrag, Zugriffsrollen und Rückgabe, bevor Sie Profile prüfen. Dann kann der Einsatz ohne Verzögerung beginnen.

• Staff Leasing für Legal und Compliance
• Interim Compliance: Fachkräfte für Projekte und Vakanzen
• Onboarding von Interim-Fachkräften: Checkliste für Tag 1 bis 30
• Bedarf besprechen

Stand: 30. Oktober 2026.