Bewertung des Datenschutzes einer Schweizer ERP-Software

Was bei einer ERP-Software wirklich bewertet wird

Eine ERP-Software erfasst mindestens vier Kategorien personenbezogener Daten. Die erste betrifft die Mitarbeitenden: Stammdaten, Verträge, Absenzen, Löhne und interne Kommunikation. Die zweite Kategorie umfasst Kunden und Lieferanten: Adressen, Ansprechpersonen, Bestellungen, Rechnungen und Vertragsbedingungen.

Die dritte Kategorie bilden Bewerbungen, die in schweizerischen Datenschutzerklärungen oft in einem eigenen Abschnitt behandelt werden: Lebensläufe, Referenzen und Ergebnisse des Auswahlverfahrens. Die vierte Kategorie umfasst Daten, die von Dritten importiert und nicht direkt vom Unternehmen erhoben wurden. Schweizerische Erklärungen nennen hier öffentlich zugängliche Quellen: Handelsregister, Grundbuchregister, Betreibungsregister, Medien und Internet, einschliesslich sozialer Medien.

Ebenfalls zur vierten Kategorie gehören Daten, die von öffentlichen Behörden, vom Arbeitgeber oder vom Auftraggeber der betroffenen Person stammen. Eine ERP-Software mit Bonitätsprüfung oder Stammdatenanreicherung fällt in diese Kategorie.

Verantwortlicher für die Datenbearbeitung ist das Unternehmen, das die ERP-Software einsetzt, nicht der Softwarehersteller. In schweizerischen Datenschutzerklärungen wird der Verantwortliche mit Firmennamen, Adresse und einer speziellen Kontaktstelle für den Datenschutz aufgeführt. Der Softwareanbieter tritt in der Regel als Auftragsbearbeiter im Namen des Kunden auf. Diese Rolle muss schriftlich definiert werden.

Die Bewertung betrifft nicht nur das Produkt, sondern auch die darauf aufbauenden Prozesse. Welche Felder sind obligatorisch, welche fakultativ? Wer kann sie erfassen und ändern? Wer exportiert sie? Wie lange verbleiben sie im System? Wie werden sie auf Anfrage gelöscht oder gesperrt?

Lassen Sie sich vor der Unterzeichnung die Liste der pro Modul bearbeiteten Felder sowie die Beschreibung der Export- und Löschverfahren aushändigen. Erst diese Dokumente zeigen, ob die ERP-Software die Pflichten des Verantwortlichen tatsächlich unterstützt.

DSCHG, DSV und DSGVO: Der Rahmen für einen Schweizer Anbieter

Schweizer Anbieter verweisen in ihren Datenschutzerklärungen in der Regel auf das Bundesgesetz über den Datenschutz (DSCHG), die Datenschutzverordnung (DSV) und andere anwendbare Bestimmungen. Dazu gehört auch die Datenschutz-Grundverordnung (DSGVO) der EU, wenn die Bearbeitung in ihren Anwendungsbereich fällt.

Einige Erklärungen präzisieren die redaktionelle Technik. Die Begriffe werden im Sinne des DSCHG verwendet und im Rahmen der DSGVO entsprechend dieser ausgelegt. Dies ist ein nützliches Detail beim Vergleich von Dokumenten: Derselbe Begriff, beispielsweise «Bearbeitung», kann in den beiden Texten unterschiedlich definiert sein.

Um zu verstehen, was die Software leisten muss, braucht es die operative Definition der Bearbeitung. Gemäss Art. 5 Bst. d DSCHG umfasst diese unter anderem das Speichern, Nutzen und Löschen von Daten. Eine ERP-Software, die das Löschen oder zeitliche Begrenzen von Daten nicht ermöglicht, deckt somit einen Teil des Tatbestands nicht ab. Dies gilt unabhängig davon, was der Anbieter in Bezug auf die Sicherheit erklärt.

Was Datenübermittlungen betrifft, hat die Europäische Kommission mit Entscheid vom 26. Juli 2000 anerkannt, dass die schweizerische Gesetzgebung zum Datenschutz ein angemessenes Schutzniveau gewährleistet. In ihrem Bericht vom 15. Januar 2024 hat die Kommission diesen Angemessenheitsbeschluss bestätigt.

Für ein Schweizer Unternehmen mit Kunden oder Niederlassungen in der EU wird der schweizerische Rahmen daher nicht automatisch als mangelhaft betrachtet. Dies entbindet jedoch nicht von der Analyse. Ob die DSGVO auf Ihre Bearbeitung direkt anwendbar ist, hängt vom Einzelfall ab. Mit dem Anbieter ist zu prüfen, welche vertraglichen Klauseln für Datenflüsse in die EU und in Drittländer vorgesehen sind.

Vergleich der Rechtsrahmen: DSCHG, DSV und DSGVO

EDÖB, kantonale Behörden und Prüfstellen

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist eine unabhängige Behörde. Er hat Aufgaben im Bereich des Datenschutzes und des Transparenzprinzips.

Als Aufsichtsbehörde für den Datenschutz überwacht er, dass Bundesorgane und private Unternehmen personenbezogene Daten nicht rechtswidrig bearbeiten.

Als Verantwortlicher für die Transparenz ist er die Schlichtungsstelle für den Zugang zu amtlichen Dokumenten. Auf Antrag vermittelt er zwischen Privatpersonen und Bundesbehörden, wenn der Zugang verweigert wird. Kommt keine Einigung zustande, spricht er Empfehlungen aus.

Er hat seinen Sitz am Feldeggweg 1, 3003 Bern. Für Fragen zum Datenschutz ist eine Hotline von Montag bis Freitag von 10 bis 11.30 Uhr unter der Nummer 058 462 43 95 erreichbar. Es gibt auch ein Kontaktformular.

Drei öffentliche Instrumente können direkt zur Bewertung eines Anbieters genutzt werden: die Empfehlungen, einschliesslich jener nach dem Transparenzgesetz; die aktuellen Mitteilungen; und der Tätigkeitsbericht.

Der Tätigkeitsbericht wird jährlich der Bundesversammlung vorgelegt, dem Bundesrat übermittelt und gemäss Art. 57 DSCHG veröffentlicht. Die Website kündigt die Veröffentlichung des nächsten Berichts auf den 30. Juni 2026 an.

Für kantonale und kommunale Organe gelten zudem die kantonalen Gesetzgebungen. Diese werden zusammen mit dem DSCHG in der Beschreibung der auf dem schweizerischen Markt vorhandenen Beratungsdienste zur Compliance erwähnt, wobei auch die Gemeinden genannt werden.

Dass die Entscheidungen des EDÖB auch die tägliche Kontaktverwaltung betreffen, zeigt ein Fall des Direktmarketings. Laut Privacy Desk Suisse hat der EDÖB mit Entscheid vom 17. April 2026, der nach Ablauf der Rekursfrist rechtskräftig wurde, Cream della Cream und Philipp Plein sanktioniert. Die Sanktion betrifft das Direktmarketing und das Widerspruchsrecht.

Wer eine ERP-Software mit Kampagnenmodul oder CRM bewertet, sollte prüfen, wie das System Einwilligungen und Widersprüche erfasst. Es muss auch kontrolliert werden, ob eine Ablehnung zeitlich nachverfolgbar bleibt.

Schlüsselereignisse in der Entwicklung des Datenschutzes in der Schweiz

Die vom Anbieter deklarierten Sicherheitsmassnahmen lesen

Die Sicherheitsmassnahmen für personenbezogene Daten im DSCHG sind Gegenstand spezifischer Analysen durch Schweizer Kanzleien und Berater. In den Erklärungen der Anbieter erscheint das Thema meist in einem Abschnitt «Datensicherheit». Dies ist das erste Dokument, das gelesen werden sollte: Fehlt es oder beschränkt es sich auf allgemeine Formeln, ist dies bereits ein Ausschlusskriterium.

Zu fordern sind Punkte zur Zugriffsverwaltung: nach Funktion getrennte Profile und Rollen, Multi-Faktor-Authentifizierung und sofortiger Entzug der Anmeldedaten, wenn eine Mitarbeitende das Unternehmen verlässt.

Weiter erforderlich sind die Verschlüsselung der Daten während der Übertragung und im Ruhezustand, mit Angabe, wer die Schlüssel verwaltet, die Protokollierung von Zugriffen und Änderungen, Backup- und Wiederherstellungsverfahren sowie die Aufbewahrung und Löschung.

Die nützliche Prüfung betrifft nicht die Liste der Technologien, sondern die Konfigurierbarkeit. Kann man für Bewerbungen, Kunden und Personaldaten unterschiedliche Aufbewahrungsfristen definieren? Wird die Löschung auch auf Backup-Kopien und verbundene Dienste Dritter übertragen? Ist ersichtlich, wer wann eine Akte eingesehen oder exportiert hat? Sind Exporte in Dateien oder Tabellenkalkulationen begrenzt und nachverfolgbar?

Der Anbieter sollte mit technischer Dokumentation antworten. Auf Anfrage sollte er einen vertraglichen Anhang liefern, der die Sicherheitspflichten festlegt, und keine Marketingseite.

Schlüsselindikatoren zur Bewertung der Konformität einer ERP-Software

Wohin die Daten fliesse: Hosting, Übermittlungen und Unterauftragnehmer

Schweizerische Erklärungen behandeln personenzogene Daten im Ausland in der Regel in einem eigenen Abschnitt. Der Standort von Servern und Backups ist nicht neutral.

Die Fragen an den Anbieter sind konkret. In welchem Land befinden sich die Produktions- und Backup-Server? Wo läuft der Datenverkehr? Welche Daten verlassen das System hin zu verbundenen Diensten wie E-Mail, Fakturierung, Analytics und Support? Auf welcher Rechtsgrundlage und mit welchen vertraglichen Garantien erfolgt jede Übermittlung?

Ein in der Schweiz deklariertes Hosting schliesst nicht aus, dass ein Unterauftragnehmer für Wartung oder Monitoring von einem anderen Land aus auf die Daten zugreift. Verlangen Sie die namentliche Liste der Unterauftragnehmer mit Standort und Funktion. Verlangen Sie auch die Klausel, die regelt, wie Änderungen mitgeteilt werden.

Bei Anbietern mit Kunden in der EU wird häufig die Bestellung eines Vertreters im Europäischen Wirtschaftsraum gemäss Art. 27 DSGVO erwähnt. Dies ist ein zusätzlicher Kontaktpunkt für Aufsichtsbehörden und betroffene Personen.

Die Erklärungen präzisieren, dass der Geltungsbereich die Europäische Union, das Fürstentum Liechtenstein, Island und Norwegen umfasst. Wenn Ihr Unternehmen Daten von betroffenen Personen in der EU bearbeitet, fragen Sie, ob der Anbieter diese Bestellung vorgenommen hat und mit welchen Kontaktdaten. Dies ist ein überprüfbares Element, keine Grundsatzerklärung.

Ein Verantwortungspunkt ist zu unterscheiden. Dritte, die einem Anbieter Daten über andere Personen übermitteln, müssen den Datenschutz dieser betroffenen Personen selbst gewährleisten. Dies gilt in beide Richtungen.

Wenn Sie Listen oder Stammdaten von Dritten in die ERP-Software importieren, bleibt die Verantwortung für deren Rechtmässigkeit bei Ihnen. Wenn der Anbieter Daten Ihrer Mitarbeitenden an einen Unterauftragnehmer weitergibt, muss klar sein, wer für allfällige Verstösse haftet. Auch die Fristen, innerhalb derer der Anbieter Sie informieren muss, müssen klar sein.

Vor- und Nachteile eines ausländischen Hostings für eine Schweizer ERP-Software

Automatisierte Module und künstliche Intelligenz in der ERP-Software

Die Position des EDÖB ist explizit. In einem Beitrag vom 24. September 2025 betont der Beauftragte, dass das schweizerische Datenschutzgesetz direkt auf die auf künstlicher Intelligenz basierende Datenbearbeitung anwendbar ist. Es gibt also keinen Freiraum für «smarte» Funktionen einer ERP-Software.

Parallel dazu haben Schweizer Anbieter begonnen, Abschnitte zur Automatisierung und künstlichen Intelligenz in ihre Erklärungen aufzunehmen. Diese erscheinen neben denen zu Kommunikation, Bewerbungen und Datensicherheit.

In Produktfragen übersetzt heisst das: Welche Module nutzen KI? Umsatzprognosen, Scoring von Kunden oder Lieferanten, automatische Klassifizierung von Bewerbungen, Ticket-Routing, in die Oberfläche integrierte Assistenten? Welche Daten fliessen in das Modell und wo werden sie bearbeitet? Werden die Daten Ihrer ERP-Software zum Training von Modellen des Anbieters oder Dritter verwendet?

Erzeugt das System automatisierte Entscheidungen, die Mitarbeitende oder Kunden betreffen? Ist in diesem Fall eine menschliche Überprüfung möglich? Kann das Modul deaktiviert werden, ohne andere Funktionen zu verlieren? Ist die Deaktivierung dokumentiert?

Wenn der Anbieter nicht präzise zu Eingaben, Bearbeitungsort und Wiederverwendung der Daten antwortet, ist die Funktion als nicht bewertbar zu betrachten.

Datenschutzerklärung und Rechte der betroffenen Personen: Was zu fordern ist

Die Erklärung des Anbieters ist wie eine Liste obligatorischer Punkte zu lesen. Vollständige schweizerische Erklärungen geben die Kontaktadresse des Verantwortlichen und allenfalls die Vertretung im EWR an. Sie nennen auch die verwendeten Begriffe und die Rechtsgrundlagen der Bearbeitung, Art, Umfang und Zweck der Bearbeitung.

Es folgen die Weitergabe von Daten an Dritte, die Datensicherheit, personenbezogene Daten im Ausland, die Rechte der betroffenen Personen mit den entsprechenden Ansprüchen und die Rechtsmittelwege.

Fehlt einer dieser Punkte oder wird er durch einen allgemeinen Verweis auf die allgemeinen Geschäftsbedingungen ersetzt, bietet der Anbieter nicht die notwendige Dokumentation für eine Bewertung.

Auf Seiten der Software übersetzen sich die Rechte der betroffenen Personen in überprüfbare Funktionen. Innerhalb angemessener Frist alle einer Person zurechenbaren Daten – Mitarbeitende, Kunde, Bewerber – in einem lesbaren Format bereitstellen. Einen falschen Datum korrigieren, ohne ihn in jedem Modul manuell neu einzugeben. Nicht mehr benötigte Daten, einschliesslich Anhänge und gescannter Dokumente, löschen oder sperren. Widersprüche verwalten und aufbewahren, beispielsweise gegen Direktmarketing.

Dieser letzte Punkt hat eine konkrete Auswirkung. Der Entscheid des EDÖB vom 17. April 2026, der nach Ablauf der Rekursfrist rechtskräftig wurde, betrifft Cream della Cream und Philipp Plein. Er betrifft genau das Direktmarketing und das Widerspruchsrecht. Eine ERP-Software, die es nicht erlaubt, die Ablehnung eines Kontakts dauerhaft zu erfassen, ist für dieses Profil nicht geeignet.

Fragen, die mit dem Anbieter geklärt werden müssen

In einer einzigen Liste zusammengefasst, sind die entscheidenden Prüfungen: Liste der pro Modul bearbeiteten Felder mit Kennzeichnung der obligatorischen Felder; vertragliche Definition der Rollen zwischen Ihrem Unternehmen als Verantwortlichem und dem Anbieter als Auftragsbearbeiter; Zugriffsverwaltung mit getrennten Profilen, Multi-Faktor-Authentifizierung und sofortigem Entzug.

Weiter erforderlich sind: Verschlüsselung während der Übertragung und im Ruhezustand mit klarer Angabe, wer die Schlüssel besitzt; Protokollierung von Zugriffen und Änderungen; konfigurierbare Aufbewahrungsfristen pro Datenkategorie; Löschung, die auch Backups und verbundene Dienste erreicht.

Verlangen Sie die namentliche Liste der Unterauftragnehmer mit Standort und Funktion; den Standort von Servern und Backups und die Beschreibung der Übermittlungen ins Ausland; die Bestellung eines Vertreters im EWR gemäss Art. 27 DSGVO, falls Sie betroffene Personen in der EU haben.

Prüfen Sie die Liste der Module, die KI nutzen, mit Eingabedaten, Bearbeitungsort und Deaktivierungsmöglichkeit. Prüfen Sie die Funktionen für Export, Berichtigung, Löschung und Verwaltung von Widersprüchen.

Hinzu kommen zwei Prüfungen des Anbieters selbst. Wie dokumentiert er seine Sicherheitsmassnahmen, mit technischen Anhängen und nicht mit Werbeseiten? Wie informiert er Sie im Falle einer Datenpanne, mit vor der Unterzeichnung definierten Fristen und Kanälen?

Ein letzter Kontrollschritt ist öffentlich und kostenlos. Die Mitteilungen, Empfehlungen und der Tätigkeitsbericht des EDÖB sowie die Publikationen von Schweizer Kanzleien und Beratern, die Entscheide und Sicherheitsmassnahmen kommentieren, liefern unabhängige Elemente. Diese sind mit den vom Anbieter während der Verhandlungen gemachten Angaben zu vergleichen.

Wichtige Prüfungen, die mit dem Anbieter geklärt werden müssen