Wie berücksichtigt Unternehmenssoftware Datenschutzrichtlinien wie die DSGVO?

Unternehmenssoftware berücksichtigt Datenschutzanforderungen durch technische Funktionen, nachvollziehbare Datenbearbeitungsprozesse und organisatorische Kontrollen. Dazu gehören insbesondere differenzierte Zugriffsrechte, Datenminimierung, Löschmöglichkeiten, Verschlüsselung und die Unterstützung bei Auskunftsbegehren. Ob eine Anwendung tatsächlich datenschutzkonform eingesetzt wird, hängt jedoch nicht allein von ihren Funktionen ab.

Für Unternehmen in der Schweiz bildet das Bundesgesetz über den Datenschutz (DSG) den zentralen Rechtsrahmen. Die europäische Datenschutz-Grundverordnung (DSGVO) kann zusätzlich gelten, etwa wenn ein Schweizer Unternehmen gezielt Waren oder Dienstleistungen an Personen in der EU anbietet oder deren Verhalten beobachtet. Die konkrete Anwendbarkeit muss anhand der jeweiligen Datenbearbeitung beurteilt werden.

Besonders anspruchsvoll wird die Umsetzung, wenn Kundendaten, Personaldaten und Geschäftsinformationen gleichzeitig in CRM-Systemen, ERP-Anwendungen, Cloud-Diensten und weiteren digitalen Werkzeugen verarbeitet werden. Datenschutz entsteht dann nicht durch eine einzelne Einstellung, sondern durch abgestimmte Zuständigkeiten, überprüfbare Konfigurationen und dokumentierte Entscheidungen.

Warum macht eine DSGVO-Funktion eine Software nicht automatisch datenschutzkonform?

Eine DSGVO-Funktion macht Unternehmenssoftware nicht automatisch datenschutzkonform, weil die Rechtmässigkeit von der konkreten Datenbearbeitung abhängt. Eine Anwendung kann Löschfunktionen, Einwilligungsverwaltung und Zugriffsprotokolle anbieten, während das Unternehmen weiterhin unzulässige Daten erhebt, Berechtigungen zu weit vergibt oder Informationen länger als erforderlich speichert. Technische Möglichkeiten müssen deshalb korrekt eingesetzt und organisatorisch abgesichert werden.

Softwarehersteller stellen häufig Funktionen bereit, mit denen sich bestimmte Datenschutzpflichten leichter erfüllen lassen. Beispielsweise können Administratoren Aufbewahrungsfristen konfigurieren, Daten exportieren oder Zugriffe protokollieren. Ob diese Funktionen für den jeweiligen Bearbeitungszweck geeignet sind, muss das einsetzende Unternehmen selbst beurteilen.

Eine Löschfunktion ist beispielsweise nur dann hilfreich, wenn bekannt ist, welche Datensätze gelöscht werden müssen und ob Kopien in verbundenen Anwendungen vorhanden sind. Ebenso genügt ein Rollenmodell nicht, wenn sämtliche Mitarbeitenden vorsorglich umfassende Zugriffsrechte erhalten.

Der Datenschutz-FAQ des EDÖB erläutert den schweizerischen Rechtsrahmen und die mögliche zusätzliche Anwendbarkeit der DSGVO. Daraus folgt für die Softwareauswahl, dass zunächst die tatsächlich einschlägigen Vorschriften und Bearbeitungsvorgänge bestimmt werden müssen.

Besonders wichtig ist die Unterscheidung zwischen Herstellerleistung und betrieblicher Verantwortung:

• Hersteller: stellt Funktionen, technische Dokumentation und vertragliche Informationen bereit.
• Unternehmen: bestimmt Bearbeitungszwecke, Zugriffsberechtigungen, Aufbewahrungsregeln und interne Zuständigkeiten.
• Externe Dienstleister: müssen ihre vertraglich und gesetzlich festgelegten Pflichten bei der Bearbeitung von Personendaten erfüllen.

Ein Softwarezertifikat oder eine Konformitätsaussage kann die Prüfung unterstützen, ersetzt aber keine Beurteilung der konkreten Nutzung. Entscheidend ist, ob die tatsächliche Datenbearbeitung mit den anwendbaren Anforderungen übereinstimmt.

Damit verschiebt sich die zentrale Frage von «Ist diese Software DSGVO-konform?» zu «Können die vorgesehenen Bearbeitungen mit dieser Software rechtskonform organisiert werden?» Diese Frage bildet den Ausgangspunkt für die Prüfung vor der Einführung.

Wie prüft man Unternehmenssoftware vor dem Einsatz auf Datenschutzanforderungen?

Unternehmenssoftware sollte vor dem Einsatz anhand ihrer Bearbeitungszwecke, Datenkategorien, Zugriffsrechte, Sicherheitsmassnahmen und Dienstleisterbeziehungen geprüft werden. Zusätzlich sind Aufbewahrung, Löschung, Auskunftsmöglichkeiten und mögliche Datenbekanntgaben ins Ausland zu berücksichtigen. Die Ergebnisse sollten dokumentiert und offenen Risiken konkrete Massnahmen zugeordnet werden, bevor personenbezogene Daten produktiv verarbeitet werden.

Eine wirksame Prüfung beginnt nicht beim Funktionskatalog des Herstellers, sondern bei den vorgesehenen Geschäftsprozessen. Ein CRM-System für Kundenkontakte stellt andere Anforderungen als eine Personalsoftware mit besonders schützenswerten Informationen.

Zunächst ist festzuhalten, welche Personendaten die Anwendung benötigt, woher sie stammen und zu welchem Zweck sie verwendet werden. Anschliessend lässt sich beurteilen, ob bestimmte Felder, Schnittstellen oder Auswertungen überhaupt erforderlich sind.

Die technische Prüfung sollte anhand konkreter Tests erfolgen. Dabei wird beispielsweise untersucht, ob Mitarbeitende ausschliesslich ihre vorgesehenen Datensätze sehen, ob Datenexporte beschränkt werden können und wie sich Löschvorgänge auf verbundene Systeme auswirken.

Bei einer geplanten Bearbeitung mit potenziell hohem Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen verlangt das schweizerische DSG eine Datenschutz-Folgenabschätzung (DSFA). Die Erläuterungen des EDÖB zur Datenschutz-Folgenabschätzung beschreiben die risikobasierte Beurteilung. Nicht jede Softwareeinführung löst automatisch eine solche Pflicht aus.

Eine praktische Freigabe sollte zudem festhalten, wer für die Konfiguration, die regelmässige Kontrolle und die Bearbeitung von Datenschutzanfragen zuständig ist.

Eine dokumentierte Prüfung erleichtert spätere Änderungen, weil bekannte Risiken und bereits geprüfte Einstellungen nicht jedes Mal neu ermittelt werden müssen. Besonders relevant ist dies bei der Wahl zwischen Cloud-Betrieb und eigener Infrastruktur.

Cloud oder eigener Server: Welche Datenschutzfragen unterscheiden sich wirklich?

Cloud-Software und selbst betriebene Server unterscheiden sich vor allem bei der Verteilung technischer Aufgaben, der Kontrolle über Dienstleister und den möglichen Bearbeitungsorten. Beide Betriebsmodelle können Datenschutzanforderungen erfüllen oder verfehlen. Entscheidend sind die tatsächlichen Datenflüsse, vertraglichen Vereinbarungen, Sicherheitsmassnahmen und die Fähigkeit des Unternehmens, seine gesetzlichen Pflichten umzusetzen.

Bei einer Cloud-Anwendung übernimmt der Anbieter häufig Aufgaben wie Infrastrukturwartung, technische Verfügbarkeit und bestimmte Sicherheitsupdates. Das nutzende Unternehmen muss dennoch prüfen, wie personenbezogene Daten bearbeitet werden und welche Leistungen vertraglich zugesichert sind.

Beim Betrieb auf eigenen Servern verfügt das Unternehmen meist über mehr unmittelbare Kontrolle über die Infrastruktur. Dafür trägt es selbst die operative Verantwortung für zahlreiche technische Aufgaben, etwa Aktualisierungen, Backups, Zugangsverwaltung und die Absicherung der Systeme.

Die Unterschiede lassen sich anhand typischer Prüffragen verdeutlichen:

Nach den Informationen des EDÖB zur Auftragsdatenbearbeitung bleibt ein Unternehmen auch bei der Auslagerung der Bearbeitung von Personendaten für den Datenschutz verantwortlich. Externe Dienstleister müssen sorgfältig ausgewählt, angemessen instruiert und soweit erforderlich überwacht werden.

Besondere Aufmerksamkeit verdienen internationale Datenflüsse. Relevant ist nicht nur der physische Speicherort, sondern auch, von wo aus Daten zugänglich sind und welche weiteren Dienstleister beteiligt werden. Bei Bekanntgaben ins Ausland müssen die jeweiligen rechtlichen Voraussetzungen und gegebenenfalls geeignete Garantien geprüft werden.

Ein Rechenzentrum in der Schweiz ist daher kein alleiniger Nachweis einer rechtskonformen Bearbeitung. Ebenso ist eine internationale Cloud-Lösung nicht allein aufgrund ihres ausländischen Standorts unzulässig.

Unabhängig vom Betriebsmodell können fehlerhafte Einstellungen personenbezogene Daten gefährden. Deshalb muss die technische Konfiguration ebenso sorgfältig geprüft werden wie der Dienstleistervertrag.

Welche 7 Datenschutzfehler entstehen durch falsch konfigurierte Unternehmenssoftware?

Falsch konfigurierte Unternehmenssoftware kann personenbezogene Daten unnötig offenlegen, länger als erforderlich speichern oder unkontrolliert weitergeben. Besonders häufige Risikokonstellationen betreffen übermässige Berechtigungen, unsichere Schnittstellen, fehlende Löschregeln und unzureichende Protokollierung. Sie entstehen nicht zwingend durch Programmfehler, sondern oft durch ungeprüfte Standardeinstellungen oder unklare betriebliche Zuständigkeiten.

Sieben typische Konfigurationsfehler sollten Unternehmen gezielt untersuchen:

1. Zu weit gefasste Benutzerrechte: Mitarbeitende können Daten einsehen oder verändern, die sie für ihre Aufgaben nicht benötigen.
2. Gemeinsam verwendete Benutzerkonten: Zugriffe lassen sich einzelnen Personen nicht zuverlässig zuordnen.
3. Fehlende Aufbewahrungs- und Löschregeln: Nicht mehr benötigte Personendaten verbleiben dauerhaft im System.
4. Ungeschützte Exporte und Schnittstellen: Informationen gelangen ohne ausreichende Zugriffskontrolle in andere Anwendungen.
5. Unzureichend abgesicherte Administratorzugänge: Besonders weitreichende Berechtigungen werden nicht angemessen geschützt.
6. Fehlende oder ungeeignete Protokollierung: Relevante Änderungen und Zugriffe lassen sich bei Bedarf nicht nachvollziehen.
7. Unkontrollierte Testumgebungen: Produktive Personendaten werden in Entwicklungs- oder Testsystemen verwendet, ohne die erforderlichen Schutzmassnahmen zu berücksichtigen.

Diese Fehler haben unterschiedliche Auswirkungen. Eine zu offene Benutzerrolle kann unmittelbar zu unberechtigten Einsichten führen. Eine fehlende Löschregel verursacht dagegen möglicherweise über längere Zeit einen wachsenden Bestand nicht mehr benötigter Informationen.

Zur Erkennung eignen sich rollenbasierte Funktionstests, Konfigurationsprüfungen und kontrollierte Stichproben. Dabei sollten auch automatisch eingerichtete Schnittstellen und Standardkonten berücksichtigt werden.

Die Fehlerbehebung erfordert häufig die Zusammenarbeit von IT, Fachabteilungen und Datenschutzverantwortlichen. Beispielsweise kann die IT eine Berechtigung technisch einschränken, während die Fachabteilung festlegen muss, welche Mitarbeitenden tatsächlich darauf angewiesen sind.

Ein sinnvoller Kontrollprozess unterscheidet ausserdem zwischen einmaligen Korrekturen und wiederkehrenden Prüfungen. Eine richtig konfigurierte Anwendung kann durch neue Benutzerrollen, zusätzliche Schnittstellen oder spätere Aktualisierungen erneut Risiken entwickeln.

Solche Kontrollen sollten nicht ausschliesslich bei der erstmaligen Einführung stattfinden. Auch spätere Veränderungen können die ursprüngliche Datenschutzbewertung beeinflussen.

Wann muss eine Datenschutzprüfung bei Softwareänderungen erneut durchgeführt werden?

Eine Datenschutzprüfung sollte erneut erfolgen, wenn eine Softwareänderung die Art, den Umfang, den Zweck oder die Risiken der Bearbeitung personenbezogener Daten wesentlich beeinflussen kann. Typische Auslöser sind neue Schnittstellen, zusätzliche Datenkategorien, veränderte Berechtigungen oder andere Dienstleister. Ob eine erneute Datenschutz-Folgenabschätzung erforderlich ist, hängt von der konkreten Risikosituation ab.

Nicht jedes technische Update verlangt dieselbe Prüftiefe. Eine kleinere Fehlerkorrektur ohne Auswirkungen auf personenbezogene Daten kann anders behandelt werden als die Einführung einer automatisierten Analysefunktion, die bisher getrennte Datenbestände zusammenführt.

Ein Änderungsprozess sollte deshalb zunächst feststellen, ob die bisherige Beschreibung der Datenbearbeitung noch zutrifft. Anschliessend werden mögliche Auswirkungen auf Betroffene, bestehende Schutzmassnahmen und vertragliche Beziehungen beurteilt.

Besonders prüfungsrelevant sind Änderungen an:

• Datenkategorien und Bearbeitungszwecken;
• Benutzerrollen, Administratorrechten und Authentifizierung;
• Schnittstellen und Datenempfängern;
• Speicherorten und beteiligten Dienstleistern;
• Aufbewahrungs-, Lösch- und Wiederherstellungsprozessen;
• automatisierten Auswertungen und Profiling-Funktionen.

Ein hypothetisches Beispiel verdeutlicht die Abgrenzung: Ein Unternehmen verwendet zunächst eine Personalsoftware zur Verwaltung von Kontaktdaten. Später wird eine Funktion zur systematischen Auswertung sensibler Beschäftigtendaten aktiviert. Diese Änderung kann eine neue Risikobewertung erforderlich machen, auch wenn der Softwareanbieter derselbe bleibt.

Bei einer Bearbeitung mit potenziell hohem Risiko ist zu prüfen, ob die Voraussetzungen einer DSFA nach dem schweizerischen DSG erfüllt sind. Eine bereits vorhandene Bewertung sollte bei wesentlichen Änderungen nicht ungeprüft übernommen werden.

Für die betriebliche Umsetzung empfiehlt sich ein Änderungsprotokoll mit Beschreibung, Risikoeinschätzung, Entscheidung und verantwortlicher Person. So bleibt nachvollziehbar, warum eine vollständige Neubewertung vorgenommen wurde oder weshalb eine begrenzte Prüfung ausreichte.

Damit Änderungen zuverlässig bewertet werden können, muss das Unternehmen wissen, welche Daten besonders schutzbedürftig sind. Eine nachvollziehbare Datenklassifizierung liefert dafür die Grundlage.

Wie klassifiziert man Unternehmensdaten nach Schutzbedarf und Zugriffsrisiko?

Unternehmensdaten werden nach Schutzbedarf klassifiziert, indem ihre Vertraulichkeit, Integrität und Verfügbarkeit sowie mögliche Folgen eines unberechtigten Zugriffs bewertet werden. Dabei sind die Datenart, der Bearbeitungszweck und der betroffene Personenkreis entscheidend. Eine solche Klassifizierung hilft, Zugriffsrechte und Sicherheitsmassnahmen risikogerecht festzulegen, ersetzt jedoch keine rechtliche Prüfung.

Für eine praktikable Einteilung können Unternehmen interne Schutzklassen definieren. Die nachfolgende Zuordnung ist ein organisatorisches Beispiel und keine gesetzlich vorgeschriebene Klassifizierung.

Die Zuordnung darf nicht ausschliesslich anhand einzelner Datenfelder erfolgen. Eine Kombination vermeintlich unkritischer Informationen kann ein deutlich höheres Risiko verursachen, wenn daraus detaillierte Personenprofile entstehen.

Ebenso müssen Integrität und Verfügbarkeit berücksichtigt werden. Werden beispielsweise Personaldaten unbemerkt verändert, können daraus andere Folgen entstehen als bei einer vorübergehenden Nichtverfügbarkeit derselben Anwendung.

In der Praxis sollte jede Datenkategorie einem Verantwortungsbereich zugeordnet werden. Dieser entscheidet gemeinsam mit den zuständigen Fachpersonen, welche Rollen Zugriff benötigen und welche Weitergaben zulässig sind.

Eine Klassifizierung ist besonders nützlich, wenn sie in konkrete Systemeinstellungen übersetzt wird. Eine Kennzeichnung als «vertraulich» bietet allein noch keinen technischen Schutz.

Aus der Klassifizierung ergibt sich die nächste praktische Aufgabe: Zugriffe müssen so begrenzt werden, dass Mitarbeitende ihre Arbeit erledigen können, ohne unnötig weitreichende Berechtigungen zu erhalten.

Wie setzt man das Prinzip der minimalen Rechte im Unternehmensalltag um?

Das Prinzip der minimalen Rechte wird umgesetzt, indem jede Person und jedes technische Konto nur die Berechtigungen erhält, die für die jeweiligen Aufgaben erforderlich sind. Unternehmen benötigen dafür klar definierte Rollen, geregelte Freigaben und regelmässige Kontrollen. Besonders wichtig ist, Berechtigungen bei Stellenwechseln, Projektenden und Austritten zeitnah anzupassen.

Eine rollenbasierte Zugriffsverwaltung erleichtert die praktische Umsetzung. Statt Rechte für jede Person vollständig neu zusammenzustellen, werden Aufgabenprofile definiert, denen geeignete Berechtigungen zugeordnet sind.

Beispielsweise benötigt ein Mitarbeitender im Kundendienst möglicherweise Zugriff auf bestimmte Kundenkontakte und offene Servicefälle, jedoch nicht auf vollständige Personalakten oder sämtliche Finanzdaten.

Für Administratoren sollten besonders weitreichende Berechtigungen gesondert behandelt werden. Dazu gehören eine angemessene Absicherung der Konten und die Beschränkung administrativer Tätigkeiten auf den tatsächlich erforderlichen Umfang.

Auch technische Konten und Schnittstellen verdienen Aufmerksamkeit. Ein automatisierter Datenaustausch sollte nicht allein deshalb umfassende Systemrechte erhalten, weil dies die Einrichtung vereinfacht.

Ein belastbarer Berechtigungsprozess berücksichtigt drei Situationen: den Eintritt einer Person, die Veränderung ihrer Aufgaben und das Ausscheiden aus dem Unternehmen. Ergänzend sollten Berechtigungen in angemessenen Abständen überprüft werden.

Zur Kontrolle kann die IT eine Übersicht aktiver Konten und Rollen bereitstellen. Die jeweiligen Fachverantwortlichen bestätigen, ob die zugewiesenen Rechte weiterhin benötigt werden. Festgestellte Abweichungen werden dokumentiert und korrigiert.

Wichtig ist zudem, Ausnahmeberechtigungen nicht dauerhaft bestehen zu lassen. Temporäre Projektzugriffe sollten mit einer klaren Zuständigkeit und einem überprüfbaren Endpunkt versehen werden.

Minimale Rechte verringern mögliche Auswirkungen unberechtigter Zugriffe, schützen jedoch nicht vor sämtlichen technischen und organisatorischen Risiken. Dafür sind weitere, auf den Schutzbedarf abgestimmte Sicherheitsmassnahmen notwendig.

Welche speziellen Sicherheitslösungen braucht ein Unternehmen wirklich?

Ein Unternehmen benötigt Sicherheitslösungen, die seine konkreten Risiken und Datenschutzanforderungen angemessen abdecken. Dazu können Mehrfaktor-Authentifizierung, Verschlüsselung, Datensicherung, zentrale Zugriffsverwaltung und Sicherheitsüberwachung gehören. Nicht jede Organisation braucht dieselben Spezialprodukte. Entscheidend ist, welche Schutzfunktionen bereits vorhanden sind, welche Risiken verbleiben und ob die Massnahmen zuverlässig betrieben werden können.

Die Auswahl sollte von den verarbeiteten Daten und den relevanten Bedrohungsszenarien ausgehen. Ein Unternehmen mit zahlreichen Cloud-Anwendungen hat beispielsweise andere technische Schwerpunkte als eine Organisation mit überwiegend lokal betriebenen Systemen.

Typische Schutzbereiche umfassen:

• Identitäts- und Zugriffsmanagement: kontrollierte Anmeldung, Mehrfaktor-Authentifizierung und Verwaltung von Benutzerrechten.
• Verschlüsselung: angemessener Schutz von Daten bei Speicherung und Übertragung sowie geeignete Schlüsselverwaltung.
• Datensicherung: geregelte Backups, geschützte Sicherungskopien und überprüfte Wiederherstellungsmöglichkeiten.
• Endgeräteschutz: Sicherheitsupdates, Schutz vor Schadsoftware und Verwaltung geschäftlich genutzter Geräte.
• Protokollierung und Überwachung: Erkennung und Untersuchung sicherheitsrelevanter Vorgänge unter Berücksichtigung des Datenschutzes.

Eine zusätzliche Sicherheitsanwendung ist nicht automatisch die beste Lösung. Werden mehrere Werkzeuge ohne abgestimmte Zuständigkeiten eingesetzt, können unübersichtliche Konfigurationen und neue Datenflüsse entstehen. Deshalb sollten zunächst die vorhandenen Funktionen und deren tatsächliche Nutzung untersucht werden.

Bei Datensicherungen kommt es nicht nur auf die Verschlüsselung an. Unternehmen müssen auch prüfen, ob Sicherungskopien verfügbar bleiben, vor unberechtigtem Zugriff geschützt sind und innerhalb der betrieblichen Anforderungen wiederhergestellt werden können. Regelmässige Wiederherstellungstests helfen, technische oder organisatorische Schwachstellen rechtzeitig zu erkennen.

Für die Auswahl zusätzlicher Lösungen empfiehlt sich eine dokumentierte Gegenüberstellung von Schutzbedarf, vorhandenen Funktionen, verbleibenden Risiken und Betriebsaufwand. So lässt sich begründen, weshalb eine Massnahme eingeführt, verbessert oder vorerst nicht benötigt wird.

Auch nach der Einführung bleibt die Sicherheitsorganisation entscheidend. Verantwortliche müssen wissen, wer Warnmeldungen bearbeitet, Zugriffsrechte kontrolliert, Aktualisierungen freigibt und bei einem Datenschutzvorfall handelt.

Als nächster Schritt bietet sich eine gemeinsame Bestandsaufnahme durch IT, Fachbereiche und Datenschutzverantwortliche an. Daraus können konkrete Massnahmen mit Zuständigkeiten, Prioritäten und überprüfbaren Ergebnissen abgeleitet werden, ohne technische Lösungen vorschnell mit rechtlicher Konformität gleichzusetzen.