Datenschutz bei QM-Software: Was Schweizer Betriebe beachten müssen

QM-Software muss die Anforderungen des revidierten Schweizer Datenschutzgesetzes (nDSG) erfüllen, sobald sie Personendaten von Mitarbeitenden, Kund:innen oder Lieferant:innen verarbeitet. Das betrifft praktisch jede QM-Software: Schulungsnachweise, Auditprotokolle mit Namen oder Reklamationsdaten enthalten fast immer Personendaten. Dieser Beitrag zeigt, was das nDSG von Schweizer Betrieben konkret verlangt und worauf Sie beim Cloud-Hosting sowie beim Zugriffsrechte- und Rollenkonzept achten sollten. Ausserdem wird das Verhältnis zu ISO 27001 eingeordnet und erklärt, wann eine Datenschutz-Folgenabschätzung nötig wird.

Welche Personendaten in QM-Software überhaupt vorkommen

Auch wer nie an "sensible Daten" denkt, wenn er QM-Software einführt, verarbeitet in der Praxis laufend Personendaten: Namen und Funktionen in Schulungsnachweisen, Unterschriften auf digitalen Freigaben, Namen von Meldenden in Reklamationen, manchmal auch Gesundheitsangaben in Vorfallmeldungen (z. B. bei Arbeitssicherheit nach ISO 45001). Das nDSG gilt für all diese Fälle unabhängig davon, ob die Daten in einer spezialisierten QM-Lösung oder in Excel-Listen liegen — die Software macht die Bearbeitung nur sichtbarer und leichter prüfbar.

Was das nDSG von Schweizer Betrieben konkret verlangt

Das seit September 2023 geltende revidierte Datenschutzgesetz stellt für den Einsatz von QM-Software vor allem vier Anforderungen:

• Verzeichnis der Bearbeitungstätigkeiten: Betriebe ab einer bestimmten Grösse (in der Regel über 250 Mitarbeitende, empfohlen aber für alle) müssen dokumentieren, welche Personendaten sie wo bearbeiten — die QM-Software gehört als Datenbearbeitungssystem in dieses Verzeichnis.
• Auftragsbearbeitungsvertrag (AVV): Läuft die QM-Software als Cloud-Lösung, bearbeitet der Anbieter Personendaten im Auftrag des Betriebs. Das nDSG verlangt dafür einen schriftlichen Vertrag, der Zweck, Umfang und Sicherheitsmassnahmen regelt.
• Informationspflicht: Mitarbeitende und andere Betroffene müssen wissen, dass ihre Daten in der Software verarbeitet werden (z. B. über ein Datenschutzreglement oder die Personalinformation).
• Meldepflicht bei Verletzungen: Kommt es zu einer Datenschutzverletzung (z. B. durch einen Sicherheitsvorfall beim Anbieter), muss der Betrieb dies unter Umständen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden.

ISOfee-Tipp: Fragen Sie jeden QM-Software-Anbieter aktiv nach einem vorformulierten Auftragsbearbeitungsvertrag (AVV) nach Schweizer Recht. Bietet ein Anbieter das nicht an oder verweist nur auf die DSGVO, ist das ein Warnsignal — die DSGVO deckt das nDSG nicht automatisch ab.

Cloud-Hosting: Wo liegen die Daten?

Der Serverstandort ist bei QM-Software oft die entscheidende Frage. Rechtlich ist eine Datenübermittlung ins Ausland nach nDSG grundsätzlich zulässig, wenn dort ein angemessenes Datenschutzniveau besteht (die EU und mehrere weitere Staaten gelten als angemessen) oder wenn zusätzliche vertragliche Garantien vereinbart werden. In der Praxis bevorzugen viele Schweizer Betriebe dennoch aus zwei Gründen einen Serverstandort Schweiz oder EU:

• Es entfällt die Prüfung, ob im Zielland ein angemessenes Schutzniveau besteht.
• Kund:innen oder Auftraggeber verlangen im Rahmen eigener Audits häufig einen Nachweis über den Datenstandort, ganz unabhängig von der rechtlichen Zulässigkeit.

Fragen Sie bei jedem Anbieter konkret nach dem physischen Rechenzentrumsstandort — "europäische Cloud" ist keine ausreichende Angabe, wenn der Mutterkonzern in einem Drittstaat sitzt und dort Zugriff auf die Daten hat.

Zugriffsrechte und Rollenkonzept in der Software

Ein zweiter, oft unterschätzter Datenschutzaspekt ist das interne Rollenkonzept der QM-Software selbst. Wer darf welche Datensätze sehen? Eine gute Lösung erlaubt es, Zugriffsrechte fein zu staffeln — etwa so, dass ein:e Abteilungsleiter:in nur Schulungsnachweise der eigenen Abteilung einsieht, nicht aber Reklamationsdaten mit Kundennamen aus anderen Bereichen. Ohne ein solches Rollenkonzept sehen möglicherweise mehr Mitarbeitende Personendaten, als für ihre Aufgabe nötig ist — ein Verstoss gegen den Grundsatz der Datenminimierung.

Prüfen Sie zusätzlich, ob sich Zugriffe protokollieren lassen (wer hat wann welchen Datensatz geöffnet oder geändert). Das ist nicht nur für den Datenschutz relevant, sondern auch ein Nachweis, den Auditor:innen im Rahmen von ISO 9001 oder ISO 27001 regelmässig sehen wollen.

Was Sie bei der Anbieterwahl konkret prüfen sollten

• Bietet der Anbieter einen AVV nach Schweizer Recht (nicht nur DSGVO-Standardklauseln) an?
• Wo genau liegen die Server, und wer hat vertraglich Zugriff darauf?
• Lässt sich ein feingranulares Rollenkonzept einrichten?
• Werden Zugriffe und Änderungen protokolliert (Audit-Trail)?
• Wie geht der Anbieter mit Löschfristen um — lassen sich Personendaten nach Ablauf der Aufbewahrungspflicht gezielt löschen?
• Verfügt der Anbieter über eine eigene Zertifizierung oder zumindest dokumentierte technische und organisatorische Massnahmen (TOM)?

Verhältnis zu ISO 27001

Betriebe, die zusätzlich nach ISO 27001 zertifiziert sind oder das anstreben, profitieren doppelt: Die für die Zertifizierung ohnehin dokumentierten technischen und organisatorischen Massnahmen (Zugriffskontrolle, Verschlüsselung, Protokollierung) decken einen grossen Teil der nDSG-Anforderungen an die QM-Software gleich mit ab. Wer die Softwareauswahl im Rahmen eines ISO-27001-Projekts durchführt, sollte den Datenschutz-Check deshalb direkt in die Lieferantenbewertung integrieren, statt ihn separat zu wiederholen.

Datenschutz-Folgenabschätzung: Wann sie nötig wird

Nicht jeder Einsatz von QM-Software erfordert eine formelle Datenschutz-Folgenabschätzung (DSFA), doch in bestimmten Konstellationen empfiehlt sie sich, auch wenn das nDSG sie nicht in jedem Fall zwingend vorschreibt. Eine DSFA ist besonders dann sinnvoll, wenn:

• die QM-Software besonders schützenswerte Personendaten verarbeitet, etwa Gesundheitsdaten im Zusammenhang mit Vorfallmeldungen nach ISO 45001,
• eine grössere Menge an Personendaten systematisch ausgewertet wird, etwa im Rahmen einer betrieblichen Leistungsbeurteilung über Schulungsnachweise,
• die Software neue Technologien wie automatisierte Auswertungen oder Profilbildung einsetzt, deren Auswirkungen auf die Betroffenen schwer abschätzbar sind.

Für die meisten klassischen Anwendungen von QM-Software – Dokumentenlenkung, Auditmanagement, einfache Schulungsnachweise – ist eine vollständige DSFA in der Regel nicht zwingend erforderlich, eine kurze interne Risikoeinschätzung aber dennoch empfehlenswert. Diese kann sich auf wenige Fragen beschränken: Welche Personendaten werden verarbeitet, wer hat Zugriff, wie lange werden die Daten aufbewahrt, und welche Massnahmen schützen sie vor unbefugtem Zugriff?

Eine solche Risikoeinschätzung sollte schriftlich festgehalten werden – nicht nur, um im Fall einer Anfrage durch den EDÖB oder eine betroffene Person Rechenschaft ablegen zu können, sondern auch, weil der Prozess selbst oft Schwachstellen aufdeckt, die sonst unbemerkt geblieben wären, etwa zu weit gefasste Zugriffsrechte oder fehlende Löschfristen.

Betriebe, die bereits ein Datenschutzmanagement oder ein ISMS nach ISO 27001 betreiben, können die Einführung einer neuen QM-Software direkt in ihren bestehenden Risikobewertungsprozess integrieren, statt einen separaten Prozess aufzusetzen. Das spart Aufwand und sorgt für eine konsistente Dokumentation über alle eingesetzten Systeme hinweg.

Wer unsicher ist, ob im eigenen Fall eine vollständige DSFA nötig ist, findet auf der Website des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) Orientierungshilfen und Kriterienlisten. Im Zweifel gilt: Eine kurze, dokumentierte Einschätzung, die zum Schluss kommt, dass keine vollständige DSFA nötig ist, ist immer besser als gar keine Auseinandersetzung mit dem Thema.

Datenschutzerklärung und interne Kommunikation

Neben dem AVV und dem technischen Datenschutz lohnt sich ein Blick auf die interne Kommunikation gegenüber den Mitarbeitenden: Ein kurzer, verständlicher Hinweis in der bestehenden Datenschutzerklärung oder im Personalreglement, dass die neue QM-Software Personendaten verarbeitet und wozu, erfüllt die Informationspflicht nach nDSG ohne grossen zusätzlichen Aufwand. Wichtig ist dabei, den Hinweis konkret zu formulieren – nicht als allgemeine Floskel, sondern mit Angabe, welche Daten (z. B. Name, Funktion, Schulungsstatus) zu welchem Zweck (z. B. Nachweis der Kompetenz, Auditvorbereitung) verarbeitet werden.

Auch bei Kund:innen oder Lieferant:innen, deren Daten im Rahmen von Reklamationen oder Lieferantenbewertungen in der Software erfasst werden, sollte diese Information zugänglich sein, etwa über eine allgemeine Datenschutzerklärung auf der Website. Diese Transparenz reduziert nicht nur das rechtliche Risiko, sondern schafft auch intern ein Bewusstsein dafür, dass die QM-Software kein reines Verwaltungstool, sondern ein System ist, das mit Personendaten sorgfältig umgehen muss.

FAQ: Datenschutz bei QM-Software

Braucht jede QM-Software einen eigenen Auftragsbearbeitungsvertrag?

Ja, sobald der Anbieter Personendaten im Auftrag des Betriebs bearbeitet — bei Cloud-Software praktisch immer der Fall. Bei rein lokal installierter Software ohne externen Zugriff entfällt diese Pflicht meist. Der Auftragsbearbeitungsvertrag (AVV) sollte konkret regeln, welche Daten der Anbieter verarbeiten darf, wie lange sie aufbewahrt werden und was im Fall einer Kündigung mit den Daten geschieht. Fordern Sie den AVV bereits vor Vertragsunterzeichnung als Entwurf an, statt sich mit einer allgemeinen Zusicherung im Verkaufsgespräch zufriedenzugeben – ein seriöser Anbieter stellt diesen Vertrag ohne Zögern zur Verfügung.

Ist ein Serverstandort ausserhalb der Schweiz automatisch unzulässig?

Nein. Zulässig ist eine Datenübermittlung ins Ausland, wenn dort ein angemessenes Schutzniveau gilt oder zusätzliche vertragliche Garantien vereinbart werden. Viele Betriebe bevorzugen dennoch aus Praktikabilitätsgründen die Schweiz oder EU. Verlangen Sie in jedem Fall eine schriftliche Zusicherung des Anbieters, in welchem Land die Daten tatsächlich gespeichert und verarbeitet werden, inklusive allfälliger Subunternehmer oder Cloud-Infrastrukturanbieter im Hintergrund – ein Anbieter mit Sitz in der Schweiz nutzt mitunter selbst eine ausländische Cloud-Plattform.

Was passiert, wenn der Anbieter selbst von einem Datenleck betroffen ist?

Der Betrieb bleibt als Verantwortlicher gegenüber dem EDÖB und den betroffenen Personen in der Pflicht, auch wenn der technische Fehler beim Anbieter liegt. Der AVV sollte deshalb eine Pflicht des Anbieters zur unverzüglichen Meldung an den Betrieb enthalten. Ein Blick in den AVV vor Vertragsabschluss zeigt, ob eine solche Meldepflicht überhaupt vorgesehen ist – fehlt sie, sollten Sie gezielt nachverhandeln, bevor Sie den Vertrag unterschreiben.

Welche Rolle spielt das Rollen- und Zugriffskonzept beim Datenschutz?

Ein klares Rollen- und Zugriffskonzept stellt sicher, dass nur Personen mit tatsächlichem Bedarf Zugriff auf besonders schützenswerte Daten wie Personalakten oder Gesundheitsangaben erhalten. Ohne eine solche Abstufung besteht das Risiko, dass sensible Informationen unötig breit im Betrieb einsehbar sind. Die Software sollte zudem nachvollziehbar protokollieren, wer wann auf welche Daten zugegriffen hat, um dies im Bedarfsfall auch gegenüber Aufsichtsbehörden belegen zu können. Ein sauber dokumentiertes Rollenkonzept ist damit sowohl ein Datenschutz- als auch ein Auditthema.

Wann wird eine Datenschutz-Folgenabschätzung für QM-Software notwendig?

Eine Datenschutz-Folgenabschätzung wird in der Regel dann relevant, wenn die Software besonders schützenswerte Personendaten in grösserem Umfang verarbeitet, etwa Gesundheitsdaten im Rahmen des Arbeitssicherheitsmanagements. Auch der Einsatz neuer Technologien wie einer automatisierten Auswertung von Mitarbeiterdaten kann eine solche Abschätzung erforderlich machen. Im Zweifel lohnt sich eine kurze interne Prüfung, ob die geplante Nutzung ein hohes Risiko für die Rechte der betroffenen Personen darstellt. Eine frühzeitige Abklärung verhindert, dass diese Anforderung erst nach der Einführung nachträglich erfüllt werden muss.

Fazit

QM-Software verarbeitet fast immer Personendaten und unterliegt damit dem nDSG. Schweizer Betriebe sollten bei jedem Anbieter aktiv einen AVV, den Serverstandort, ein feingranulares Rollenkonzept und die Protokollierung von Zugriffen prüfen — bevor der Vertrag unterschrieben ist, nicht danach. Je nach Risikograd der verarbeiteten Daten kann zusätzlich eine Datenschutz-Folgenabschätzung nötig werden, und das Verhältnis zu einer bestehenden ISO-27001-Zertifizierung sollte von Anfang an mitgedacht werden. Eine klare interne Kommunikation der Datenschutzerklärung rundet die datenschutzkonforme Einführung der Software ab. Betriebe, die diese Prüfung als festen Bestandteil der Anbieterauswahl behandeln statt als nachträgliche Formalität, vermeiden nicht nur rechtliche Risiken, sondern schaffen auch eine solide Vertrauensbasis für die gesamte spätere Zusammenarbeit mit dem Anbieter. Angesichts der wachsenden Bedeutung von Datenschutzfragen in Kunden- und Lieferantenaudits wird eine lückenlose Dokumentation dieser Prüfung zudem zunehmend selbst zum Auditkriterium.

Wie sich die einzelnen Anbieter insgesamt unterscheiden, zeigt der Beitrag QM-Software-Anbieter in der Schweiz im Vergleich.