Unternehmenssoftware in der Schweiz: Anforderungen, Lizenzen und Betriebskosten

Was das revidierte Datenschutzgesetz von Unternehmenssoftware verlangt

Das revidierte Schweizer Datenschutzgesetz (DSG), die neue Datenschutzverordnung (DSV) und die neue Verordnung über Datenschutzzertifizierungen (VDSZ) gelten seit dem 1. September 2023. Übergangsfristen bestehen keine. Wer Unternehmenssoftware betreibt oder einführt, muss sofort konform sein.

Das Gesetz schützt Persönlichkeit und Grundrechte natürlicher Personen mit Aufenthalt in der Schweiz, deren Daten Private oder der Staat bearbeiten. Daten juristischer Personen sind neu nicht mehr geschützt. Im Zentrum stehen mehr Transparenz für betroffene Personen und die Stärkung ihrer Rechte an den eigenen Daten (informationelle Selbstbestimmung).

Gefördert werden Prävention und Eigenverantwortung der Datenbearbeiter, begleitet von stärkerer Datenschutzaufsicht und ausgebauten Strafbestimmungen. Für Unternehmen entstehen neue Pflichten, besonders bei Erhebung, Verlust oder Missbrauch von Personendaten.

In der Softwarepraxis ist die Rolle der verantwortlichen Person entscheidend: Nach Art. 5 lit. j DSG entscheidet eine private oder staatliche Organisation über Zweck und Mittel der Datenbearbeitung. Von der verantwortlichen Person zu unterscheiden ist der Datenschutzbeauftragte.

Zu den zentralen Aufgaben gehören Erfassung und Verarbeitung von Daten, Steuerung dieser Prozesse und ein korrekter, datenschutzkonformer Umgang mit den gesammelten und verarbeiteten Informationen. Das DSG räumt betroffenen Personen mehrere Rechte ein; Art. 19 DSG regelt die Informationspflicht: Verantwortliche müssen betroffene Personen aktiv über die Bearbeitung ihrer Personendaten informieren.

Zu den Instrumenten gehören das Bearbeitungsverzeichnis und die Datenschutz-Folgenabschätzung. Unternehmenssoftware ist so auszuwählen und zu konfigurieren, dass die Informationspflicht nach Art. 19 DSG sowie die Dokumentation der Bearbeitungstätigkeiten abbildbar sind – als Anforderung an die Lösung, nicht als Nachgedanke.

Die Verordnung über Datenschutzzertifizierungen (VDSZ) ist Teil dieses Pakets. Zertifizierungen lassen sich deshalb als Prüfpunkt in die Anforderungsliste aufnehmen, zusammen mit der Informationspflicht nach Art. 19 DSG.

Die einschlägigen Erlasse heissen damit DSG, DSV und VDSZ. Als einschlägige Instrumente gelten Art. 19 DSG, das Bearbeitungsverzeichnis, die Datenschutz-Folgenabschätzung und Zertifizierungen nach VDSZ.

Schweizer Unternehmen sollten sich spätestens jetzt mit dem neuen Gesetz befassen und die nötigen Anpassungen am Datenschutz-Setup vornehmen, insbesondere an Datenschutzerklärungen und Verträgen. Wer Software einführt, prüft Vertragswerke und Erklärungen gemeinsam mit dem Anbieter. Informationspflicht nach Art. 19 DSG, Führung des Bearbeitungsverzeichnisses, Datenschutz-Folgenabschätzung und Zertifizierungen nach VDSZ gehören vor der Vertragsunterschrift in die Anforderungsliste.

Entwicklung des Schweizer Datenschutzrechts ab 2023

Datensicherheit, Aufsicht und Meldestelle: der Betrieb nach dem Inkrafttreten

Für die Gewährleistung der Datensicherheit gelten Art. 1–4 und 6 der Datenschutzverordnung vom 31. August 2022 sowie die Cyberrisikenverordnung. Unternehmenssoftware ist damit nicht nur Fachanwendung, sondern Teil des Geltungsbereichs verbindlicher Sicherheitsvorgaben. Bei der Beschaffung gehören diese Vorgaben als Prüfpunkte in die Anforderungsliste.

Zentrale Anlaufstelle für Cybersicherheitsfragen in der Schweiz ist das Bundesamt für Cybersicherheit (BACS). Es sammelt und verbreitet Informationen über aktuelle Cyber-Bedrohungen und veröffentlicht regelmässig Warnmeldungen zu Schadsoftware und Phishing-Angriffen. Auf seiner Website finden sich aktuelle Bedrohungslagen und Handlungsempfehlungen für Unternehmen und Privatpersonen.

Das BACS führt die Meldestelle für Cybervorfälle. Organisationen und Bürger können dort verdächtige Aktivitäten melden. Weitere Aufgaben sind Warnungen und Prävention mit Sicherheitshinweisen und Schutzmassnahmen, die Analyse von Cyberangriffen mit Erkennung von Angriffsmustern und Entwicklung von Gegenstrategien sowie die Beratung von Unternehmen und Behörden. Das BACS ist Schnittstelle zwischen Behörden, Unternehmen und Öffentlichkeit.

Für den operativen Betrieb sind Meldewege und Zuständigkeiten vor einem Vorfall zu klären. Wer weiss, welche Stelle im Unternehmen einen Verdacht aufnimmt und wie eine Meldung an die zuständige Stelle läuft, verliert im Ernstfall keine Zeit. Unternehmenssoftware sollte solche Prozesse unterstützen – mit Protokollierung, klaren Rollen und strukturierter Dokumentation von Vorfällen.

Einschlägig sind damit zwei Erlasse: Art. 1–4 und 6 der Datenschutzverordnung vom 31. August 2022 sowie die Cyberrisikenverordnung. Zuständige Stelle für Warnungen und Meldungen ist das BACS mit seiner Meldestelle für Cybervorfälle.

Das BACS veröffentlicht regelmässig Warnmeldungen zu Schadsoftware und Phishing. Im Betrieb braucht es deshalb einen Weg, solche Meldungen aufzunehmen, zu bewerten und die ergriffenen Massnahmen zu dokumentieren. Auch dieser Punkt gehört vor der Beschaffung in die Anforderungsliste.

Parallel sind die Betroffenenrechte nach DSG im System abzubilden. Informationsschreiben und Auskunftsprozesse müssen in der Software abbildbar sein – nicht in einer separaten Tabellenlösung ausserhalb des Systems.

Daraus ergeben sich benannte Funktionen, die die Lösung mitbringen muss: Protokollierung, ein Rollen- und Zuständigkeitskonzept, abbildbare Informations- und Auskunftsprozesse sowie dokumentierbare Meldewege an das BACS. Fehlt eine dieser Funktionen, ist die Anforderung nicht erfüllt.

Prüfpunkte für die Beschaffung: Einhaltung der Art. 1–4 und 6 DSV, Beachtung der Cyberrisikenverordnung, definierte Meldewege an das BACS, Protokollierung sowie klare Rollen und Zuständigkeiten. Diese Punkte gehören vor der Beschaffung in die Anforderungsliste.

Lizenzverträge: Formfreiheit heisst nicht Regelungsfreiheit

Statt Urhebervermögensrechte an Software zu übertragen, kann der Urheber Dritten vertraglich Lizenzen für bestimmte Handlungen einräumen. Der Lizenzvertrag ist im Gesetz nicht geregelt und gilt als Innominatkontrakt. Der Lizenzgeber räumt dem Lizenznehmer das Recht zur Nutzung der Software ein; der Lizenznehmer entrichtet dafür die Lizenzgebühr.

Lizenzverträge für Software können formfrei vereinbart werden. Weil der Lizenzvertrag als Innominatkontrakt gesetzlich nicht geregelt ist, sollten die vertraglichen Rechte und Pflichten präzise und lückenlos geregelt werden. Was nicht im Vertrag steht, lässt sich später nicht aus dem Gesetz ableiten.

Ausdrücklich zu regeln ist der Nutzungsumfang. Die Nutzungsbedingungen sollten festlegen, ob die Software nur geschäftlich oder auch privat genutzt werden darf.

Die Lizenzgebühr ist die Gegenleistung des Lizenznehmers und damit der erste Kostenfaktor. Ob die Software nur geschäftlich oder auch privat genutzt werden darf, gehört ausdrücklich in die Nutzungsbedingungen.

Typische Lücken entstehen bei Weitergabe, Anzahl der Nutzenden, Server- und Mandantenmodellen sowie bei der Frage, was bei Vertragsende mit den Daten geschieht. Wer diese Punkte vor der Unterschrift klärt, vermeidet Konflikte, die sich aus der Formfreiheit allein nicht lösen lassen.

Bei der Beschaffung ist der Lizenzvertrag das zentrale Dokument: Weil dieser Vertragstyp gesetzlich nicht geregelt ist, trägt er die gesamte Regelungslast. Zu klären sind Nutzungsumfang, Weitergabe, Anzahl der Nutzenden, Server- und Mandantenmodelle, Umgang mit den Daten bei Vertragsende sowie die Höhe der Lizenzgebühr. Was hier offen bleibt, lässt sich später nicht aus dem Gesetz ableiten.

Open Source: Freiheiten, Pflichten und Copyleft

Open-Source-Software sind Computerprogramme, die unter einer Open-Source-Lizenz verbreitet werden. Open Source meint nicht nur freien Zugang zum Quellcode, sondern auch Kriterien dafür, unter welchen Bedingungen die Software weiterverbreitet werden darf.

Nur wenn Programme beziehungsweise ihre Lizenzen die Kriterien der Open Source Definition der Open Source Initiative (OSI) erfüllen, nimmt die OSI die Lizenz in ihre Übersicht auf und bestätigt deren Konformität. Bis heute hat die OSI rund 60 Lizenzen als definitionskonform akzeptiert.

Grundsätzlich erlauben diese Lizenzen die freie Weiterverbreitung und Vervielfältigung der Software, den freien Zugang zum Quellcode sowie die freie Änderung und Bearbeitung (Derived Works). Der freie Zugang zum Quellcode ist technisch notwendig, damit die Software weiterentwickelt werden kann. Die Freiheiten zur Weiterverbreitung, Vervielfältigung, Änderung und Bearbeitung sind die urheberrechtlichen Voraussetzungen dafür, dass diese Software weiterentwickelt werden kann.

In der Praxis hat sich eine Unterscheidung nach Copyleft beziehungsweise Non-Copyleft sowie GPL-kompatibel beziehungsweise -inkompatibel eingebürgert. Die GPL dient als Referenz für Kompatibilität. Für Unternehmen sind diese Kategorien vor allem bei der Kombination verschiedener Bausteine in einem Produkt relevant.

Benannt sind damit zwei Kategorienpaare: Copyleft oder Non-Copyleft sowie GPL-kompatibel oder -inkompatibel. Die GPL ist die Referenz, an der sich die Kompatibilität bemisst.

Je nach Lizenz können Pflichten entstehen, die den Umgang mit dem eigenen Quellcode und die Weitergabe der Software prägen. Wer Open-Source-Komponenten einsetzt, sollte vor der Integration klären, unter welcher Lizenz sie stehen und welche Pflichten daraus für das eigene Produkt folgen.

Vor der Integration empfiehlt sich eine dreistufige Prüfung: die Lizenz der Komponente bestimmen, sie nach Copyleft oder Non-Copyleft sowie nach GPL-Kompatibilität einordnen und daraus die Pflichten für den eigenen Quellcode und die Weitergabe ableiten. Die GPL dient dabei als Referenz.

Die OSI beschreibt ihre Aufnahmekriterien genau und führt eine Lizenz nur dann in ihrer Übersicht, wenn sie die Open Source Definition erfüllt. Die Lizenzangabe einer Komponente ist damit keine Formsache, sondern eine prüfbare Angabe. Pro Komponente gehören drei Angaben ins Anforderungsdossier: der Lizenzname, die Einordnung als Copyleft oder Non-Copyleft und die Kompatibilität zur GPL. Mit der Bestätigung durch die OSI werden Open-Source-Anteile prüfbar und Angebote vergleichbar.

Vorgehen zur Integration von Open-Source-Software

Betriebskosten und Beschaffung: Kostenfaktoren, Hosting und Schweizer Anbieter

Die Kosten von Unternehmenssoftware ergeben sich nicht aus einer einzelnen Zahl, sondern aus dem Zusammenspiel mehrerer Faktoren. Erstens die Lizenzgebühren, zu deren Entrichtung sich der Lizenznehmer im Lizenzvertrag verpflichtet. Zweitens der Aufwand für datenschutzkonforme Verträge und Datenschutzerklärungen; angesichts der fehlenden Übergangsfristen lässt er sich nicht aufschieben.

Drittens Beschaffungskriterien wie Zertifizierungen: Im Umfeld von swiss made software wird ausdrücklich auf Zertifizierungen nach ISO 9001 und ISO 27001 als international anerkannte Standards verwiesen. Solche Nachweise sind kein Kostenfaktor im engeren Sinn, aber ein Kriterium, das Angebote vergleichbar macht.

Auf der Plattform von swiss made software finden Anwenderinnen und Anwender Software und Dienstleistungen von über 1300 Schweizer Unternehmen und Labelträgern. Seit 2007 haben sich dem Label über 1500 Unternehmen angeschlossen, die mit dem Prädikat «swiss made software», «swiss digital services» und/oder «swiss hosting» ausgezeichnet sind; das entspricht über 40 000 ICT-Angestellten in der Kernbranche.

Die Zahlen beziehen sich auf unterschiedliche Grössen: Die Plattform listet über 1300 Unternehmen und Labelträger, während seit 2007 über 1500 Unternehmen dem Label beigetreten sind. 2025 wuchs swiss made software um fast 200 Firmen, womit die Zahl der Labelträger auf über 1500 stieg.

Zurzeit finden sich mehr als 1000 Produkte und Dienstleistungen auf der Plattform. Ein Verzeichnis der Unternehmen, welche die Voraussetzungen des Labels erfüllen, steht interessierten Unternehmen zur Verfügung.

Die Hosting-Frage ist ein eigenständiges Auswahlkriterium. swiss made software setzt sich für eine digital souveräne Schweiz ein: Eine digital souveräne Nation kann jederzeit die Kontrolle über die digitalen Technologien und Infrastrukturen ausüben, die innerhalb ihrer Grenzen im Einsatz sind.

Nach Einschätzung von swiss made software ist die Schweiz heute nicht digital souverän. Insbesondere in kritischen Bereichen sollte sich die Schweiz deshalb digital selber versorgen können und den Akteuren die Hoheit über ihre eigenen Daten gewähren. In kritischen Bereichen ist die Frage, wo Datenhaltung, Betrieb und Wartung angesiedelt sind, strategisch und nicht nur preislich zu entscheiden.

Das Label kennt drei Prädikate: «swiss made software», «swiss digital services» und «swiss hosting». Für die Frage, wo Datenhaltung, Betrieb und Wartung angesiedelt sind, ist «swiss hosting» die einschlägige Kennzeichnung. Diese Angabe lässt sich zusammen mit den Zertifizierungen nach ISO 9001 und ISO 27001 prüfen.

Zu betrachten sind die Kosten über den gesamten Lebenszyklus. Einmalig sind Lizenzgebühren, Einführung und Anpassung; wiederkehrend sind Betrieb und Support sowie der Aufwand für Datenschutz und Sicherheit. Diese Trennung macht Angebote über den gesamten Lebenszyklus vergleichbar.

Je Offerte sind damit vier Kostenblöcke getrennt auszuweisen: Lizenzgebühr, Einführung und Anpassung, Betrieb und Support sowie Aufwand für Datenschutz und Sicherheit.

Internationale Konzerne wie Google und IBM betreiben Forschungs- und Entwicklungszentren in der Schweiz. Die Schweizer Softwareindustrie wächst stetig und bietet innovative Lösungen für eine Vielzahl von Branchen. Standardsoftwareunternehmen sind laut Swiss IT Magazine deutlich erfolgreicher darin, ihre Produkte und Dienstleistungen auf dem internationalen Markt anzubieten.

swiss made software hält fest, dass es kaum mehr ein digitales Bedürfnis gibt, für das sich nicht eine Schweizer Lösung findet. Eine interaktive Webkarte von swiss made software bietet die Suche nach Firmennamen, Produkten und Dienstleistungen und dient als praktisches, visuelles Tool, um den richtigen Partner aus dem swiss-made-software-Umfeld zu finden.

Ein namentlich bekanntes Unternehmen aus dem Labelumfeld ist Adobe Research (Schweiz) AG, ehemals Day Software AG. Die Trägerfirmen bekennen sich zum Softwarewerkplatz Schweiz. Damit steht neben der Kategorie auch ein konkreter Name zur Prüfung bereit.

Zu den laufenden Betriebskosten gehören auch die Aufwände, die aus dem DSG folgen: Anpassung von Datenschutzerklärungen und Verträgen, Führung des Bearbeitungsverzeichnisses, Datenschutz-Folgenabschätzung sowie der Betrieb der Meldewege. Diese Posten fallen wiederkehrend an, nicht einmalig.

Vier Kostenblöcke sind je Offerte getrennt auszuweisen: Lizenzgebühr, Einführung und Anpassung, Betrieb und Support sowie Aufwand für Datenschutz und Sicherheit. Erst diese Aufteilung zeigt, welche Kosten einmalig und welche wiederkehrend anfallen. Dazu kommen die Angaben der Labels «swiss made software», «swiss digital services» und «swiss hosting» sowie Zertifizierungen nach ISO 9001 und ISO 27001. So lassen sich Angebote entlang benannter Kriterien gegenüberstellen.

Zahlen und Fakten zur Schweizer Softwarelandschaft

Schweizer vs. internationale Anbieter: Kriterien für die Auswahl