Warum der Betriebsort zählt
Eine Suche nach Personendaten liest Inhalte. Eine Auskunft sammelt alle Daten einer Person. Eine Löschsteuerung kennt alle Systeme und ihre Abhängigkeiten. Läuft eine solche Software beim Anbieter, wird dieser zum Auftragsbearbeiter (Art. 9 DSG, Art. 28 DSGVO) – oft mit Datenhaltung im Ausland (Art. 16 DSG).
In regulierten Branchen kommen Vorgaben der Aufsicht hinzu, etwa die Anforderungen der FINMA an Auslagerungen bei Banken und Versicherungen. Öffentliche Stellen unterstehen zusätzlich kantonalen Datenschutzgesetzen.
Software-as-a-Service oder eigener Betrieb – ein Vergleich
| Kriterium | Software-as-a-Service beim Anbieter | Eigener Betrieb |
|---|---|---|
| Ort der Daten | beim Anbieter | in Ihrer Umgebung |
| Auftragsbearbeitung | Vertrag und Kontrolle des Anbieters nötig | entfällt für den Hersteller; bei Cloud oder Betreiber-Partner gilt deren Vertrag |
| Bekanntgabe ins Ausland | je nach Anbieter | keine zusätzliche durch den Hersteller; abhängig von Ihrem Betriebsort |
| Anbindung interner Systeme | über das Internet | im eigenen Netz |
| Betrieb und Updates | durch den Anbieter | durch Ihre IT oder Ihren Betreiber, mit Unterstützung des Herstellers |
Worauf es beim eigenen Betrieb ankommt
- Betrieb in Containern mit verbreiteten Standardwerkzeugen statt Spezialinfrastruktur.
- Anmeldung über den eigenen Identitätsanbieter mit Single Sign-on.
- Rollen, Freigaben und Audit, damit nachvollziehbar bleibt, wer was getan hat.
- Keine Verbindung zum Hersteller ohne Ihre Freigabe – keine Telemetrie, kein Lizenzserver.
- Mandantenfähigkeit, wenn mehrere Gesellschaften oder Kunden getrennt bleiben müssen.
- Planbare Updates, die den Tagesbetrieb nicht beeinträchtigen.
Für wen das besonders zählt
Für Versicherungen und Pensionskassen mit gewachsenen Kernsystemen, für Banken unter Aufsicht, für Spitäler mit Patientendaten, für die öffentliche Verwaltung und für IT-Dienstleister, die im Auftrag mehrerer Kunden arbeiten. Gemeinsam ist ihnen: Die Personendaten sollen das Haus nicht verlassen.