HR-Software und Datenschutz in der Schweiz: Cloud, DSG und DSGVO

HR-Software als Cloud-Dienst: Wann das DSG greift

HR-Software läuft meist als Cloud-Dienst: Anwendungen, Software, Speicherkapazität und Rechenleistung bezieht ein Anbieter bedarfsorientiert über ein Netzwerk, etwa das Internet. Das Datenschutzrecht greift, sobald dabei Personendaten in die Cloud gelangen (EDÖB).

Massgeblich ist nicht das Softwareprodukt, sondern die ermöglichte Datenbearbeitung. EDÖB-Beispiele: Office-365-Tools für Online-Zusammenarbeit, Online-Verwaltung von E-Mail-Adressen, Online-CRM und das Hochladen von Dateien auf einen über das Internet abrufbaren Server.

Dasselbe gilt für HR-Lösungen für Personaladministration, Bewerbungsmanagement und Zeiterfassung. Liegen Daten von Mitarbeitenden, Bewerbenden oder ehemaligen Angestellten in der Cloud, ist das DSG anwendbar – unabhängig von der Vermarktung als HR-Suite oder Plattform.

Der EDÖB nennt drei Aspekte: Einsatz von Auftrags- und Unterauftragsbearbeitern, Sicherheit der Datenbearbeitung und Übermittlung von Personendaten in Drittländer. Sie bilden den Pflichtenraster.

Zuständig ist der Eidgenössische Datenschutzbeauftragte (EDÖB). Er publiziert die Hinweise zu Cloud-Computing, aus denen sich diese drei Aspekte ergeben, und verweist für Einzelfragen auf seine Erläuterungen zu Outsourcing/Auftragsbearbeitung und Datenbekanntgabe ins Ausland.

Pflichten nach Gesetz: Art. 9 DSG für die Auftragsbearbeitung, Art. 13 der Bundesverfassung für den Schutzanspruch. Adressat ist der Arbeitgeber als Cloud-Nutzer, nicht der Anbieter.

Für HR-Software lassen sich die Pflichten nach DSG benennen. Dazu gehören Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen, Datensicherheit, Auftragsbearbeitung, Datenschutzberater und Bearbeitungsverzeichnis.

Ebenso gehören dazu die Informationspflicht, die Datenschutz-Folgenabschätzung, die Meldung von Verletzungen der Datensicherheit an den EDÖB sowie Auskunft, Datenherausgabe und Übertragbarkeit. Sie treffen den Arbeitgeber für Bewerbungs-, Personal- und Zeiterfassungsdaten.

Art. 13 BV begründet einen Anspruch auf Schutz der Privatsphäre; eine Pflicht nach DSG ist er nicht. Die Pflichten gegenüber Bewerbenden, Mitarbeitenden und ehemaligen Angestellten stehen im DSG selbst.

Personendaten sind Angaben zu einer bestimmten oder bestimmbaren Person. Betroffene Person ist, über wen Daten bearbeitet werden. Bearbeiten umfasst jeden Umgang: Aufbewahren, Bekanntgeben, Beschaffen, Löschen, Speichern, Verändern, Vernichten, Verwenden.

Nach Art. 13 BV hat jede Person Anspruch auf Schutz der Privatsphäre und vor Missbrauch ihrer persönlichen Daten. Bewerbende, Mitarbeitende und ehemalige Angestellte sind betroffene Personen mit eigenen Rechten gegenüber dem Arbeitgeber.

Pflichtenkreis beim Einsatz von HR-Software in der Cloud

Rollen und Auftragsbearbeitung: Was vertraglich abzusichern ist

Nach EDÖB handelt der Cloud-Anbieter in der Regel als Auftragsdatenbearbeiter des Kunden (Art. 9 DSG). Der Kunde – das einstellende Unternehmen – kann Verantwortlicher sein oder selbst als Auftragsbearbeiter auftreten.

Als Verantwortlicher haftet er dafür, dass die Bearbeitungen des Anbieters datenschutzkonform erfolgen und die Rechte betroffener Personen nicht geschmälert werden. Er muss sich vergewissern und vertraglich absichern, dass die Auftragsbearbeitung Art. 9 DSG einhält.

Der Auftragsbearbeitungsvertrag regelt Gegenstand und Zweck klar und bindet den Anbieter an Weisungen. Unterauftragsbearbeiter brauchen einen Genehmigungsvorbehalt und müssen dieselben Pflichten weitergeben.

Beizieht der Anbieter Unterauftragsbearbeiter, bleibt der Arbeitgeber für die Einhaltung von Art. 9 DSG verantwortlich. Genehmigungsvorbehalt und Weitergabe der Pflichten sind zwingender Vertragsinhalt.

Zu regeln sind zudem technische und organisatorische Sicherheitsmassnahmen, Meldepflichten bei Sicherheitsvorfällen, Support- und Wartungszugriffe sowie Rückgabe und Löschung bei Vertragsende. Offen zu klären ist, wer tätig wird, wenn eine betroffene Person Auskunft oder Löschung verlangt; der EDÖB verweist auf seine Erläuterungen zum Outsourcing.

Der Auftragsbearbeitungsvertrag ist für die Personalabteilung keine reine IT-Frage. Wer Bewerbungs-, Personal- und Zeiterfassungsdaten in eine Cloud gibt, muss die Pflichten nach Art. 9 DSG kennen und ihre Einhaltung belegen können.

Der EDÖB fasst die Pflichten des Cloud-Nutzers zusammen: Er muss sich vergewissern und vertraglich absichern, dass die Auftragsbearbeitung die Vorgaben von Art. 9 DSG einhält. Bei einer Datenbekanntgabe ins Ausland ist vorher zu prüfen, ob sie gesetzlich zulässig ist.

Der Kunde kann Verantwortlicher sein oder selbst als Auftragsbearbeiter auftreten. In dieser Rolle muss er die Vorgaben erfüllen, die der Verantwortliche für seine Datenbearbeitungen festgelegt hat. In Konzernstrukturen kann die HR-Abteilung selbst in dieser Rolle stehen.

Ein Bearbeitungsverzeichnis ist zu führen. Wer HR-Software einsetzt, muss die Bearbeitungen von Bewerbungs-, Personal- und Zeiterfassungsdaten darin erfassen.

Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen sowie Datensicherheit bleiben Pflichten des Arbeitgebers, auch wenn die Bearbeitung technisch beim Anbieter liegt.

Datenbekanntgabe ins Ausland: der heikelste Punkt bei HR-Clouds

Der EDÖB hält fest: Bei Cloud-Diensten ist vor der Bekanntgabe von Personendaten ins Ausland zu prüfen, ob sie den gesetzlichen Anforderungen genügt.

In der HR-Praxis sind mehrere Konstellationen relevant: Rechenzentren ausserhalb der Schweiz, Support- und Wartungszugriffe aus dem Ausland sowie Zugriffe von Konzernmutter- oder Tochtergesellschaften im Ausland. Entscheidend ist nicht nur der Speicherort, sondern wer aus welchem Land zugreifen kann.

Convotis verweist auf das Schrems-II-Urteil des Europäischen Gerichtshofs: Die USA bieten danach kein angemessenes Datenschutzniveau. EU-Datenschützer haben deshalb die Nutzung bestimmter US-Cloud-Services wie Mailchimp untersagt, wenn dabei personenbezogene Daten in den USA verarbeitet werden.

In der Schweiz ist die Rechtslage laut Convotis nicht abschliessend geklärt; der EDÖB empfiehlt eine sorgfältige Risikoanalyse. Zum US-amerikanischen CLOUD Act hält Convotis fest, dass US-Behörden auch dann auf Daten zugreifen können, wenn diese physisch in der EU oder in der Schweiz liegen – ohne Information der Betroffenen.

Der Transfer von Personendaten in Drittländer ist für den EDÖB ein eigener datenschutzrechtlicher Aspekt von Cloud-Diensten. Vor jeder Bekanntgabe ins Ausland ist zu prüfen, ob sie gesetzlich zulässig ist; bei HR-Clouds betrifft das Bewerbungs- und Personaldaten gleichermassen.

Diese Prüfung ist Pflicht des Arbeitgebers als Cloud-Nutzer, nicht des Anbieters. Der EDÖB verweist für die Beurteilung auf seine Erläuterungen zur Datenbekanntgabe ins Ausland.

Verschlüsselung: wirksames Mittel mit klaren Grenzen

Verschlüsselung schützt zuverlässig, solange Daten nur gespeichert werden. Convotis weist darauf hin, dass Ende-zu-Ende-Verschlüsselung unberechtigte Zugriffe verhindern kann, aber nur bei reiner Speicherung («data at rest») wirksam bleibt.

Sobald Daten in der Cloud verarbeitet, ausgewertet oder für Auswertungen zusammengeführt werden, liegen sie entschlüsselt vor und sind einsehbar. In vielen HR-Anwendungsfällen ist das der Normalfall: Auswertungen, Reporting, Zusammenführen von Bewerbungs- und Personaldaten.

Verschlüsselung ist deshalb kein Gegenmittel gegen extraterritoriale Zugriffsrechte, sondern ein Baustein. Wirksam wird sie mit der Wahl des Speicher- und Bearbeitungsstandorts, der vertraglichen Gestaltung mit dem Anbieter und einem Berechtigungskonzept, das Zugriffe auf die tatsächlich benötigten Funktionen beschränkt.

Der EDÖB nennt die Sicherheit der Datenbearbeitung als eigenen Aspekt von Cloud-Diensten. Verschlüsselung allein füllt ihn nicht aus; er umfasst auch, welche Bearbeitungen der Anbieter in seinem Auftrag vornimmt.

Verschlüsselung dient der Datensicherheit. Nach Convotis bleibt sie nur bei reiner Speicherung wirksam und ist damit eine Massnahme unter mehreren.

Hosting in der Schweiz: Datensouveränität als Risikominderung

Eine Private Cloud bietet gemäss Convotis eine kontrollierte, dedizierte Infrastruktur, oft in einem lokalen oder nationalen Rechenzentrum.

Als Vorteile nennt der Anbieter Rechtssicherheit durch Speicherung und Verarbeitung in der Schweiz oder der EU nach lokalen Datenschutzgesetzen, volle Datenkontrolle ohne extraterritoriale Zugriffsrechte wie beim CLOUD Act sowie individuell anpassbare Sicherheitsvorkehrungen. InvestGlass argumentiert gleich: Schweizer Datensouveränität und Hosting vor Ort oder in einer Schweizer Cloud können Bedenken beim grenzüberschreitenden Datentransfer zerstreuen.

Schweizer Hosting allein macht eine HR-Lösung nicht DSG-konform. Es ist eine von mehreren Massnahmen und muss mit der Auftragsbearbeitung nach Art. 9 DSG, einem Berechtigungskonzept und einem Löschkonzept verbunden werden. Bleibt ein Support- oder Wartungszugriff aus dem Ausland möglich, ist der Standort des Rechenzentrums nur ein Teil der Antwort auf die Frage der Datenbekanntgabe ins Ausland.

Schweizer Hosting deckt den Speicherort ab, nicht den Zugriff. Der EDÖB nennt Auftragsbearbeitung, Sicherheit der Datenbearbeitung und die Datenbekanntgabe ins Ausland als die drei massgebenden Aspekte – ein Rechenzentrum in der Schweiz beantwortet nur einen Teil.

Vorteile und Risiken von Schweizer Hosting für HR-Software

Wenn zusätzlich die DSGVO gilt: doppelte Pflichten

Schweizer Unternehmen mit Mitarbeitenden in der EU oder Bewerbungen aus EU-Staaten müssen zusätzlich die DSGVO beachten. Convotis verweist darauf, dass rund 20 Prozent der in der Schweiz verarbeiteten Personendaten von EU-Bürgern stammen; wer solche Daten verarbeitet, muss sich an die europäischen Vorgaben halten.

Der zentrale Unterschied liegt bei den Rechtsgrundlagen. Anders als die DSGVO sieht das Schweizer DSG grundsätzlich nicht vor, dass für die Bearbeitung von Personendaten eine Rechtsgrundlage genannt wird. Die DSGVO verlangt eine solche – üblich sind Einwilligung, Vertragserfüllung, rechtliche Verpflichtung oder lebenswichtige Interessen.

Für die HR-Praxis folgt daraus: Wer Bewerbungen aus der EU bearbeitet oder Mitarbeitende in der EU beschäftigt, muss die strengere Regel einhalten. Datenschutzerklärungen schweizerischer Anbieter weisen die Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO einzeln aus: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung und lebenswichtige Interessen.

Für HR-Software sind diese Grundlagen je Bearbeitungszweck zu benennen, also für Bewerbung, Personaladministration und Zeiterfassung getrennt.

Anders als die DSGVO sieht das Schweizer DSG grundsätzlich nicht vor, dass eine Rechtsgrundlage genannt wird. An ihre Stelle treten die Pflichten nach DSG. Der Arbeitgeber muss sie für jede Bearbeitung einhalten.

Schweizer DSG vs. EU-DSGVO: Unterschiede in der HR-Datenverarbeitung

Zahlen zur Datenverarbeitung in der Schweiz und im EU-Raum

Auskunft, Berichtigung, Löschung und Sicherheit im HR-Alltag

Der EDÖB hält ausdrücklich fest, dass die Rechte betroffener Personen durch die Auslagerung an einen Cloud-Anbieter nicht geschmälert werden dürfen. HR-Verantwortliche müssen diese Rechte wahren; dazu müssen HR und Anbieter wissen, welche Daten wo liegen.

Datenschutzerklärungen halten fest, dass Anbieter Datenbanken vor fremden Zugriffen, Verlusten, Missbrauch oder Fälschung zu schützen versuchen. Ein lückenloser Schutz vor Dritten ist nicht möglich. Sicherheitsversprechen in HR-Projekten sollten daher zurückhaltend formuliert werden – gegenüber Geschäftsleitung und Mitarbeitenden.

Datenschutzerklärungen enthalten eigene Abschnitte zu Sicherheitsmassnahmen, internationalen Datentransfers, Löschung von Daten und Rechten betroffener Personen. Diese vier Themen gehören in jedes HR-Software-Projekt, das Personendaten von Bewerbenden und Mitarbeitenden bearbeitet.

Transparenz beginnt bei der Frage, welche Daten zu welchen Zwecken und in welchem Umfang bearbeitet werden. Typische Kategorien in HR-Software sind Bewerberdaten, Beschäftigtendaten, Kontaktdaten, Inhaltsdaten, Vertragsdaten und Nutzungsdaten.

Die Auskunft sowie die Datenherausgabe und Übertragbarkeit sind Rechte betroffener Personen. Der Arbeitgeber muss diese Rechte gegenüber Bewerbenden, Mitarbeitenden und ehemaligen Angestellten erfüllen.

Die Informationspflicht verlangt, dass betroffene Personen über die Bearbeitung ihrer Daten in der HR-Software informiert werden.

Die Meldung von Verletzungen der Datensicherheit an den EDÖB trifft den Arbeitgeber als Cloud-Nutzer, nicht den Anbieter.

Prüffragen für Auswahl und Betrieb einer HR-Lösung

Standort und Zugriff: Wo werden die Daten gespeichert, und aus welchen Ländern kann darauf zugegriffen werden – auch für Support und Wartung?

Vertrag: Besteht ein Auftragsbearbeitungsvertrag, der Art. 9 DSG abbildet, einschliesslich Regelung der Unterauftragsbearbeiter? Ausland: Findet eine Bekanntgabe ins Ausland statt, und wie wurde sie beurteilt?

Technik und Organisation: Wie sind Verschlüsselung, Berechtigungen, Protokollierung und Löschung geregelt? Dokumentation: Wer hat die Risikoanalyse durchgeführt, wo ist sie festgehalten, und in welchem Rhythmus wird sie überprüft?

Als Grundlagen stehen das überarbeitete privatim-Merkblatt «Cloud-spezifische Risiken und Massnahmen» (2022) sowie die Erläuterungen des EDÖB zu Cloud-Computing, Auftragsbearbeitung und Datenbekanntgabe ins Ausland zur Verfügung.

Die Prüffragen lassen sich den drei Aspekten des EDÖB zuordnen: Auftragsbearbeitung und Unterauftragsbearbeitung, Sicherheit der Datenbearbeitung sowie Datenbekanntgabe ins Ausland. Vertrag und Ausland betreffen den ersten und den dritten Aspekt, Technik und Dokumentation den zweiten.

Verantwortlich für die Prüfung bleibt der Cloud-Nutzer, also der Arbeitgeber: Er muss sich vergewissern und vertraglich absichern, dass die Auftragsbearbeitung Art. 9 DSG entspricht. Der EDÖB nennt diese Pflicht ausdrücklich.

Eine Datenschutz-Folgenabschätzung und die Rolle des Datenschutzberaters sind vor der Einführung einer HR-Lösung zu klären.