Nicht jede Cloud ist gleich: Validato zeigt, worauf Schweizer Unternehmen bei SaaS-Background-Checks achten müssen

Viele internationale Screening-Anbieter betreiben ihre Systeme in globalen Cloud-Umgebungen. Das ist laut Validato nicht per se unzulässig, wird aber datenschutzrechtlich anspruchsvoll, sobald Personendaten ins Ausland übermittelt oder dort verarbeitet werden – dann stellt sich zwingend die Frage, ob im Empfängerland ein angemessenes Datenschutzniveau besteht oder geeignete Garantien und zusätzliche Schutzmassnahmen erforderlich sind. Für viele Schweizer Unternehmen ist eine Datenhaltung in der Schweiz deshalb zwar keine gesetzliche Pflicht, aber häufig der risikoärmere Weg.

Validato positioniert sich gerade für Schweizer Kunden mit Swiss Hosting: Bewerberdaten und Screening-Resultate werden in Rechenzentren in der Schweiz gespeichert und verarbeitet, die vertragliche Ausgestaltung und Durchsetzung ist stärker im Schweizer Rechtsraum verankert. „Ein Serverstandort in der Schweiz reduziert das Exposure zu ausländischen Zugriffsthemen erheblich, ist aber keine Garantie, dass Zugriffs- oder Herausgabeprobleme nie auftreten können. Entscheidend bleibt die Gesamtausgestaltung – Verträge, Unterauftragnehmer, Zugriffskonzepte, technische Massnahmen", meint André Naef, CEO von Validato. Der Serverstandort ersetzt dabei nicht die arbeitsrechtliche Zulässigkeitsprüfung: Ob ein Check überhaupt durchgeführt werden darf, hängt weiterhin von Eignung, Erforderlichkeit und Verhältnismässigkeit ab.

Setzt ein Unternehmen eine Plattform für Screenings ein, bleibt es Verantwortlicher und entscheidet über Zweck und Mittel der Bearbeitung, während der Anbieter als Auftragsbearbeiter agiert. Damit dies rechtskonform ist, muss die Auftragsverarbeitung vertraglich so geregelt sein, dass Daten nur im erlaubten Umfang bearbeitet werden und angemessene Datensicherheitsmassnahmen umgesetzt sind – inklusive Regelungen zu Unterauftragnehmern, Supportzugriffen, Incident-Handling und Löschung bei Vertragsende. Das nDSG verlangt zudem, dass Datenschutz technisch und organisatorisch von Beginn an mitgedacht wird ("Privacy by Design"): Rollen- und Berechtigungskonzepte, Verschlüsselung bei Übertragung und Speicherung sowie lückenlose Audit-Trails sind laut Validato dafür die zentralen technischen Bausteine.

Ein häufiges Compliance-Problem ist laut Validato weniger das Sammeln als das Nicht-Löschen von Daten: Spezialisierte SaaS-Plattformen bilden Aufbewahrungsfristen systemseitig ab und lösen Löschungen standardisiert aus, statt sensible Dokumente über Jahre in Mailboxen liegen zu lassen, während sichere Upload-Portale das Risiko unverschlüsselter E-Mail-Anhänge reduzieren. Eine professionelle Screening-Plattform ist damit mehr als ein Effizienzgewinn – sie ist ein zentraler Baustein der Datenschutz-Compliance, kann die juristische Kernfrage, welche Checks für welche Position erforderlich und verhältnismässig sind, laut Validato aber nicht ersetzen.