Datensicherheit bei KI-Angebotssoftware: Checkliste für IT und Einkauf

Stand: 13.11.2026. Ressourcen-Typ: Checkliste (Vorlage). Keine Rechtsberatung: Die Rechtsgrundlagen sind verlinkt, die Umsetzung klärst du mit deinem Datenschutz. Aussagen zu Scalera stammen aus der offiziellen FAQ (DE und EN).

Warum Ausschreibungsdaten besonders schutzwürdig sind

Ein Leistungsverzeichnis wirkt technisch. Mit deinem Angebot zusammen enthält es aber genau das, was Mitbewerber gern hätten: deine Einheitspreise, Rabatte, Alternativprodukte und die Projekte, an denen du gerade arbeitest.

Dazu kommen Personendaten. Anfragen nennen Namen, Telefonnummern und E-Mail-Adressen von Planern, Einkäufern und Bauleitern. Wie solche Anfragen im Posteingang ankommen, zeigt der Artikel Anfragen aus dem E-Mail-Posteingang erfassen.

Damit gelten zwei Schutzziele zugleich: Geschäftsgeheimnisse und Datenschutz. Für Personendaten verlangen Art. 32 DSGVO und Art. 8 DSG eine dem Risiko angemessene Datensicherheit. Für Preise und Kalkulation gibt es keine solche Pflicht, aber das gleiche Interesse.

Prüf nicht, was ein Anbieter verspricht. Prüf, was er schriftlich belegen kann.

Block 1: Vertrag und Rollen

Hier klärst du, wer wofür haftet und was der Anbieter mit deinen Daten tun darf.

Die Liste der Unterauftragsverarbeiter ist ein zentraler Anhang: Dort steht, ob ein externer KI-Dienst deine LV sieht.

Block 2: Datenstandort und Übermittlung

Der Standort des Rechenzentrums allein reicht für KI nicht, denn das Modell kann woanders laufen als die Datenbank.

Schweizer Unternehmen prüfen zusätzlich, ob der Zielstaat einen vom Bundesrat anerkannten angemessenen Schutz hat (Art. 16 Abs. 1 DSG).

Block 3: KI-Training und Ergebnisse

Dieser Block unterscheidet KI-Software von gewöhnlicher Cloud-Software. Stell jede Frage einzeln, denn «wir trainieren nicht» kann drei verschiedene Dinge heissen.

Lernt das System aus deinen bestätigten Zuordnungen, kann das gewollt sein. Wichtig ist, dass dieses Wissen nur deinem Konto dient.

Wie Produktzuordnungen mit Begründung und Konfidenz entstehen, beschreibt die Produktseite Produktmatching. Für die Sicherheitsprüfung zählt vor allem, wo diese Daten liegen und wer sie sieht.

Block 4: Technische Sicherheit

Art. 32 Abs. 1 DSGVO nennt vier Massnahmen ausdrücklich. Frag nach jeder einzeln und lass dir zeigen, wie sie umgesetzt ist.

Bei Zertifikaten zählt die volle Referenz, zum Beispiel «ISO/IEC 27001:2022». So empfiehlt es die ISO selbst.

ISO/IEC 27001 beschreibt Anforderungen an ein Managementsystem für Informationssicherheit (ISO). ISO/IEC 27018 ergänzt Leitlinien für Cloud-Anbieter, die personenbezogene Daten im Auftrag bearbeiten. Frag nach, ob ein Zertifikat für den Anbieter selbst oder für sein Rechenzentrum gilt. Beides ist legitim, aber nicht dasselbe.

Block 5: Vorfälle, Löschung und Exit

Nach einer Datenpanne meldet der Verantwortliche sie unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde (Art. 33 DSGVO). In der Schweiz gilt «so rasch als möglich» bei voraussichtlich hohem Risiko (Art. 24 DSG). Dafür musst du vom Anbieter rechtzeitig erfahren.

Ein klarer Exit senkt das Risiko einer Einführung: Du weisst vorher, wie du wieder herauskommst.

So nutzt du die Checkliste

1. Vor dem Pilot senden. Schick die 20 Prüfpunkte oder den Fragebogen unten mit der ersten Anfrage an den Anbieter, nicht erst nach dem Test.
2. Belege einfordern. Zu jedem Punkt eine Klausel, Liste oder ein Dokument. Fehlt der Beleg, gilt der Punkt als offen.
3. Ampel setzen. Grün mit Beleg, gelb mit Zusage, rot bei Nein oder ohne Antwort.
4. Gemeinsam entscheiden. IT, Datenschutz und Einkauf zeichnen das Ergebnis ab. Rote Punkte in Block 1 oder 3 stoppen den Pilot.
5. Fachlich weiterprüfen. Erst danach testest du Funktionen mit echten LV, etwa nach der Auswahl-Checkliste im Leitfaden.

Fragebogen zum Kopieren

Diese Fragen kannst du direkt in eine E-Mail an den Anbieter übernehmen. Bitte zu jeder Antwort um einen Beleg.

1. Schickt uns bitte euren Vertrag zur Auftragsverarbeitung (AVV) und die Liste aller Unterauftragsverarbeiter, inklusive KI-Modell.
2. In welchen Ländern liegen unsere Daten, Backups und die Verarbeitung durch das KI-Modell?
3. Werden unsere Daten für öffentliche Modelle, für andere Kunden oder nur für unser Konto genutzt?
4. Wie lange speichert ihr Eingaben, Ergebnisse und Protokolle, und wie löschen wir sie?
5. Wie sind Daten beim Transport und bei der Speicherung verschlüsselt?
6. Wie vergebt und prüft ihr Zugriffsrechte, intern und bei uns?
7. Welche Zertifikate habt ihr, für wen gelten sie, mit welcher Norm-Ausgabe und bis wann?
8. Innerhalb welcher Frist informiert ihr uns über einen Sicherheitsvorfall, und an wen?
9. Wie exportieren wir unsere Daten, und wie bestätigt ihr die Löschung am Vertragsende?

Wie Scalera die Punkte beantwortet

Zur Einordnung, nur mit den Angaben aus der offiziellen FAQ und der englischen FAQ:

• Datenstandort: Die Daten liegen in europäischen Rechenzentren.
• KI-Training: Scalera nutzt private KI-Instanzen. Deine Daten trainieren keine öffentlichen Modelle, und es gibt kein kundenübergreifendes Training.
• Verschlüsselung: Schutz per TLS bei der Übertragung und Ende-zu-Ende-Verschlüsselung in der Cloud (englische FAQ).
• Zugriffe: Prinzip der minimalen Rechte, Berechtigungen werden regelmässig angepasst, die Cloud-Umgebung wird mit Cloud Security Posture Management überwacht (englische FAQ).
• Zertifikate: Die Server sind nach DIN ISO/IEC 27001 und 27018 zertifiziert.
• Vertrag: Details zu Auftragsverarbeitung und Infrastruktur stellt Scalera auf Anfrage bereit (englische FAQ).

Alles, was dort nicht steht, fragst du am besten direkt im Gespräch. Die ERP-Anbindung ist ein eigenes Thema mit eigenen Fragen zu Schnittstellen. Einen Termin bekommst du über Demo anfragen.

Häufige Fragen

Brauche ich für eine KI-Angebotssoftware einen Vertrag zur Auftragsverarbeitung?

Ja, sobald der Anbieter in deinem Auftrag Personendaten bearbeitet, etwa Namen und E-Mail-Adressen von Ansprechpersonen in Anfragen und LV. Die DSGVO verlangt dafür einen Vertrag nach Art. 28, in der Schweiz regelt Art. 9 DSG die Bearbeitung durch Auftragsbearbeiter.

Werden meine Ausschreibungsdaten zum Training der KI genutzt?

Das hängt vom Anbieter ab und gehört deshalb schriftlich in den Vertrag. Frag getrennt nach öffentlichen Modellen, nach anderen Kunden und nach deinem eigenen Konto. Scalera nutzt laut FAQ private KI-Instanzen, deine Daten trainieren keine öffentlichen Modelle, und es gibt kein kundenübergreifendes Training.

Reicht ein ISO-27001-Zertifikat als Nachweis?

Es ist ein starker Baustein, aber kein Ersatz für die übrigen Punkte. Lass dir das Zertifikat zeigen und prüfe Aussteller, Norm-Ausgabe und Gültigkeit. Die ISO empfiehlt, Zertifizierungen mit voller Referenz anzugeben, etwa «ISO/IEC 27001:2022» (ISO). Kläre ausserdem, ob es für den Anbieter selbst oder für sein Rechenzentrum gilt.

Dürfen Ausschreibungsdaten ausserhalb der EU oder der Schweiz bearbeitet werden?

Nur unter Bedingungen. Die DSGVO regelt Übermittlungen in Drittländer in den Artikeln 44 ff., das DSG die Bekanntgabe ins Ausland in Art. 16. Frag deshalb nicht nur nach dem Rechenzentrum, sondern auch nach dem Standort des KI-Modells und aller Unterauftragsverarbeiter.

Wer sollte die Checkliste im Unternehmen ausfüllen?

Am besten drei Rollen gemeinsam: IT für Technik und Zugriffe, Datenschutz für Vertrag und Übermittlung, Einkauf oder Vertriebsleitung für Exit und Betrieb. So prüft keiner allein, und offene Punkte fallen vor dem Pilot auf.

Wo finde ich Kriterien für die fachliche Auswahl?

Diese Checkliste deckt nur Datensicherheit ab. Kriterien wie LV-Import, Produktmatching, Formate und Pilot mit echten LVs stehen in der Auswahl-Checkliste im Leitfaden Angebote automatisieren.