Schnittstellen im KMU: Übergaben zwischen Verkauf und Administration regeln

Wo Verkauf und Administration aneinander vorbeiarbeiten

An der Schnittstelle zwischen Verkauf und Administration wandern täglich dieselben Dokumente und Datensätze: Offerten samt Versionen, Auftragsbestätigungen, Kundenstammdaten mit Adressen und Ansprechpersonen, Vertragsunterlagen, Preis- und Rabattzusagen, später Rechnungsgrundlagen und Archivkopien.

Der Verkauf arbeitet auf den Abschluss hin und braucht Tempo und Handlungsspielraum. Die Administration muss Belege vollständig, prüfbar und ablegbar haben, damit fakturiert, gemahnt und archiviert werden kann.

Wo diese Prioritäten aufeinandertreffen, entstehen typische Reibungen: Zusagen werden mündlich gemacht und nie schriftlich nachgeführt, Vertragsunterlagen liegen beim Kunden statt im System, Stammdaten werden im Verkauf geändert und in der Administration nicht nachgezogen.

Der Druck auf diese Übergabestelle nimmt zu. Gemäss SwissLegal müssen sich die mit der Unternehmensführung betrauten Personen mit immer detaillierteren Vorschriften und immer zahlreicheren behördlichen Regulierungen befassen. Die meisten Unternehmen empfinden das als Belastung und Wettbewerbsnachteil; der administrative Druck fordert KMU stärker als Grossunternehmen.

Besonders hoch ist das Regulierungsmass bei Unternehmen, die über die Landesgrenzen hinaus tätig sind und sich damit in weitere Rechtskreise begeben. Laut einer Studie der Credit Suisse vom Juni 2014 betrifft dies 69 Prozent der KMU.

Genau diese Lasten landen an der Übergabestelle: Dokumentationspflichten, internes Kontrollsystem, Datenschutz sowie Vertrags- und Handelsregisterunterlagen verlangen Daten, die im Verkauf entstehen und in der Administration aufbewahrt werden.

Eine bewusst geregelte Schnittstelle entlastet sofort: Jeder Übergabepunkt erhält einen definierten Empfänger, einen definierten Mindestinhalt und einen definierten Zeitpunkt. Danach lässt sich ohne Suchaktion beantworten, wer eine Offerte freigegeben hat, welche Vertragsversion gilt und wo die unterzeichnete Unterlage liegt. Ebenso lässt sich klären, wer für eine falsch erfasste Angabe verantwortlich war.

Das ist die Grundlage dafür, dass Auskunftsbegehren, Revisionen oder ein Verkaufsprozess nicht nachträglich aus verstreuten Mails rekonstruiert werden müssen.

Die Übergabekette besteht aus fünf Punkten: Offerte mit Version, Auftragsbestätigung, Vertragsunterlage, Rechnungsgrundlage und Archivkopie. Jeder Punkt ist eine eigene Übergabe und erhält einen eigenen Empfänger, einen eigenen Mindestinhalt und einen eigenen Zeitpunkt.

Zu jedem Punkt wird namentlich festgehalten, wer übergibt und wer übernimmt. Ebenso wird eine Vertretung benannt, damit die Übergabe bei Abwesenheit nicht liegen bleibt.

Nicht jede Information darf gleich weitergegeben werden

An der Schnittstelle zirkulieren sehr unterschiedliche Datenarten, für die je eigene Regeln gelten: Kunden- und Kontaktdaten (Name, Adresse, Funktion, Kommunikationshistorie), Vertrags- und Offertdaten (Leistungsumfang, Preise, Laufzeiten, Rabatte), Mitarbeiterdaten (Funktion, Zuständigkeiten, Vertretungen) sowie besonders schützenswerte Personendaten.

Ein Beispiel für die letzte Kategorie ist eine Personalvermittlung, die Lebensläufe, Lohnvorstellungen und Bewerbungsverläufe sammelt. Ob eine Weitergabe zulässig ist, richtet sich nach der Datenart und dem Bearbeitungszweck – nicht nach dem Weg, auf dem die Daten intern wandern.

Eine erste Trennlinie ist der persönliche Anwendungsbereich: Juristische Personen fallen nicht unter das Datenschutzgesetz (Art. 2 Abs. 1 nDSG). Firmenname, Sitz und Handelsregisterdaten einer Aktiengesellschaft oder GmbH lösen deshalb für sich genommen keine datenschutzrechtlichen Pflichten aus.

Kommen aber Angaben zu einer natürlichen Person dazu – die Ansprechperson mit Name und E-Mail-Adresse, die Bewerbung, die Lohnangabe –, handelt es sich um ein Personendatum, das den Regeln untersteht.

Diese Unterscheidung gehört in jede interne Regelung. Sie bestimmt, welche Felder überhaupt weitergegeben werden dürfen und welche nur mit zusätzlicher Grundlage.

Bevor Regeln formuliert werden, müssen Daten und Datenflüsse bekannt sein. Wo und wie werden Personendaten im Unternehmen bearbeitet? In welchem System entsteht die Offerte, wo wird die Vertragsversion abgelegt?

Welche Kopien gehen per Mail an Dritte? Wer im Verkauf darf welche Felder der Kundenkartei verändern?

Ein Verzeichnis der Datenarten entlang der Übergabepunkte – Offerte, Auftragsbestätigung, Vertragsunterlage, Rechnungsgrundlage, Archiv – ist das praktische Werkzeug dazu. Es ist zugleich die Grundlage jeder später verlangten Auskunft.

Ein CRM führt Kundendaten, Offerten und Verkaufschancen an einer Stelle. Es ist damit der naheliegende Ort für die Übergabepunkte Offerte, Auftragsbestätigung und Vertragsunterlage.

Ist im CRM erfasst, wer welche Felder ändern darf, lässt sich später belegen, woher eine Angabe stammt und wer sie geändert hat.

Eine Kundendatenbank, zwei Ansprüche

Verkauf und Administration nutzen in der Regel dieselbe Kundendatenbank, aber mit unterschiedlichem Blick. Der Verkauf will rasch sehen, wer wann was zugesagt bekommen hat. Die Administration braucht vollständige Angaben für Rechnung, Mahnung und Archiv.

Eine gepflegte Datenbank bedient beide: Sie ermöglicht schnelle und effiziente Kundenkommunikation, Kundenanalysen und eine erleichterte Qualitätskontrolle für Verbesserungen an Produkten und Dienstleistungen. Sie verkürzt zudem die Reaktionszeiten bei sich verändernden Verbraucherbedürfnissen. Diese Vorteile entstehen nur, wenn die Datenbasis aktuell und gut segmentiert ist.

Kundendaten fliessen aus Social-Media-Plattformen, Websites, Umfragen und Kundengesprächen zusammen. Wo Daten gesammelt und genutzt werden, ist die Zustimmung der Kunden einzuholen und sind die Daten sicher zu speichern und vor unbefugtem Zugriff zu schützen.

Für die Schnittstelle heisst das: Bei jeder Erfassung ist festzulegen, ob eine Zustimmung für die beabsichtigte Nutzung vorliegt und wo sie dokumentiert ist. Fehlt sie, darf das Datum für diesen Zweck nicht verwendet werden.

Organisatorisch braucht es eine klare Zuständigkeitsordnung. Der Verkauf meldet Änderungen laufend – neue Ansprechperson, neue Adresse, geänderter Leistungsumfang –, die Administration prüft die Angaben auf Vollständigkeit für Fakturierung und Archiv und führt Dubletten zusammen.

Ohne diese Disziplin veralten die Daten still: Analysen stützen sich auf alte Segmente, die Qualitätskontrolle auf überholte Rückmeldungen, und Rechnungen gehen an Adressen, die seit Monaten nicht mehr stimmen.

Ein fester Rhythmus für die Aktualisierung und eine benannte Person, die die Datenbankqualität verantwortet, halten den Aufwand klein. Verteilt auf zwei Bereiche, profitieren beide davon.

Konkret legt die Regelung fest, welche Felder der Verkauf selbst ändern darf und welche Änderungen die Administration vor der Buchung prüft. Jede Änderung erhält Datum und Namen der erfassenden Person.

Die Administration bestätigt die Übernahme der Änderung. Damit ist die Nachführung abgeschlossen und nicht bloss gemeldet.

Speicherort und Zugriff: eine Entscheidung mit Folgen

Wo Kunden-, Offert- und Verkaufsdaten physisch liegen, ist keine technische Fussnote, sondern eine Entscheidung mit rechtlichen, wirtschaftlichen und vertrauensbezogenen Folgen. Zu klären ist, in welchem Rechenzentrum die Daten stehen, unter welcher Rechtsordnung sie bearbeitet werden und wer im Zweifelsfall Zugriff verlangen darf.

Liegen die Daten eines Treuhandbüros in Zürich auf Servern in der Schweiz, gilt klar das revidierte Schweizer Datenschutzgesetz. Liegen dieselben Daten bei einem Anbieter mit Sitz ausserhalb Europas, können fremde Gesetze ins Spiel kommen, die einen behördlichen Zugriff erlauben, ohne dass das betroffene Unternehmen davon erfährt.

Die Datenhaltung in der Schweiz bringt vier handfeste Vorteile. Erstens vereinfacht sie die Nachweisführung gegenüber dem revidierten Datenschutzgesetz, das ohnehin eingehalten werden muss. Zweitens entfällt die Drittlandproblematik – ein Datentransfer ins Ausland müsste begründet und abgesichert werden.

Drittens bleibt der behördliche Zugriff geregelt und folgt Schweizer Recht statt den Befugnissen ausländischer Behörden. Viertens überzeugt der Satz «Ihre Daten bleiben in der Schweiz» im Gespräch mit einem Neukunden oft mehr als jede technische Spezifikation. Bei verteilten Speicherorten muss umgekehrt jede Auskunft erst zusammengesucht werden.

Wie sich das im Alltag auswirkt, zeigt das Beispiel einer kleinen Personalvermittlung: Sie bearbeitet mit Lebensläufen, Lohnvorstellungen und Bewerbungsverläufen besonders schützenswerte Personendaten. Bei einer Datenschutzanfrage muss sie belegen können, wo diese Daten liegen und wer darauf Zugriff hat.

Speichert der Anbieter ausschliesslich in der Schweiz, lautet die Antwort in zwei Sätzen klar und prüfbar. Dieselbe Logik gilt für ein Treuhandbüro mit Mandantendaten: Der Speicherort entscheidet mit darüber, wie glaubwürdig das Unternehmen gegenüber seinen Kunden auftritt.

Für die Übergabekette heisst das: Von jedem abgelegten Dokument ist bekannt, unter welcher Rechtsordnung es liegt und wer darauf Zugriff hat. Wer Offerten und Vertragsversionen in einem CRM verwaltet, entscheidet mit dem Speicherort auch über diese Nachweisbarkeit.

Vorteile der Datenhaltung in der Schweiz für KMU

Regeln für den laufenden Austausch

Für die Weitergabe zwischen Verkauf und Administration gelten die allgemeinen Vorgaben des Datenschutzgesetzes. Zu klären ist, welche Personendaten im Unternehmen bearbeitet werden, zu welchem Zweck dies geschieht und wer darauf Zugriff hat.

Der Beschluss der deutschen Datenschutzkonferenz vom 11. September 2024 betrifft die Übermittlung von Personendaten an einen Erwerber im Asset Deal und stützt sich auf die DS-GVO. Für den rein internen Austausch zwischen Abteilungen ist er keine Grundlage. Interne Regeln sind deshalb aus dem eigenen Bearbeitungszweck und der jeweiligen Datenart abzuleiten.

Für den internen Austausch genügt eine einfache Frage: Welcher Zweck rechtfertigt, dass genau diese Daten an genau diese Stelle weitergegeben werden? Wer die Antwort im System festhält – Datenart, Zweck, Grundlage und Zugriffsberechtigung –, kann sie später belegen. Wer sich auf Gewohnheit verlässt («das haben wir immer so gemacht»), kann im Streitfall keine Grundlage nennen.

Die Durchsetzung ist ernst zu nehmen. Das Datenschutzgesetz enthält ausgebaute Durchsetzungsmechanismen: Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) kann von Amtes wegen Untersuchungen durchführen und verbindliche Verfügungen erlassen (Art. 49 ff. nDSG).

Vorgesehen sind Bussen von bis zu 250'000 Franken sowie ein Strafregistereintrag bei Verletzung gewisser Regeln. Die Strafe richtet sich nicht primär gegen das Unternehmen, sondern gegen die verantwortliche natürliche Person (Art. 60 ff. nDSG).

Für viele Unternehmen dürfte das Risiko von Negativschlagzeilen in den (sozialen) Medien mit entsprechendem Reputationsverlust im Vordergrund stehen. Das Ziel ist daher eine überprüfbare, dokumentierte Praxis: festgehaltene Grundlagen pro Datenart und Bearbeitungszweck, nachvollziehbare Einwilligungen, klare Zugriffsberechtigungen.

Für jeden Übergabepunkt werden deshalb vier Angaben festgehalten: Datenart, Zweck, Grundlage und Zugriffsberechtigung. Sie gelten pro Punkt und nicht nur für die Kundendatenbank als Ganzes.

Wo besonders schützenswerte Personendaten wandern – etwa Lebensläufe, Lohnvorstellungen und Bewerbungsverläufe –, ist die Grundlage vor der Weitergabe zu prüfen. Fehlt sie, unterbleibt die Übergabe.

Sonderfall Übergabe: Firmenverkauf, Nachfolge, Management-Buy-Out

Beim Firmenverkauf verlassen Verkaufs- und Mandantendaten das Unternehmen – aus der internen Schnittstelle wird eine Schnittstelle nach aussen. Zu unterscheiden sind zwei Transaktionsformen: Beim Share Deal werden Anteile übertragen; die Übertragung von Daten ist dabei unproblematisch, unter Vorbehalt der Due Diligence.

Beim Asset Deal gehen einzelne Wirtschaftsgüter über, zu denen auch Daten über Kunden, Lieferanten oder Beschäftigte gehören können. Für diesen Fall hält der Beschluss der deutschen Datenschutzkonferenz vom 11. September 2024 fest, dass die Übermittlung von Personendaten zum Zeitpunkt der Vertragsverhandlungen grundsätzlich unzulässig ist – vorbehalten bleiben eine wirksame und insbesondere freiwillige Einwilligung sowie ein berechtigtes Interesse im Einzelfall.

Bei der Prüfung des berechtigten Interesses ist nach Personengruppen zu differenzieren. Bei Hauptvertragspartnern oder Mitarbeitenden mit Führungsrollen kommt ein solches Interesse insbesondere in Frage. Bei Kundendaten entscheidet das Stadium – konkrete Vertragsanbahnung, laufende Vertragsbeziehung oder beendete Beziehung mit gesetzlicher Archivierungspflicht.

Für die Praxis heisst das: Vor der Öffnung eines Datenraums ist festzulegen, welche Datenarten überhaupt hineingehören. Für die übrigen ist der Weg über Einwilligung oder eine dokumentierte Interessenabwägung zu wählen.

Wie stark Datenfragen die Übergabe prägen, hängt von der Nachfolgevariante ab. Die familieninterne Nachfolge bleibt laut dem KMU-Portal des SECO in der Schweiz die häufigste Art der Firmenübertragung, ist aber deutlich rückläufig.

Beim Management-Buy-Out (MBO) übernimmt das bestehende Management. Weil geringere Informationsasymmetrien bestehen, gestaltet sich die Transaktion rechtlich auch einfacher. Potenzielle Rollenkonflikte sind nicht zu unterschätzen, wenn bisherige Mitarbeitende plötzlich als Käufer auftreten.

Beim Management-Buy-In (MBI) können im Gegensatz zum MBO potenziell mehr Reibungen mit Mitarbeitenden, Lieferanten oder Kunden entstehen. Vertrautheit im ersten Fall und Rollen- oder Interessenkonflikte im zweiten bestimmen mit, wer wann welche Kundendaten einsehen darf.

Die Datenfragen gehören in die Nachfolgeplanung selbst, nicht in die heisse Phase der Verhandlungen. Eine detaillierte Planung der Nachfolge ist in jedem Fall erforderlich. Eine geglückte Nachfolge ist das Ergebnis langer Überlegungen, in die möglichst viele verschiedene Optionen einbezogen wurden.

Wer früh festhält, welche Daten im Datenraum gezeigt, welche Kunden vorab informiert und welche Zugriffe protokolliert werden, verhindert, dass die Übergabe an der Schnittstelle zwischen Zahlen und Personendaten scheitert.

Vor jedem Datenraum steht die interne Übergabekette. Aus dem Übergabeprotokoll muss hervorgehen, wer welche Kundendaten wann eingesehen und weitergegeben hat.

Übergabeprotokoll und Verantwortlichkeiten als Führungsinstrument

Eine geregelte Schnittstelle besteht aus wenigen konkreten Elementen. Dazu gehören schriftlich festgehaltene Zuständigkeiten für jeden Übergabepunkt: wer übergibt, wer übernimmt, bis wann.

Dazu gehört ein definierter Mindestinhalt pro Übergabe: welche Felder und Dokumente müssen vorhanden sein, bevor weitergearbeitet wird.

Der Mindestinhalt eines Übergabepunkts ergibt sich aus den Datenarten, die dort wandern: Kunden- und Kontaktdaten, Offert- und Vertragsdaten, Preise, Laufzeiten und Rabatte. Bei Personendaten gehört die Grundlage der Bearbeitung dazu.

Dazu gehört eine Dokumentation dieser Abläufe als Teil des internen Kontrollsystems. Dazu gehört je eine benannte Zuständigkeit für Rechtsfragen und für die Pflege der Kundendatenbank.

Die letzten beiden Punkte sind eigenständige Aufgaben. Die interne und externe Betreuung von Rechtsfragen und das interne Kontrollsystem gelten in der KMU-Literatur als eigene Führungsthemen. Beide laufen auf dieselbe Anforderung hinaus – nachvollziehbare Aufzeichnungen.

Damit die Regelung nicht mit dem ersten Personalwechsel zerfällt, muss sie überprüfbar sein. Das Übergabeprotokoll hält fest, welche Felder übergeben wurden, wer unterschrieben hat und wann die Prüfung erfolgte. Bei einer Neubesetzung lässt sich damit zeigen, wie der Prozess läuft, statt ihn neu zu erfinden.

Das Übergabeprotokoll hält pro Punkt vier Angaben fest: Datenart, Empfänger, Zeitpunkt und prüfende Person. Datum und Unterschrift schliessen den Vorgang ab.

Jeder Zeitpunkt ist eine Frist. Sie wird so gesetzt, dass Fakturierung, Mahnwesen und Archivierung ohne Nachfrage weiterlaufen.

Je Übergabepunkt wird eine verantwortliche Person samt Vertretung benannt. Wechselt die Besetzung, geht die Verantwortung schriftlich über und wird im Protokoll vermerkt.

Die Nachweise wirken auch nach aussen. Das Auskunftsrecht der betroffenen Person (Art. 25 nDSG) verlangt, dass das Unternehmen Auskunft geben kann; das Übergabeprotokoll liefert dafür die Grundlage.

Ein festes Prüfintervall hält die Regelung aktuell. Es prüft, ob die erfassten Grundlagen noch dem tatsächlichen Stadium der Kundenbeziehungen entsprechen und ob neue Datenarten dazugekommen sind.