IT-Outsourcing und Offshore-Entwicklung: Kosten, Risiken und Verträge

IT-Outsourcing und Offshore-Entwicklung: tatsächliche Kosten, Risiken und Verträge prüfen

Entwicklungs- oder Infrastrukturteams im Ausland können helfen, fehlende Fachkräfte zu ergänzen oder die Kapazität flexibel zu gestalten. Eine Entscheidung allein nach dem angebotenen Stundensatz kann jedoch betriebliche, rechtliche und finanzielle Probleme verursachen. Schweizer Unternehmen sollten Gesamtkosten, rechtliche Anforderungen, Schutz immaterieller Werte und einen möglichen späteren Anbieterwechsel prüfen.

Gesamtkosten statt nur Stundensätze vergleichen

Der externe Stundensatz lässt sich nicht unmittelbar mit dem Bruttolohn eines internen Mitarbeitenden vergleichen. Zu den Gesamtkosten gehören weitere Aufwände:

• Interne Zeit für Auswahl, technische Gespräche und laufende Führung.
• Integration in die Unternehmensumgebung und Einarbeitung in fachliche Besonderheiten.
• Zusammenarbeitswerkzeuge, sichere Zugangslizenzen und geeignete Entwicklungsumgebungen.
• Kommunikationsaufwand durch Zeitverschiebung und unterschiedliche Sprachen.
• Nacharbeiten, wenn Anforderungen unterschiedlich verstanden wurden.

Der Koordinationsaufwand hängt von den Arbeitsmethoden der Teams und der Zusammenarbeit mit dem Anbieter ab.

Technische Qualität und gemeinsame Abläufe sichern

Die Steuerung ausgelagerter Leistungen braucht klare Architektur- und Arbeitsregeln. Ohne sie können technische Altlasten schnell wachsen.

Um die erwartete Qualität zu erreichen:

• Definieren Sie klare Abnahmekriterien für jede technische oder funktionale Lieferung.
• Automatisieren Sie geeignete Qualitätsprüfungen in der kontinuierlichen Integration vor der Freigabe.
• Lassen Sie Code regelmässig durch zuständige interne Fachpersonen prüfen.
• Dokumentieren Sie Systemarchitektur und wichtige Technologieentscheidungen.

Halten Sie die Anforderungen in den technischen Vertragsanhängen fest, um unterschiedliche Erwartungen bei der Lieferung zu vermeiden.

IT-Outsourcing: rechtlicher Rahmen und Verantwortlichkeiten

Schweizer Unternehmen nutzen ausländische Fachkräfte oder ausgelagerte IT-Leistungen, um Kompetenzbedarf und digitale Veränderungen zu bewältigen. Fachwissen und Flexibilität können Vorteile sein. Der Erfolg hängt aber von einer realistischen Kostenrechnung, rechtlichen Voraussetzungen und klaren Verträgen ab.

Gesamtkosten (TCO) über den Stundensatz hinaus

Eine Offshore-Leistung darf nicht allein anhand von Tages- oder Stundensätzen bewertet werden. Die Gesamtkosten umfassen je nach Organisation zusätzliche Bestandteile:

• Steuerung und Koordination: Die Führung entfernter Teams, Codeprüfungen und Klärung technischer Anforderungen beanspruchen qualifizierte interne Mitarbeitende.
• Infrastruktur und Werkzeuge: Softwarelizenzen, sichere Zugänge wie VPN oder virtuelle Arbeitsplätze und Zusammenarbeitswerkzeuge müssen passend geplant werden.
• Anfängliche Produktivitätsunterschiede: Integration und technische oder fachliche Einarbeitung erfordern Zeit.
• Währungsrisiken: Je nach Vertragswährung können Wechselkursschwankungen die Wirtschaftlichkeit beeinflussen.

Qualität und betriebliche Abstimmung

Technischer Erfolg setzt klare, gemeinsam verstandene Entwicklungsabläufe voraus. Räumliche Distanz und unterschiedliche Arbeitsgewohnheiten erhöhen den Bedarf an ausdrücklichen Vereinbarungen.

Formalisierte Abnahmekriterien, systematische Codeprüfungen und geeignete kontinuierliche Lieferprozesse unterstützen die Qualität. Automatisierte Tests und nachvollziehbare Kennzahlen helfen, Abweichungen zu erkennen, statt sich nur auf informelle Aussagen zu verlassen.

Datenschutz und Anforderungen des DSG

Auslandübertragungen und Fernzugriffe auf Personendaten sind rechtlich besonders sorgfältig zu prüfen.

Das Datenschutzgesetz stellt Bedingungen an Auslandbekanntgaben. Fehlt im Zielland ein vom Bundesrat anerkanntes angemessenes Schutzniveau, sind insbesondere folgende Punkte zu prüfen:

• Geeignete Garantien, beispielsweise vom EDÖB anerkannte Standarddatenschutzklauseln.
• Die tatsächliche Wirksamkeit dieser Garantien im Zielland. Dazu kann eine Transferprüfung erforderlich sein, die auch Zugriffe nach ausländischem Recht berücksichtigt.
• Ein Auftragsbearbeitungsvertrag mit klaren Zwecken, Vertraulichkeitsregeln sowie technischen und organisatorischen Sicherheitsmassnahmen.

Systemsicherheit und Betriebsfortführung

Zusätzliche Fernzugriffe verändern die Angriffsfläche der Unternehmenssysteme.

Vergeben Sie nur die für die Aufgaben nötigen Rechte. Entwicklung und Tests sollten möglichst ohne identifizierbare echte Personendaten auskommen. MFA, verschlüsselte Verbindungen und nachvollziehbare Administrationsvorgänge sind wichtige Schutzmassnahmen. Erforderliche Zugriffe auf reale Daten müssen gesondert rechtlich und technisch abgesichert werden.

Geistiges Eigentum und Nutzungsrechte

Gehen Sie nicht davon aus, dass die Bezahlung einer Leistung automatisch sämtliche Rechte an der Software überträgt. Urheberrecht, Verträge und Rechte Dritter müssen geprüft werden. Vereinbaren Sie ausdrücklich die für das Projekt erforderlichen Nutzungs-, Änderungs-, Wartungs- und Übertragungsrechte.

Der Vertrag muss festlegen, welche Rechte übertragen oder lizenziert werden, wie weit und wie lange sie gelten und welche Zusicherungen der Anbieter für Beiträge seiner Teams gibt. Unterscheiden Sie projektspezifischen Code, bestehende Komponenten und Drittbibliotheken beziehungsweise Open-Source-Software. Deren Lizenzen gelten weiter. Lassen Sie die Klauseln prüfen, statt pauschal eine Übertragung auch nicht übertragbarer Rechte zu verlangen.

Verträge und Anbieterwechsel

Ein geplantes Vertragsende oder der Ausfall eines Anbieters sollte vorab berücksichtigt werden.

Regeln Sie die Übergabe konkret:

1. Vollständige Herausgabe des geschuldeten Quellcodes, der technischen Dokumentation und der Konfigurationen.
2. Eine Übergangsphase mit Wissenstransfer an interne Teams oder einen neuen Anbieter.
3. Vereinbarte Leistungsniveaus (SLA) und passende Folgen bei Nichterfüllung, einschliesslich vertraglicher Kündigungsregeln.
4. Anwendbares Recht und zuständiges Gericht beziehungsweise Schiedsgericht.

IT-Outsourcing und Offshore-Teams können Schweizer Unternehmen Zugang zu Kompetenzen und flexible Kapazität bieten. Die Wirtschaftlichkeit hängt von klarer technischer Führung, rechtmässiger Datenbearbeitung und Verträgen ab, die Sicherheit, Rechte und spätere Handlungsmöglichkeiten berücksichtigen.

Offizielle Quellen und weiterführende Informationen

• Bundesgesetz über den Datenschutz (DSG): https://www.fedlex.admin.ch/eli/cc/2022/491/fr
• Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB): https://www.edoeb.admin.ch
• Bundesamt für Cybersicherheit (BACS): https://www.ncsc.admin.ch
• Schweizerisches Obligationenrecht (OR): https://www.fedlex.admin.ch/eli/cc/27/317_321_377/fr

Häufige Fragen

1. Darf ein Offshore-Entwickler auf die Produktionsdatenbank zugreifen?

Zugriffe auf echte Produktionsdaten müssen auf das erforderliche Mass begrenzt und möglichst vermieden werden. Entwicklung und Tests sollten mit künstlichen oder tatsächlich anonymisierten Daten erfolgen. Notwendige Ausnahmen brauchen eine Prüfung der Zulässigkeit sowie passende vertragliche und technische Schutzmassnahmen.

2. Welches Recht gilt bei einem Streit mit einem ausländischen Anbieter?

Anwendbares Recht und Zuständigkeit hängen von wirksamen Vertragsvereinbarungen und weiteren rechtlichen Regeln ab. Für ein Schweizer Unternehmen kann eine Vereinbarung über Schweizer Recht und ein geeignetes Schweizer Gericht oder Schiedsgericht sinnvoll sein. Lassen Sie auch Durchsetzbarkeit und Kosten prüfen.

3. Reichen Standarddatenschutzklauseln für jedes Drittland?

Nicht immer. Wenn ausländisches Recht die tatsächliche Einhaltung verhindert, müssen Risiken und zusätzliche Massnahmen geprüft werden. Dazu kann wirksame Verschlüsselung gehören, bei der der Empfänger keinen Zugriff auf die Schlüssel hat. Wo ein ausreichender Schutz nicht hergestellt werden kann, darf der Transfer nicht einfach unverändert erfolgen.