Compliance für Softwarehersteller: die Fragen deiner Kunden über uns
Wenn du Software an Versicherer, Banken, Spitäler oder Kantone verkaufst, prüft deren Compliance-Abteilung deinen Hosting-Partner, bevor unterschrieben wird. Die Fragen kommen als Liste, es sind fast immer dieselben acht, und eine davon ist die unangenehme: kann euer Anbieter uns Auditrechte einräumen?
Diese Seite beantwortet alle acht, damit du sie weiterleiten kannst, statt die Antworten selbst zu schreiben.
Die acht Fragen
1. Wo stehen eure Rechenzentren physisch?
In der Schweiz. VSHN betreibt keine eigenen Rechenzentren und lässt deine Services auf Schweizer Infrastruktur laufen, die du auswählst: Cloudscale in Lupfig (AG) und Rümlang (ZH), Exoscale in Zürich (CH-DK-2) und Genf (CH-GVA-2), oder deine eigene Hardware. Im Normalbetrieb verlassen die Daten das Land nicht.
2. Seid ihr ein eigenständiges Schweizer Unternehmen?
Die VSHN AG ist eine Schweizer Aktiengesellschaft mit Sitz in Zürich, gegründet 2014, mit über 50 Mitarbeitenden. Es gibt keine ausländische Muttergesellschaft und keine ausländischen Investoren. Alle Aktionäre sind Schweizer Bürger, nachlesbar im Handelsregister des Kantons Zürich unter CHE-275.566.226.
Das ist die eigentliche Antwort auf die CLOUD-Act-Frage. US-Behörden können nur ein Unternehmen zwingen, das der US-Gerichtsbarkeit untersteht, also eine US-Mutter, eine US-Tochter oder US-Geschäftstätigkeit hat. Nichts davon trifft auf VSHN zu.
3. Welche Subprozessoren setzt ihr ein?
In einem typischen Setup genau einen: den Infrastrukturanbieter, den du gewählt hast. Die vollständige und aktuelle Liste ist Bestandteil des Auftragsverarbeitungsvertrags. Damit ist die Liste eine vertragliche Zusage und keine Marketingaussage, und Änderungen daran folgen dem Meldeverfahren aus diesem Vertrag.
4. Schliesst ihr einen AVV nach Art. 9 DSG ab?
Ja. Unser Auftragsverarbeitungsvertrag ist publiziert und wird nicht bei jedem Kunden neu verhandelt. Es gilt Schweizer Recht mit Gerichtsstand Zürich. Annex 1 listet die technischen und organisatorischen Massnahmen auf, und das ist meistens der Anhang, den der Datenschutzverantwortliche deines Kunden zuerst liest.
5. Bietet ihr Managed Databases mit Hochverfügbarkeit und Point-in-Time Recovery?
Ja. Managed PostgreSQL läuft als Primary mit Replica und automatischem Failover, mit Point-in-Time Recovery und Verschlüsselung im Ruhezustand. Backup gehört zum Service. Das Gleiche gilt für die übrigen Dienste im Katalog, etwa Keycloak für Kundenidentitäten und OpenBao für Secrets.
6. Welches Modell zur Mandantentrennung empfehlt ihr?
Für regulierte Daten eine eigene Datenbankinstanz pro Grosskunde und darunter Schema-Trennung für die einzelnen Mandanten. Unsere Begründung, samt den Kosten dieser Wahl, steht im Leitfaden zur Mandantenisolation auf unserer PostgreSQL-Seite.
7. Können eure Services Systeme unserer Kunden im eigenen Rechenzentrum erreichen?
Ja. Einzelne deiner grösseren Kunden werden ihre Daten nicht in deine Cloud-Datenbank legen wollen und stattdessen verlangen, dass deine Applikation aus ihren eigenen Systemen liest. Ausgehende Verbindungen richten wir pro Kunde ein, entweder über definierte Egress-Adressen oder einen VPN-Tunnel. Welche Variante passt, entscheidet deren Netzwerkteam, deshalb gehört das in ein technisches Gespräch und nicht in ein Häkchen.
8. Räumt ihr unseren Kunden Auditrechte ein?
An dieser Frage entscheiden sich Aufträge, deshalb die ehrliche Antwort in drei Teilen.
Was bereits abgedeckt ist. Das meiste, was ein Auditor verlangt, liegt vor, bevor er fragt. VSHN ist ISO 27001 zertifiziert und erstellt einen ISAE 3402 Type II Bericht. Das ist das Urteil eines unabhängigen Prüfers darüber, ob unsere Kontrollen richtig aufgesetzt waren und über einen definierten Zeitraum tatsächlich funktioniert haben. Type II ist dabei der entscheidende Unterschied: geprüft wird ein Zeitraum echten Betriebs, keine Momentaufnahme. In der Praxis erledigt das den grössten Teil eines Fragebogens ohne Vor-Ort-Termin.
Was verhandelt wird. Vertragliche Auditrechte für dich und für deinen Kunden, inklusive Vor-Ort-Audits, werden im Vertrag geregelt. Wir haben das für Kunden unter FINMA-Aufsicht bereits gemacht, unter anderem für Kantonalbanken über Finnova und die Acrevis Bank. Die Klausel wird für den konkreten Fall formuliert.
Was wir nicht tun. Wir sagen dir nicht zu, eine Klausel sei bereits freigegeben, bevor unsere Rechtsabteilung den Wortlaut deines Kunden gelesen hat. Wer das in einer ersten Mail verspricht, sagt dir, was du hören willst.
Warum das anders ist, wenn du der Hersteller bist
Nichts auf dieser Seite ist eine Anforderung von dir. Jeder Punkt stammt von einem Kunden von dir, und das ändert, was du von einem Hosting-Partner brauchst.
Du brauchst in erster Linie keine Plattform, die gut läuft. Du brauchst eine, die Nachweise produziert: ein Zertifikat mit dem passenden Geltungsbereich, einen Prüfbericht über einen Zeitraum statt über einen Tag, einen publizierten AVV, den der Jurist deines Kunden ohne Termin lesen kann, und einen Anbieter, der bereit ist, in deiner eigenen Auslagerungsdokumentation genannt zu werden.
Das ist ein anderer Einkauf als der von Kapazität. Genau deshalb sind die Antworten oben so geschrieben, dass du sie weiterleiten kannst und nicht zusammenfassen musst.
Was VSHN für dich betreibt
Ein Vertrag über den ganzen Stack: Managed Kubernetes, PostgreSQL, Keycloak, Object Storage, Secrets Management und die Plattform darunter. Ein Betriebsteam in der Schweiz, rund um die Uhr erreichbar. Jede Komponente ist Open Source aus dem Projekt selbst, der Ausstieg ist also ein Datenexport und kein Umbau.
Buche ein Gespräch, wenn du die Antworten oben gegen den echten Fragebogen deines Kunden prüfen lassen willst.