Anforderungsprofil für SaaS erstellen: Funktionen, Schnittstellen und Daten

Vom Bedarf zum prüfbaren Anforderungsprofil

Beim SaaS-Bezug liegen Updates, Sicherheit, Betrieb und Verfügbarkeit beim Anbieter. Bezahlt wird im Abo – monatlich oder jährlich – statt mit einer einmaligen Lizenzgebühr; Installation und Wartung im eigenen Haus entfallen. Das Anforderungsprofil regelt deshalb Service-, Daten- und Vertragsfragen genauso verbindlich wie Fachfunktionen.

Nicht alles ist gestaltbar: Betrieb und Sicherheitspatches sind beim SaaS-Modell typischerweise nicht verhandelbar. Gestaltbar bleiben Modulumfang, Schnittstellen, Support-Zeiten, Datenstandort, Exportformate und Ausstiegsbedingungen. Diese Punkte taugen als Ausschlusskriterien: Wer den geforderten Zahlungsverkehr nicht abbildet oder keinen vollständigen Datenexport zusichert, scheidet aus – unabhängig vom Funktionsumfang.

Ausgangspunkt ist die eigene Prozesslandschaft: Anforderungen unterscheiden sich nach Branche, Unternehmensgrösse und bestehender Prozesslandschaft; übernommene Funktionslisten passen selten. Jede Anforderung wird als prüfbarer Satz formuliert, für den sich ein Nachweis einfordern lässt – Dokumentation, Testzugang, Vertragsanhang oder Referenz.

Vorteile und Risiken von SaaS im Schweizer Kontext

Funktionale Anforderungen: Standardtiefe statt Wunschliste

Kernprozesse bilden das Gerüst der Muss-Kriterien: Finanzbuchhaltung, Auftragsabwicklung und Lagerverwaltung gehören zum klassischen Funktionsumfang von SaaS-ERP, zunehmend ergänzt durch E-Commerce, CRM, Reporting und Automatisierung. Ob ein Bereich gebraucht wird, entscheidet der eigene Ablauf, nicht das Datenblatt. Wer keine Lagerhaltung betreibt, streicht die Lagerverwaltung, statt sie als Kriterium zu führen und die Evaluation aufzublähen.

Zentral ist die Frage: Standardlösung oder Plattform? Einige KMU bevorzugen eine schlanke Standardlösung, andere brauchen erweiterbare Plattformen mit API-Ökosystem, branchenspezifischen Modulen oder internationaler Skalierbarkeit. Modular aufgebaute Business-Software für Schweizer KMU gibt es auch als SaaS; Installation, Wartung und Support erfolgen direkt durch das Anbieterteam. Das Profil hält deshalb fest, welche Module zwingend sind, welche später dazukommen können und über welchen Weg sich der Umfang erweitern lässt.

Zu jedem Muss-Kriterium gehören prüfbare Details: Anzahl Buchungskreise und Mandanten, unterstützte Belegarten, Mengen- und Währungseinheiten, Abbildung von Filialen und Kostenstellen, Rechte- und Rollenkonzept. Erst diese Tiefe zeigt, ob der Standard den Prozess trägt – oder ob eine Anpassung nötig wird, die bei SaaS häufig gar nicht vorgesehen ist.

Schnittstellen: API-Ökosystem und Schweizer Zahlungsverkehr

Integrationsfähigkeit bildet eine eigene Anforderungsgruppe, nicht einen Anhang zur Funktionsliste. Die Erwartungen an SaaS-ERP richten sich auf Integrationsfähigkeit, Datenhaltung und Anpassbarkeit. Zu klären sind Verfügbarkeit und Umfang der Programmierschnittstelle: welche Objekte les- und schreibbar sind, ob Webhooks existieren, wie die Authentifizierung erfolgt, welche Mengen- oder Ratenlimits gelten und ob eine Testumgebung bereitsteht.

Für bestehende Systeme wird die Anbindung konkret benannt: E-Commerce, CRM und Reporting werden üblicherweise mit dem ERP verbunden; einzelne Plattformen integrieren auch bestehende Legacy-IT. Neben der API sind Exportwege Pflicht – vollständiger Export aller eigenen Daten in einem gängigen Format, nicht nur Auswertungen als PDF.

Im Schweizer Kontext kommen feste Prüfpositionen im Zahlungsverkehr hinzu: QR-Rechnung, QR-IBAN und Pain.001-Zahlungsdateien nach ISO 20022. Ebenso ins Profil gehört die native Unterstützung von Deutsch und Französisch, damit Oberflächen und Belege in beiden Sprachen funktionieren.

Daten: Standort, Trennung und Lebenszyklus

Der Datenstandort zählt zu den harten Kriterien. Für Schweizer Unternehmen sind Sicherheit und Standort der Daten entscheidend; Anbieter nennen entweder Hosting in der Schweiz oder in der EU. Wer die Hosting-Region nicht offenlegt, erfüllt diese Position nicht.

Bei Multi-Tenant-Architekturen verlangt das DSG robuste Datentrennung, Verschlüsselung und nachweisbare technische Vorkehrungen. Das Profil legt fest, wie Mandanten getrennt werden, wie Daten bei der Übertragung und im Ruhezustand verschlüsselt sind, wer die Schlüssel verwaltet und wie Zugriffe protokolliert werden.

Aufbewahrungs- und Löschfristen werden pro Datenkategorie geregelt, ebenso die Mitnahme beim Anbieterwechsel: Format, Vollständigkeit, Frist und Unterstützung bei der Migration. System-, Zugriffs- und Monitoring-Logs enthalten oft personenbezogene Daten und brauchen deshalb eigene Aufbewahrungsregeln im Profil – statt einer pauschalen Löschung.

Datenschutz als Anforderungsposition

Seit dem 1. September 2023 gilt das neue Schweizer Datenschutzgesetz. Es weist grosse inhaltliche Nähe zur DSGVO auf, enthält aber eigene Regelungen; für Schweizer SaaS-Vorhaben ist es der Massstab – nicht pauschal die DSGVO.

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen; dazu zählen auch Onlinekennzeichen wie eine ID-Nummer in einem Cookie. Bearbeitung ist jeder Umgang mit diesen Daten, vom Beschaffen über das Speichern und Aufbewahren bis zum Löschen. Das Profil muss deshalb klären, wo Personendaten anfallen – bei SaaS-Plattformen auch in Nutzungsprofilen und Zugangsdaten.

Für Auftragsbearbeiter stellt das DSG besondere Anforderungen: AV-Verträge, ein Massnahmenkatalog zu Technik und Organisation, Weisungsbindung und Subunternehmer-Management sind Pflicht; Verstösse können Bussgelder bis CHF 250'000 nach sich ziehen. Abfragbar sind daher: Liste der Subunternehmer mit Standort, Vorlage des AV-Vertrags, die TOM-Dokumentation, Verfahren für Betroffenenanfragen und Meldung von Sicherheitsvorfällen.

Privacy by Design muss bereits im Entwicklungsprozess verankert sein, nicht nachträglich ergänzt werden; entsprechend ist zu fragen, wie neue Module und Anpassungen datenschutzfreundlich voreingestellt werden. Erschwerend kommt hinzu, dass die Abgrenzung zwischen eigener Verantwortlichkeit und Auftragsverarbeitung bei SaaS-Plattformen oft komplex ist: Der Betreiber verarbeitet Daten im Auftrag der Kunden und trifft zugleich eigene Entscheide. Das Profil legt deshalb pro Datenkategorie fest, welche Rolle der Anbieter einnimmt.

Landesspezifische Anforderungen nicht vergessen

Die Mehrwertsteuer gehört zu den ersten Prüfpunkten. Verlangt wird die Unterstützung der Schweizer Sätze – 8,1 % Standard, 2,6 % reduziert, 3,8 % für Beherbergung – sowie die korrekte Abbildung der Abrechnung über die Perioden.

Im Zahlungsverkehr sind QR-Rechnung und QR-IBAN sowie Pain.001-Dateien nach ISO 20022 zu verlangen; sie gehören zu den typischen Schweizer Anforderungen, die internationale Anbieter oft schlecht abdecken. Ebenso ins Profil gehören Lohnbuchhaltung samt Lohnausweisen sowie die native Unterstützung von Deutsch und Französisch.

Massstab bleibt die hiesige Rechtslage. Wer Konformität nur nach EU-Vorgaben prüft, übersieht die Eigenheiten des DSG. Anforderungen an Datenhaltung, Aufbewahrung und Informationspflichten werden deshalb nach Schweizer Recht formuliert.

Schweizer SaaS-Anforderungen im Überblick

Betrieb, Verfügbarkeit und Preislogik

Die Service-Seite gehört ins Profil. Updates, Sicherheitspatches und Backups liegen in der Verantwortung des Anbieters; cloudbasierte Lösungen kommen ohne lokale Infrastruktur aus, lassen sich flexibel skalieren und werden regelmässig aktualisiert. Zu verlangen sind konkrete Angaben zu Verfügbarkeitszusagen, geplanten Wartungsfenstern, Reaktions- und Behebungszeiten sowie zu Support-Kanälen und -sprachen.

Preise und Paketstrukturen brauchen Transparenz. Ein Anbietervergleich für Schweizer KMU nennt Paketpreise von CHF 39 bis CHF 169 pro Monat und weist darauf hin, dass die Kombination mehrerer Module – etwa Lohn, CRM, Auftrag und Lager – schnell CHF 100 bis 200 pro Monat erreicht. Solche Add-on-Kosten sind als eigene Position aufzunehmen: Was ist im Grundpaket enthalten, was kostet zusätzlich, wie werden Nutzerlizenzen gezählt und wie wirkt sich Wachstum auf den Preis aus?

Das Exit-Szenario gehört von Anfang an ins Profil: Rückgabe aller Daten in einem gängigen Format, Fristen, Unterstützung bei der Migration, Weiterbetrieb während einer Übergangsfrist und Regelung, was nach Vertragsende mit Backups geschieht. Ohne diese Zusagen bindet die Lösung stärker, als es das Abo vermuten lässt.

Gewichten, dokumentieren, vergleichen

Das Profil wird in Muss- und Soll-Kriterien geteilt. Muss-Kriterien wirken als Ausschlusskriterien – fehlt eines, scheidet die Lösung aus. Soll-Kriterien werden gewichtet, etwa nach Nutzen, Aufwand und Risiko, sodass sich pro Anbieter eine Punktzahl ergibt und die Entscheidung nachvollziehbar wird.

Nachweise werden eingefordert, nicht erfragt: AV-Vertrag, Subunternehmerliste, TOM-Nachweis, SLA mit Verfügbarkeits- und Support-Zusagen, API-Dokumentation, Liste der Exportformate, Preisliste und Referenzen. Ein Testzugang oder eine Sandbox zeigt, ob der Standard die eigenen Kernprozesse trägt, bevor Verträge unterzeichnet werden.

Die Bewertung wird schriftlich festgehalten: pro Kriterium die Bewertung, die Quelle des Nachweises und die offenen Punkte. Offene Punkte werden vor Vertragsabschluss geregelt, damit die Entscheidung auch bei späteren Modul-, Preis- oder Anbieterwechseln überprüfbar bleibt.

Schritte zur Erstellung eines prüfbaren Anforderungsprofils