Ein Förderdossier wirkt auf den ersten Blick wie ein Projektbeschrieb. Tatsächlich enthält es fast immer deutlich mehr: Lebensläufe des Teams, Angaben zu Anstellungsverhältnissen, Bankverbindungen, gelegentlich Referenzschreiben oder Arztberichte, wenn es um Stipendien oder soziale Förderung geht. Damit gilt für Förderplattformen dasselbe wie für ein Personaldossier — nur, dass die Daten hier zusätzlich von externen Gremien gelesen werden.

Wer darf was sehen?

Die praktisch wichtigste Frage ist nicht die des Hostings, sondern die der Zugriffsrechte. In vielen Programmen sitzen in der Jury Personen, die im selben Markt tätig sind wie die Bewerbenden. Ein pauschaler Lesezugriff auf alle Dossiers ist dann heikel, auch wenn eine Vertraulichkeitserklärung unterschrieben wurde.

Sinnvoller ist eine Rechtestruktur, die dem Verfahren folgt:

  • Bewertende sehen nur die ihnen zugewiesenen Dossiers, und nur in ihrer Runde.
  • Finanzangaben sind erst ab der Due-Diligence-Phase sichtbar.
  • Befangenheit wird beim Zuweisen erfasst, nicht erst in der Sitzung protokolliert.
  • Jeder Zugriff bleibt nachvollziehbar protokolliert.

Aufbewahrung ist eine Entscheidung, kein Zufall

Abgelehnte Gesuche bleiben in der Praxis oft jahrelang im System, weil niemand entschieden hat, wann sie gelöscht werden. Datenschutzrechtlich braucht es dafür einen Grund und eine Frist. Für die meisten Programme ist eine differenzierte Regel praktikabel: geförderte Projekte über die gesamte Berichtsperiode plus Aufbewahrungsfrist, abgelehnte Gesuche deutlich kürzer, mit der Möglichkeit einer ausdrücklichen Einwilligung für die Wiedereinreichung in der nächsten Runde.

Die unangenehmste Frage einer Aufsichtsbehörde ist selten «Wo liegen die Daten?», sondern «Wer hatte darauf Zugriff und wie lange?».

Warum der Standort trotzdem zählt

Schweizer Förderprogramme und öffentliche Stellen arbeiten mit Daten, die häufig weder ins Ausland gehören noch dem Zugriff ausländischer Behörden ausgesetzt werden sollen. Ein Hosting in einem ISO-27001-zertifizierten Rechenzentrum in der Schweiz löst nicht alle Fragen, nimmt aber die Diskussion über Drittstaatentransfers aus dem Projekt heraus — was in einer Beschaffung mehrere Wochen sparen kann.

Dazu gehört auch die Trennung der Mandanten: eine dedizierte Instanz pro Organisation statt einer gemeinsamen Datenbank. Das vereinfacht Löschkonzepte, Exporte und den Nachweis, dass Daten verschiedener Programme nicht vermischt werden.

Checkliste vor der Ausschreibung: Welche Felder sind wirklich nötig? Wer sieht welche Phase? Wie lange bleiben abgelehnte Gesuche gespeichert? Wer erhält beim Abschluss einen Export — und in welchem Format? Vier Fragen, die sich vor dem Start in einer Stunde klären lassen und danach in Wochen.

Dieser Beitrag ersetzt keine rechtliche Beratung. Für die konkrete Ausgestaltung von Bearbeitungsverzeichnis, Auftragsbearbeitungsvertrag und Löschkonzept lohnt sich die Abstimmung mit der eigenen Rechtsberatung.