Sherpany und Datasite: Fakten für Schweizer Kunden

Datasite, ein US-Softwareunternehmen mit Sitz in Minneapolis, gab am 22. Februar 2024 die Übernahme von Sherpany bekannt, dem Zürcher Anbieter für Verwaltungsrats- und Sitzungsmanagement. Laut Ankündigung läuft Sherpany als strategische Geschäftseinheit innerhalb von Datasite und funktioniert als eigenständige Einheit. Ein Eigentümerwechsel ändert Ihren Vertrag nicht von selbst, ist aber ein guter Anlass, Vertragspartei, Auftragsbearbeitungsvertrag und Liste der Unterauftragsbearbeiter zu prüfen.

Was wurde angekündigt, und was nicht?

Die Medienmitteilung steht auf der News-Seite von Sherpany und auf der Website von Datasite, datiert 22. Februar 2024 (Minneapolis). Sie hält fest:

• Datasite hat Sherpany übernommen, beschrieben als Zürcher Anbieter von Software für Board Reporting und Sitzungsmanagement.
• Die Konditionen wurden nicht offengelegt; der Abschluss wurde für das erste Quartal 2024 erwartet, vorbehaltlich üblicher Bedingungen.
• Sherpany «läuft als strategische Geschäftseinheit innerhalb von Datasite und funktioniert als eigenständige Einheit», unterstützt durch laufende Investitionen von Datasite.
• Der Präsident und CEO von Datasite sagte, man freue sich darauf, die Funktionen von Sherpany in die Datasite-Plattform zu integrieren.
• Sherpany wurde 2011 gegründet und hat Büros in ganz Europa.

Was die Mitteilung nicht sagt, ist für Kunden mindestens so wichtig. Sie sagt nicht, ob Aktien oder Vermögenswerte gekauft wurden, und damit auch nicht, mit welcher Gesellschaft Ihr Vertrag besteht. Verträge, Hosting, Unterauftragsbearbeiter und Preise erwähnt sie nicht, und weder die News-Seite noch die Startseite von Sherpany enthalten eine Kunden-FAQ zur Übernahme. Als wir die Seiten am 29. Oktober 2026 lasen, war der einzige spätere Eintrag auf der News-Seite von Sherpany eine mit Datasite veröffentlichte Umfrage vom Juni 2026, und eine Ankündigung zu Produkt oder Hosting fanden wir nicht.

Was sagt Sherpany heute zu Hosting und Sicherheit?

Auf der Seite zu Sicherheit und Compliance schreibt Sherpany, die Rechenzentren befänden sich in der Schweiz in einem georedundanten Aufbau unabhängiger Rechenzentren, die Daten seien mit AES-256 und TLS verschlüsselt, Kunden könnten SaaS oder eine Hybrid-Cloud wählen, und man halte DSGVO und Schweizer Datenschutzrecht ein. Genannt werden ISO/IEC 27001, ISAE 3000 Type II und die Einhaltung von FINMA 18/3 (geprüft durch BDO) sowie eine garantierte Verfügbarkeit von 99,9 Prozent. Sherpany bezeichnet sich zudem als vom US Cloud Act nicht betroffen. Das sind Aussagen des Anbieters, und der richtige Umgang damit ist, die aktuellen Zertifikate und deren Geltungsbereich zu verlangen. Sie sind heute veröffentlicht, also nach der Übernahme.

Was kann ein Eigentümerwechsel allgemein bedeuten?

Eine Übernahme ändert einen Vertrag nicht von selbst. Ob die Vertragspartei wechselt, hängt von der Konstruktion ab: Beim Kauf von Aktien bleibt die Gesellschaft, mit der Sie den Vertrag haben, dieselbe; beim Kauf von Vermögenswerten wechselt der Vertrag nur, wenn er übertragen wird. Welcher Fall vorliegt, sagt Ihnen Ihr Vertrag, lesen Sie also die Klauseln zur Abtretung und zum Kontrollwechsel. Was sich mit der Zeit ändern kann:

• Richtlinien der Gruppe, etwa Sicherheitsstandards, Supportprozesse oder Produkt-Roadmaps.
• Unterauftragsbearbeiter. Eine neue Muttergesellschaft bringt unter Umständen gemeinsame Dienste wie Support-Tools, E-Mail-Versand oder Monitoring.
• Die beteiligten Gesellschaften und Länder der Bearbeitung und damit das anwendbare Recht.
• Preise und Pakete bei der Verlängerung.

Nichts davon geschieht automatisch, und nichts davon ist für Sherpany aus den veröffentlichten Quellen bekannt. Es ist das, was ein Verwaltungsrat bei jedem Anbieter nach einem Kontrollwechsel prüfen sollte.

Was ergänzt das Schweizer Datenschutzrecht?

Enthält das Portal Personendaten, was bei Sitzungsunterlagen und Protokollen meist der Fall ist, gilt das Schweizer Datenschutzgesetz. Nach Art. 9 darf die Bearbeitung einem Auftragsbearbeiter übertragen werden, wenn die Daten so bearbeitet werden, wie Sie selbst es dürften, und keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. Sie müssen sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann, und er darf die Bearbeitung nur mit Ihrer vorgängigen Genehmigung einem Dritten übertragen. Art. 16 regelt die Bekanntgabe ins Ausland: Sie setzt einen Angemessenheitsentscheid des Bundesrates oder geeignete Garantien voraus, etwa Standarddatenschutzklauseln, sofern keine Ausnahme nach Art. 17 greift. Beides sind gute Gründe, nach einem Eigentümerwechsel nach Unterauftragsbearbeitern und Zugriff der Gruppe zu fragen. Ob eine konkrete Ausgestaltung genügt, beurteilen Ihre Anwältin oder Ihr Datenschutzberater, nicht die Zusammenfassung eines Anbieters.

Welche Fragen können Kunden stellen?

Verlangen Sie die Antworten schriftlich und legen Sie sie bei den IT- oder Datenschutzunterlagen des Verwaltungsrats ab.

Wie gehen Sie die Prüfung an?

1. Zusammentragen (VR-Sekretariat, ein Nachmittag): Vertrag, Bestellformular, Auftragsbearbeitungsvertrag, Liste der Unterauftragsbearbeiter und Sicherheitsseite des Anbieters, jeweils mit Datum.
2. Fragen (VR-Sekretariat): die sechs Fragen an Ihre Kundenbetreuung schicken. Eine kurze E-Mail genügt: «Im Nachgang zur Ankündigung vom 22. Februar 2024 bitten wir Sie um schriftliche Bestätigung, mit welcher Gesellschaft unser Vertrag besteht, wo unsere Daten bearbeitet werden und welche Unterauftragsbearbeiter heute eingesetzt sind, und ob Änderungen geplant sind.»
3. Beurteilen (Datenschutzberatung oder IT-Leitung): die Antworten mit dem AVV und Ihren Anforderungen vergleichen. Ist Ihre Organisation beaufsichtigt und hat sie Pflichten bei Auslagerungen, beziehen Sie Compliance ein.
4. Entscheiden (VR-Präsidium): das Ergebnis als Informationstraktandum aufnehmen, mit einem von drei Ausgängen: unverändert weiterführen, mit schriftlicher Zusicherung weiterführen oder eine Neuausschreibung auf das Vertragsende vorbereiten.
5. Festhalten (VR-Sekretariat): ein Protokolleintrag wie «Der Verwaltungsrat nimmt die schriftlichen Antworten des Anbieters vom [Datum] zu Vertragspartei, Hosting und Unterauftragsbearbeitern zur Kenntnis und beschliesst, den Vertrag bis [Datum] weiterzuführen.»

Hat Ihr Verwaltungsrat besondere rechtliche Bedenken zu ausländischen Rechtsordnungen, lassen Sie diese von Ihrer eigenen Anwältin oder Ihrem Anwalt beurteilen.

Was sollte ein Gremium zum Handeln bewegen?

Wie beantwortet Konsaro dieselben Fragen?

Konsaro ist ein Produkt der Software Vision AG in Zürich. Die Daten werden in Zürich gespeichert, die Applikationsserver laufen in der EU. Konsaro hat heute kein ISO-27001-Zertifikat und keinen SOC-2-Bericht. Die Unterauftragsbearbeiter stehen auf der öffentlichen Seite der Unterauftragsbearbeiter, Sicherheitsdetails auf der Trust-Seite. Protokoll, Traktandenliste und das ganze Sitzungsdossier exportiert Konsaro als PDF, die Beschluss- und Pendenzenliste als CSV. Wenn Sie wechseln wollen, sind unsere Checkliste zum Wechsel und die Liste der Sherpany-Alternativen die nächsten Lesetipps.