Testphase vor dem ERP-Kauf: Pilot, Testmandant und Abbruchkriterien
Kurz gesagt
Ja. Sie testen ein ERP vor dem Kauf mit einer begrenzten Datenstichprobe in einem Testmandanten, wenn die Verarbeitung der Testdaten rechtmäßig ist (Rechtsgrundlage nach Art. 6 DSGVO, Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO, Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO) und der Anbieter die Testdaten nur im Auftrag verarbeitet. Verarbeitet der Anbieter personenbezogene Testdaten, verlangt Art. 28 DSGVO in Deutschland und Österreich einen Vertrag mit den Pflichten des Auftragsverarbeiters, in der Schweiz Art. 9 DSG. Erfolg- und Abbruchkriterien legen Sie schriftlich fest, bevor die Daten den Betrieb verlassen.
Das Wichtigste
- Der Anbieter verarbeitet personenbezogene Testdaten im Auftrag: Vertrag nach Art. 28 DSGVO (DE, AT) oder Art. 9 DSG (CH).
- Der Vertrag legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen fest.
- Nach Abschluss der Testphase löscht der Anbieter alle personenbezogenen Testdaten oder gibt sie nach Ihrer Wahl zurück und löscht die vorhandenen Kopien, sofern Unionsrecht oder das Recht der Mitgliedstaaten die Speicherung nicht verlangt (Art. 28 Abs. 3 lit. g DSGVO; DE, AT).
- In Deutschland ist die Testvereinbarung ein Vertrag (§ 311 Abs. 1 BGB); der Datenzugang begründet vorvertragliche Pflichten.
- Erfolgs- und Abbruchkriterien stehen schriftlich fest, bevor die Datenstichprobe den Betrieb verlässt.
Die Testphase ist die Stufe vor dem Hauptvertrag, in der Sie das System mit eigenen Daten prüfen können. Sie läuft vier Wochen, beginnt mit schriftlichen Kriterien und endet mit einer dokumentierten Entscheidung. Diese Anleitung plant Datenstichprobe, Testfälle, Erfolg- und Abbruchkriterien und die Vertragsklauseln für die Testdaten.
Was Sie vorab brauchen
- Die Muss-Positionen aus dem Lastenheft mit je einem Ausschlusstest (Anforderungen priorisieren).
- Eine Datenstichprobe: ein definierter Ausschnitt aus Stammdaten und Transaktionsdaten, dessen Umfang Sie festlegen.
- Erfolg- und Abbruchkriterien in schriftlicher Form, abgestimmt mit der Geschäftsführung.
- Die Testvereinbarung mit den Datenschutzklauseln aus Schritt 3, unterschrieben, bevor die Daten den Betrieb verlassen.
- Ein Testprotokoll mit einer Zeile je Testfall: Fall, Erwartung, Ergebnis, Datum.
Schritt für Schritt: die vierwöchige Testphase
Schritt 1: Testumfang und Kriterien festlegen
Legen Sie fest, was die Testphase beweisen muss: Jede Muss-Position wird zu einem Testfall mit beobachtbarem Ergebnis. Die Erfolgskriterien sind: alle Muss-Tests bestanden und eine von Ihnen festgelegte Anzahl der Soll-Positionen erfüllt. Die Abbruchkriterien sind: ein Muss-Test schlägt fehl und der Anbieter behebt ihn innerhalb von fünf Werktagen nicht, der Anbieter akzeptiert die Datenschutzklauseln aus Schritt 3 nicht, oder die Testdaten werden nach der Testphase nicht gelöscht. Diese Kriterien stehen vor dem ersten Datenaustausch schriftlich fest.
Schritt 2: Datenstichprobe auswählen und vorbereiten
Wählen Sie eine Stichprobe, die die Testfälle trägt, nicht den gesamten Bestand. Beispielrechnung: 200 Kunden, 500 Artikel, drei Monate Transaktionsdaten aus Verkauf und Einkauf. Ersetzen Sie Namen, Adressen und E-Mail-Adressen durch Pseudonyme, wo der Testzweck es zulässt; die Belege müssen dann keine echten Personen identifizieren. Dokumentieren Sie die Stichprobe: welche Daten, welchen Zeitraum, welche Ersetzungen. Die Stichprobe bleibt personenbezogene Daten, auch wenn sie pseudonymisiert ist.
Schritt 3: Testvereinbarung mit Datenschutzklauseln abschließen
Der Anbieter verarbeitet die Testdaten im Auftrag Ihres Unternehmens. In Deutschland und Österreich verlangt die Datenschutz-Grundverordnung (DSGVO) dafür einen Auftragsverarbeiter mit hinreichenden Garantien (Art. 28 Abs. 1) und einen Vertrag, der den Anbieter bindet (Art. 28 Abs. 3); die DSGVO gilt seit 25. Mai 2018. In der Schweiz darf die Bearbeitung nur übertragen werden, wenn die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet (Art. 9 Abs. 1 lit. a und b DSG); der Verantwortliche vergewissert sich, dass der Auftragsbearbeiter die Datensicherheit gewährleistet (Art. 9 Abs. 2 DSG). In Deutschland ist die Testvereinbarung ein Vertrag (§ 311 Abs. 1 BGB); der Datenzugang vor Abschluss des Hauptvertrags begründet zusätzlich vorvertragliche Pflichten des Anbieters (§ 311 Abs. 2 Nr. 2 BGB).
Der Vertrag enthält mindestens:
| Klausel | Inhalt |
|---|---|
| Gegenstand und Dauer | Testphase mit festem Zeitraum, hier vier Wochen |
| Art und Zweck | Test des ERP-Systems vor dem Kauf, keine produktive Nutzung |
| Datenarten und Kategorien | Kunden, Artikel, Transaktionen; betroffene Personen: Kunden, Lieferanten, Mitarbeitende |
| Pflichten und Rechte des Verantwortlichen | Im Vertrag festgelegt (Art. 28 Abs. 3 DSGVO) |
| Weisungsbindung | Verarbeitung nur auf dokumentierte Weisung (lit. a) |
| Vertraulichkeit | Zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet (lit. b) |
| Sicherheitsmaßnahmen | Maßnahmen nach Art. 32 DSGVO (lit. c) |
| Sub-Verarbeiter | Nur mit Ihrer vorherigen gesonderten oder allgemeinen schriftlichen Genehmigung; bei allgemeiner Genehmigung informiert der Anbieter über beabsichtigte Hinzunahmen oder Ersetzungen und ermöglicht Einsprüche; Sub-Verarbeiter übernehmen dieselben Datenschutzpflichten (Art. 28 Abs. 2 und 4 DSGVO) |
| Betroffenenrechte | Der Anbieter unterstützt Sie bei der Beantwortung von Anträgen betroffener Personen (lit. e) |
| Unterstützung | Der Anbieter unterstützt Sie bei den Pflichten nach Art. 32 bis 36 DSGVO (lit. f) |
| Löschung | Alle personenbezogenen Testdaten nach Abschluss gelöscht oder nach Ihrer Wahl zurückgegeben, vorhandene Kopien gelöscht, sofern Unionsrecht oder das Recht der Mitgliedstaaten die Speicherung nicht verlangt (lit. g; DE, AT) |
| Nachweis | Informationen und Überprüfungen zur Einhaltung (lit. h) |
| Rechtswidrige Weisungen | Der Anbieter weist Sie unverzüglich darauf hin, wenn er eine Weisung für rechtswidrig hält (Art. 28 Abs. 3 DSGVO, letzter Unterabsatz) |
In der Schweiz genügt die vertragliche Übertragung nach Art. 9 DSG nur, wenn die Voraussetzungen aus Abs. 1 erfüllt sind; die Klauseln zu Datensicherheit (Abs. 2) und zur Genehmigung von Dritten (Abs. 3) übernehmen Sie in die Testvereinbarung.
Schritt 4: Testmandant einrichten und Daten laden
Der Anbieter richtet den Testmandanten ein und lädt die Stichprobe. Vereinbaren Sie, dass der Testmandant isoliert ist und nicht mit dem Produktivbetrieb des Anbieters verbunden wird. Prüfen Sie den Import: Die Stückzahlen der geladenen Datensätze stimmen mit der dokumentierten Stichprobe überein, und die Stammdaten sind vollständig lesbar.
Schritt 5: Testfälle ausführen
Führen Sie in Woche 2 und 3 die Testfälle aus dem Lastenheft aus, beginnend mit den Muss-Positionen. Tragen Sie je Fall das Ergebnis ein: bestanden, nicht bestanden oder nicht gezeigt. Ein Testfall ist bestanden, wenn das beobachtbare Ergebnis eintritt, etwa: eine Reservierung verringert den verfügbaren Bestand sichtbar. Fehlt eine Funktion, notieren Sie den Behelf, den der Anbieter vorschlägt, und prüfen Sie, ob der Behelf für die Dauer des Betriebs tragbar ist.
Schritt 6: Ergebnis gegen die Kriterien prüfen
In Woche 4 werten Sie das Protokoll gegen die Erfolg- und Abbruchkriterien aus. Sind alle Muss-Tests bestanden und die Soll-Positionen im vereinbarten Umfang erfüllt, ist die Testphase erfolgreich. Ist ein Abbruchkriterium erfüllt, brechen Sie die Testphase ab und dokumentieren den Grund. Die Entscheidung tragen Sie in die Entscheidungsvorlage ein (Entscheidungsvorlage).
Schritt 7: Testdaten löschen lassen
Nach dem Ende der Testphase löscht der Anbieter alle personenbezogenen Testdaten oder gibt sie nach Ihrer Wahl zurück und löscht die vorhandenen Kopien (Art. 28 Abs. 3 lit. g DSGVO; DE, AT), sofern Unionsrecht oder das Recht der Mitgliedstaaten die Speicherung nicht verlangt. Lassen Sie sich die Löschung bestätigen und schließen die Testvereinbarung ab. Ohne die Bestätigung ist die Rückgabe oder Löschung der Testdaten nicht geprüft.
Der vierwöchige Plan im Überblick
| Woche | Fokus | Ergebnis |
|---|---|---|
| 1 | Kriterien, Vertrag, Datenstichprobe, Testmandant | Unterzeichnete Testvereinbarung, geladene und geprüfte Stichprobe |
| 2 | Testfälle: Stammdaten und Kernprozesse | Protokolleinträge für die Muss-Positionen |
| 3 | Testfälle: Durchläufe mit Transaktionsdaten | Protokoll vollständig |
| 4 | Auswertung, Entscheidung, Löschung | Entscheidungsvorlage, Löschnachweis |
So prüfen Sie das Ergebnis
- Jede Muss-Position hat einen Testfall mit dokumentiertem Ergebnis.
- Die Erfolgskriterien sind erfüllt, oder ein Abbruchkriterium ist dokumentiert.
- Die Testvereinbarung enthält alle Klauseln aus Schritt 3.
- Die Löschung der Testdaten ist bestätigt.
- Die Entscheidung steht in der Entscheidungsvorlage, nicht nur in E-Mails.
Wenn etwas nicht klappt
| Symptom | Ursache | Abhilfe |
|---|---|---|
| Der Anbieter lehnt die Vertragsklauseln ab | Die Testdaten sollen ohne Auftragsverarbeitung verarbeitet werden. | Testphase nur mit Daten ohne Personenbezug führen oder abbrechen; die Auftragsverarbeitung setzt den Vertrag nach Art. 28 Abs. 3 DSGVO voraus. |
| Die Stichprobe ist zu groß | Der gesamte Bestand wurde geladen. | Stichprobe auf die Testfälle reduzieren und neu laden. |
| Ein Muss-Test schlägt fehl | Die Funktion fehlt oder die Lokalisierung ist unvollständig. | Frist von fünf Werktagen setzen; bleibt der Fehler, greift das Abbruchkriterium. |
| Testdaten bleiben nach der Testphase | Die Löschung war nicht vereinbart. | Löschung nach Art. 28 Abs. 3 lit. g DSGVO verlangen und bestätigen lassen. |
Wann Sie Hilfe holen sollten
Ziehen Sie Ihren Datenschutzbeauftragten oder Ihre Rechtsberatung hinzu, wenn die Stichprobe besondere Kategorien von Daten enthält, etwa Gesundheitsdaten von Mitarbeitenden, oder wenn der Anbieter in einem Drittland beheimatet ist. Klären Sie dort auch, ob der Anbieter die Testdaten über die Testphase hinaus nutzen will, etwa für Produktentwicklung; eine solche Nutzung ist keine Auftragsverarbeitung und braucht eine eigene Rechtsgrundlage.