Non-Profit & NGO Fallmanagement

Wenige Sektoren erheben Daten mit höheren realen Folgen als Non-Profits und NGOs. Das Aufnahmeformular, das eine kleine Organisation einer von häuslicher Gewalt betroffenen Person aushändigt; das Registrationsformular, mit dem eine humanitäre Organisation eine geflüchtete Person erfasst; der Schutzbericht, den ein Kinderhilfswerk von einer Partnerschule erhält; das Anonymitäts-Häkchen, das ein vermögender Spender am Ende eines Spendenformulars setzt — jeder dieser Datensätze kann das Leben eines Begünstigten verändern und in manchen Fällen gefährden, wenn er durchsickert. Dennoch ist der typische Eingangskanal im Non-Profit-Bereich, was gerade gratis oder am günstigsten war: ein Google-Formular, eine generische SurveyMonkey-ähnliche Plattform, ein E-Mail-Anhang oder eine selbstgebaute Tabelle, die irgendeine Partnerorganisation eines Tages öffnen könnte.

Schweizerform ist genau für dieses Missverhältnis zwischen Sensibilität und Werkzeug gebaut. Jede Übermittlung — ein Begünstigten-Intake, ein GBV-Bericht, eine Asyl-Erfassung, eine Kinderschutz-Meldung, eine Spenderwahl zur Vertraulichkeit, ein Feldbericht einer Partnerorganisation — wird im Browser des Übermittelnden verschlüsselt, bevor sie unsere Server erreicht. Wir können sie technisch nicht lesen. Für in der Schweiz ansässige internationale NGOs (humanitärer Genfer Hub), nationale Vereine, Stiftungen und kleine Basisorganisationen verwandelt diese Eigenschaft — kombiniert mit Schweizer Hosting und einer am IKRK-Handbuch, an der OCHA-Data-Responsibility, am nDSG und an der DSGVO ausgerichteten Architektur — den Eingangskanal von einer Schwachstelle für den Begünstigtenschutz in eine belastbare technische Kontrolle.

Warum generische Formular-Tools an Begünstigten-Casework und Spendervertraulichkeit scheitern

Die meisten Online-Formular-Tools — Google Forms, Typeform, generische SurveyMonkey-Plattformen, sogar manche „Non-Profit-Editionen“ — folgen einem klassischen SaaS-Modell: Der Browser des Übermittelnden sendet Klartextdaten über HTTPS, der Anbieter-Server speichert sie. Dieser Server kann alles lesen. Genauso das Personal des Anbieters, seine Integrationspartner, jeder, der die Infrastruktur kompromittiert, und jede Behörde, die einen rechtmässigen Auftrag zustellt — auch in Jurisdiktionen, die der Bevölkerung feindlich gegenüberstehen, die die NGO zu schützen versucht.

Bei wenig sensiblen Übermittlungen ist das in Ordnung. Wenn eine NGO Begünstigtendaten erhebt oder eine vertrauliche Spende verarbeitet, entstehen aber Probleme mit sehr spezifischen, manchmal lebensentscheidenden Konsequenzen:

• Der Walk-in einer Frauenhaus-Aufnahme erfasst Name und Adresse der Betroffenen, Fotos von Verletzungen, Name des Täters und einen Kinder-Sicherheitsplan; die Anbieter-Datenbank enthält eine lesbare Akte, bevor die Beraterin sie öffnet
• Eine Geflüchteten- oder Asyl-Erfassung sammelt Herkunftsland, Fluchtroute, im Ausland verbliebene Familie, Verfolgungsbiografie und Identitätsdokumente; dieses Profil liegt auf einem Drittanbieter-Server, oft in einer Jurisdiktion, deren Regierung dasselbe Datenpaket interessiert
• Eine Anti-Menschenhandel-Erfassung enthält detaillierte Aussagen zu Tätern, Transitwegen und aktuellem Aufenthalt; jede Zeile wird von den Logs und Analytics des Anbieters indexiert
• Ein Kinderschutz-Bericht enthält Vorwürfe gegen eine namentlich genannte erwachsene Person (Lehrerin, Trainer, Verwandte:r); der Bericht liegt auf der Infrastruktur eines generischen Anbieters, der nicht für Kinderschutzdaten freigegeben ist
• Ein Spendenformular enthält ein „Anonymität gewünscht“-Häkchen; vollständiger Name und Betrag liegen dennoch im Klartext in der Anbieter-Datenbank, indexiert von Analytics, abrufbar durch eine CRM-Integration und produzierbar unter jeder rechtmässigen Anordnung
• Ein Feldbericht einer Partnerorganisation in einem Konfliktgebiet nennt lokale Volontäre und Kontaktpersonen; das Dokument wird vom Antivirus des Anbieters gescannt, von einem CDN gecacht und in Backup-Regionen ausserhalb des Einsatzlandes repliziert

Wie Schweizerform Begünstigten-Vertraulichkeit wahrt

Schweizerform ist eine Zero-Knowledge-Ende-zu-Ende-verschlüsselte Formularplattform. Die Verschlüsselung geschieht im Browser des Übermittelnden, bevor irgendwelche Daten das Gerät verlassen. Nur Inhaber des Access Codes des Formulars können Übermittlungen entschlüsseln. Wir — der Anbieter — können es nicht.

Konkrete Programm- und Betriebsformulare

Begünstigten-Intake und Falleröffnung

Ob es sich um den Walk-in eines Frauenhauses, ein erstes Assessment einer Obdachlosenstelle, einen Migrations-Rechtshilfetermin oder eine humanitäre Verteilungs-Erfassung handelt — sobald ein Begünstigter Identität und Lebenslage offenlegt, übernimmt die Organisation Sorgfaltspflichten. Ein Schweizerform-Intake ersetzt ein Papierformular oder ein Google-Formular durch einen verschlüsselten Kanal, in der Sprache des Begünstigten, den das Fallteam von jedem Browser öffnen kann, ohne dass der Anbieter je eine lesbare Kopie hält.

Geschlechtsspezifische Gewalt (GBV) und Schutzfälle

GBV- und Schutzfälle erfordern einige der sensibelsten Daten überhaupt: Identität der Betroffenen, Identität des Täters, Fotos von Verletzungen, Vorfallsschilderungen, Sicherheitspläne, Sorgerechtsfragen, Partnerorganisations-Verweise. Ein Zero-Knowledge-Formular hält dieses Bündel aus generischem SaaS-Speicher und aus Partner-CRM-Integrationen heraus, die nie für Schutzdaten konzipiert wurden, und erlaubt der Beraterin gleichzeitig eine strukturierte Akteneröffnung im eigenen Browser.

Geflüchteten-, Asyl- und Migrations-Erfassung

Migrations- und Asyl-Erfassung sammelt Daten, die in den falschen Händen Begünstigte, ihre Familie im Herkunftsland oder beide gefährden können. Ein Zero-Knowledge-Kanal hält Herkunftsland, Verfolgungs-Erzählung und Ausweisscans aus dem Lesebereich des Anbieters und aus US-gehosteten Cloud-Regionen heraus — besonders wichtig, wenn das Herkunftsland denselben Daten gegenüber feindlich eingestellt ist, die die NGO ethisch zu erfassen versucht.

Kinderschutz und Missbrauchsmeldungen

Kinderhilfswerke, Sportverbände, religiöse Organisationen und Jugendarbeit brauchen einen glaubwürdigen internen Kanal für Schutzmeldungen. Ein Schweizerform-Safeguarding-Formular erlaubt Eltern, jungen Menschen, Trainerinnen oder Mitarbeitenden, eine vertrauliche Meldung abzugeben, die nur die designierte Safeguarding-Leitung erreicht — und nur diese kann sie lesen. Der Anbieter hält die Meldung nie in einer Form, in der er sie produzieren oder lecken könnte.

Anti-Menschenhandel- und Moderne-Sklaverei-Erfassung

Anti-Menschenhandel-Organisationen sammeln detaillierte Aussagen zu Tätern, Transitrouten, aktuellem Aufenthalt und laufendem Risiko. Ein Zero-Knowledge-Kanal hält operative Details, die Überlebende erneut gefährden könnten, von den Analytics, dem Support und den Content-Scannern eines generischen SaaS-Anbieters fern.

Vertrauliche Spenden und Major-Gifts-Seiten

Viele vermögende Spendende geben unter expliziter Anonymität; manche unter geschützten Anonymitätsbestimmungen des nationalen Stiftungsrechts. Ein Schweizerform-Spendenformular hält Name, Betrag und Verwendungszweck zwischen Spender und Fundraising-Team verschlüsselt — nützlich für Legate, sensible Zwecke (reproduktive Rechte, Dissidentenunterstützung, LGBT+-Rechte in restriktiven Jurisdiktionen) und Zweckbindungen, die nicht in einem generischen CRM landen sollten, das jeder im Büro abfragen kann.

Volontäre, Fellows und Mitarbeitenden-Onboarding

Volontariats-Onboarding für sensible Programme (Gefängnisbesuche, GBV-Begleitung, Kinderarbeit) erfordert Strafregisterauszüge, Referenzen und Vertraulichkeitsverpflichtungen. Verschlüsseltes Intake hält diese Volontärsdaten aus generischem SaaS-Speicher heraus und gibt der Volontariats-Koordination einen einzigen, zugriffsbeschränkten Kanal.

Whistleblowing und Schutz vor Personalfehlverhalten

Sektorweite Reformen nach PSEA-Befunden (Schutz vor sexueller Ausbeutung und Missbrauch) erwarten heute von jeder Hilfsorganisation einen vertraulichen Kanal, über den Mitarbeitende und Begünstigte Personalfehlverhalten melden können. Ein Zero-Knowledge-Formular, beschränkt auf ein kleines designiertes Panel, gibt diesem Kanal eine architektonische Vertraulichkeitsgarantie, die ein generischer Anbieter nicht liefern kann — und die interne IT nicht versehentlich aushebeln kann.

Feldberichte von Partnerorganisationen

Partnerberichte aus dem Feld — Erzählungen, Begünstigtenzahlen, Vorfallsberichte, Finanzzusammenfassungen — fliessen ins Genfer oder HQ-Büro. Ein Zero-Knowledge-Formular erlaubt einer kleinen lokalen Partnerorganisation, einen strukturierten Bericht abzugeben, ohne lokale Mitarbeitende und Kontaktpersonen einem Drittanbieter offenzulegen.

Was Begünstigte, Spendende und Behörden sehen

Regulatorischer und Sektor-Kontext: nDSG, DSGVO, IKRK-Handbuch, OCHA, IASC, PSEA

In der Schweiz ansässige NGOs unterstehen dem totalrevidierten nDSG (in Kraft seit 1. September 2023), das Opfer-, Gesundheits-, religiöse, politische und Sozialhilfedaten als besonders schützenswerte Personendaten behandelt und verhältnismässige technische und organisatorische Massnahmen (Art. 8) sowie verschärfte Auftragsverarbeiterpflichten (Art. 9) verlangt. Kantonale Sozialgesetze und das Schweizer GwG fügen je nach Kontext weitere Pflichten hinzu.

EU-Tätigkeiten bringen die DSGVO ins Spiel — inklusive Art. 9 zu besonderen Datenkategorien und Art. 32 zu technischen Schutzmassnahmen. Internationale humanitäre Operationen werden zunehmend vom IKRK-Handbuch zum Datenschutz im humanitären Handeln (3. Auflage, 2024), den OCHA-Data-Responsibility-Richtlinien, der IASC Operational Guidance und gebergetriebenen PSEA-/Safeguarding-Anforderungen geprägt. Über alle hinweg gilt: Die Organisation bleibt verantwortlich für die erhobenen Daten, einschliesslich der Daten, die durch einen Drittformularanbieter laufen — und ein Anbieter, der die Daten nicht lesen kann, ist in jedem dieser Rahmen strukturell leichter zu verteidigen als einer, der es kann.

Relevante Funktionen für Non-Profit- & NGO-Operationen

• Zero-Knowledge-Ende-zu-Ende-Verschlüsselung auf jeder Übermittlung — kein Lesezugriff des Anbieters auf Begünstigteninhalte, GBV/Schutz-Erzählungen, Spendendaten oder Schutzmeldungen
• Verschlüsselte Dokument- und Bilduploads — ID-Scans, Fotos von Verletzungen, Gerichtsbeschlüsse, Partner-Verweisbriefe, Programmbelege
• Mehrsprachige Formulare (EN / DE / FR / IT) ab Werk — entscheidend für Schweizer multikantonale Sozialdienste, Genfer NGOs und Begünstigte aus jedem dieser Sprachräume
• Pro-Formular-Access-Codes — pro Programm, pro Safeguarding-Leitung, pro Länderbüro
• Schweizer Hosting mit nDSG-konformer Architektur — Antwort-Payloads verlassen die Schweiz nicht
• Audit-Log der Entschlüsselungs-Ereignisse (wer hat wann eine Übermittlung geöffnet) ohne Inhalt offenzulegen
• Strukturierter Datenexport nach Entschlüsselung — bereit für Fallmanagement-System, Spender-CRM oder Programm-Monitoring
• Kostenloser Tarif, sodass eine kleine NGO oder ein lokaler Partner ein Intake-Formular ohne Kosten betreiben kann — keine Kreditkarte, kein Infrastruktur-Budget, kein Beschaffungszyklus

Häufige Einwände

"Wir nutzen die Non-Profit-Edition eines grossen SaaS — das reicht doch."

Gespendete oder vergünstigte SaaS-Pläne ändern in der Regel den Preis, nicht die Architektur. Der Lesezugriff des Anbieters auf Inhalte ist identisch mit einem Bezahlplan. Für wenig sensible Arbeit ist das in Ordnung; für Begünstigten-Casework mit GBV, Asyl, Kinderschutz oder Anti-Menschenhandel ist die architektonische Eigenschaft — Anbieter kann nicht lesen — die relevante Frage, nicht die Preisstufe.

"Unser Fallmanagement-System verschlüsselt schon."

Die meisten Fallmanagement-Systeme verschlüsseln at rest. Das schützt vor Disk-Diebstahl. Es schützt nicht vor dem Personal des Anbieters, dessen Analytics, dessen Subprozessoren oder einem rechtmässigen Editionsbefehl — denn der Anbieter hält die Schlüssel weiterhin selbst. Ende-zu-Ende-Zero-Knowledge ändert diese Eigenschaft an der Eintrittsschnittstelle.

"Unsere Begünstigten sind nicht technisch und haben keine zuverlässigen Geräte."

Es gibt keine Installation auf Begünstigtenseite, und das Formular läuft auf jedem modernen Browser auf jedem Gerät. Beim Walk-in kann die Beraterin das Formular auf einem Tablet im Zentrum öffnen und gemeinsam mit der betroffenen Person ausfüllen; die Verschlüsselung passiert dennoch im Browser, vor Versand. Das Begünstigten-Erlebnis entspricht jedem Web-Formular, in der bevorzugten Sprache.

"Wenn wir den Access Code verlieren, sind die Akten weg."

Korrekt — und gewollt. Empfohlene Praxis ist dokumentierte Schlüssel-Custody: Ein versiegelter Access Code, gemeinsam von Programmleitung und Safeguarding-Leitung gehalten, escrowed bei der Geschäftsführung oder geteilt zwischen zwei designierten Stiftungsräten. Das Verfahren vermeidet Single-Person-Failure und erhält die Eigenschaft, dass der Anbieter nicht zur Herausgabe gezwungen werden kann, was er nicht lesen kann — exakt das Merkmal, das für Hochrisiko-Begünstigtenarbeit am wichtigsten ist.

"Wir arbeiten in einem Land, dessen Regierung unsere Begünstigten ins Visier nehmen könnte."

Genau für dieses Bedrohungsmodell ist diese Architektur gebaut. Schweizerform speichert Chiffrat auf Schweizer Servern; der Anbieter kann es nicht lesen; Access Codes liegen bei der NGO, nicht beim Anbieter. Das architektonische Versprechen — Anbieter kann nicht lesen — überlebt sowohl staatlichen Druck auf den Anbieter als auch staatlichen Druck auf die lokale IT-Umgebung.

"Wir haben fast kein Budget."

Der kostenlose Tarif deckt ein einzelnes Begünstigten-Intake-Formular ab, und die architektonische Vertraulichkeitseigenschaft ist auf Free- und Bezahltarifen identisch. Viele kleine NGOs betreiben ihren gesamten Safeguarding-Meldekanal oder Begünstigten-Intake im kostenlosen Tarif. Verschlüsselung ist kein Bezahl-Upgrade.

Einen Schweizerform-Eingangskanal einführen

Fazit

Non-Profits und NGOs versprechen Begünstigten und Spendenden bereits eine sehr spezifische Vertraulichkeit — manchmal implizit, manchmal gesetzlich, fast immer entscheidend dafür, ob die nächste Person dem nächsten Intake vertrauen wird. Ein Formularanbieter, der jedes Feld eines GBV-Berichts, jede Zeile einer Asyl-Erfassung, jede vertrauliche Spende mitlesen kann — wie günstig oder bekannt sein Produkt auch sein mag — ist eine Outsourcing-Abhängigkeit, die Vorstände, Geldgeber, Aufseher und ein zukünftiges Inquiry-Verfahren zunehmend hinterfragen werden.

Schweizerform liefert eine direkte Antwort: Zero-Knowledge-Ende-zu-Ende-Verschlüsselung auf jedem Formular, Schweizer Hosting und eine an IKRK-Handbuch, OCHA-Data-Responsibility, nDSG und DSGVO ausgerichtete Architektur. Kein Bezahl-Upgrade für Sicherheit. Keine US-Cloud-Abhängigkeit für Begünstigtendaten. Keine drittlesbare Kopie eines Survivor-Intakes oder einer vertraulichen Spende auf einem Server, den Sie nicht kontrollieren.