Formulare für Stipendien- und Fördergesuche

Ein Stipendien- oder Fördergesuch ist datenschutzrechtlich das dichteste Dossier, das eine Schweizer Organisation regelmässig von jemandem erhebt, der keine Verhandlungsmacht hat. Ein einziges Gesuchsdossier kann die Steuerveranlagung der gesuchstellenden Person und jene der Eltern enthalten, dazu eine Sozialhilfebestätigung, einen Betreibungsregisterauszug, einen Ausländerausweis, ein Arztzeugnis zur Begründung eines Härtefalls, ein Trennungs- oder Beistandschaftsdokument und ein zweiseitiges Motivationsschreiben, in dem eine neunzehnjährige Person erklärt, warum ihre Familiensituation zusammengebrochen ist. Gelesen wird das anschliessend von einer Kommission — häufig ehrenamtlich, häufig auf privaten Notebooks, häufig über einen geteilten Laufwerksordner.

Schweizerform ist die Ende-zu-Ende-verschlüsselte Eingangsschicht für genau dieses Dossier. Jede Antwort und jedes hochgeladene Dokument wird im Browser der gesuchstellenden Person verschlüsselt, bevor es das Gerät verlässt, und nur wer den Tresorschlüssel besitzt, kann es entschlüsseln. Wir speichern verschlüsselte Einreichungen in der Schweiz bei Infomaniak, wir sind ein Schweizer Unternehmen, und wir können Übermittlungen nicht lesen — weder für den Support noch für Auswertungen noch in einem Rechtshilfeverfahren, weil wir den Schlüssel schlicht nicht haben. Formulare und die gesuchstellendenseitige Oberfläche laufen auf Deutsch, Französisch, Italienisch und Englisch, was bei einer über die Sprachregionen hinweg offenen Ausschreibung keine Nebensache ist.

Warum Stipendien- und Fördergesuche eine grössere Datenschutzlast tragen als fast jedes andere Formular

Stipendien und Ausbildungsdarlehen werden in der Schweiz von den Kantonen vergeben, nicht vom Bund. Das Ausbildungsbeitragsgesetz (SR 416.0, in Kraft seit 1. Januar 2016) regelt die Bundesbeiträge an die kantonalen Aufwendungen auf Tertiärstufe und den dahinterliegenden Harmonisierungsauftrag; die interkantonale Vereinbarung zur Harmonisierung von Ausbildungsbeiträgen (Stipendien-Konkordat) trat am 1. März 2013 in Kraft, und die Mehrheit der Kantone ist ihr beigetreten. Nach der STIP-Statistik des Bundesamts für Statistik zahlten die Kantone 2024 rund 369 Millionen Franken an Ausbildungsbeiträgen aus, davon etwa 95 Prozent als nicht rückzahlbare Stipendien. Daneben steht ein grosses privates System: Der Swiss Foundation Report 2025 (CEPS Basel, SwissFoundations und Universität Zürich, Juni 2025) schätzt das jährliche Fördervolumen der gemeinnützigen Schweizer Stiftungen auf rund 6 Milliarden Franken — etwa doppelt so viel wie die lange zitierte Zahl.

Was in einem Stipendiengesuch tatsächlich steckt

• Haushaltsfinanzen — die Steuerveranlagung der gesuchstellenden Person und, in den meisten kantonalen Regimes, jene der Eltern. In Genf läuft die Berechnung über das revenu déterminant unifié nach Art. 18 Abs. 2 des kantonalen Stipendiengesetzes (LBPE, rsGE C 1 20).
• Sozialhilfebestätigungen — in Art. 5 lit. c Ziff. 6 nDSG ausdrücklich als besonders schützenswerte Personendaten aufgeführt, der Daten über Massnahmen der sozialen Hilfe nennt.
• Gesundheitsdaten — Arztzeugnisse zur Begründung eines Studienunterbruchs, eines Härtefallzuschlags oder einer Fristerstreckung. Besonders schützenswert nach Art. 5 lit. c Ziff. 2.
• Migrations- und Aufenthaltsstatus — Ausweiskategorie und Staatsangehörigkeit, in den meisten kantonalen Stipendiengesetzen gesetzliche Anspruchsvoraussetzungen, die zugleich die ethnische Herkunft offenlegen können.
• Verfahren und Betreibungen — Betreibungsregisterauszüge, Trennungsvereinbarungen, Beistandschaftsmassnahmen; sie berühren Art. 5 lit. c Ziff. 5.
• Daten Dritter, die der gesuchstellenden Person nicht gehören — Einkommen der Eltern, Aussagen von Referenzpersonen, Geschwister in Ausbildung, der Mietvertrag der Vermieterschaft.
• Eine persönliche Erzählung — das Motivationsschreiben, in dem Gesuchstellende ungefragt Krankheit, familiäre Gewalt, Religion oder politisches Engagement offenlegen.

Die gesuchstellende Person kann nicht nein sagen — und das verändert die Einwilligungsfrage

Wer ein Ausbildungsstipendium beantragt, ist keine Kundschaft, die sich einen Anbieter aussucht. Die kantonalen Stipendiengesetze verlangen die Lieferung sämtlicher notwendiger Angaben — Genf verpflichtet in Art. 21 zur Angabe tous les renseignements nécessaires und zur unverzüglichen Meldung jeder Änderung, während Art. 27 die Rückerstattung zu Unrecht bezogener Leistungen vorsieht. Wer die elterliche Steuerveranlagung nicht beilegt, erhält kein Geld. Dieses Ungleichgewicht beseitigt Ihre Rechtsgrundlage nicht, es beseitigt aber das bequeme Argument, die gesuchstellende Person habe die Finanzen ihrer Familie freiwillig herausgegeben. Wo Sie sich für besonders schützenswerte Daten auf die ausdrückliche Einwilligung nach Art. 6 Abs. 7 nDSG stützen, seien Sie ehrlich, wie frei diese ist — und gleichen Sie es auf der Sicherheitsseite aus, nicht auf der Formularseite.

Kantonale Stelle oder private Stiftung? Zwei völlig verschiedene Rechtsregime

Diese Unterscheidung entscheidet fast alles Weitere und wird regelmässig verwischt. Nach Art. 2 nDSG gilt das Bundesgesetz für die Bearbeitung durch private Personen und durch Bundesorgane. Eine kantonale oder kommunale Stipendienstelle untersteht dem eigenen kantonalen Datenschutzgesetz, ist über Art. 320 StGB an das Amtsgeheimnis gebunden und fällt unter ein kantonales Archivgesetz. Eine private Stiftung ist private Verantwortliche nach nDSG, wird hinsichtlich ihres Zwecks nach Art. 84 Abs. 2 ZGB beaufsichtigt — bei nationaler oder internationaler Tätigkeit durch die Eidgenössische Stiftungsaufsicht (ESA), sonst kantonal — und untersteht keinerlei Archivgesetz. Die Amtsgeheimnis-Seite ist im Anwendungsfall Behörden und öffentliche Verwaltung ausführlich beschrieben.

Was sich mit Zero-Knowledge-Erfassung bei Stipendien- und Fördergesuchen ändert

Konkret: Das Gesuch wird auf dem Gerät der gesuchstellenden Person mit einem Schlüssel verschlüsselt, den wir nie erhalten. Auf unseren Servern liegt Chiffrat. Öffnet ein Kommissionsmitglied das Dossier, findet die Entschlüsselung im Browser mit dem Tresorschlüssel statt. Es gibt keine lesbare Kopie auf dem Server, keine lesbare Kopie in einem Support-Werkzeug und keine lesbare Kopie, zu deren Herausgabe ein Anbieter gezwungen werden könnte.

• Der Eingangskanal ist nicht länger eine Sammlung von E-Mail-Anhängen in privaten Postfächern plus ein geteilter Laufwerksordner.
• Die Informationspflicht nach Art. 19 nDSG wird einmal erfüllt, auf dem Formular selbst, in der Sprache der gesuchstellenden Person — einschliesslich des Hinweises, dass Daten von Eltern und Referenzpersonen bearbeitet werden. Genf verlangt in Art. 6 die Information von Eltern und Dritten au plus tard au moment de la collecte.
• Datenschutz durch Technik und durch datenschutzfreundliche Voreinstellungen nach Art. 7 nDSG wird zu etwas, das Sie zeigen statt beschreiben können.
• Die dem Risiko angemessene Sicherheit nach Art. 8 nDSG ergibt sich aus der Architektur, nicht bloss aus Ihrem Berechtigungskonzept.
• Die Aufbewahrung nach Art. 6 Abs. 4 nDSG wird pro Formular durchgesetzt, damit ein abgelehntes Dossier nicht still in drei Postfächern weiterlebt.

Dasselbe Merkblatt benennt den Punkt, den die meisten Beschaffungs-Checklisten übersehen: Ruhend verschlüsselte Daten sind während der Bearbeitung durch den Dienst regelmässig nicht verschlüsselt, weshalb Verschlüsselung im Ruhezustand in klassischem SaaS die Speicherung schützt, nicht die Bearbeitung. Genau diese Lücke schliesst Ende-zu-Ende-Verschlüsselung, und es lohnt sich, diesen Unterschied vor jedem Anbietervergleich zu verstehen. Wie das in stark regulierten Bereichen aussieht, zeigen die verschlüsselten Formular-Plattformen für Finanzen und Gesundheitswesen.

Wo Förderstellen und Stiftungen Schweizerform einsetzen

Kantonale und kommunale Stipendiengesuche

Meist als Ergänzung, nicht als Ersatz — siehe die Einschränkungen weiter unten. Was in einem kantonalen Verfahren passt, sind die besonders sensiblen Teile, die das Hauptportal ohnehin an einen Menschen weiterreicht: Härtefallzuschläge, die Einreichung von Arztzeugnissen, Fristerstreckungsgesuche und jene Konstellationen, die das Standardformular nicht abbilden kann.

Stiftungsausschreibungen und offene Förderrunden

Der natürliche Anwendungsfall. Eine Förderstiftung mit einer jährlichen Ausschreibung, 40 bis 300 Gesuchen und einem viermal jährlich tagenden Stiftungsrat verliert keine Registeranbindung und hat jeden Grund, die Dossiers für alle ausser dem Stiftungsrat unlesbar zu halten. Vereine und NGOs mit fallbezogener Unterstützung haben eine sehr ähnliche Struktur — siehe den Anwendungsfall Non-Profit- und NGO-Fallmanagement.

Härtefall-, Not- und Solidaritätsfonds

Die sensibelste Kategorie, die uns begegnet, und oft die am schlechtesten versorgte: ein Fonds für Mitglieder, Mitarbeitende oder Eltern in akuter Not, bei dem das Unterstützungsgesuch per E-Mail an eine einzelne namentlich bekannte Person geht, weil niemand es in ein System legen wollte. Ein verschlüsseltes Formular mit einem Tresorschlüssel in einer Hand ist dieser E-Mail eindeutig überlegen — und hinterlässt eine Spur, die sich tatsächlich prüfen lässt.

Erlassgesuche für Steuern und Gebühren

Art. 167 DBG erlaubt den ganzen oder teilweisen Erlass von Steuerschuld, Zinsen, Bussen und Kosten, wenn eine Notlage vorliegt, und die Steuererlassverordnung des Eidgenössischen Finanzdepartements verlangt ein schriftliches, begründetes und unterzeichnetes Gesuch mit den nötigen Belegen. In der Praxis heisst das: ein vollständiges Bild von Einkommen, Schulden und Lebenshaltungskosten landet im Postfach einer Gemeindeverwaltung. Treuhand- und Steuerbüros, die solche Dossiers vorbereiten, haben dasselbe Erfassungsproblem — siehe den Anwendungsfall Treuhand und Steuerberatung.

Forschungs-, Sport- und Kulturförderung

Interne Anschubfinanzierung, Reisebeiträge und Geräteausschreibungen innerhalb einer Hochschule oder eines Spitals, wo die gesuchstellende Person zugleich Angestellte ist und die Begutachtenden Kolleginnen sind — und Peer Review bedeutet, dass Gesuchsdossiers zwischen Personen und bei internationaler Begutachtung über Grenzen wandern, was eine Frage der Bekanntgabe ins Ausland nach Art. 16–17 nDSG ist und keine Formalität. Talentförderfonds, Kulturprojektbeiträge und Lagerbeiträge für Jugendliche liegen daneben, mit einem hohen Anteil minderjähriger Gesuchstellender und Dossiers, die eine Einkommenserklärung der Eltern mit Gesundheitsangaben eines Kindes verbinden. Die Viersprachigkeit ist hier am wichtigsten, weil solche Ausschreibungen oft regional sind und die Gesuchstellenden nicht nach Sprache vorsortiert werden.

Referenzschreiben, Einsprachen und Wiedererwägungsgesuche

Zwei Abläufe, die fast immer improvisiert sind. Ein Referenzschreiben besteht aus Daten Dritter über die gesuchstellende Person, eingereicht von jemand anderem, und trifft üblicherweise als unverschlüsselter E-Mail-Anhang ein; ein eigenes verschlüsseltes Formular mit eigenem Link löst das sauber. Einsprachen sind der zweite Fall: Genf gewährt in Art. 28 dreissig Tage für eine réclamation, bevor der Weg an das Verwaltungsgericht offensteht, und Einspracheakten müssen Jahre später noch vollständig, datiert und lesbar sein.

Welche Daten in einem Fördergesuch gelten als besonders schützenswert?

Art. 5 lit. c nDSG zählt die Kategorien auf: religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten und Tätigkeiten; Gesundheit, Intimsphäre sowie Zugehörigkeit zu einer Rasse oder Ethnie; genetische Daten; biometrische Daten, die eine Person eindeutig identifizieren; Daten über verwaltungs- und strafrechtliche Verfolgungen und Sanktionen; sowie Daten über Massnahmen der sozialen Hilfe. Fördergesuche treffen vier dieser sechs Kategorien regelmässig. Die folgende Tabelle bildet ein typisches Dossier ab.

Was Begutachtende, Kommissionen und Revisionsstellen tatsächlich sehen

Der Normalfall in den meisten Förderstellen ist, dass alle in der Kommission alles sehen, weil das Dossier als ein einziges PDF zirkuliert wurde. Rechtlich verlangt das fast nichts. Wer den Anspruch aus der Steuerveranlagung berechnet, braucht das Arztzeugnis nicht; der Stiftungsrat, der über die Förderwürdigkeit abstimmt, braucht den Betreibungsregisterauszug selten. Die Verhältnismässigkeit nach Art. 6 nDSG ist nicht dadurch erfüllt, dass alle Lesenden der Vertraulichkeit unterstehen — sie fragt, ob die einzelne lesende Person die Daten überhaupt gebraucht hat.

Die Stiftungsaufsicht nach Art. 84 Abs. 2 ZGB prüft, ob das Vermögen zweckkonform verwendet wird; die Eidgenössische Stiftungsaufsicht führt ihre digitale Aufsicht seit Mai 2022 über das System eESA. Revisionsstellen prüfen, ob das Geld dorthin geflossen ist, wo es das Protokoll behauptet. Beide brauchen den Entscheid, den Betrag und die Begründung — keine von beiden braucht das Arztzeugnis einer vor vier Runden abgewiesenen Person. Ihre Formulare so zu bauen, dass Prüfspur und sensible Beilagen trennbar bleiben, ist der ganze Trick.

Wie geben Sie einer ehrenamtlichen Kommission Zugriff, ohne das Dossier zu streuen?

Das ist die operative Frage, an der sich entscheidet, ob der Datenschutz einer Förderstelle real oder theoretisch ist, und die Antwort ist unspektakulär: Trennen Sie die Erfassung, nicht die Verschlüsselung.

• Nutzen Sie mehr als ein Formular pro Runde. Ein Anspruchsformular mit den finanziellen Beilagen und einem Tresorschlüssel bei ein bis zwei Administrierenden, und ein Förderwürdigkeitsformular mit Projektbeschrieb und Motivationsschreiben, das die Kommission tatsächlich liest. Zwei Links, zwei Schlüssel, ein Ablauf für die gesuchstellende Person.
• Halten Sie die sensiblen Beilagen aus dem zirkulierenden Dossier heraus. Kommissionen sollen die Beurteilung erhalten, nicht die Rohzeugnisse. Muss das Dossier reisen, dann als Zusammenfassung, nicht als Akte.
• Halten Sie die Schlüsselverwahrung schriftlich fest. Zwei Personen, eine Offline-Kopie im Tresor, Übergabe bei jedem Kommissionswechsel. Nach Art. 5–6 DSV braucht eine private Verantwortliche, die besonders schützenswerte Daten umfangreich bearbeitet, ohnehin ein Bearbeitungsreglement — die Schlüsselverwahrung gehört hinein.
• Protokollieren Sie, wer was gelesen hat. Art. 4 DSV verlangt bei umfangreicher Bearbeitung besonders schützenswerter Daten durch Private die Protokollierung von Speicherung, Veränderung, Lesen, Bekanntgabe, Löschung und Vernichtung, aufzubewahren während mindestens eines Jahres. Das Lesen steht auf dieser Liste und ist das, was die meisten Systeme weglassen.
• Entziehen Sie den Zugriff mit dem Mandat. Kommissionsmitglieder wechseln; ihr Zugriff soll mit dem Mandat enden, nicht mit der nächsten Revision.

Wie handhaben Sie Dokument-Uploads, ohne überall eine zweite Kopie zu erzeugen?

Uploads sind die übliche Leckstelle in der Gesuchserfassung. Die gesuchstellende Person fotografiert eine Steuerveranlagung mit dem Telefon, mailt sie, mailt danach eine korrigierte Fassung, und die Geschäftsstelle leitet beide an zwei Begutachtende weiter — nun existieren sechs Kopien der Haushaltsfinanzen auf vier Mailservern. Schweizerform verschlüsselt Anhänge im Browser der gesuchstellenden Person zusammen mit den Antworten, sodass Dokument und Kontext in einem verschlüsselten Datensatz bleiben, statt sich als Mailanhänge zu verteilen. Die Waadtländer Stipendienstelle erlaubt ausdrücklich, das Gesuch zuerst einzureichen und Belege später nachzuliefern; ein Formular, das eine spätere Nachreichung demselben verschlüsselten Datensatz zuordnet, bietet denselben Komfort ohne die Mailspur. Die Mechanik steht in sichere Datei-Uploads in Online-Formularen.

Wie lange müssen Sie ein abgelehntes Stipendiengesuch aufbewahren?

Wenn Sie eine kantonale oder kommunale Stelle sind

Abgewiesene Gesuche einfach zu löschen ist nicht zulässig, so aufgeräumt das wäre. Das Genfer Archivgesetz (rsGE B 2 15) verbietet öffentlichen Institutionen die Vernichtung von Verwaltungsunterlagen mit möglichem Archivwert ohne Bewilligung des Staatsarchivs, verpflichtet sie, nicht mehr dauernd benötigte Unterlagen anzubieten, und bestimmt, dass nach Personennamen erschlossene Unterlagen mit besonders schützenswerten Daten erst zehn Jahre nach dem Tod der betroffenen Person eingesehen werden dürfen. Auch die Vernichtung selbst muss unter archivischer Kontrolle erfolgen, damit die Vertraulichkeit gewahrt bleibt. Der Reflex von Art. 6 Abs. 4 nDSG — vernichten, sobald nicht mehr erforderlich — ist dem untergeordnet.

Wenn Sie eine private Stiftung oder ein Verein sind

Über Ihnen steht kein Archivgesetz. Es bleibt die Pflicht, zu vernichten oder zu anonymisieren, sobald der Zweck erfüllt ist, dazu Art. 958f OR, der die Aufbewahrung von Geschäftsbüchern und Buchungsbelegen während zehn Jahren ab Ende des Geschäftsjahres verlangt — das erfasst die Zahlung und den Zusprachebeschluss, nicht das Arztzeugnis einer abgewiesenen Person. Der Zeitplan, bei dem die meisten Stiftungen landen: Entscheid und Buchungsspur zehn Jahre aufbewahren, die sensiblen Beilagen erfolgloser Gesuche nach Ablauf der Einsprachefrist löschen. Unser Leitfaden zur Aufbewahrungsfrist von Formulardaten zeigt, wie sich das pro Formular einstellen lässt.

Fristen, Nachreichungen und unvollständige Gesuche

Förderrunden sind fristgetrieben wie kaum ein anderer Formular-Anwendungsfall. Die kantonalen Regimes setzen gesetzliche Fenster — Genf verlangt das Gesuch innerhalb von sechs Monaten nach Beginn des Studienjahres; das Wallis publiziert für sein Onlineportal eBourse feste Termine pro Semester. Ein Formular, das zum Stichtag sauber schliesst, jede Übermittlung mit Zeitstempel versieht und ein teilweise dokumentiertes Dossier ohne Neustart vervollständigen lässt, leistet echte Arbeit: Es beendet die Diskussion darüber, wann etwas eingetroffen ist, und verhindert den Klassiker, dass eine gestresste Person die fehlende Bestätigung nach Portalschluss an eine private Adresse schickt.

Erste Schritte mit Formularen für Stipendien- und Fördergesuche

Eine Förderrunde von Anfang bis Ende

Häufige Einwände — und realistische Antworten

Der Kanton betreibt bereits ein Portal mit Anbindung ans Steueramt — wozu brauchen wir das?

Ein Kanton in dieser Lage braucht uns vermutlich nicht, und wir sagen das lieber offen. Das Genfer Stipendiengesetz gibt der Stipendienstelle einen gesetzlichen Direktzugriff auf die Datenbanken der Bildungseinrichtungen, des Bevölkerungs- und Migrationsamts sowie der kantonalen Steuerverwaltung; Waadt und Wallis betreiben integrierte Onlineportale. Genau diese Anbindung ist der ganze Wert: Sie erspart einer gestressten neunzehnjährigen Person das Zusammensuchen von Dokumenten. Ein Zero-Knowledge-Formular kann das kantonale Steuerregister nicht abfragen — konstruktionsbedingt, nicht aus Nachlässigkeit. Wo wir in ein kantonales Setup passen, ist der schmale Annex: Härtefallzuschläge, Arztzeugnisse, Einspracheakten und die Fälle, die das Hauptportal ohnehin an einen Menschen weiterreicht.

Unsere Kommission arbeitet ehrenamtlich. Irgendwer verliert den Tresorschlüssel.

Das ist der berechtigtste Einwand auf dieser Seite, und wir werden ihn nicht abschwächen. Geht der Schlüssel verloren, sind die Daten weg — es ist dieselbe Eigenschaft, die uns aus ihnen heraushält. Die Absicherung ist organisatorisch, nicht technisch: zwei benannte verwahrende Personen, eine Offline-Kopie im Tresor, eine im Geschäftsreglement festgehaltene Übergabe und eine geprobte Wiederherstellung vor der ersten echten Runde. Wenn Ihre Organisation das nicht zusichern kann, ist Ende-zu-Ende-Verschlüsselung die falsche Architektur für Sie, und eine klassische Plattform mit einem sauberen Auftragsverarbeitungsvertrag ist die ehrliche Alternative.

Wir müssen den Anspruch gegen Einkommensgrenzen berechnen. Verhindert Verschlüsselung das nicht?

Die serverseitige Variante davon verhindert sie, ja. Wir können Gesuche nicht bewerten, keine Regelmaschine auf Einkommensgrenzen laufen lassen, keinen Betrag automatisch aus einer hochgeladenen Steuerveranlagung auslesen, Gesuchstellende nicht serverseitig über Runden hinweg abgleichen und nichts aus dem Vorjahresdossier vorausfüllen. Alles geschieht nach der Entschlüsselung, im Browser, vor einer Person. Für eine Förderstelle mit zweitausend formelgesteuerten Gesuchen im Jahr tut ein klassisches Fördermanagementsystem mit solidem Auftragsverarbeitungsvertrag weniger weh. Für eine Stiftung mit vierzig bis dreihundert Gesuchen, die ohnehin Menschen lesen, ist der Tausch mühelos lohnend.

Können wir nicht einfach ein Google-Formular und einen geteilten Drive-Ordner nehmen?

Sie können, und es ist fair, zu benennen, warum so viele Förderstellen das tun: Diese Werkzeuge sind auf dem Transportweg und im Ruhezustand verschlüsselt, sie sind gratis oder ohnehin bezahlt, und sie sind im Betrieb reibungslos. Der Einwand ist präzise, keine Herabsetzung. Erstens lässt Verschlüsselung im Ruhezustand die Daten während der Bearbeitung durch den Dienst ungeschützt. Zweitens warnt privatim, dass Anbieter, die dem US-amerikanischen CLOUD Act unterstehen, US-Behörden Zugang zu gespeicherten Daten gewähren müssen, selbst wenn die Speicherung in der EU oder in der Schweiz erfolgt, und wertet einen solchen Zugang als widerrechtliche Bekanntgabe an Dritte, weil ihm eine in der Schweiz anerkannte Rechtsgrundlage fehlt. Für ein an Art. 320 StGB gebundenes öffentliches Organ ist das ein hartes Problem. Beide Seiten haben wir ausführlich beschrieben in Ist Google Forms sicher? und Schweizer Datensouveränität.

Wir vergeben 40'000 Franken im Jahr. Ist das alles verhältnismässig?

Die Pflichten aus Art. 5 und Art. 6 nDSG knüpfen an die Daten an, nicht an die Höhe des Beitrags. Ein kleiner Vereinsfonds mit zwanzig Gesuchen bearbeitet trotzdem Sozialhilfebestätigungen und Arztzeugnisse. Verhältnismässig ist der Aufwand: Für einen Fonds dieser Grösse sind das ein Formular, ein Tresorschlüssel, zwei verwahrende Personen und eine schriftliche Löschregel — ein Nachmittag, kein Projekt. Eine Datenschutz-Folgenabschätzung nach Art. 22 nDSG ist eine eigene Frage und hängt davon ab, ob die Bearbeitung ein hohes Risiko mit sich bringt; in dieser Grössenordnung meist nicht, aber die Antwort müssen Sie dokumentieren.

Wo Schweizerform nicht die richtige Antwort ist

• Ein Kanton mit integriertem Portal soll es behalten. Die Registeranbindung ist das, was Gesuchstellende am meisten schätzen, und wir können sie nicht liefern. Nutzen Sie uns für den sensiblen Annex, nicht für den Hauptablauf.
• Keine serverseitige Automatisierung. Keine Bewertung, keine Anspruchsberechnung, kein rundenübergreifender Abgleich, kein Vorausfüllen aus dem Vorjahr. Hängt Ihr Verfahren daran, wählen Sie eine klassische Förderplattform mit sauberem Auftragsverarbeitungsvertrag.
• Schlüsselverlust ist unwiederbringlich, und für archivrechtlich gebundene öffentliche Organe ist das ein Compliance-Risiko, nicht bloss ein betriebliches. Die Verwahrungsregelung ist Voraussetzung, nicht Fussnote.
• Wir sind die Eingangsschicht, keine Fördermanagement-Suite. Kein Abstimmungsablauf für Kommissionen, keine Budgetverfolgung, keine Auszahlung, keine Zahlungsausführung, keine Buchhaltung. Der Geldfluss bleibt genau dort, wo er heute ist.

Das Fazit zu Formularen für Stipendien- und Fördergesuche

Ein Fördergesuch bündelt Haushaltsfinanzen, Sozialhilfebestätigungen, Gesundheitsdaten und Aufenthaltsstatus in einem Dossier, eingereicht von jemandem, der die Herausgabe nicht verweigern kann, und gelesen von Menschen, die meist ehrenamtlich arbeiten. Art. 5 lit. c nDSG macht mindestens vier dieser Kategorien besonders schützenswert; Art. 6, 7 und 8 setzen den Umgangsmassstab; Art. 4–6 DSV ergänzen ab einem gewissen Umfang Protokollierung und Bearbeitungsreglement; und für ein öffentliches Organ ziehen Art. 320 StGB und das kantonale Archivrecht in entgegengesetzte Richtungen, wenn es darum geht, was Sie behalten dürfen und was Sie löschen müssen.

Die Eingangsschicht ist das Glied dieser Kette, das sich am leichtesten reparieren lässt. Verschlüsseln Sie im Browser der gesuchstellenden Person, halten Sie den Tresorschlüssel selbst, trennen Sie die sensiblen Beilagen vom Förderwürdigkeitsdossier und setzen Sie pro Formular ein Löschdatum. Stand Juli 2026 hält das Trust Center von Infomaniak fest, dass sämtliche Rechenzentren und Software in der Schweiz stehen — dort liegen also Ihre Übermittlungen. Was wir nicht leisten — Bewertung, Auszahlung, Registerabfragen —, sollen Sie lieber vor der Anmeldung wissen als danach.