Das DSG zählt schon das Zugänglichmachen von Daten als Bekanntgabe. Ein Schweizer Rechenzentrum klärt deshalb, wo die Daten liegen, und lässt offen, wer zur Herausgabe verpflichtet werden kann.
Das DSG zählt schon das Zugänglichmachen von Daten als Bekanntgabe. Ein Schweizer Rechenzentrum klärt deshalb, wo die Daten liegen, und lässt offen, wer zur Herausgabe verpflichtet werden kann.
„Gehostet in der Schweiz“ beantwortet eine Frage der Geografie. Das Bundesgesetz über den Datenschutz stellt zwei Fragen, und die Geografie ist nur eine davon.
Die zweite ergibt sich aus einer Definition. Art. 5(e) des revidierten DSG lautet: „Bekanntgeben: das Übermitteln oder Zugänglichmachen von Personendaten“. Der Zugriff zählt mit. Eine Datei, die einen Server in Zürich nie verlässt, wird trotzdem ins Ausland bekanntgegeben, wenn jemand im Ausland sie öffnen kann.
Art. 16(1) regelt dann die Bekanntgabe ins Ausland: „Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.“
Legt man beides nebeneinander, wirft jeder Auftragsbearbeiter zwei Fragen auf. Wo liegen die Daten? Und wer kann gezwungen werden, sie zu öffnen, und nach welchem Recht? Ein Schweizer Server beantwortet die erste. Bei der zweiten liegt die Arbeit, und das Gesetz sagt auch, wo beide Antworten festzuhalten sind.
Eine Anmerkung zu den Texten: Die Gesetzeszitate stammen aus den deutschen Fassungen auf Fedlex. Nichts hiervon ist Rechtsberatung.
Die Regeln zur Bekanntgabe ins Ausland folgen einer festen Reihenfolge. Zum nächsten Schritt kommen Sie erst, wenn der vorherige nicht greift.
Schritt 1: die Staatenliste. Art. 16(1) verweist auf den Bundesrat. Nach Art. 8(1) der Datenschutzverordnung (DSV) werden die Staaten, die das erfüllen, „in Anhang 1 aufgeführt“. Der aktuelle Anhang hat 44 Einträge. Laut dem Merkblatt des EDÖB zu den Standardklauseln gilt: „Dazu gehören alle Staaten der Europäischen Union EU und des Europäischen Wirtschaftsraums EWR.“
Schritt 2: Garantien. Fehlt ein Listeneintrag, erlaubt Art. 16(2) die Bekanntgabe nur, „wenn ein geeigneter Datenschutz gewährleistet wird durch“ eines von fünf Instrumenten:
Für ein privates Unternehmen ist der vierte Weg meist der praktikable, weil er weder eine vorgängige Mitteilung an den EDÖB noch eine Genehmigung braucht. Der EDÖB anerkennt die Standardvertragsklauseln der EU von 2021 „inkl. sämtlicher Module mit dem Vorbehalt, dass sie im konkreten Anwendungsfall nötigenfalls angepasst und/oder ergänzt werden“. Dasselbe Merkblatt zählt die Anpassungen auf. In Anhang I.C ist der EDÖB „als Aufsichtsbehörde zu benennen“. Verweise auf die DSGVO sind, wo Schweizer Recht die Übermittlung regelt, „als Verweise auf das DSG zu verstehen“. Ein Anhang muss für betroffene Personen mit gewöhnlichem Aufenthalt in der Schweiz die Schweizer Gerichte als alternativen Gerichtsstand festhalten. In einer Hinsicht ist der Papieraufwand kleiner geworden. Seit dem 1. September 2023 „ist die Meldepflicht für die Nutzung von anerkannten Standarddatenschutzklauseln weggefallen“.
Mit der Unterschrift ist es nicht getan. Art. 10(1) DSV verlangt „angemessene Massnahmen, um sicherzustellen, dass die Empfängerin oder der Empfänger diese beachtet“, und die Seite des EDÖB zur Bekanntgabe ins Ausland fügt eine härtere Bedingung hinzu: „Der Verantwortliche muss sicherstellen, dass sich der Empfänger an die vereinbarten Klauseln hält und dass die Gesetzgebung des Drittlandes es dem Empfänger erlaubt, seinen Verpflichtungen nachzukommen“. Der letzte Teil ist wieder die zweite Frage, die nach dem ausländischen Recht.
Schritt 3: Ausnahmen. Art. 17(1) zählt Ausnahmen auf: ausdrückliche Einwilligung, eine Bekanntgabe „in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags“ mit der betroffenen Person, Rechtsansprüche, der Schutz des Lebens, von der Person selbst allgemein zugänglich gemachte Daten und öffentliche Register. Es sind Ausnahmen, und ich würde keinen SaaS-Stack darauf aufbauen. Eine Ausnahme für die Vertragsabwicklung deckt die Buchung, um die eine Kundin gebeten hat. Sie reicht nicht für jedes Tool, das ein Unternehmen betreibt.
Am 14. August 2024 hat der Bundesrat die USA „in diesem Umfang“ auf die Liste gesetzt. Laut Medienmitteilung erlaubt die Zertifizierung künftig „die Übermittlung von Personendaten aus der Schweiz an zertifizierte Unternehmen in die USA ohne zusätzliche Garantien“. Die Änderung trat am 15. September 2024 in Kraft.
Die Wendung „in diesem Umfang“ ist entscheidend, und Anhang 1 führt sie aus. Eintrag 44 lautet: „Für Personendaten, die von Organisationen bearbeitet werden, die gemäss den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA zertifiziert sind, gilt ein angemessenes Schutzniveau als gewährleistet“. Der Eintrag erfasst zertifizierte Organisationen, nicht die Vereinigten Staaten als Ganzes. Der EDÖB verweist auf die Liste der zertifizierten Unternehmen unter dataprivacyframework.gov/list.
Zwei weitere Sätze der DSV sollten Sie im Kopf behalten. Art. 8(4): „Die Angemessenheit des Datenschutzes wird periodisch neu beurteilt.“ Art. 8(6): Wird ein Staat nach einer solchen Beurteilung von der Liste gestrichen, gilt: „dies hat keine Auswirkungen auf die bereits erfolgten Datenbekanntgaben“. Ein Listeneintrag kann enden. Ihre Rückfallebene, meist Standardklauseln, schützt nur Daten, die Sie noch nicht übermittelt haben. Halten Sie sie deshalb bereit, bevor Sie sie brauchen.
Im Juni 2021 hat der EDÖB eine Anleitung für die Prüfung der Zulässigkeit von Datenübermittlungen mit Auslandbezug veröffentlicht. Ihre erste Erläuterung beschreibt genau den Fall, um den es hier geht. Ein Auftragsbearbeiter „in einem Land mit angemessenem Datenschutzniveau“ kann „unter Umständen einem Gesetz oder anderen zwingenden Vorgaben eines Drittlandes unterstehen [...], das diesen zur Bekanntgabe der Daten an die Behörden eines Drittlandes verpflichtet“. Für diesen Fall schickt Sie die Anleitung in dieselbe Prüfung wie bei einer Übermittlung in ein Land ohne angemessenen Schutz (Erläuterung N03) und nennt ein Beispiel: „Server in der Schweiz, EU oder dem EWR eines Unternehmens, welches direkt oder indirekt einer staatlichen Rechtsordnung eines Staates ohne angemessenem Datenschutzniveau untersteht“. Die Checkliste in Erläuterung N04 wird konkret: „US-amerikanische Cloudanbieter mit Servern in CH/EU/EWR“.
Das US-Gesetz dahinter ist kurz. 18 U.S.C. § 2713 wurde am 23. März 2018 durch Division V des Public Law 115-141 eingefügt, den Clarifying Lawful Overseas Use of Data (CLOUD) Act. Die Bestimmung lautet vollständig:
A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.
Sinngemäss: Ein Anbieter elektronischer Kommunikationsdienste oder von Remote-Computing-Diensten muss seinen Pflichten aus diesem Kapitel nachkommen, Inhalte einer Kommunikation sowie Aufzeichnungen oder andere Informationen zu einem Kunden oder Abonnenten, die sich in seinem Besitz, Gewahrsam oder seiner Verfügungsgewalt befinden, zu sichern, zu speichern oder offenzulegen, unabhängig davon, ob sich diese Kommunikation, Aufzeichnung oder Information innerhalb oder ausserhalb der Vereinigten Staaten befindet.
Entscheidend sind die Worte „possession, custody, or control“ (Besitz, Gewahrsam oder Verfügungsgewalt) und „regardless of whether ... located within or outside of the United States“ (unabhängig davon, ob innerhalb oder ausserhalb der Vereinigten Staaten). Das Gesetz knüpft an die Verfügungsgewalt an, der Speicherort spielt keine Rolle.
Schweizer Datenschutzbehörden haben dasselbe jüngst festgehalten. Am 18. November 2025 hat privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, eine Resolution zur Auslagerung in die Cloud verabschiedet. Ihr fünfter Grund lautet: „US-Anbieter können aufgrund des 2018 erlassenen CLOUD Act dazu verpflichtet werden, Daten ihrer Kunden an US-Behörden herauszugeben, ohne die Regeln der internationalen Rechtshilfe einzuhalten – selbst, wenn diese Daten in Schweizer Rechenzentren gespeichert sind.“ Das Fazit der Resolution: Öffentliche Organe dürfen internationale SaaS-Lösungen für besonders schützenswerte oder geheimhaltungspflichtige Daten nur nutzen, „wenn die Daten vom verantwortlichen Organ selbst verschlüsselt werden und der Cloud-Anbieter keinen Zugang zum Schlüssel hat“.
Der Geltungsbereich ist wichtig. Die Resolution richtet sich an öffentliche Organe, und der Kanton Glarus hat sich ihr nicht angeschlossen. Zu privaten Unternehmen sagt sie nichts. Ich zitiere sie, weil sie der jüngste Text einer Schweizer Aufsichtsbehörde ist, den ich gefunden habe, der Schweizer Rechenzentren und den CLOUD Act im selben Satz nennt.
Eines kann ich aus den Quellen nicht klären. Die Anleitung des EDÖB stammt vom Juni 2021 und ist damit mehr als drei Jahre älter als der US-Eintrag; die deutsche Fassung wurde im Mai 2023 an das revidierte DSG angepasst, also ebenfalls vor dem US-Eintrag. Der EDÖB verlinkt sie weiterhin auf seiner aktuellen Seite zur Bekanntgabe ins Ausland als Anleitung zur Prüfung von Datenübermittlungen. Ich habe keine Veröffentlichung des EDÖB gefunden, die erklärt, wie sein Beispiel „US-amerikanische Cloudanbieter mit Servern in CH/EU/EWR“ zu lesen ist, seit zertifizierte US-Organisationen in Anhang 1 stehen. Ehrlicherweise muss man sagen: Die Frage ist offen. Die Anleitung hält ausserdem fest, dass der Datenexporteur sich „nicht nur auf die Aussagen des Datenimporteurs verlassen“ darf, die Marketingseite eines Anbieters beantwortet sie also auch nicht. Das ist ein Punkt für Ihre Rechtsberatung, mit der Konzernstruktur Ihres Anbieters auf dem Tisch.
Das DSG sagt, wohin die Antworten gehören, und zwar an drei Stellen.
Kleinere Unternehmen sollten Art. 24 DSV prüfen, bevor sie etwas aufbauen. Unternehmen, die „am 1. Januar eines Jahres weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen“, sind von der Pflicht zum Verzeichnis befreit, ausser „Es werden besonders schützenswerte Personendaten in grossem Umfang bearbeitet“ oder „Es wird ein Profiling mit hohem Risiko durchgeführt“. Die Befreiung gilt nur für das Verzeichnis. Art. 16 und die Information nach Art. 19(4) gelten in jeder Unternehmensgrösse.
Die Sanktion steht in Art. 61 und hat drei Voraussetzungen: einen Strafantrag, Vorsatz und eine Obergrenze. „Mit Busse bis zu 250 000 Franken werden private Personen auf Antrag bestraft, die vorsätzlich“ Personendaten entgegen Art. 16 und ohne Ausnahme nach Art. 17 ins Ausland bekanntgeben oder die Bearbeitung einem Auftragsbearbeiter übergeben, ohne dass die Voraussetzungen nach Art. 9(1) und (2) erfüllt sind.
Hier ist der Eintrag, den ich pro Auftragsbearbeiter führen würde. Es ist eine reine Textvorlage. Die Feldnamen stammen von mir, nicht aus dem Gesetz, und die rechte Spalte zeigt, welcher Bestimmung jede Zeile dient.
processor: <juristische Person, die den AV-Vertrag unterzeichnet hat>purpose: <was er im Auftrag bearbeitet> # Art. 12(2)(b)data_location: <Land / Region der Speicherung> # Art. 16, Frage 1operator_law: <Rechtsordnungen, denen der Betreiber # EDÖB-Anleitung N01, N04 und seine Muttergesellschaft # Frage 2 unterstehen>disclosed_abroad: <ja / nein, und an welchen Staat> # Art. 12(2)(g), 19(4)basis: <Eintrag Anhang 1 | Swiss-US-DPF-Zert. # Art. 16(1), 16(2)(d), geprüft am <Datum> | SCC + Schweizer # 17 Anhang | Ausnahme nach Art. 17>sub_processors: <genehmigte Liste, Datum der Genehm.> # Art. 9(3)technical_measures: <z. B. Schlüssel beim Kunden: ja/nein> # EDÖB-Anleitung N08next_review: <Datum> # DSV Art. 8(4)
Die Zeile operator_law fehlt in den meisten Verzeichnissen. Ein Schweizer Hosting-Anbieter ohne ausländische Muttergesellschaft und die Schweizer Tochter eines US-Konzerns können beide „Schweiz“ unter data_location eintragen. Sie unterscheiden sich nur in dieser einen Zeile.
Zu Verträgen ist die Anleitung deutlich. „Zusätzliche vertragliche Massnahmen (zwischen dem Datenexporteur und dem Datenimporteur) sind kaum möglich, weil sie drittstaatliche Behörden nicht binden können“. Eine Klausel, die verspricht, sich einer Anordnung zu widersetzen, bindet die Behörde nicht, die sie erlässt.
Technische Massnahmen schneiden besser ab, mit Grenzen. Für einen „reinen Cloud-Betrieb“ nennt die Anleitung Verschlüsselung „denkbar“, wenn sie nach BYOK (Bring Your Own Key) und zusätzlich BYOE (Bring Your Own Encryption) umgesetzt ist, „so dass in der Cloud keine Klardaten vorliegen“. Dann folgt: „Bei über die reine Datenhaltung hinausgehenden Dienstleistungen im Zielland gestaltet sich der Einsatz solcher technischen Massnahmen indessen als anspruchsvoll.“
Dieser Satz beschreibt die meisten SaaS-Produkte. Ein Ticketsystem oder eine HR-Software muss Ihre Daten lesen können, um ihre Arbeit zu tun. Schlüssel beim Kunden sind für einen Backup-Bucket eine realistische Option und für ein Produkt, das durchsucht, darstellt und per E-Mail verschickt, was es speichert, eine schwierige. Die Zeile technical_measures wird also für den Grossteil Ihres Stacks „nein“ lauten, und das Verzeichnis sollte das auch so festhalten.
Nehmen Sie die drei Auftragsbearbeiter, die die meisten Personendaten halten, und füllen Sie für jeden data_location und operator_law aus. Die erste Zeile dauert eine Minute. Die zweite kann mit den Registerunterlagen des Anbieters einen Nachmittag kosten. Mit diesen Zeilen gehen Sie zu Ihrer Rechtsberatung.
In devguard trägt jeder Anbieter seine Datenschutzrolle (Auftragsbearbeiter, Unterauftragsbearbeiter oder Verantwortlicher) und einen Standort, die erste der beiden Zeilen hat dort also schon ihren Platz: devguard.ch.
Starten Sie kostenlos, bringen Sie Ihre Frameworks mit, und die Nachweise bleiben an der Arbeit, während sie ausgeliefert wird, ohne Setup-Reibung, ohne Feuerwehrübung in der Audit-Woche.
Starten Sie kostenlos, bringen Sie Ihre Frameworks mit, und die Nachweise bleiben an der Arbeit, während sie ausgeliefert wird, ohne Setup-Reibung, ohne Feuerwehrübung in der Audit-Woche.