Datenstandort Schweiz bei Cloud-Anbietern prüfen

Datenstandort Schweiz: Was alles darunter fällt

Der EDÖB nennt drei datenschutzrechtliche Prüfbereiche für Cloud-Dienste: Auftragsbearbeiter und Unterauftragsbearbeiter, Sicherheit der Datenbearbeitung sowie Übermittlung von Personendaten in Drittländer. Für den Standort sind deshalb mehrere Ebenen massgebend: Speicherung, Bearbeitung, Zugriff – auch für Wartung und Support – und die eingeschalteten Unterauftragsbearbeiter. Wer nur einen Serverstandort nennt, beantwortet damit eine einzige dieser Fragen.

Rollenmässig handelt die Cloud-Anbieterin in der Regel als Auftragsdatenbearbeiterin des Kunden nach Art. 9 DSG. Der Kunde ist Verantwortlicher oder selbst Auftragsbearbeiter; als Auftragsbearbeiter muss er die Vorgaben des Verantwortlichen für seine Datenbearbeitungen erfüllen. Als Verantwortlicher trägt er die Verantwortung dafür, dass die ausgelagerte Bearbeitung datenschutzkonform erfolgt und die Rechte betroffener Personen durch die Auslagerung nicht geschmälert werden.

Der Cloud-Nutzer muss sich als Verantwortlicher vergewissern und vertraglich absichern, dass er die Anforderungen an eine Auftragsbearbeitung gemäss Art. 9 DSG einhält. Standortangaben des Anbieters sind daher Ausgangspunkt der Prüfung, nicht ihr Ergebnis.

Warum ein Server in der Schweiz noch keinen Schutz bedeutet

Ein Rechenzentrum in der Schweiz oder der EU verhindert behördliche Zugriffe nicht, wenn der Anbieter ausländischem Recht untersteht. Der US CLOUD Act erlaubt US-Behörden, amerikanische Unternehmen zur Herausgabe von Daten zu zwingen – auch bei Speicherung im Ausland. UMB zufolge riskiert ein Schweizer Unternehmen mit US-Anbieter, dass vertrauliche Daten ohne Vorwarnung oder Rechtsmittel eingesehen werden. Ein europäisches Rechenzentrum ändert daran nichts, weil der Zugriff an der Anbieterzugehörigkeit ansetzt, nicht am Datenstandort.

In den USA fehlt ein einheitliches Datenschutzgesetz; es gilt ein fragmentiertes System branchenspezifischer Vorschriften. UMB weist darauf hin, dass die Entlassung einiger Mitglieder des Privacy and Civil Liberties Oversight Board im Januar 2025 die Aufsichtsmechanismen des EU-US-Datenschutzrahmenwerks geschwächt und Zweifel an dessen langfristiger Tragfähigkeit verstärkt hat. Ein Abkommen oder Zertifikat allein ist daher keine dauerhafte Gewähr.

Im öffentlichen Bereich ist die Frage entschieden: Die im November 2025 veröffentlichte Resolution von privatim, der Konferenz der schweizerischen Datenschutzbeauftragten, lässt sich laut Bär & Karrer als De-facto-Verbot der Nutzung von Hyperscalern in der öffentlichen Verwaltung lesen. Die Ausschreibung des BAG zur SwissHDS-Infrastruktur (Februar 2026) verlangt, dass sämtliche Infrastrukturkomponenten keine technische oder rechtliche Abhängigkeit von äusseren Jurisdiktionen wie dem US CLOUD Act aufweisen dürfen.

Fakten zur Datensovereignität in der Schweiz

Konkrete Fragen an den Anbieter

Vertragspartner und Recht: Wer ist Vertragspartner – nicht nur die Marke –, wo hat er seinen Sitz, und welchem Recht untersteht er? Gehört er zu einem Konzern mit Sitz ausserhalb der Schweiz? Massgebend ist das Recht des Vertragspartners, nicht der Standort des Rechenzentrums.

Daten und Bearbeitung: An welchen konkreten Standorten liegen Produktivdaten, Sicherungen und allfällige Kopien für Analyse- oder Testzwecke, und wo werden sie bearbeitet? Fallen diese Standorte je nach Dienstmodell auseinander? Das privatim-Merkblatt «Cloud-spezifische Risiken und Massnahmen» (2022) hält fest, dass Datenbearbeitungsstandorte in der Schweiz zu bevorzugen sind, etwa wegen Infrastruktursicherheit und Verfügbarkeit.

Zugriff: Wer kann auf Daten zugreifen – auch für Wartung, Fehlerbehebung und Support? In welchem Land sitzen diese Personen? Wird der Zugriff protokolliert und nur auf Anweisung gewährt? Kann der Anbieter Daten im Klartext lesen, oder sind Verschlüsselung und Schlüsselverwaltung so organisiert, dass er es nicht kann?

Unterauftragsbearbeiter: Welche Unterauftragsbearbeiter werden für Hosting, Support, Monitoring, Backup oder Zusatzdienste eingesetzt, und wo sind sie domiziliert? Wie und mit welcher Frist werden neue Unterauftragsbearbeiter oder Standortwechsel gemeldet, und kann der Kunde widersprechen? Ergänzend: Welche Prüfberichte und Zertifizierungen liegen vor, und wie geht der Anbieter mit behördlichen Auskunftsersuchen um?

Vertragliche Absicherung und Übermittlung ins Ausland

Vertraglich zu regeln sind mindestens: Auftragsbearbeitung mit Weisungsbindung, Vertraulichkeit des eingesetzten Personals, technische und organisatorische Massnahmen, zulässige Unterauftragsbearbeiter samt Meldefrist bei Wechseln, Zugriffs- und Auditrechte des Kunden, Meldung von Sicherheitsvorfällen, Vorgehen bei behördlichen Auskunftsersuchen sowie Rückgabe oder Löschung der Daten bei Vertragsende.

Findet bei Cloud-Diensten eine Datenbekanntgabe ins Ausland statt, muss laut EDÖB vor der Bekanntgabe geprüft werden, ob sie den gesetzlichen Anforderungen genügt. Der Leitfaden zur Nutzung externer Cloud-Dienste verlangt, dass die Grundrechte der betroffenen Personen gleichwertig geschützt bleiben. Lässt sich dieser gleichwertige Schutz nicht nachweisen, kommt die Bekanntgabe in dieser Form nicht in Frage.

Standortangaben, Unterauftragsbearbeiterliste und Zugriffsregelungen gehören daher in den Vertrag, nicht nur in Marketingunterlagen. Ändern sich diese Angaben, ist die Prüfung erneut durchzuführen, bevor weitere Daten übermittelt werden.

Souveränität gegen Funktionalität und Aufwand abwägen

Nach der Analyse von Bär & Karrer gibt es keine vollumfänglich risikofreien Lösungen. Jede Variante – ein US-Cloud-Dienst, ein schweizerischer oder ein europäischer Anbieter, eine On-Premises- oder eine Open-Source-Lösung – erfordert einzelfallbezogene Abwägungen zwischen Funktionalität, Sicherheit, Souveränität und Betriebsaufwand.

Die Kompromisse sind unterschiedlich gelagert: US-Hyperscaler bieten Funktionsumfang und Skalierung, unterliegen aber dem CLOUD Act. Schweizer oder europäische Anbieter verschieben das Jurisdiktionsrisiko, sind aber bei Leistungsumfang und Preis nicht deckungsgleich. On-Premises- und Open-Source-Lösungen geben Kontrolle über Daten und Schlüssel zurück, verlangen aber eigenes Betriebspersonal sowie Patch-, Backup- und Ausfallmanagement.

Anbieter unterscheiden inzwischen zwischen Speicherort und operativer Souveränität, die sich daran bemisst, wo die betreuenden Mitarbeiter sitzen. NorthC nennt dies als Merkmal seiner «Swiss Sovereign Cloud».

Bei erhöhtem Schutzbedarf – etwa bei Bundes-, Kantons- und Gemeindebehörden – kommen weitere Vorgaben hinzu: Datenschutz, Geheimhaltungsverpflichtungen wie das Amtsgeheimnis und die Vorschriften der Informationssicherheit sind einzuhalten, und die langfristige Handlungsfähigkeit ist sicherzustellen. Digitale Souveränität bedeutet in diesem Zusammenhang weder Autarkie noch Abschottung, sondern die Fähigkeit, den Einsatz externer digitaler Leistungen eigenverantwortlich zu steuern und zu kontrollieren.

Vergleich von Cloud-Anbietern nach Datenstandort und juristischer Souveränität

Überprüfung wiederholen und nachweisen

Auslöser für eine erneute Prüfung sind Anbieterwechsel, neue Unterauftragsbearbeiter, geänderte Standortangaben, zusätzlich bezogene Dienste im selben Vertrag sowie Änderungen beim Vertragspartner oder in der Konzernstruktur. Da die Bekanntgabe ins Ausland vor der Übermittlung zu prüfen ist, wird die Prüfung an diese Ereignisse geknüpft und nicht einmalig erledigt.

Für den Nachweis hält man je Prüfung fest: Datum, Vertragspartner und massgebliches Recht, Standorte für Daten und Sicherungen, Liste der Unterauftragsbearbeiter, Zugriffsregelungen, verwendete Prüfberichte sowie Ergebnisse früherer Prüfungen. Das revDSG schreibt Regeln für Transparenz, Sicherheit und Rechenschaftspflicht vor; die dokumentierte Prüfung ist die Grundlage, um diese Rechenschaftspflicht zu erfüllen und bei einer Aufsichtsanfrage zu belegen, welche Angaben wann überprüft wurden.

Zum Weiterlesen: Warum die Private Cloud in der Schweiz die sicherste Option für Schweizer Unternehmen ist. (umb.ch).