Cloud-Anbieter prüfen: Aufsichtsstellen, Register und Nachweise

Warum Cloud-Anbieter geprüft werden müssen

Cloud-Lösungen sind nach schweizerischem Datenschutzrecht und EU-DSGVO erlaubt, aber an Auflagen gebunden. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) nennt drei Punkte, die beim Einsatz besonders zu beachten sind: Auftrags- und Unterauftragsbearbeiter, Sicherheit der Datenbearbeitung und Übermittlung von Personendaten in Drittländer.

Datenschutzrechtlich relevant wird eine Cloud, sobald Personendaten dorthin gelangen. Typische Fälle sind Online-Zusammenarbeit (etwa Office 365), Online-Verwaltungstools für E-Mail-Adressen, Online-CRM-Systeme, das Hochladen von Videos auf Streaming-Plattformen oder von Dateien auf einen über das Internet abrufbaren Server.

Die Rollenverteilung steht am Anfang jeder Prüfung: Der Cloud-Anbieter handelt in der Regel als Auftragsdatenbearbeiterin des Kunden im Sinne von Art. 9 DSG. Der Kunde kann selbst Verantwortlicher oder seinerseits Auftragsbearbeiter sein.

Als Verantwortlicher trägt er die Verantwortung dafür, dass die im Auftrag durchgeführten Bearbeitungen datenschutzkonform erfolgen und die Rechte der betroffenen Personen nicht geschmälert werden. Er muss sich deshalb vergewissern und vertraglich absichern, dass die Anforderungen an eine Auftragsbearbeitung nach Art. 9 DSG eingehalten werden. Eine Datenbekanntgabe ins Ausland ist vor der Bekanntgabe auf ihre Gesetzmässigkeit zu prüfen.

Aufsichtsstellen und staatliche Orientierung: EDÖB, Cloud-Leitfaden, Swiss Government Cloud

Der EDÖB erläutert auf seiner Website die datenschutzrechtlichen Fragen des Cloud-Computing. Für die Vertiefung verweist er auf seine Ausführungen zum Outsourcing bzw. zur Auftragsbearbeitung sowie zur Datenbekanntgabe ins Ausland.

Als weiterführende Unterlagen nennt er das überarbeitete privatim-Merkblatt «Cloud-spezifische Risiken und Massnahmen» (2022) sowie zwei Broschüren des deutschen Bundesamts für Sicherheit in der Informationstechnik: «Sichere Nutzung von Cloud-Diensten» (2016) und «Checkliste zur Auswahl eines Cloud-Dienstes» (2022). Wer Anbieter prüft, kann diese Papiere als Struktur für die eigene Nachweisführung nutzen.

Für die öffentliche Verwaltung der Schweiz gibt es zusätzlich eine eigene Steuerungsebene: Bund, Kantone, Städte und Gemeinden arbeiten gemeinsam an Lösungen für einen hybriden Multi-Cloud-Ansatz. Im Fokus stehen Recht, Datenschutz, Befähigung und digitale Souveränität; Zivilgesellschaft, Politik, Wirtschaft und Wissenschaft werden einbezogen.

Das operative Führungsgremium der Digitale Verwaltung Schweiz (DVS) hat 2024 drei Stossrichtungen beschlossen: einen Cloud-Leitfaden, die Zusammenarbeit und die Swiss Government Cloud (SGC) sowie GovTech. Der Cloud-Leitfaden soll klare Orientierung für eine rechtssichere und einheitliche Nutzung von Cloud-Technologien geben und Unsicherheiten bei Planung und Ausschreibung von IKT-Leistungen reduzieren.

Für Gesundheitsdaten ist die Prüfung strenger. Nach Art. 9 Abs. 1 DSGVO sind sie von der Verarbeitung grundsätzlich ausgenommen und nur über einen Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO zulässig.

Zuständig für die Aufsicht sind die Aufsichtsbehörden nach der DSGVO: Sie setzen das Widerspruchsrecht gegen die Sekundärnutzung durch (Art. 65 EHDS-VO). Die Verordnung (EU) 2025/327 gilt gestuft ab dem 26. März 2027; die zentralen Regeln zur Primär- und Sekundärnutzung greifen überwiegend erst ab dem 26. März 2029.

Verzeichnisse und Plattformen: Open-Code-Austauschplattform und öffentliche Projekte

Ein Beispiel für öffentlich nachvollziehbare Cloud- und Code-Strukturen ist die Open-Code-Austauschplattform für die öffentliche Verwaltung der Schweiz (Gemeinden, Kantone, Bund). Mit dem Projekt zur Realisierung eines Prototyps wird geprüft, wie Code für statistische Auswertungen und Datenbearbeitungen von Statistikfachstellen effizient, nachvollziehbar und gemeinsam genutzt werden kann.

Im Zentrum stehen Metadaten, die nach einheitlichen Kriterien erfasst und veröffentlicht werden. Der eigentliche Code bleibt in bestehenden Repositories wie GitHub gespeichert; die Plattform verweist darauf und schafft Transparenz und Orientierung.

Die Open-Code-Austauschplattform ist kein Anbieterregister. Verzeichnet werden Metadaten nach einheitlichen Kriterien und Verweise auf Code, der in bestehenden Repositories wie GitHub gespeichert bleibt.

Leistungsverantwortliche Organisation ist die Fachstelle für Statistik des Kantons St.Gallen, Endtermin ist der 31.12.2027. Das Vorhaben gehört zur Stossrichtung GovTech.

Daneben bestehen die Anschubfinanzierung von Cloud- und Open-Source-Projekten sowie die Zusammenarbeit und die Swiss Government Cloud (SGC). Laut DVS ermöglichen Zusammenarbeit und SGC gemeinsame Lösungen über alle Staatsebenen hinweg, senken Kosten, vermeiden Doppelspurigkeiten und verbessern die langfristige Nutzbarkeit der Cloud-Infrastrukturen.

GovTech fördert offene, flexible Lösungen statt teurer proprietärer Systeme. Für einen prüfenden Kunden sind solche Projekte Anhaltspunkte dafür, welche Infrastrukturen und Code-Bestände öffentliche Stellen gemeinsam nutzen und wie sie dokumentiert werden.

Die Vorhaben tragen Nummern: Open-Code-Austauschplattform [#INM5089], Anschubfinanzierung von Cloud- und Open-Source-Projekten [#INM5901], Ermittlung des Bedarfs an einem gemeinsamen Kompetenzaufbau zu Cloud Governance [#inm5025]. Über diese Nummern sind sie im Umsetzungsplan der DVS auffindbar.

Nachweise: Auftragsbearbeitungsvertrag, TOM und Auslandgarantien

Zentrales Dokument ist der Auftragsbearbeitungsvertrag (ADV): Die Nutzung von Cloud-Lösungen setzt einen solchen Vertrag voraus. Verantwortliche Unternehmen müssen sicherstellen, dass eine rechtliche Grundlage für die Datenbearbeitung besteht, die Datensicherheit durch technische und organisatorische Massnahmen (TOM) gewährleistet ist und bei einer Bearbeitung im Ausland ein angemessenes Datenschutzniveau besteht.

Marketingaussagen des Anbieters allein genügen nicht; die konkreten TOM müssen vertraglich vereinbart werden. Der Kunde bleibt trotz Auslagerung für die Datensicherheit verantwortlich.

Beim Auslandbezug sind angemessene Schutzmassnahmen zu treffen, beispielsweise EU-Standardvertragsklauseln. Veraltete Transfermechanismen wie «Safe Harbour» oder «Privacy Shield» sind nicht mehr gültig. Der EDÖB hält ergänzend fest, dass die Datenbekanntgabe ins Ausland vor der Bekanntgabe auf ihre Übereinstimmung mit den gesetzlichen Anforderungen geprüft werden muss. Er zählt den Einsatz von Unterauftragsbearbeitern ausdrücklich zu den prüfungsrelevanten Punkten; deren Einbezug ist somit Teil der Nachweisführung.

Die Missachtung dieser Pflichten kann Folgen haben: Bei vorsätzlichen Verstössen sind Bussen von bis zu CHF 250'000 möglich.

Als Register der eigenen Prüfung dient das Datenverarbeitungsverzeichnis: Es hält fest, welche Bearbeitungen ausgelagert werden. Für Vertrag und Risikoabklärung stehen ein Mustervertrag zur Auftragsverarbeitung und eine Datenschutz-Folgenabschätzung nach nDSG zur Verfügung.

Geprüft wird Dokument für Dokument: unterschriebener Auftragsbearbeitungsvertrag, Beschrieb der technischen und organisatorischen Massnahmen, Liste der Unterauftragsbearbeiter und schriftliche Angabe des Bearbeitungsorts. Fehlt eines dieser Dokumente, ist der Nachweis unvollständig.

Datenstandort und Anbieterherkunft prüfen

Erschwerend kommt hinzu, dass für den Cloud-Nutzer häufig nicht offensichtlich ist, wo seine Daten gespeichert werden, da viele Anbieter Server in unterschiedlichen Teilen der Welt nutzen.

Konkrete Anbieter zeigen, wie unterschiedlich die Ausgangslage ist: Swisscom bietet Public-Cloud-, Private-Cloud- und hybride Lösungen und tritt als lokale Partnerin für AWS und für Microsoft Azure auf. Enterprise Connect – Cloud Access verbindet die Cloud-Lösungen von Swisscom, AWS und Azure; Swisscom SAP ergänzt das Portfolio.

In einem 2015 publizierten Beitrag berichtete Netrics über ein Interview, in dem der damalige eidgenössische Datenschützer Hanspeter Thür vor der Auslagerung in grosse Rechenzentren im Ausland warnte und rein schweizerische Lösungen empfahl. Ob ein in den USA ansässiger Anbieter die Schweizer Datenschutzbestimmungen einhält, lasse sich nur unzureichend prüfen.

Der damalige Datenschützer Hanspeter Thür nannte konkret die grossen externen Rechenzentren von Microsoft und Google; der Fall Snowden habe gezeigt, dass solche Clouds nicht sicher seien. Besonders exponiert seien Patientendossiers, Bankdaten und Behördenangaben.

Auch wenn diese Einschätzung älter ist, bleibt der Prüfpunkt bestehen: Datenstandort und Anbieterherkunft bestimmen, welche Garantien nötig und wie gut sie überprüfbar sind.

Für die Praxis heisst das, den Speicherort und die Konzernstruktur des Anbieters vor Vertragsabschluss zu klären und die Datenbekanntgabe ins Ausland als eigenen, dokumentierten Prüfschritt zu führen. Je nach Ergebnis sind zusätzliche Schutzmassnahmen oder eine andere Anbieterwahl erforderlich.

Anbieterherkunft und Datenstandort: Schweizer vs. internationale Cloud-Anbieter

Prüfraster für die Anbieterauswahl

Das folgende Raster fasst die prüfungsrelevanten Punkte aus den vorstehenden Abschnitten zusammen und lässt sich als Dokumentation des Entscheids verwenden:

Rolle und Verhältnis: Ist der Kunde Verantwortlicher oder selbst Auftragsbearbeiter, und tritt der Anbieter als Auftragsbearbeiterin im Sinne von Art. 9 DSG auf? Sind die Pflichten des Kunden gegenüber den betroffenen Personen gewahrt?

Vertrag: Liegt ein Auftragsbearbeitungsvertrag vor, und sind die technischen und organisatorischen Massnahmen konkret und nicht nur als Marketingaussage vereinbart?

Unterauftragsbearbeiter: Wer sind die Unterauftragsbearbeiter, und ist ihr Einsatz vertraglich geregelt?

Datenstandort und Auslandbezug: Wo werden die Daten gespeichert, wo findet die Bearbeitung statt, und ist die Datenbekanntgabe ins Ausland vor der Bekanntgabe geprüft? Welche Garantien – etwa EU-Standardvertragsklauseln – werden eingesetzt, und sind veraltete Mechanismen wie «Safe Harbour» oder «Privacy Shield» ausgeschlossen?

Nachweisdokumente: Sind Vertrag, Massnahmenbeschrieb und Angaben zum Bearbeitungsort so dokumentiert, dass die Prüfung nachvollziehbar bleibt? Als Orientierung für Umfang und Struktur dienen das privatim-Merkblatt «Cloud-spezifische Risiken und Massnahmen» (2022) und die BSI-Checkliste zur Auswahl eines Cloud-Dienstes (2022).

Das Raster wird zur Akte: Jeder Punkt erhält einen Nachweis und ein Datum. Das Datenverarbeitungsverzeichnis hält die ausgelagerten Bearbeitungen samt Bearbeitungsort und Garantien fest.

Prüfungen vor Vertragsabschluss: Wichtige Nachweise

Schritte zur datenschutzkonformen Cloud-Anbieterauswahl

Fazit: Prüfung dokumentieren und Entscheid begründen

Die datenschutzrechtliche Verantwortung bleibt beim Kunden: Er muss sich vergewissern und vertraglich absichern, dass die Auftragsbearbeitung Art. 9 DSG genügt. Er haftet für die Einhaltung der Bestimmungen, auch wenn die Bearbeitung auf Servern des Anbieters stattfindet.

Aufsichtsstellen und öffentliche Leitfäden liefern die Orientierung – der EDÖB mit den Erläuterungen zu Auftragsbearbeitung, Datensicherheit und Datenbekanntgabe ins Ausland, die DVS mit Cloud-Leitfaden, Zusammenarbeit und Swiss Government Cloud sowie GovTech. Die konkrete Nachweisführung erfolgt über Verträge und technische und organisatorische Massnahmen.

Wer Rolle, Unterauftragsbearbeiter, Sicherheitsmassnahmen, Datenstandort und Auslandgarantien schriftlich festhält, kann den Entscheid für oder gegen einen Anbieter begründen und bei einer späteren Überprüfung belegen.

Drei Grössen tragen den Entscheid: die Aufsichtsstelle EDÖB mit ihren Erläuterungen, das Datenverarbeitungsverzeichnis als Register der ausgelagerten Bearbeitungen und die Nachweise aus Auftragsbearbeitungsvertrag, TOM-Beschrieb und Angaben zum Bearbeitungsort.