Schweizer Datenschutzgesetz und Cloud-Dienste: Pflichten für Unternehmen

Wann das DSG bei Cloud-Diensten greift

Cloud-Computing umfasst Anwendungen und Software, Speicherkapazitäten, Entwicklungstools, Netzwerkkapazitäten oder Rechnerleistung, die bedarfsorientiert über ein Netzwerk – etwa das Internet – von einem Cloud-Anbieter bezogen werden. Werden dabei Personendaten in die Cloud übertragen, gilt das Datenschutzrecht. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hält fest: Die ausgelagerte Infrastruktur ändert nichts daran, dass das DSG für die bearbeiteten Personendaten gilt.

Der EDÖB nennt typische Einsatzfelder: Office-365-Tools für die Online-Zusammenarbeit zwischen Mitarbeitenden, Online-Verwaltungstools von E-Mail-Adressen für Newsletter oder Kundenberatung und Online-CRM-Systeme. Hinzu kommen das Hochladen von Videos auf Streaming-Plattformen und von Dateien auf einen über das Internet abrufbaren Remote-Server.

Drei Aspekte verlangen besondere Aufmerksamkeit und bilden zugleich die drei DSG-Pflichtenfelder: Einsatz von Auftragsbearbeitern und Unterauftragsbearbeitern, Sicherheit der Datenbearbeitung und Übermittlung von Personendaten in Drittländer. Als Orientierung dient das überarbeitete privatim-Merkblatt «Cloud-spezifische Risiken und Massnahmen» (2022). Diese Pflichten bleiben bestehen, auch wenn die Infrastruktur ausgelagert ist.

Die Pflichten greifen unabhängig davon, ob die Cloud in der Schweiz oder im Ausland betrieben wird. Entscheidend ist, dass Personendaten bearbeitet werden.

Rollen im Cloud-Verhältnis: Verantwortlicher, Auftragsbearbeiter, Unterauftragsbearbeiter

Das Unternehmen, das Cloud-Dienste anbietet, handelt in der Regel als Auftragsbearbeiterin des Kunden (Cloud-Nutzers) im Sinne von Art. 9 DSG. Der Kunde kann sowohl Verantwortlicher für die Datenbearbeitung als auch selbst Auftragsbearbeiter sein. Aus der Rolle folgen unterschiedliche Pflichten.

Als Auftragsbearbeiter muss der Kunde die Anforderungen erfüllen, die der Verantwortliche für seine Datenbearbeitungen festgelegt hat. Als Verantwortlicher muss er sicherstellen, dass die Cloud-Anbieterin die Bearbeitungen in seinem Auftrag datenschutzkonform vornimmt und dass die Rechte der betroffenen Personen durch die Auslagerung nicht geschmälert werden.

Die Datenbearbeitung wandert über mehrere Stufen: Verantwortlicher – Cloud-Nutzer – Cloud-Anbieterin – deren Unterauftragsbearbeiter. Wer Cloud-Dienste einkauft und dabei Personendaten Dritter bearbeitet, muss zuerst klären, in welcher Rolle er handelt.

Die Abgrenzung zwischen eigener Verantwortlichkeit und Auftragsverarbeitung ist in der Praxis oft komplex, namentlich bei SaaS-Plattformen, die Kundendaten, Nutzungsprofile und Zugangsdaten speichern. Gilt ein kantonales Informations- und Datenschutzgesetz (IDG), wird die Nutzung externer Cloud-Dienste als Bearbeiten im Auftrag qualifiziert (§ 6 IDG in Verbindung mit § 25 IDV).

Die Rollenklärung ist die erste DSG-Pflicht des Cloud-Nutzers. Danach richten sich Auftragsbearbeitungsvertrag, Weisungsbindung und Subunternehmer-Management.

Pflichten des Cloud-Nutzers: Auftragsbearbeitung vertraglich und technisch absichern

Der Cloud-Nutzer muss als Verantwortlicher sicherstellen und vertraglich absichern, dass er die Anforderungen an eine Auftragsbearbeitung gemäss Art. 9 DSG einhält. Dazu gehören Auftragsbearbeitungsvertrag, klare Weisungsbindung und geregeltes Subunternehmer-Management.

Werden weitere Dienstleister beigezogen, ist die Kette bis zu den Unterauftragsbearbeitern vertraglich durchzureichen. Sonst entsteht eine Lücke in der Weisungs- und Kontrollkette.

Der EDÖB weist darauf hin, dass Cloud-Dienste als standardisierte Lösungen bereitgestellt werden und daraus besondere Compliance-Herausforderungen entstehen. Die vertragliche Gestaltung folgt den Standardbedingungen des Anbieters und muss daraufhin geprüft werden.

Neben dem Vertrag steht die Sicherheit der Datenbearbeitung über technische und organisatorische Massnahmen (TOMs). Bei Cloud-Infrastrukturen, Multi-Tenant-Architekturen und Rechenzentren sind Datentrennung, Verschlüsselung und Dokumentation der technischen Massnahmen relevant.

Das DSG verlangt Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen. Privacy by Design muss bereits im Entwicklungsprozess verankert sein und nicht nachträglich ergänzt werden.

Logging- und Monitoring-Daten werden häufig übersehen: System-Logs, Access-Logs und Monitoring-Daten enthalten oft personenbezogene Daten. Aufbewahrungsfristen und Zugriffsrechte sind auch für diese Daten zu regeln.

Verstösse können nach DSG mit Bussgeldern bis CHF 250'000 geahndet werden.

Bei Datensicherheitsverletzungen greift die Meldepflicht. Sie betrifft auch Cloud-Dienste, sobald Personendaten bearbeitet werden.

Datenübermittlung ins Ausland und US-Cloud-Risiken

Findet bei der Nutzung von Cloud-Diensten eine Datenbekanntgabe ins Ausland statt, muss vor der Bekanntgabe geprüft werden, ob sie den gesetzlichen Anforderungen genügt. Für US-Cloud-Dienste kommt ein besonderes Risiko hinzu.

Der Europäische Gerichtshof hat mit dem Schrems-II-Urteil entschieden, dass die USA kein angemessenes Datenschutzniveau bieten. In der Folge untersagen EU-Datenschützer bereits die Nutzung bestimmter US-Cloud-Services wie Mailchimp, wenn dabei personenbezogene Daten in den USA verarbeitet werden. In der Schweiz ist die Rechtslage nicht abschliessend geklärt; der EDÖB empfiehlt eine sorgfältige Risikoanalyse.

Ein entscheidender Punkt ist der US-amerikanische CLOUD Act: Danach können US-Behörden auch dann auf Daten zugreifen, wenn diese physisch in der EU oder in der Schweiz liegen – ohne Information der Betroffenen. Aus europäischer Sicht verstösst das gegen die DSGVO. Beispiele aus den USA zeigen, dass Überwachungsgesetze auch politisch genutzt werden können, etwa bei der Abfrage von Daten von Journalisten und politischen Gegnern.

Für die Schweiz bedeutet das: Die Datenlokation allein schützt nicht, wenn der Anbieter US-amerikanischem Recht untersteht. Wer eine Risikoanalyse erstellt, muss deshalb nicht nur den Speicherort erfassen, sondern auch die Rechtsunterstellung des Anbieters und allfälliger Unterauftragsbearbeiter.

Die Prüfung der Auslandbekanntgabe ist eine eigenständige DSG-Pflicht und muss vor der Bekanntgabe erfolgen. Sie umfasst den Speicherort, die Rechtsunterstellung des Anbieters und die Unterauftragsbearbeiter.

Wann zusätzlich die DSGVO gilt

Die DSGVO gilt nicht nur in der EU, sondern auch im EWR-Raum und somit in Norwegen, Island und Liechtenstein. Für Schweizer Unternehmen wird sie relevant, sobald sie Dienstleistungen und Waren an Personen im EU/EWR-Raum richten.

Das gilt auch, wenn sie eine Website oder einen Newsletter betreiben, der für EU-Bürgerinnen und EU-Bürger zugänglich ist oder diese zumindest nicht ausschliesst. Ebenso gilt sie bei Tracking-Tools wie Google Analytics, die Daten von EU-Besuchern sammeln.

Auch ohne Sitz in der EU/EWR kann ein Unternehmen der DSGVO unterstehen. Es genügt, wenn sich die Angebote gezielt oder auch nur tatsächlich an Personen im EU/EWR-Raum richten.

Beispiele sind eine auf Deutsch verfasste Website, Euro-Preise, Lieferoptionen in EU-Länder oder gezielte Werbung in diesen Regionen. Ein Anbieterbeitrag von Convotis verweist darauf, dass rund 20 % der in der Schweiz bearbeiteten Personendaten von EU-Bürgerinnen und -Bürgern stammen sollen.

Beim Grundprinzip gilt in der Schweiz: Erlaubt, solange kein Verbot besteht. Die Bearbeitung von Personendaten ist grundsätzlich zulässig, solange sie keine Persönlichkeitsverletzung darstellt. Eine Rechtfertigung ist nur erforderlich, wenn Rechte der betroffenen Person beeinträchtigt werden könnten.

In der EU/EWR gilt der umgekehrte Ansatz: Verboten, solange keine Erlaubnis besteht. Jede Bearbeitung muss sich auf eine anerkannte Grundlage stützen. Beispiele sind eine gesetzliche Verpflichtung, die Erfüllung eines Vertrags oder eine ausdrückliche Einwilligung.

Hinzu kommen Unterschiede bei den Informationspflichten: Die DSGVO verlangt mehr Offenheit. Bei den Nachweispflichten kehrt die DSGVO die Beweislast um.

Bei den Betroffenenrechten bedeuten mehr Rechte mehr Aufwand. Die Meldepflicht für Datensicherheitsverletzungen wird nach DSGVO zur Pflicht; auch bei den Sanktionen greift die DSGVO härter durch.

Für Cloud-Dienste heisst das: Wer Daten von EU-Bürgerinnen und EU-Bürgern bearbeitet, muss DSG und DSGVO parallel prüfen. Die Pflichten aus beiden Regelwerken können gleichzeitig bestehen.

Verschärfte Aufsicht: Privatim-Resolution und Verschlüsselung

Privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, hält in einer neuen Resolution fest, dass Behörden grundsätzlich keine internationalen Cloud-Dienste nutzen dürfen. Die Resolution wurde am 18. November 2025 verabschiedet und am 24. November 2025 veröffentlicht.

Für öffentliche Organe ist die Nutzung von SaaS-Lösungen internationaler Anbieter nur zulässig, wenn sie besonders schützenswerte Personendaten oder Daten unter gesetzlicher Geheimhaltungspflicht selbst verschlüsseln. Der Cloud-Anbieter darf keinen Zugang zum Schlüssel haben.

Zusätzlich müssen Behörden vor einer Auslagerung von Personendaten in Cloud-Dienste bestimmte Voraussetzungen erfüllen – unabhängig von der Sensitivität der Daten.

Die meisten Daten von Behörden unterliegen dem Amtsgeheimnis und damit einer gesetzlichen Geheimhaltungspflicht. Bei internationalen Cloud-Diensten wie Amazon Web Services (AWS), Google oder Microsoft 365 bleibt öffentlichen Organen im Wesentlichen nur die Nutzung als reiner Online-Speicher.

Nimmt man die Resolution beim Wort, verbieten die schweizerischen Datenschutz-Aufsichtsbehörden damit faktisch die Nutzung internationaler Cloud-Dienste durch Schweizer Behörden.

Adressat sind öffentliche Organe, nicht private Unternehmen. Für private Unternehmen entfaltet die Resolution keine direkte Bindung.

Massnahmen und Alternativen für Unternehmen

Bei der Verschlüsselung ist die Wirksamkeitsgrenze zu beachten: Ende-zu-Ende-Verschlüsselung kann unberechtigte Zugriffe verhindern. Sobald Daten in der Cloud verarbeitet werden müssen, liegen sie entschlüsselt vor und sind einsehbar.

Nur bei reiner Speicherung («data at rest») bleibt die Verschlüsselung wirksam – für viele Anwendungsfälle ist das unpraktisch. Verschlüsselung schützt die Lagerung, nicht die aktive Verarbeitung in der Cloud.

Als Alternative bietet sich eine Private Cloud an: eine kontrollierte, dedizierte Infrastruktur, oft in einem lokalen oder nationalen Rechenzentrum. Genannt werden Rechtssicherheit durch Speicherung und Verarbeitung in der Schweiz oder der EU unter Einhaltung der lokalen Datenschutzgesetze. Hinzu kommen volle Datenkontrolle ohne extraterritoriale Zugriffsrechte wie beim CLOUD Act sowie individuell anpassbare Sicherheitsanforderungen.

Für Unternehmen, die nicht der Privatim-Resolution unterstehen, ist die Wahl der Infrastruktur eine Risikoentscheidung. Datenlokalisierung und die Prüfung von Schweizer- oder EU-Infrastrukturen reduzieren die Angriffsfläche. Vertragliche und technische Kontrolle – Weisungsbindung, Subunternehmer-Management, dokumentierte TOMs und geregelte Löschung – erhöhen die Rechtssicherheit auch bei nutzungsbedingten Datenflüssen.

Für Unternehmen bleiben Datenlokalisierung in der Schweiz oder EU, Prüfung der Rechtsunterstellung und vertragliche Kontrolle zentrale Massnahmen. Sie mindern das Risiko, ohne die Cloud-Nutzung grundsätzlich auszuschliessen.

Checkliste: Prüfpunkte vor der Nutzung einer Cloud-Lösung