Wie Schweizer Unternehmen ihre Datensouveränität mit dem neuen Datenschutzgesetz (nDSG) wahren?

Seit dem Inkrafttreten des neuen Datenschutzgesetzes (nDSG) stehen Datenschutzbeauftragte und CIOs in Schweizer Unternehmen unter erhöhtem Druck. Die Anforderung, die Verarbeitung von Personendaten transparent und sicher zu gestalten, ist klar. Viele Verantwortliche glauben, mit der Anpassung der Datenschutzerklärung und der Wahl eines Cloud-Anbieters mit Rechenzentrum in der Schweiz sei die Pflicht erfüllt. Dieser Ansatz, obwohl notwendig, greift jedoch zu kurz und lässt eine entscheidende juristische Angriffsfläche offen: die extraterritoriale Reichweite ausländischer Gesetze wie des US CLOUD Act.

Die landläufige Meinung, „Daten in der Schweiz sind sicher“, ist eine gefährliche Vereinfachung. Die physische Speicherung allein garantiert keine Souveränität, wenn der Anbieter einer ausländischen Rechtshoheit untersteht. Die wahre Herausforderung liegt tiefer. Es geht nicht nur darum, nDSG-konform zu sein, sondern darum, eine architektonische Souveränität aufzubauen. Das bedeutet, eine IT-Infrastruktur und Vertragslandschaft zu schaffen, die nicht nur den Schweizer Gesetzen entspricht, sondern auch aktiv den Zugriff durch ausländische Behörden technisch und rechtlich erschwert.

Doch wie kann ein Schweizer KMU oder ein etabliertes Familienunternehmen diesen komplexen Spagat meistern? Die Antwort liegt nicht in einer einzelnen Massnahme, sondern in einer bewussten Strategie, die den Cloud-Anbieter, die Vertragsart und die internen Prozesse als zusammenhängendes System zur Risikominimierung begreift. Dieser Artikel geht über die oberflächliche nDSG-Checkliste hinaus. Wir analysieren die fundamentalen Unterschiede zwischen Cloud-Modellen, decken die realen Risiken des Datentransfers auf und bieten einen strategischen Rahmen für CIOs, um echte Datensouveränität zu erlangen und als strategischen Vorteil zu nutzen.

Dieser Leitfaden ist strukturiert, um Sie von den grundlegenden Definitionen bis hin zu fortgeschrittenen strategischen Überlegungen zu führen. Das folgende Inhaltsverzeichnis gibt Ihnen einen Überblick über die Schlüsselthemen, die wir behandeln werden, um Ihre Datensouveränität nachhaltig zu sichern.

Warum ist „Hosted in Switzerland“ mehr als nur ein Marketing-Slogan?

Der Stempel „Hosted in Switzerland“ suggeriert Sicherheit und Vertrauen. Für einen CIO oder Datenschutzbeauftragten ist es jedoch entscheidend, hinter die Marketingfassade zu blicken. Der wahre Wert liegt nicht nur im physischen Standort der Server, sondern in der geltenden Rechtshoheit. Ein Rechenzentrum in der Schweiz, das von einem US-Unternehmen (einem sogenannten Hyperscaler) betrieben wird, untersteht weiterhin dem US CLOUD Act. Dies bedeutet, dass US-Behörden rechtlich befugt sind, den Zugriff auf die dort gespeicherten Daten zu verlangen, unabhängig vom Standort des Servers.

Im Gegensatz dazu untersteht ein Anbieter, der ein rein Schweizer Unternehmen ist, ausschliesslich dem Schweizer Recht. Er ist nicht verpflichtet, den Anordnungen von US-Behörden Folge zu leisten. Dieser Unterschied ist keine juristische Spitzfindigkeit, sondern der Kern der Datensouveränität. Ein Schweizer Anbieter agiert als eine Art Daten-Treuhand, dessen primäre Verpflichtung dem Schweizer Recht und seinen Kunden gilt, nicht ausländischen Regierungen. Diese Trennung minimiert die juristische Angriffsfläche und gewährleistet, dass Datenzugriffsanfragen ausschliesslich über den Weg der Schweizer Rechtshilfe erfolgen müssen – ein prozessual aufwendiger und transparenter Vorgang.

Die folgende Tabelle verdeutlicht die kritischen Unterschiede und zeigt auf, warum die Wahl des Anbieters weitaus wichtiger ist als der reine Serverstandort.

Wie passen Sie Ihre Datenschutzerklärung in 5 Schritten an das neue Gesetz an?

Die Datenschutzerklärung (DSE) ist das zentrale Informationsdokument für Ihre Kunden, Partner und Mitarbeitenden. Unter dem nDSG muss sie präzise, transparent, verständlich und leicht zugänglich sein. Es genügt nicht mehr, eine generische Vorlage zu kopieren. Ihre DSE muss die spezifischen Datenverarbeitungsprozesse Ihres Unternehmens widerspiegeln, einschliesslich der verwendeten Tools, der beteiligten Drittanbieter und der Länder, in die Daten möglicherweise übermittelt werden. Die Anpassung ist ein methodischer Prozess, kein einmaliges Update.

Die visuelle Darstellung und Struktur Ihrer DSE kann die Verständlichkeit erheblich verbessern. Ein klar gegliedertes Dokument, das auf komplexe juristische Formulierungen verzichtet, schafft Vertrauen und demonstriert Professionalität. Der Prozess der Anpassung ist zudem eine exzellente Gelegenheit, interne Datenflüsse zu auditieren und zu optimieren.

Der folgende Plan bietet einen strukturierten Ansatz, um Ihre Datenschutzerklärung nDSG-konform zu gestalten. Er dient nicht nur der reinen Rechtssicherheit, sondern auch der Stärkung Ihrer internen Daten-Governance. Jeder Schritt zwingt Sie, Ihre Prozesse kritisch zu hinterfragen und zu dokumentieren, was die Grundlage für eine robuste Datenschutzstrategie bildet.

US-Hyperscaler oder Schweizer Private Cloud: Wer schützt Bankdaten besser?

Für Finanzinstitute in der Schweiz, die der Aufsicht der FINMA unterstehen, ist die Frage der Cloud-Strategie von existenzieller Bedeutung. Die Anforderungen gehen weit über das nDSG hinaus. Im Kern verlangt die FINMA im Sanierungs- oder Insolvenzfall eines Instituts den uneingeschränkten und direkten Zugriff auf alle relevanten Daten. Dieser Zugriff muss von der Schweiz aus und ohne die Kooperation Dritter – insbesondere ausländischer Behörden – möglich sein. Genau hier zeigt sich die Schwäche von US-Hyperscalern, selbst wenn deren Rechenzentren in der Schweiz stehen.

Da diese Anbieter dem US-Recht unterliegen, könnte im Konfliktfall eine US-Behörde den Zugriff auf die Daten sperren oder einschränken, was eine direkte Verletzung der FINMA-Anforderungen darstellen würde. Eine rein Schweizer Private Cloud, betrieben von einem Schweizer Unternehmen, eliminiert dieses Risiko. Der Anbieter untersteht nur dem Schweizer Recht, und die FINMA kann ihren Aufsichtspflichten ohne ausländische Einmischung nachkommen. Für Bankdaten ist dies keine Präferenz, sondern eine operationelle Notwendigkeit. Anbieter wie Safe Swiss Cloud sind zudem nach ISO 27001, 27017 und 27018 zertifiziert und FINMA RS 2018/3 konform, was die Erfüllung dieser strengen regulatorischen Anforderungen belegt.

Das Risiko beim Datentransfer in die USA nach dem Ende des Privacy Shield

Nach dem Scheitern des „Privacy Shield“-Abkommens herrschte für Schweizer Unternehmen lange Zeit Rechtsunsicherheit bezüglich des Datentransfers in die USA. Diese Lücke wurde teilweise geschlossen: Das Data Privacy Framework (DPF) gilt seit dem 17. Juli 2023 auch für die Schweiz. Unternehmen in den USA können sich zertifizieren lassen, um ein als angemessen erachtetes Datenschutzniveau nachzuweisen. Dies vereinfacht den Datentransfer an diese spezifischen Partner erheblich.

Doch Vorsicht: Das DPF ist kein Freifahrtschein. Erstens gilt es nur für DPF-zertifizierte US-Unternehmen. Für alle anderen Transfers in die USA oder andere Länder ohne Angemessenheitsbeschluss sind weiterhin zusätzliche Garantien erforderlich, wie z.B. Standardvertragsklauseln (SCCs). Zweitens, und das ist der entscheidende Punkt, ändert das DPF nichts an der Existenz des US CLOUD Act. Die juristische Angriffsfläche bleibt bestehen. Selbst bei einem Datentransfer an einen DPF-zertifizierten Anbieter kann eine US-Behörde auf Basis des CLOUD Acts Zugriff auf die Daten verlangen.

Für Schweizer CIOs bedeutet dies, dass bei jedem Datentransfer ins Ausland ein sogenanntes „Transfer Impact Assessment“ (TIA) implizit durchgeführt werden muss. Man muss bewerten, ob die vertraglichen Klauseln (wie SCCs) in der Praxis wirksam sind und ob ergänzende technische Massnahmen, wie eine durchgängige Ende-zu-Ende-Verschlüsselung, bei der der Schlüssel ausschliesslich in der Schweiz verwaltet wird, notwendig sind. Die Dokumentation dieser Bewertungen ist gemäss nDSG im Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG) festzuhalten.

Wann müssen Sie eine Datenpanne dem EDÖB melden?

Eine Datenpanne (Datensicherheitsverletzung) muss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet werden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Anders als die DSGVO in der EU, die eine strikte 72-Stunden-Frist vorschreibt, verlangt das nDSG eine Meldung „so rasch als möglich“. Diese flexible Formulierung entbindet jedoch nicht von der Pflicht, unverzüglich zu handeln und eine fundierte Risikoabschätzung vorzunehmen.

Die Entscheidung über eine Meldung ist ein kritischer Prozess. Faktoren, die auf ein hohes Risiko hindeuten, sind unter anderem:

• Die Art der verletzten Daten (z.B. besonders schützenswerte Daten wie Gesundheitsdaten).
• Die Menge der betroffenen Daten und Personen.
• Die möglichen Konsequenzen für die Betroffenen (z.B. Risiko von Identitätsdiebstahl, finanziellem Schaden oder Rufschädigung).
• Ob die Daten durch Verschlüsselung unlesbar gemacht wurden.

Die Entscheidung, ob eine Meldung an den EDÖB erfolgen muss, gleicht oft einem Weg durch unsicheres Gelände. Eine falsche Abzweigung kann zu rechtlichen Konsequenzen und Reputationsverlust führen.

Ein interner, klar definierter Prozess zur Bewertung und Meldung von Vorfällen ist daher unerlässlich für die operationelle Resilienz. Dieser Prozess sollte einen Entscheidungsbaum enthalten, der festlegt, wer wann informiert wird, wer die Risikobewertung durchführt und wer die finale Entscheidung über eine Meldung an den EDÖB trifft. Gleichzeitig muss geprüft werden, ob auch die betroffenen Personen informiert werden müssen.

SaaS-Abo oder Kauflizenz: Was ist für ein Schweizer Familienunternehmen steuerlich klüger?

Die Entscheidung zwischen einem Software-as-a-Service (SaaS)-Abonnement und einer klassischen Kauflizenz (On-Premise) hat weitreichende Konsequenzen, die über die reine Kostenbetrachtung hinausgehen. Steuerlich ist der Unterschied klar: SaaS-Gebühren sind operative Ausgaben (OPEX), die sofort voll abzugsfähig sind und den Gewinn im laufenden Jahr mindern. Eine Kauflizenz hingegen ist eine Investitionsausgabe (CAPEX), die über mehrere Jahre abgeschrieben werden muss. Für ein Familienunternehmen, das seine Liquidität schonen und die Steuerlast kurzfristig optimieren möchte, kann das SaaS-Modell daher attraktiver sein.

Allerdings ist die steuerliche Perspektive nur ein Teil der Gleichung. Aus Sicht der Datensouveränität kehrt sich das Bild oft um. Bei einer On-Premise-Lösung behält das Unternehmen die volle Kontrolle über die Daten und die Infrastruktur. Die Verantwortung für die nDSG-Compliance liegt vollumfänglich im eigenen Haus. Bei einem SaaS-Modell wird diese Verantwortung teilweise an den Anbieter delegiert. Hier wird die Wahl des Anbieters, wie bereits diskutiert, zum entscheidenden Faktor. Ein Schweizer SaaS-Anbieter bietet eine höhere Rechtssicherheit als ein US-Anbieter.

Wie Dr. iur. Christian Laux im Swisscom B2B Magazin hervorhebt, geht es im Kern um den Schutz des Einzelnen:

Das nDSG schützt Menschen vor übermässiger, überraschender, unfairer oder aus anderen Gründen unrechtmässiger Verwendung ihrer Personendaten

– Dr. iur. Christian Laux, Swisscom B2B Magazin

Die folgende Gegenüberstellung der Total Cost of Ownership (TCO) und der Compliance-Aspekte hilft, eine fundierte Entscheidung zu treffen, die sowohl finanzielle als auch strategische Ziele berücksichtigt.

Die 3-2-1 Backup-Regel, die Ihre Daten rettet, wenn der Hacker zuschlägt

In Zeiten von Ransomware-Angriffen ist ein funktionierendes Backup die letzte und oft einzige Verteidigungslinie. Die 3-2-1-Backup-Regel ist ein bewährter Branchenstandard, um eine hohe Datenverfügbarkeit und -sicherheit zu gewährleisten. Sie bietet eine einfache, aber robuste Struktur für jede Backup-Strategie. Doch im Kontext des nDSG und der Datensouveränität muss diese Regel mit einem Schweizer Fokus interpretiert werden.

Die Regel besagt:

• 3 Kopien Ihrer Daten: Bewahren Sie das Original und mindestens zwei weitere Kopien Ihrer Daten auf.
• 2 verschiedene Speichermedien: Speichern Sie diese Kopien auf zwei unterschiedlichen Medientypen (z.B. interne Festplatte und externes NAS-System), um sich vor dem Ausfall eines bestimmten Medientyps zu schützen.
• 1 Offsite-Kopie: Halten Sie mindestens eine Kopie ausserhalb Ihres Unternehmensstandorts vor, um sich vor lokalen Katastrophen wie Feuer oder Diebstahl zu schützen.

Der entscheidende Punkt für die Datensouveränät ist der Standort dieser Offsite-Kopie. Wenn diese Kopie bei einem US-Hyperscaler wie Google Drive oder iCloud gespeichert wird, untergräbt dies die gesamte Strategie der rechtlichen Absicherung. Die Offsite-Kopie muss zwingend bei einem Anbieter in der Schweiz gehostet werden, der dem Schweizer Recht untersteht. Zusätzlich müssen die Backups stark verschlüsselt sein, und die Schlüsselverwaltung muss ebenfalls in der Schweiz und unter Ihrer alleinigen Kontrolle erfolgen. Regelmässige Wiederherstellungstests sind nicht nur eine gute Praxis, sondern ein integraler Bestandteil der im nDSG geforderten technischen und organisatorischen Massnahmen (TOMs).

Welche Automatisierungstools Schweizer KMU jetzt nutzen müssen, um den Franken-Schock abzufedern?

Während der Titel den Fokus auf den „Franken-Schock“ legt, ist die zugrunde liegende Logik universell: Effizienzsteigerung durch Automatisierung ist ein Schlüsselfaktor für die Wettbewerbsfähigkeit von Schweizer KMU. Im Kontext des nDSG bekommt diese Effizienz eine neue, dringliche Dimension. Die manuellen Aufwände zur Sicherstellung der Compliance – wie das Führen des Verzeichnisses der Bearbeitungstätigkeiten, die Verwaltung von Betroffenenanfragen oder die Dokumentation von Datenschutz-Folgenabschätzungen – sind enorm und fehleranfällig.

Verstösse gegen die Sorgfaltspflichten des nDSG sind kein Kavaliersdelikt. Bei vorsätzlicher Verletzung der Datenschutzbestimmungen drohen verantwortlichen Privatpersonen in Unternehmen Bussen von bis zu 250’000 CHF. Die Automatisierung von Compliance-Prozessen ist daher nicht nur eine Massnahme zur Kostensenkung, sondern ein wesentliches Instrument zur Risikominimierung. Spezialisierte Softwarelösungen können hier eine entscheidende Rolle spielen, indem sie strukturierte Workflows und eine revisionssichere Dokumentation ermöglichen.

Der Einsatz solcher Tools transformiert die nDSG-Compliance von einer belastenden administrativen Pflicht zu einem integrierten und beherrschbaren Geschäftsprozess. Dies setzt Ressourcen frei, die Schweizer KMU dringend benötigen, um sich auf ihr Kerngeschäft zu konzentrieren.

Der erste Schritt zur Wahrung Ihrer Datensouveränität beginnt mit einer kritischen Prüfung Ihrer aktuellen Cloud- und Datenstrategie. Führen Sie jetzt eine Neubewertung Ihrer Anbieter durch, um Ihre juristische Angriffsfläche zu minimieren und Ihre operationelle Resilienz nachhaltig zu stärken.