Datensouveränität
Ein Schweizer KMU vertraut Dienstleistern Arbeitsverträge, Kündigungsdossiers, Betreibungsauszüge und Mieterdaten an. Die Verantwortung für diese Daten bleibt nach dem nDSG bei ihm. Hier steht, was das Gesetz sagt, warum der Hosting-Standort zählt und welche Fragen Sie vor der Unterschrift stellen sollten. Allgemeine Information, keine individuelle Rechtsberatung.
Was das nDSG sagt
Referenztext: das Bundesgesetz über den Datenschutz (nDSG), in Kraft seit dem 1. September 2023. Artikelnummern am 29. September 2026 auf Fedlex nachgelesen.
Personendaten betreffen jede bestimmte oder bestimmbare natürliche Person. Manche gelten als besonders schützenswert: Gesundheit, Sozialhilfe, administrative oder strafrechtliche Verfolgungen und Sanktionen, biometrische Daten und weitere. Sie verlangen mehr Sorgfalt, und ein HR- oder Mietdossier kann solche Daten enthalten.
Sie dürfen die Bearbeitung einem Dienstleister übertragen, wenn ein Vertrag es vorsieht, er nur bearbeitet, was Sie selbst tun dürften, und keine Geheimhaltungspflicht es verbietet. Sie müssen sich vergewissern, dass er die Datensicherheit gewährleistet, und er darf nur mit Ihrer vorgängigen Genehmigung weitere Dienstleister beiziehen.
Daten dürfen nur ins Ausland bekanntgegeben werden, wenn der Bundesrat einen angemessenen Schutz festgestellt hat oder geeignete Garantien bestehen (zum Beispiel Vertragsklauseln). Art. 17 sieht begrenzte Ausnahmen vor, etwa die ausdrückliche Einwilligung.
Ihre Dossiers
Richtwerte: die genaue Einordnung hängt vom Einzelfall ab.
Name, Adresse, Lohn, Bankverbindung: Personendaten. Der Dienstleister, der sie speichert oder verfasst, ist Ihr Auftragsbearbeiter im Sinn von Art. 9, und der Vertrag muss das regeln.
Sie können Arztzeugnisse oder gesundheitliche Gründe enthalten: besonders schützenswerte Daten nach Art. 5 Bst. c Ziff. 2. Das Risiko bei einem Datenleck ist höher, und die erwartete Sicherheit ebenfalls (Art. 8).
Sie geben Auskunft über die finanzielle Lage einer Person, was dem Profiling nach Art. 5 Bst. f nahekommt. Die Liste der besonders schützenswerten Daten nennt administrative und strafrechtliche Verfolgungen und Sanktionen: die Einordnung eines Auszugs ist im Einzelfall zu prüfen, Vorsicht ist aber immer geboten.
Ausweise, Einkommen, Auszüge und teils Sozialhilfemassnahmen, die besonders schützenswert sind (Art. 5 Bst. c Ziff. 6). Die Vermieterin bleibt verantwortlich, auch wenn ein Tool oder eine Verwaltung die Dossiers für sie bearbeitet.
Das nDSG verlangt nicht, dass Daten in der Schweiz bleiben. Es verlangt, dass Sie für ihre Sicherheit verantwortlich bleiben und jede Bekanntgabe ins Ausland abgesichert ist. Der Begriff der Bekanntgabe umfasst auch das Zugänglichmachen von Daten (Art. 5 Bst. e): Ein Fernzugriff aus dem Ausland, etwa für den technischen Support, ist deshalb ebenso zu prüfen wie der Standort der Server.
Hosting in der Schweiz vereinfacht die Prüfung: Für die Speicherung selbst ist keine Bekanntgabe nach Art. 16 und 17 zu rechtfertigen, und das anwendbare Recht ist bekannt. Jede rechtliche Exposition beseitigt es nicht. Ein Schweizer Hoster untersteht dem Schweizer Recht, einschliesslich der internationalen Rechtshilfe, über die eine ausländische Behörde nach den Voraussetzungen des Gesetzes und der anwendbaren Verträge Daten anfordern kann. Ein Anbieter, der zu einer ausländischen Gruppe gehört oder ausländische Unterauftragnehmer einsetzt, kann zudem einem anderen Recht unterstehen.
Der Standort ist also ein Kriterium unter mehreren, zu lesen zusammen mit dem Vertrag, der Liste der Unterauftragnehmer und den Sicherheitsmassnahmen. Bei einer konkreten Frage veröffentlicht der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte Erläuterungen, und eine Anwältin, ein Anwalt oder Ihre Datenschutzberatung kann Ihren Fall beurteilen.
Vor der Unterschrift
Server, Backups, Protokolle: Land und Rechenzentrum für jedes. Verlangen Sie die Antwort schriftlich.
Vertragsgesellschaft, Land, zugehörige Gruppe, auf den Vertrag anwendbares Recht.
Aktuelle Liste und Zusage, ohne Ihre vorgängige Zustimmung keine weiteren beizuziehen (Art. 9 Abs. 3).
Er muss regeln, was der Anbieter mit den Daten tun darf, und ihre Sicherheit gewährleisten (Art. 9).
Verschlüsselung, Zugriffskontrolle, Protokollierung. Wird eine Norm genannt, etwa ISO 27001, verlangen Sie Zertifikat und Geltungsbereich (Art. 8).
Der Auftragsbearbeiter meldet jede Verletzung so rasch wie möglich dem Verantwortlichen, der den EDÖB informieren muss (Art. 24).
Support, Wartung, Tochtergesellschaften: gibt es Zugriffe ausserhalb der Schweiz, und mit welchen Garantien (Art. 16 und 17)?
Export in offenem Format, tatsächliche Löschung, Aufbewahrungsdauer der Backups.
Beispiel eines Schweizer Hosters
Auch Ihre Website (Kontaktformular, Karriereseite, Mietanfrage) erhebt Personendaten: Ihr Hoster ist dafür Auftragsbearbeiter. Infomaniak ist ein Beispiel eines Schweizer Anbieters, genannt, weil sein Webhosting-Angebot öffentlich und detailliert beschrieben ist. Es ist weder ein Ranking noch eine ausschliessliche Empfehlung. Die Einzelheiten stehen auf der Webhosting-Seite von Infomaniak(Werbelink).
Dieser Text ist eine allgemeine Information zum Schweizer Datenschutzrecht, zum angegebenen Datum. Er ersetzt keine auf Ihre Situation zugeschnittene Rechtsberatung. Bei Risikobearbeitungen, umfangreichen besonders schützenswerten Daten oder einer Bekanntgabe ins Ausland lassen Sie Ihre Verträge von einer Anwältin, einem Anwalt oder Ihrer Datenschutzberatung prüfen. Die Seite Daten und Sicherheit beschreibt, was Clairdex mit Ihren Daten tut.
FAQ
Nein, das nDSG schreibt keinen Ort vor. Es verlangt, dass Sie verantwortlich bleiben, der Auftragsbearbeiter die Sicherheit gewährleistet und jede Bekanntgabe ins Ausland Art. 16 und 17 einhält. Der Standort Schweiz erspart die Frage der Bekanntgabe für die Speicherung, nicht aber jene der Fernzugriffe und der Rechtshilfe.
Nicht vollständig. Er untersteht dem Schweizer Recht, einschliesslich internationaler Rechtshilfe, und kann einem anderen Recht unterstehen, wenn er zu einer ausländischen Gruppe gehört. Fragen Sie den Anbieter nach seiner Haltung und seinem Vorgehen bei Behördenanfragen.
Die Liste in Art. 5 Bst. c nennt administrative und strafrechtliche Verfolgungen und Sanktionen. Ein Auszug aus dem Betreibungsregister (Schulden) steht dort nicht ausdrücklich: die Einordnung ist diskutabel, und Vorsicht bleibt angebracht, da er die finanzielle Lage offenlegt.
Es ist ein Affiliate-Link und als solcher gekennzeichnet: Clairdex kann eine Provision erhalten, wenn Sie abschliessen, ohne Mehrkosten. Die Kriterien dieser Seite gelten für jeden Hoster, und wir behaupten nicht, dass dieser für jeden Fall passt.
Eine Frage vor der Bestellung?
Eine Datenschutzerklärung zu aktualisieren, ein Auftragsbearbeitungsvertrag vorzubereiten, ein Zweifel zu Ihren HR-Dossiers: Schildern Sie hier Ihre Situation. Persönliche Antwort innert zwei Arbeitstagen.
