Zwei Fragen müssen getrennt werden. Datenschutzrechtlich dürfen Personendaten seit dem 15. September 2024 ohne zusätzliche Garantien an US-Unternehmen übermittelt werden, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Unabhängig davon kann der US CLOUD Act US-Anbieter verpflichten, Behörden Zugriff auf Daten zu gewähren — auch wenn diese in der Schweiz gespeichert sind. Ob dieses Restrisiko tragbar ist, hängt von der Art der Daten und den Vorgaben der Organisation ab.
Zwei Rechtsfragen, die oft vermischt werden
Die Diskussion um US-Cloud-Anbieter leidet darunter, dass zwei verschiedene Themen durcheinandergeraten. Die erste Frage ist datenschutzrechtlich: Darf eine Schweizer Organisation Personendaten in ein Land übermitteln, dessen Datenschutzniveau nicht dem schweizerischen entspricht? Die zweite Frage betrifft den behördlichen Zugriff: Können ausländische Behörden einen Anbieter zwingen, Daten herauszugeben? Die erste regelt das Schweizer Datenschutzgesetz, die zweite unter anderem der US CLOUD Act. Eine Lösung für die erste beantwortet die zweite nicht.
Diese Einordnung dient der fachlichen Orientierung bei der Toolauswahl. Für verbindliche Beurteilungen sind die interne Rechtsabteilung, der oder die Datenschutzberatende und die Angaben des EDÖB massgebend.
Frage 1: Datenübermittlung und das Swiss-U.S. DPF
Nach dem revidierten Datenschutzgesetz, in Kraft seit dem 1. September 2023, dürfen Personendaten ins Ausland bekanntgegeben werden, wenn der Bundesrat dem Zielland einen angemessenen Datenschutz attestiert hat — oder wenn zusätzliche Garantien wie Standardvertragsklauseln bestehen. Für die USA hat der Bundesrat am 14. August 2024 entschieden, dass zertifizierte Unternehmen unter dem Swiss-U.S. Data Privacy Framework einen angemessenen Schutz bieten. Seit dem 15. September 2024 können Personendaten deshalb ohne zusätzliche Garantien an solche zertifizierten Unternehmen übermittelt werden.
Zwei Einschränkungen sind wichtig. Erstens gilt die Angemessenheit nur für zertifizierte Unternehmen — ob ein Anbieter zertifiziert ist, lässt sich in der offiziellen Liste des Frameworks prüfen. Zweitens überprüft der Bundesrat seinen Entscheid laufend; ändern sich die Rechtslage oder die Aufsichtsstrukturen in den USA, kann er ihn anpassen. Wer auf das Framework setzt, sollte den aktuellen Stand beim EDÖB verfolgen.
Frage 2: Behördlicher Zugriff und der CLOUD Act
Der CLOUD Act von 2018 erlaubt US-Behörden, von US-Anbietern die Herausgabe von Daten zu verlangen, die diese kontrollieren — unabhängig davon, wo die Daten physisch gespeichert sind. Ein Rechenzentrum in Zürich schützt also nicht automatisch vor einem Zugriff, wenn der Betreiber einer US-Konzernstruktur angehört. Der CLOUD Act sieht zwar Einspruchsmöglichkeiten vor, und die Anbieter veröffentlichen Transparenzberichte, doch das Restrisiko lässt sich nicht vollständig vertraglich ausschliessen.
| Konstellation | Datenschutz (DSG) | Zugriffsrisiko (CLOUD Act) |
|---|---|---|
| Schweizer Anbieter, Hosting CH | Unproblematisch | Kein US-Bezug |
| EU-Anbieter, Hosting EU | Angemessenheit gegeben | Kein direkter US-Bezug, Unterauftragsbearbeiter prüfen |
| US-Anbieter, zertifiziert, Hosting CH/EU | Zulässig über Swiss-U.S. DPF | Restrisiko bleibt |
| US-Anbieter, nicht zertifiziert | Nur mit zusätzlichen Garantien | Restrisiko bleibt |
Wie gross das Restrisiko für Projektdaten ist
Für die meisten Projektdaten eines KMU ist das Zugriffsrisiko praktisch gering. Anders sieht es aus bei besonders schützenswerten Personendaten, bei Berufsgeheimnissen — etwa in Kanzleien, Treuhand oder Gesundheitswesen —, bei Daten der öffentlichen Verwaltung mit eigenen Vorgaben und bei sicherheitsrelevanten Projekten. Dort verlangen interne Richtlinien oder kantonale Vorgaben oft ausdrücklich eine Datenhaltung ohne ausländischen Zugriff. Entscheidend ist also nicht die Herkunft des Anbieters an sich, sondern die Frage, welche Daten im Werkzeug landen.
Die Fragen vor der Toolwahl
- 01Datenarten bestimmenWelche Personendaten und vertraulichen Informationen werden im Tool bearbeitet — Namen und Aufgaben, oder auch Beurteilungen, Gesundheitsdaten, Mandatsinformationen?
- 02Vorgaben klärenGibt es interne Richtlinien, Branchenvorgaben oder kantonale Weisungen zur Datenhaltung?
- 03Anbieter einordnenSitz des Anbieters und seiner Muttergesellschaft, Speicherort, Unterauftragsbearbeiter, DPF-Zertifizierung.
- 04Entscheid dokumentierenDie Risikoabwägung schriftlich festhalten — sie ist Teil der Rechenschaftspflicht nach DSG.
Anbieter mit Datenhaltung in der Schweiz oder EU
Wo das Restrisiko nicht tragbar ist, bleiben Anbieter ohne US-Konzernbezug mit Hosting in der Schweiz oder der EU. Solche Lösungen — zu ihnen gehört etwa Flenio mit Datenhaltung in der Schweiz beziehungsweise EU — beantworten beide Fragen zugleich. Auch hier lohnt die Prüfung der Unterauftragsbearbeiter: Ein europäischer Anbieter, der E-Mail-Versand oder Analyse über einen US-Dienst abwickelt, bringt den US-Bezug durch die Hintertür zurück.
Fazit
Das Swiss-U.S. DPF hat die datenschutzrechtliche Hürde für zertifizierte US-Anbieter deutlich gesenkt. Die Frage des behördlichen Zugriffs bleibt davon unberührt. Organisationen sollten deshalb nicht pauschal entscheiden, sondern anhand der Daten, die tatsächlich im Werkzeug landen, und ihrer eigenen Vorgaben.
Häufige Fragen
- Dürfen Schweizer Unternehmen US-Cloud-Dienste nutzen?
- Ja. Seit dem 15. September 2024 dürfen Personendaten ohne zusätzliche Garantien an US-Unternehmen übermittelt werden, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Für andere US-Anbieter braucht es zusätzliche Garantien.
- Schützt ein Schweizer Rechenzentrum vor dem CLOUD Act?
- Nicht automatisch. Entscheidend ist, ob der Anbieter der US-Rechtsordnung untersteht, nicht wo die Server stehen.
- Wann ist ein Anbieter ohne US-Bezug nötig?
- Wenn besonders schützenswerte Daten, Berufsgeheimnisse oder Vorgaben der öffentlichen Verwaltung im Spiel sind und das Zugriffsrisiko deshalb nicht tragbar ist.