Bei der Datenhaltung sind drei Fragen zu trennen: Wo stehen die Server, wer betreibt sie, und welchem Recht unterliegt der Betreiber. Ein Schweizer Serverstandort schliesst ausländische Zugriffsansprüche nicht aus, wenn der Betreiber einem ausländischen Rechtsraum untersteht — diese Unterscheidung fehlt in den meisten Anbieterangaben.
Drei Fragen, die regelmässig vermischt werden
| Frage | Was sie klärt | Typische Anbieterangabe |
|---|---|---|
| Serverstandort | Physischer Ort der Datenspeicherung | «Rechenzentrum in Zürich» |
| Betreibersitz | Wer das Unternehmen ist und wo es sitzt | oft im Impressum versteckt |
| Anwendbares Zugriffsrecht | Welcher Staat Herausgabe verlangen kann | meist gar nicht adressiert |
Die dritte Zeile ist die eigentlich relevante und wird am seltensten beantwortet. Ein Unternehmen mit Sitz ausserhalb der Schweiz kann unter dem Recht seines Sitzstaates zur Herausgabe von Daten verpflichtet werden — auch wenn diese physisch in einem Schweizer Rechenzentrum liegen. Der Serverstandort allein beantwortet die Frage also nicht.
Die folgenden Ausführungen sind eine allgemeine fachliche Einordnung für die Anbieterprüfung und ersetzen keine Rechtsberatung. Für die verbindliche Beurteilung im konkreten Fall sind der Datenschutzberatung beziehungsweise der Rechtsabteilung die Anbieterunterlagen vorzulegen.
Was Sie konkret erfragen sollten
- In welchem Land ist die vertragsschliessende Gesellschaft eingetragen, und wer ist ihre Muttergesellschaft?
- In welchen Ländern liegen Produktivdaten, Sicherungen und Protokolldaten — jeweils einzeln?
- Welche Unterauftragsbearbeiter werden eingesetzt, in welchen Ländern, und wie werden Änderungen mitgeteilt?
- Wer im Anbieterunternehmen kann auf Kundendaten zugreifen, und wie wird das protokolliert?
- Wie wird mit behördlichen Herausgabeersuchen umgegangen, und werden Kunden informiert, soweit zulässig?
- Welche Zertifizierungen liegen vor, und für welchen Geltungsbereich genau?
Die zweite Frage entlarvt die häufigste Lücke. Viele Anbieter halten Produktivdaten in der Schweiz und Sicherungen oder Protokolldaten anderswo. Beides sind Personendaten, und für die Beurteilung zählt der ungünstigste Fall, nicht der beworbene.
«Nennen Sie mir alle Unterauftragsbearbeiter mit Sitzland und Verarbeitungszweck.» Anbieter mit sauberer Struktur haben diese Liste öffentlich. Wer sie nicht liefern kann, hat sie meist selbst nicht.
Warum das in der Schweiz besonderes Gewicht hat
Drei Gründe. Erstens gibt es in der öffentlichen Verwaltung und in regulierten Branchen — Gesundheit, Finanz, Bildung — Vorgaben, die den Datenexport einschränken oder an Bedingungen knüpfen. Zweitens sind Projektdaten häufiger personenbezogen, als angenommen wird: Zeiterfassung, Leistungsdaten, Beurteilungen von Zulieferern, Notizen zu Mitarbeitenden.
Drittens ist die Frage vertraglich schwer nachzuholen. Wer ein Tool eingeführt hat und drei Jahre später feststellt, dass die Datenhaltung nicht zur Compliance-Anforderung passt, steht vor einer Migration — mit allen Kosten und dem Widerstand einer Organisation, die sich gerade eingearbeitet hat.
Der Auftragsbearbeitungsvertrag
Wer Personendaten durch einen Anbieter bearbeiten lässt, braucht eine vertragliche Grundlage dafür. Der entsprechende Vertrag regelt Zweck, Umfang, Unterauftragsbearbeitung, Sicherheitsmassnahmen, Meldepflichten bei Verletzungen und den Umgang mit den Daten nach Vertragsende.
Prüfen Sie ihn vor dem Vertragsabschluss, nicht danach. Zwei Punkte verdienen besondere Aufmerksamkeit: Wie wird über neue Unterauftragsbearbeiter informiert und besteht ein Widerspruchsrecht? Und in welcher Frist und welchem Format werden die Daten nach Vertragsende herausgegeben und gelöscht?
Was ein Ausschlusskriterium ist und was nicht
Datenhaltung sollte als Ausschlusskriterium behandelt werden, nicht als gewichteter Bewertungspunkt. Der Grund ist praktisch: Ein Punktabzug lässt sich durch Vorteile an anderer Stelle ausgleichen — eine nicht erfüllbare Compliance-Anforderung nicht.
Das setzt allerdings voraus, dass die Anforderung vorher sauber bestimmt wurde. «Schweizer Datenhaltung» als pauschale Vorgabe ohne Prüfung, ob sie im konkreten Fall überhaupt nötig ist, verengt den Markt unnötig. Die brauchbare Reihenfolge: erst klären, welche Daten tatsächlich verarbeitet werden und welche Vorgaben dafür gelten — dann das Kriterium formulieren.
Anbieterlandschaft
Der Markt teilt sich grob in drei Gruppen. Grosse internationale Anbieter bieten inzwischen meist eine europäische, teils schweizerische Speicheroption an — bei ausländischem Betreibersitz. Europäische Anbieter kombinieren europäischen Sitz mit europäischer Speicherung. Schweizer Anbieter — darunter Flenio, das vom selben Unternehmen betrieben wird wie dieses Portal — bieten Sitz und Speicherung in der Schweiz.
Welche Gruppe passt, hängt von der Anforderung ab, nicht von der Herkunft an sich. Ein internationaler Anbieter mit europäischer Speicherung kann für ein Industrieunternehmen ohne besondere Auflagen die bessere Wahl sein; für eine kantonale Verwaltung mit expliziten Vorgaben ist er unter Umständen von vornherein ausgeschlossen.
Häufige Fragen
- Reicht ein Serverstandort in der Schweiz aus?
- Nicht zwingend. Ein Unternehmen mit Sitz ausserhalb der Schweiz kann unter dem Recht seines Sitzstaates zur Datenherausgabe verpflichtet werden, auch wenn die Daten physisch in der Schweiz liegen. Serverstandort, Betreibersitz und anwendbares Zugriffsrecht sind drei verschiedene Fragen.
- Was sollte man Anbieter zur Datenhaltung fragen?
- Sitzland der vertragsschliessenden Gesellschaft und der Muttergesellschaft, Speicherorte getrennt nach Produktiv-, Sicherungs- und Protokolldaten, vollständige Liste der Unterauftragsbearbeiter mit Sitzland, Zugriffsmöglichkeiten im Anbieterunternehmen und Umgang mit behördlichen Herausgabeersuchen.
- Sollte Datenhaltung ein Ausschluss- oder Bewertungskriterium sein?
- Ausschlusskriterium — eine nicht erfüllbare Compliance-Anforderung lässt sich nicht durch Vorteile an anderer Stelle ausgleichen. Voraussetzung ist, dass die Anforderung vorher sauber bestimmt wurde, statt pauschal gesetzt zu werden.