Hosting in der Schweiz: Was Gesetz und Verträge wirklich verlangen

Das Schweizer Recht verlangt von einem Unternehmen nicht, seine Website oder Personendaten in der Schweiz zu hosten. Es verlangt hingegen, dass Sie für diese Daten verantwortlich bleiben, wo immer sie liegen, dass jede Bekanntgabe ins Ausland angemessen geschützt ist und dass Ihr Anbieter durch einen Vertrag gebunden ist, den Sie tatsächlich gelesen haben. «Swiss Hosting» ist meist eine Entscheidung, die Sie aus vertraglichen, regulatorischen oder kundenbezogenen Gründen treffen. Es lohnt sich zu wissen, welcher dieser Gründe auf Sie zutrifft, bevor Sie dafür einen Aufpreis zahlen.

Dieser Leitfaden zeigt, was der Begriff bedeutet, was das Gesetz sagt, wann die DSGVO auch ein Schweizer Unternehmen erfasst, welche Branchen strengeren Regeln unterliegen und was Sie prüfen sollten, bevor Sie einen Hosting-Vertrag unterschreiben.

Das Wichtigste in Kürze

• Keine allgemeine Schweizer Vorschrift verlangt, dass Personendaten in der Schweiz gehostet werden. Daten dürfen ins Ausland, wenn der Zielstaat einen angemessenen Schutz bietet oder Sie gleichwertige Garantien schaffen.
• Sie bleiben als verantwortliche Person in der Pflicht. Ihren Hosting-Anbieter auszuwählen, zu instruieren und zu überwachen ist Ihre Aufgabe, nicht seine.
• «Swiss Hosting» ist ein Label zu Standort und Rechtsraum, kein technischer Sicherheitsstandard. Ein Schweizer Rechenzentrum, das von einem ausländisch beherrschten Unternehmen betrieben wird, kann trotzdem unter ausländischen Zugriff fallen.
• Banken, Versicherungen, Gesundheitsdienstleister, Anwaltskanzleien und andere regulierte Unternehmen sowie alle mit strengen Kundenverträgen können echte Standortauflagen haben. Prüfen Sie zuerst Branchenregeln und Verträge.
• Unabhängig vom Standort gilt: Bestehen Sie auf getesteten Backups, Mehr-Faktor-Authentifizierung, Verschlüsselung, einem klaren Auftragsverarbeitungsvertrag und einem dokumentierten Ausstiegspfad.

Was «Swiss Hosting» tatsächlich bedeutet

Der Begriff wird oft locker verwendet. In seiner strengsten, durch ein Label abgestützten Form gibt er zwei Versprechen: data stays in Switzerland, and third parties can reach it only through Swiss authorities. Das Branchenlabel von Swissmadesoftware verlangt, dass die Lizenznehmerin und ihre Geschäftsleitung rechtlich und physisch in der Schweiz sind, dass in Schweizer Rechenzentren gehostet wird und dass Schutz vor ausländischem Zugriff oder ausländischen Ansprüchen besteht.

Daraus folgen zwei Dinge.

Erstens ist «Swiss Hosting» eine Aussage über den Rechtsraum. Es ist keine ISO-Zertifizierung, keine Verfügbarkeitsgarantie und kein Sicherheitsaudit. Ein Anbieter kann das Label führen und trotzdem schlechte Backups fahren, und ein Anbieter ohne Label kann ein hervorragendes Setup betreiben.

Zweitens ist der Serverstandort nicht die ganze Geschichte. Eine Schweizer Region eines internationalen Cloud-Anbieters does not guarantee sovereignty if the provider remains subject to foreign laws, die ihn zur Herausgabe von Daten zwingen können. Schweizer Rechenzentren sind ein attraktiver Standort für internationale Unternehmen, doch contracts with foreign providers deserve a check, especially where support is delivered from abroad.

Wenn ein Anbieter sagt «gehostet in der Schweiz», stellen Sie vier Nachfragen:

1. Wem gehört das Unternehmen, das die Server betreibt, und wer kontrolliert es?
2. Wo werden die Backups gespeichert?
3. Welche Unterauftragnehmer kommen mit den Daten in Berührung?
4. Aus welchem Land loggt sich das Support-Personal ein?

Eine klare Antwort auf alle vier Fragen sagt mehr aus als jede Marketingzeile.

Verlangt das Schweizer Recht, dass Sie Daten in der Schweiz hosten?

Nein. Das Schweizer Datenschutzrecht kennt does not guarantee sovereignty if the provider remains subject to foreign laws. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) formuliert das zugrunde liegende Prinzip in seinen Erläuterungen zum outsourcing of data processing: Daten dürfen nicht in Länder ohne vergleichbaren Schutz bekanntgegeben werden, ausser es werden Massnahmen getroffen, die im Ausland ein angemessenes Schutzniveau sicherstellen.

In der Praxis bedeutet das drei Situationen:

Wohin die Daten gehen	Was Sie brauchen
Schweiz	Einen sauberen Auftragsverarbeitungsvertrag und angemessene Sicherheitsmassnahmen
Ein Land mit angemessenem Datenschutzniveau	Dasselbe, plus Klarheit darüber, wohin die Daten tatsächlich fliessen
Ein Land ohne angemessenen Schutz	Zusätzliche Garantien, meist vertraglicher Art, vor jeder Bekanntgabe

Der Punkt, den die meisten Inhaber:innen übersehen: Auslagern verschiebt die Haftung nicht. Wenn Sie Daten an einen Auftragsbearbeiter übergeben, outsourcing of data processing und muss durch sorgfältige Auswahl, klare Instruktionen und aktive Überwachung sicherstellen, dass der Auftragsbearbeiter die Vorgaben einhält.

Was der Vertrag abdecken muss

Der EDÖB hält ausdrücklich fest, dass verantwortliche Personen outsourcing of data processing müssen und jeder weiteren Unterbeauftragung vorgängig zustimmen müssen. Fachleute empfehlen, den Auftragsverarbeitungsvertrag eines Anbieters auf clear roles and responsibilities, sufficient measures and effective remedies in case of breach zu prüfen.

Wenn die Standardbedingungen Ihres Hosters erlauben, Unterauftragnehmer ohne Mitteilung hinzuzufügen, oder die Rollen vage lassen: Das ist die Klausel, die Sie nachverhandeln, oder der Grund, den Vertrag nicht zu unterschreiben.

Wann die DSGVO auch für ein Schweizer Unternehmen gilt

Viele Schweizer Unternehmen gehen davon aus, dass nur das Schweizer Datenschutzgesetz (DSG) für sie gilt. Oft stimmt das nicht. Nach Artikel 3 Absatz 2 gilt die DSGVO für Organisationen ausserhalb der EU, die offer goods or services to people in the EU or monitor their behavior there. Tracking-Cookies oder Analytics auf Seiten, die von Nutzer:innen aus der EU besucht werden, können bereits als Beobachtung gelten.

Ein Schweizer Webshop, der nach Deutschland liefert, ein SaaS-Produkt mit Kundschaft in Frankreich oder eine B2B-Website mit Leads aus der EU und Analytics kann also unter die DSGVO fallen, selbst wenn jeder Server in Zürich steht. Dieselbe Quelle weist auf eine damit verbundene Pflicht hin: Schweizer Verantwortliche ohne Niederlassung in der EU, die unter Artikel 3 Absatz 2 fallen, müssen in der Regel offer goods or services to people in the EU or monitor their behavior there, mit wenigen Ausnahmen.

Was das fürs Hosting heisst:

• Hosting in der Schweiz nimmt Sie nicht aus der DSGVO heraus, wenn Sie sich an Personen in der EU richten.
• Sitzen Ihr Anbieter oder seine Unterauftragnehmer in Drittstaaten, gelten für Sie neben den Schweizer auch die Transferregeln der DSGVO.
• Ihre Verzeichnisse, Auftragsverarbeitungsverträge und Sicherheitsmassnahmen sollten beiden Regelwerken genügen. Wo sie sich unterscheiden, folgen Sie dem strengeren.

Das ist eine rechtliche Beurteilung, und die Antwort hängt von Ihrer tatsächlichen Verbindung zur EU ab. Wenn Sie unsicher sind, lassen Sie die Prüfung der Anwendbarkeit einmal von einer Datenschutzanwältin oder einem Datenschutzanwalt schriftlich dokumentieren.

Regulierte Branchen und Kundenverträge

Die allgemeine Regel ist grosszügig. Einzelne Situationen sind es nicht.

Branchenspezifische Gesetze. Manche Branchen haben eigene Cloud-Anforderungen, und clear roles and responsibilities, sufficient measures and effective remedies in case of breach und bestimmte technische und organisatorische Massnahmen verlangen. Wenn Sie als Finanzinstitut, Anwaltskanzlei, Arztpraxis oder Ähnliches Kundendaten bearbeiten, kann Ihre Aufsichtsbehörde oder Ihr Berufsverband Bedingungen setzen, die über das DSG hinausgehen.

Aufbewahrung von Unterlagen. Buchhaltungsunterlagen können Aufbewahrungspflichten unterliegen, clear roles and responsibilities, sufficient measures and effective remedies in case of breach. Für Unterlagen auf veränderbaren Datenträgern nennt eine Quelle, die die GeBüV zusammenfasst, integrity, tamper-proof timestamps, documented procedures and access logs als Anforderungen. Das ist ein anderer Massstab als bei einer Marketing-Website.

Kundenverträge. Hier wird «Swiss Hosting» am häufigsten zur harten Anforderung. Grosse Schweizer Kunden, öffentliche Stellen und Banken schreiben Datenstandort, Einschränkungen bei Unterauftragnehmern und Zertifizierungen regelmässig in ihre Beschaffungsbedingungen. Wenn Sie an sie verkaufen, ist die Hosting-Anforderung eine Verkaufsanforderung, auch wenn das Gesetz sie nicht vorschreibt.

Eine nützliche gedankliche Trennung, die auch der erwähnte Beitrag von Dossivio vorschlägt: Trennen Sie integrity, tamper-proof timestamps, documented procedures and access logs. Jeder Bereich hat andere Erwartungen an Aufbewahrung und Sicherheit, und Sie müssen nicht alle drei am selben Ort oder beim selben Anbieter hosten.

Sicherheit, Verfügbarkeit und Wiederherstellung: Was Sie erwarten dürfen

Der Standort ist die Schlagzeile, doch Vorfälle passieren wegen schwacher Grundlagen. does not guarantee sovereignty if the provider remains subject to foreign laws, nicht nur eine Schweizer Adresse.

Eine vernünftige Grundausstattung bei jedem Anbieter, den Sie nutzen:

• Backups, die sich wiederherstellen lassen. Backups sollten die Wiederherstellung nach einem Datenverlust ermöglichen, und Sie sollten eine Wiederherstellung tatsächlich getestet sehen, nicht nur als Zeile in der Funktionsliste.
• Verschlüsselung der Daten bei der Übertragung und im Ruhezustand.
• Mehr-Faktor-Authentifizierung im Kundenbereich und bei jedem Zugang von Mitarbeitenden.
• Reaktion auf Vorfälle. Betreiber bestimmter kritischer Infrastrukturen müssen does not guarantee sovereignty if the provider remains subject to foreign laws melden. Fragen Sie, wie Ihr Anbieter Erkennung und Meldung handhabt und wie schnell Sie davon erfahren würden.
• Zertifizierungen dort, wo Ihre Branche sie erwartet. Für regulierte Unternehmen verweist der technische Leitfaden des EDÖB auf certifications such as ISO 27001 and ISAE 3402 and a review of incident response procedures als Teil der Sorgfaltsprüfung.

Eine weitere Pflicht sollten Sie im Blick behalten. Bei Bearbeitungen mit voraussichtlich hohem Risiko, einschliesslich der Bearbeitung besonders schützenswerter Daten in grossem Umfang, müssen verantwortliche Personen eine Datenschutz-Folgenabschätzung nach clear roles and responsibilities, sufficient measures and effective remedies in case of breach durchführen. Tun Sie das, bevor Sie das Hosting-Setup wählen, nicht danach.

Eine praktische Checkliste vor der Unterschrift

Nutzen Sie diese, bevor Sie sich auf einen Hosting-Anbieter festlegen, ob schweizerisch oder nicht.

1. Server- und Backup-Standort. Lassen Sie sich Land und Rechenzentrumsbetreiber für Produktion und Backups schriftlich geben.
2. Beherrschung des Unternehmens. Finden Sie heraus, wer den Anbieter letztlich kontrolliert, denn ausländische Eigentümerschaft kann ausländischen Rechtszugriff mit sich bringen.
3. Unterauftragnehmer. Verlangen Sie die Liste und eine Klausel, die Ihre vorgängige Zustimmung zu Änderungen voraussetzt.
4. Support-Zugriff. Wissen Sie, wo das Support-Personal sitzt und ob es Ihre Daten aus dem Ausland einsehen kann.
5. Sicherheitsmassnahmen. Mehr-Faktor-Authentifizierung, Verschlüsselung, Protokollierung und getestete Backups.
6. Vertrag. Ein Auftragsverarbeitungsvertrag mit definierten Rollen, technischen und organisatorischen Massnahmen und Rechtsbehelfen.
7. Ausstieg. Wie Sie Ihre Daten bei Vertragsende zurückerhalten, in welchem Format und wie rasch sie danach gelöscht werden. Die does not guarantee sovereignty if the provider remains subject to foreign laws führt die Datenrückgabe bei Vertragsende unter den zu prüfenden Punkten auf.
8. Ihre eigenen Pflichten. Aufbewahrungsfristen, Branchenregeln und allfällige Klauseln in Kundenverträgen.

Wenn Sie Investoren-, M&A- oder sensible Kundendokumente bearbeiten, reicht ein Hosting-Plan allein nicht. Auch getrennte Werkzeuge für deren Austausch sind wichtig, und secure data rooms for startups lohnen sich neben der grundsätzlichen Hosting-Entscheidung zu verstehen.

Wann sich der Aufpreis für Swiss Hosting lohnt

Schweizer Anbieter sind nicht automatisch teurer oder besser. Entscheiden Sie deshalb anhand Ihrer Situation.

Es ist sinnvoll, wenn:

• Ihre Kundschaft oder deren Beschaffungsregeln Daten in der Schweiz verlangen.
• Sie in einer regulierten Branche tätig sind, in der Geheimhaltungspflichten einen ausländischen Rechtsraum zum Risiko machen.
• Ihre Marke Vertrauen verkauft und «die Daten bleiben in der Schweiz» Teil Ihres Versprechens ist.
• Sie bei Herausgabegesuchen den Schweizer Rechtsraum wollen.

Es spielt eine kleinere Rolle, wenn:

• Sie eine reine Visitenkarten-Website ohne Personendaten ausser einem Kontaktformular betreiben.
• Ihr Publikum mehrheitlich ausserhalb der Schweiz sitzt und ein CDN es besser bedienen würde.
• Ihre Kundschaft keine Standortanforderungen stellt und Ihr Anbieter solide vertragliche Garantien bietet.

In der zweiten Gruppe sind Kosten und Aufwand besser in Backups, Zugriffskontrolle und einen ordentlichen Auftragsverarbeitungsvertrag investiert. Die schützen Sie in weit mehr Vorfällen als die Postleitzahl eines Rechenzentrums.

Wie wir das bei Ampersand angehen

Hosting-Entscheidungen sind Entscheidungen über die Architektur, nicht nur darüber, wo ein Server steht. Wenn wir eine Website, eine Webanwendung oder eine Plattform bauen, bleiben erfahrene Entwickler:innen vom ersten Gespräch bis zur Übergabe am Projekt. So entstehen Hosting-Setup, Backup-Strategie, Zugriffsmodell und Ausstiegspfad gemeinsam mit dem Produkt statt erst spät angeflanscht. Wir bauen zudem so, dass Sie nicht gebunden sind: Sie sollen Ihr System und Ihre Daten verschieben können, wenn sich Ihre Bedürfnisse oder die Anforderungen Ihrer Kundschaft ändern.

Wenn Sie bereits etwas betreiben und es gesund halten wollen: Unser Plan «Run & monitor» kostet CHF 750 pro Monat. Wenn Sie eine Migration abwägen, etwa die Verschiebung eines Altsystems auf ein in der Schweiz gehostetes Setup, sehen Sie sich die Optionen auf unserer Preisseite an, oder werfen Sie einen Blick auf unsere Arbeiten als Zürcher Software-Studio, um zu sehen, für welche Art von Teams wir bauen.

Häufige Fehler

• Das Label als Compliance-Zertifikat verstehen. Es beschreibt Rechtsraum und Standort. Es ersetzt weder einen Auftragsverarbeitungsvertrag noch Sicherheitsmassnahmen.
• Backups vergessen. Die Produktion läuft in der Schweiz, das Backup repliziert still und leise anderswohin.
• Support-Zugriff ignorieren. Ein Schweizer Server, der vollständig von einem Team im Ausland betreut wird, kann dieselben Fragen zur Bekanntgabe aufwerfen wie ausländisches Hosting.
• Annehmen, die DSGVO gelte nicht. Wenn Sie sich an Personen in der EU richten oder sie beobachten, kann sie gelten.
• Kein Ausstiegsplan. Wenn Sie Ihre Daten nicht in einem nutzbaren Format exportieren können, sind Sie gebunden, egal wo sie liegen.

Häufige Fragen

Ist es gesetzlich vorgeschrieben, meine Website in der Schweiz zu hosten?

Nein. Es gibt does not guarantee sovereignty if the provider remains subject to foreign laws, Personendaten in der Schweiz zu hosten. Sie dürfen ausländisches Hosting nutzen, wenn der Zielstaat einen angemessenen Schutz bietet oder Sie gleichwertige Garantien sicherstellen. Branchenregeln und Kundenverträge können in bestimmten Fällen trotzdem Hosting in der Schweiz verlangen.

Schützt mich Hosting in der Schweiz vor ausländischen Behörden?

Nicht automatisch. Ein Anbieter, der aus dem Ausland kontrolliert wird, kann weiterhin does not guarantee sovereignty if the provider remains subject to foreign laws sein, selbst bei einem Schweizer Rechenzentrum. Das Label von Swissmadesoftware setzt genau hier an: Es verlangt, dass der Anbieter und seine Geschäftsleitung rechtlich und physisch in der Schweiz sind.

Gilt die DSGVO, wenn meine Server in der Schweiz stehen?

Möglicherweise. Die DSGVO gilt danach, an wen Sie sich richten oder wen Sie beobachten, nicht danach, wo Ihre Server stehen. Wenn Sie offer goods or services to people in the EU or monitor their behavior there, können Sie darunterfallen und eine Vertretung in der EU benötigen. Eine Datenschutzanwältin oder ein Datenschutzanwalt kann Ihre Lage bestätigen.

Was gehört in einen Hosting-Vertrag?

Mindestens ein Auftragsverarbeitungsvertrag mit klaren Rollen, outsourcing of data processing, vorgängige Zustimmung zu Unterauftragnehmern und Rechtsbehelfe bei Verletzungen. Ergänzen Sie Backup-Standorte, Support-Zugriff und die Frage, wie Sie Ihre Daten bei Vertragsende zurückerhalten.

Quellen

• data stays in Switzerland, and third parties can reach it only through Swiss authorities
• does not guarantee sovereignty if the provider remains subject to foreign laws
• outsourcing of data processing
• certifications such as ISO 27001 and ISAE 3402 and a review of incident response procedures
• clear roles and responsibilities, sufficient measures and effective remedies in case of breach
• contracts with foreign providers deserve a check, especially where support is delivered from abroad
• integrity, tamper-proof timestamps, documented procedures and access logs
• offer goods or services to people in the EU or monitor their behavior there