TL;DR: Das Wichtigste
- Die Schweizer öffentliche Verwaltung behält die uneingeschränkte rechtliche Verantwortung für die ihr anvertrauten Dateien und muss jedes Restrisiko schriftlich bestätigen lassen.
- Das Hosting sensibler Daten bei Anbietern, die dem US-amerikanischen CLOUD Act unterliegen, gilt nach schweizerischem Recht weiterhin als unzulässige Weitergabe.
- Eine strenge Datenverschlüsselung erfordert, dass die öffentliche Stelle die ausschliessliche Kontrolle über die Entschlüsselungsschlüssel ohne technische Zwischenstellen behält.
- Die öffentliche Stelle muss ein klares Ausstiegsszenario vorsehen und die Berücksichtigung der Restrisiken durch die Finanzkontrolle bestätigen lassen.
Die Konferenz der Schweizer Datenschutzbeauftragten, die unter dem Namen „privatim“ firmiert, vereint die kantonalen und eidgenössischen Aufsichtsbehörden, um die Anwendung der gesetzlichen Vorschriften in den öffentlichen Verwaltungen des Landes zu koordinieren. Angesichts der zunehmenden Nutzung von Remote-Servern hat der Verband am 2. Oktober 2026 die überarbeitete Fassung 3.02 seines Leitfadens zu den Risiken und spezifischen Massnahmen im Zusammenhang mit der Cloud-Technologie verabschiedet, der den bisherigen Text vom 3. Februar 2022 ersetzt.
Die rechtlichen Verpflichtungen und die Haftung der öffentlichen Stellen in der Schweiz
Die Auslagerung von IT-Verarbeitungsprozessen auf gehostete Plattformen entbindet die Schweizer Körperschaften in keiner Weise von ihren gesetzlichen Verpflichtungen. Die Verwaltungsstellen bleiben rechtlich für die Integrität und Vertraulichkeit der den Auftragsverarbeitern anvertrauten Dateien verantwortlich. Gemäss den von privatim festgelegten Rahmenbedingungen darf eine öffentliche Einrichtung einen Vorgang nur dann delegieren, wenn der Dienstleister ein Schutzniveau gewährleistet, das dem durch die schweizerische Gesetzgebung vorgeschriebenen entspricht, insbesondere zur Wahrung des Amtsgeheimnisses gemäss Artikel 320 des Schweizerischen Strafgesetzbuches.
Das Wichtigste zu Cybersicherheit, KI & Tech
Werden Sie Teil der Community. 3-mal pro Woche erhalten Sie die Trendanalyse von Marc Barbezat (auf Französisch). Kein Spam, nur Informationen.
Dienstleistungsverträge erfordern eine strenge Formulierung, die jegliche einseitige Änderung der Allgemeinen Geschäftsbedingungen durch die Dienstleister untersagt. Die öffentliche Stelle muss die Verträge dem schweizerischen Recht unterwerfen und einen Gerichtsstand in der Schweiz festlegen, um ihre Rechte vor direkt zugänglichen Gerichten geltend machen zu können. Jede Änderung hinsichtlich des Einsatzes von Subunternehmern oder der Verlegung von Infrastrukturen erfordert eine vorherige Ankündigung, verbunden mit einem Kündigungsrecht für die auftraggebende Behörde.
Die Abhängigkeit von ausländischen Gesetzen und die Sperrung von Schlüsseln
Der physische Standort der Hosting-Server bestimmt das Ausmass der Anfälligkeit gegenüber ausländischen gerichtlichen Eingriffen. Die Datenverarbeitung auf Schweizer Gebiet ist systematisch zu bevorzugen, um die unmittelbare Anwendung der verfassungsrechtlichen Garantien zu gewährleisten. Technologieunternehmen, die dem US-amerikanischen CLOUD Act unterliegen, sind gesetzlich verpflichtet, den Justizbehörden ihres Herkunftslandes Zugang zu gewähren, auch wenn sich die Rechenzentren in der Schweiz oder in der Europäischen Union befinden; dies stellt nach schweizerischem Recht mangels einer anerkannten Rechtsgrundlage eine unzulässige Datenübermittlung dar.
Der Schutz sensibler Informationen erfordert bewährte technische Sicherheitsmassnahmen, da eine Verschlüsselung während der Übertragung sich als unzureichend erweist, wenn die Dateien zur Laufzeit verarbeitet werden. Privatim betont, dass die Verwahrung der Entschlüsselungsschlüssel unter der ausschliesslichen Kontrolle der nutzenden öffentlichen Verwaltung verbleiben muss. Der Einsatz von Standard-Softwareangeboten grosser internationaler Anbieter wie Microsoft, Google, AWS oder SAP ist in den meisten Fällen weiterhin unzulässig, sobald es sich um sensible Daten oder um Daten handelt, die einer gesetzlichen Geheimhaltungspflicht unterliegen.
Die 5 Säulen der Cloud in der Schweizer Verwaltung
Zwingende Anforderungen und Risikomanagement gemäss den Vorgaben der Konferenz der Schweizer Datenschutzbeauftragten.
Strenger vertraglicher Rahmen
Anwendung des Schweizer Rechts und Gerichtsstand in der Schweiz sind vorgeschrieben. Formelles Verbot einseitiger Änderungen der Bedingungen durch den Anbieter.
Standort und Gerichtsbarkeit
Vorrang für Rechenzentren in der Schweiz. Kritisches Risiko angesichts des US-amerikanischen CLOUD Act, der einen extraterritorialen Zugriff ohne anerkannte schweizerische Rechtsgrundlage vorschreibt.
Kryptografische Kontrolle
End-to-End-Verschlüsselung und ausschliessliche Verwahrung der Schlüssel durch die Verwaltung. Die Verschlüsselung im Ruhezustand erweist sich bei der aktiven Verarbeitung im Speicher als unzureichend.
Nutzungsdaten und Protokolle
Telemetriedaten und Metadaten müssen denselben Anforderungen genügen wie die Inhalte: begrenzte Verwendungszwecke, Transparenz und planmässige Löschung.
Auftragsverarbeitungskette
Vorherige Meldung und obligatorische Überprüfung jedes Auftragsverarbeiters (Muttergesellschaft, Tochtergesellschaften, Dritte). Kündigungsrecht im Falle von Änderungen in der Auftragsverarbeitungskette.
Die Nutzung von Standard-SaaS-Angeboten grosser internationaler Anbieter (Microsoft, Google, AWS, SAP) ist in den meisten Fällen für sensible Daten oder Daten, die dem Amtsgeheimnis unterliegen (Art. 320 StGB), weiterhin unzulässig. Jedes Restrisiko muss auf höchster Führungsebene ausdrücklich schriftlich festgehalten werden.
Analyse
Die Konferenz der Schweizer Datenschutzbeauftragten (privatim) veröffentlicht verschiedene Leitfäden zum Thema Datenschutz; im Folgenden stellen wir Ihnen die neueste Veröffentlichung vor, die sich auf die Risiken und spezifischen Massnahmen im Zusammenhang mit der Cloud-Technologie konzentriert.
Verwaltung von Nutzungsdaten und Risikomanagement
Die von den Plattformen durchgeführte digitale Datenerhebung geht über die von den Behörden bereitgestellten Inhalte hinaus. Die Anbieter erfassen zudem Sekundärdaten, Aktivitätsprotokolle und Telemetriedaten im Zusammenhang mit dem Verwaltungspersonal. Privatim schreibt vor, dass diese Informationen denselben rechtlichen Anforderungen unterliegen wie die Fachdaten, und verbietet jegliche Nutzung für andere Zwecke ohne vorherige Anonymisierung oder wirksame Pseudonymisierung durch den Dienstleister.
Die Vorabprüfung erfordert vor jeder technischen Umsetzung eine gründliche Dokumentationsarbeit. Die oberste Leitung der Schweizer Gemeinde muss schriftlich bestätigen, dass sie die Risiken verstanden hat und die Restrisiken ausdrücklich übernimmt. Diese Entscheidung muss im Rahmen der von der Finanzkontrolle geprüften Jahresabschlüsse überprüft werden, wobei Ausstiegsszenarien für den Fall vorgesehen werden müssen, dass sich die vertraglichen Bedingungen ändern sollten.
Privatim weist somit darauf hin, dass die Nutzung von Ferninfrastrukturen die Behörden niemals von ihren verfassungsmässigen Pflichten entbindet. Die Einführung eines Ferndienstes ist nur dann zulässig, wenn die öffentliche Einrichtung unumgängliche Vorteile gegenüber einem lokalen Betrieb vor Ort oder gegenüber Dienstleistern mit einem geringeren Risiko nachweisen kann.
Häufig gestellte Fragen zum Cloud-Leitfaden von privatim
Welche Rolle spielt Privatim für die öffentlichen Verwaltungen der Schweiz?
Privatim vereint die kantonalen und eidgenössischen Datenschutzbeauftragten, die für die Überwachung der Einhaltung des Datenschutzes in der Schweiz zuständig sind. Der Verband gibt gemeinsame Empfehlungen heraus, um die Vorgehensweisen der öffentlichen Körperschaften und Dienststellen zu harmonisieren.
Warum stellt der US-amerikanische CLOUD Act in der Schweiz ein rechtliches Problem dar?
Dieses US-amerikanische Gesetz verpflichtet die ihm unterliegenden Dienstleister, den Justizbehörden der Vereinigten Staaten Zugang zu den gespeicherten Daten zu gewähren, auch wenn sich die Server in der Schweiz oder in Europa befinden. Nach schweizerischem Recht gilt eine solche Übermittlung als unzulässige Weitergabe an Dritte, da sie ohne anerkannte schweizerische Rechtsgrundlage erfolgt.
Unter welchen Voraussetzungen darf eine Schweizer Kommune ihre sensiblen Daten in der Cloud verschlüsseln?
Die Verschlüsselung muss von der öffentlichen Stelle selbst vorgenommen werden, die die ausschliessliche Verwahrung der Schlüssel behält. Falls der Dienstleister die Schlüssel verwahrt, muss er sich schriftlich verpflichten, diese nur mit ausdrücklicher Zustimmung der Verwaltung zu verwenden, und jeden Zugriff in einem überprüfbaren Protokoll festzuhalten.
Wie sollen die Telemetrie- und Sekundärdatenströme verarbeitet werden?
Diese durch die Nutzung der Dienste generierten Daten müssen dem gleichen Schutzniveau unterliegen wie die Inhaltsdaten. Sie dürfen ausschliesslich für technische Wartungszwecke, Sicherheitszwecke oder zur Rechnungsstellung verwendet werden; jede Nutzung für andere Zwecke erfordert eine vorherige Anonymisierung.
Weitere Informationen zu diesem Thema
Cloud in Europa: US-Gesetze sichern den Zugriff auf Daten
Ein deutscher Rechtsbericht zeigt, dass ein lokaler Cloud-Speicher keinen Schutz vor extraterritorialen US-Gesetzen bietet. Weiterlesen
Keine Paywall. Keine Werbung.
DCOD bleibt dank Ihrer Beiträge frei zugänglich.
