Online-Shop in der Schweiz oder im Ausland hosten: Welche Folgen?

Warum der Standort des Hostings eine strategische Entscheidung für einen Schweizer Online-Shop ist

Der Speicherort der Daten eines Shops ist keine ästhetische Entscheidung. Drei Rechtstexte überschneiden sich auf demselben Server für ein romantisches Unternehmen: das schweizerische nDSG, die europäische DSGVO und der amerikanische CLOUD Act. Je nach Land, in dem die Infrastruktur betrieben wird, und nach der Nationalität des Betreibers bestimmt nicht derselbe Text, wer Zugriff auf Kundenkonten, Bestellungen und Rechnungen hat.

Die Sache geht die Geschäftsleitung an: Die im nDSG vorgesehene Busse kann bis zu 250'000 Franken betragen und richtet sich gegen die Person, nicht nur gegen das Unternehmen. Ein Shop, der Zahlungen entgegennimmt, Adressen verarbeitet und eine Kaufhistorie speichert, handhabt also Daten, deren Lokalisierung die individuelle Verantwortung der Führungsperson berührt.

Vier Fragen strukturieren die Entscheidung und tauchen in jedem Abschnitt wieder auf: Wo residieren die Daten physisch (Residenz), wer kann sie rechtmässig fordern (Souveränität), unter welchen Bedingungen ist eine Übermittlung ins Ausland zulässig, und nach welchen Kriterien wird unterschieden, was in der Schweiz bleiben muss und was anderswo bleiben darf.

Die Zahlen, die die Hosting-Entscheidung rahmen

Die tatsächlich vom Shop verarbeiteten Daten kartieren

Bevor man Hosting-Anbieter vergleicht, muss man wissen, was man hostet. Eine typische Inventarliste für KMU unterscheidet vier Familien: E-Mail-Verkehr (E-Mails, Anhänge, schriftlich ausgehandelte Verträge, Austausch mit der Treuhandfirma, teilweise zehn Jahre Historie), Arbeitsdokumente (Offerten, Verfahrensanweisungen, Präsentationen), Buchhaltung und Personalwesen (Buchungen, Lohnabrechnungen, Verträge, allenfalls medizinische Daten, sensible Daten im Sinne des Gesetzes) sowie die Kundendatei (Kontaktdaten, Kaufhistorie, kommerzielle Notizen, manchmal Bankdaten), der Rohstoff des Umsatzes.

Ein Online-Shop fügt seine eigenen Datenbestände hinzu. Eine Datenschutzerklärung eines Schweizer Shops zeigt, was bei der blossen Erstellung eines Kundenkontos erhoben wird: Vor- und Nachname, Postadresse, Geburtsdatum, Telefonnummer, E-Mail-Adresse und Passwort. Hinzu kommen die bei jedem Besuch erfassten Server-Logs — IP-Adresse, Name des Internetproviders, Datum und Uhrzeit, Herkunfts-URL, abgerufene Datei, Statuscode, Betriebssystem, Browser —, die in diesem Beispiel maximal 24 Monate aufbewahrt werden.

Der kritische Punkt ist nicht die Liste, sondern ihre Zersplitterung. Jedes Abonnement, das mit drei Klicks abgeschlossen wird, fügt einen Speicherort hinzu, den die Geschäftsleitung nicht sieht: Newsletter-Tool, Werbenetzwerk, Zahlungslösung, Ticket-System, Plugin zur Analyse der Besucherzahlen. Die klassischen blinden Flecken: kostenlose Tools, die ein Mitarbeiter zur Notfalllösung eröffnet hat, Backups, von denen niemand weiss, wohin sie gehen, Konten, die nach einem Austritt nie geschlossen wurden. Ohne diese Karte hat kein Vergleich von Hosting-Anbietern Sinn: Man weiss nicht, was man verschiebt.

Hosting in der Schweiz bedeutet nicht immer schweizerische Souveränität

Zwei Begriffe werden systematisch verwechselt. Die Datenresidenz bezeichnet den Ort, an dem sie physisch gespeichert sind. Die Souveränität bezeichnet, wer sie rechtmässig fordern kann. Ein Anbieter kann das erste Kästchen ankreuzen und beim zweiten scheitern: Das verfälscht die meisten Hosting-Entscheidungen.

Die amerikanischen Hyperscaler verfügen über Regionen in der Schweiz: Microsoft betreibt zwei Azure-Regionen (Zürich und Genf), AWS seit 2022 eine Region in Zürich, Google Cloud ebenfalls eine Region in Zürich. Ein Shop kann also Daten als «in der Schweiz gehostet» ausweisen, während er Kunde von Betreibern unter amerikanischer Kontrolle ist. Das Argument der Lokalisierung endet dort, wo das Recht beginnt.

Der amerikanische CLOUD Act hat extraterritoriale Reichweite: Er ermöglicht es den Behörden der Vereinigten Staaten, von einem Unternehmen unter amerikanischer Kontrolle die Herausgabe von Daten zu verlangen, unabhängig davon, wo diese gespeichert sind. Ein Rechenzentrum in Zürich, das von einer amerikanischen Gesellschaft betrieben wird, bleibt diesem Gesetz unterworfen. Eine dem Thema gewidmete Analyse berichtet, dass der Rechtsdirektor von Microsoft Frankreich vor dem Senat unter Eid anerkannt hat, dass das Unternehmen nicht garantieren kann, dass europäische Daten einer amerikanischen Anforderung entgehen.

Das typische Beispiel, das diese Analyse beschreibt, ist das einer Genfer Treuhandfirma, die ihre Kundenbuchhaltung nach Azure Schweiz migriert und sich mit dem Hinweis «Daten in Zürich gehostet» beruhigt: Auf dem Papier ist alles in Ordnung, in der Praxis bleiben diese Akten für eine amerikanische Behörde zugänglich, ohne dass die Treuhandfirma oder die schweizerische Einheit des Anbieters sich dagegen wehren könnte. Für einen Shop lautet die Frage also nicht nur «wo stehen die Server», sondern «wer kontrolliert die Gesellschaft, die sie betreibt, und welches Recht gilt für sie».

Datenresidenz ≠ Souveränität: Was jeder Begriff umfasst

Was das nDSG für eine Datenübermittlung ins Ausland ändert

Erste Klarstellung: Das neue Bundesgesetz über den Datenschutz, das am 1. September 2023 in Kraft getreten ist, schreibt kein Hosting in der Schweiz vor. Es ersetzt ein Gesetz von 1992, das untauglich geworden war, und gleicht das schweizerische Recht an die Standards der europäischen DSGVO an. Was es regelt, ist die Bekanntgabe personenbezogener Daten ins Ausland.

Eine Übermittlung ins Ausland ist nur zulässig, wenn der Zielstaat einen angemessenen Schutz gewährleistet. Der Bundesrat führt die Liste dieser Länder in Anhang 1 der Datenschutzverordnung; die Mitglieder der Europäischen Union sind darin enthalten. In ein Land, das nicht darauf steht, muss der Exporteur anerkannte Garantien schaffen.

Der Fall der Vereinigten Staaten verdient eine Präzisierung: Sie erscheinen auf der Liste der angemessenen Ziele, aber nur für amerikanische Unternehmen, die im Rahmen der Schweiz-USA-Übermittlung zertifiziert sind. Dieser Rahmen existiert und ist nützlich, setzt aber voraus, dass man anbieterweise prüft, ob die Einheit, die den Shop tatsächlich hostet, gedeckt ist — nicht nur die Muttergesellschaft, die den Vertrag unterschreibt.

Die Übermittlung ist nur ein Aspekt. Das Gesetz stützt sich auf Prinzipien — Transparenz, informierte Einwilligung, Datenminimierung, Recht auf Vergessenwerden, Portabilität, Sicherheit, Verantwortung —, die sich auch auf die Verwaltung, Nutzung, Speicherung und Löschung von Daten beziehen. Das Hosting im Ausland ändert nichts an diesen Pflichten, und Personen, deren Rechte verletzt werden, können gerichtlich vorgehen. Ein Shop muss also in der Lage sein, eine Kundendaten auch dann wiederzufinden, zu exportieren und zu löschen, wenn sie bei mehreren Subunternehmern verteilt sind.

Orientierungspunkte: Vom DSG 1992 zur europäischen Anerkennung 2024

Konkrete Folgen eines Hostings im Ausland für den Shop

Die im Ausland gehosteten Daten bleiben nach den Gesetzen des Landes zugänglich, in dem sich der Server befindet. Ein Anbieter kann «DSGVO-konform» ausweisen: Das hindert die Behörden seines Herkunftslandes nicht daran, Zugang zu den von ihm gespeicherten Daten zu verlangen. Das ist die Mechanik des CLOUD Act, der es den amerikanischen Behörden erlaubt, von einem amerikanischen Unternehmen den Zugang zu Daten zu verlangen, unabhängig davon, wo sie gehostet sind, einschliesslich in einem Rechenzentrum in der Schweiz.

Auf Kundenseite steigt der Arbeitsaufwand. Jede Anfrage auf Auskunft, Berichtigung oder Löschung muss fristgerecht beantwortet werden, was voraussetzt, dass man alle Orte kennt, an die die Daten kopiert wurden: Produktionsdatenbank, Backups, Marketing-Tools, Bestellhistorie. Ein ausländischer Hoster fügt bei jeder Anfrage Zwischenhändler, also Verzögerungen und Abhängigkeiten, hinzu.

Die Überwachung der Subunternehmer wird zur wiederkehrenden Aufgabe, nicht zu einer einmaligen Kontrolle bei der Unterzeichnung. Ein Jahr nach Inkrafttreten des nDSG müssen die Verantwortlichen für die Bearbeitung sicherstellen, dass sie Kontrollen bei ihren Subunternehmern durchführen. Doch ein typischer Shop hat mehrere: Hoster, Zahlungsanbieter, Transporteur, E-Mail-Marketing-Tool, Support-Service.

Bleibt das unangenehme Szenario: Anforderung oder Streitfall. Eine Anforderung einer ausländischen Behörde richtet sich an den Anbieter, nicht an das schweizerische KMU, das nicht Partei des Verfahrens ist und oft nichts entgegenhalten kann. Im Falle eines kommerziellen Konflikts mit einem im Ausland ansässigen Anbieter ändern sich die gerichtliche Zuständigkeit und die Verfahrenssprache, was sich auf die Kosten und die Dauer der Lösung auswirkt.

Was ein Hosting in der Schweiz bringt, ohne automatischen Konformitätsautomatismus

Die vorgebrachten Vorteile sind konkret und überprüfbar. Das auf die Verarbeitung anwendbare Recht ist das schweizerische Recht, und die Schweiz verfügt seit September 2023 über ein verschärftes Gesetz. Für den Austausch mit der Europäischen Union vereinfacht das Hosting in der Schweiz auch die Rückübermittlungen: Durch den Entscheid vom 26. Juli 2000 hat die Europäische Kommission anerkannt, dass das schweizerische Recht einen angemessenen Datenschutz gewährleistet, was in ihrem Bericht vom Januar 2024 bestätigt wurde.

Hinzu kommen operative Argumente, die oft von romanischen Anbietern zitiert werden: Server, die zwischen Genf und Zürich verteilt sind, ISO 27001-zertifizierte Rechenzentren, Strom aus erneuerbaren Quellen, automatische tägliche Backups, französischsprachiger technischer Support, der telefonisch erreichbar ist, Antwortzeiten von etwa 200 ms aus der Romandie und Hosting-Tarife von etwa 7 Franken pro Monat für ein Shared-Hosting-Angebot. Diese Elemente stammen von kommerziellen Seiten: Sie werden im Vertrag überprüft, nicht auf einer Verkaufsseite.

Die Nuance ist unerlässlich. Das Hosting in der Schweiz befreit weder von der Einhaltung des nDSG noch von der Dokumentation der Verarbeitungen noch von der Kontrolle der Subunternehmer — ein schweizerischer Hoster kann seinerseits Subunternehmer im Ausland für Support, Backup oder Telemetrie beiziehen. Die Wahl des Landes ist ein Baustein der Konformität, kein automatisches Zertifikat.

Den Shop in der Schweiz hosten: Angekündigte Stärken und bekannte Grenzen

Daten und Risiken sortieren, bevor man wählt oder migriert

Alles aus reflexartigem Souveränismus zurückzuholen, ist ebenso naiv wie alles liegen zu lassen, ohne sich Fragen zu stellen. Der richtige Einstieg ist nicht «Schweizer Cloud oder Hyperscaler», sondern «welche Daten, welches Risiko, welche Pflicht». Auf einen Shop angewendet, beginnt diese Sortierung damit, personenbezogene Bestelldaten (Identität, Adresse, Kaufhistorie), Zahlungsdaten, Verbindungsdaten und Logs, Schaufenster-Inhalte ohne personenbezogene Daten, Testumgebungen und Backups zu unterscheiden.

Für jede Zeile entscheiden drei Fragen: Wie sensibel sind die Daten, welche gesetzliche Pflicht betrifft sie, und welche finanziellen oder reputationsbedingten Folgen hätte ein unbefugter Zugriff? Eine Kundendatei und eine Rechnungshistorie wiegen schwerer als eine Schaufenster-Website ohne Kundenkonto oder eine Testumgebung, die mit fiktiven Daten gefüttert wird. Dieses Denken zeilenweise zu dokumentieren, ist besser als eine allgemeine Politik «alles in der Schweiz», die niemand anwendet.

Sechs Parameter ergänzen das Raster: Das Land, in dem die Server betrieben werden, das Land, in dem die Backups gespeichert werden (oft verschieden vom ersteren), die Nationalität des kontrollierenden Aktionärs des Anbieters, mögliche technische Zugriffe aus dem Ausland, vertragliche Garantien für Benachrichtigung und Audit sowie die Reversibilität. Dieser letzte Punkt wird vor der Migration getestet: In welchem Format und innerhalb welcher Frist kann man im Falle eines Anbieterwechsels die Gesamtheit der Daten, einschliesslich der Backups, wiederherstellen?

Seine Daten sortieren, bevor man einen Hoster wählt oder migriert

Fragen, die man seinem Hoster vor der Unterzeichnung stellen sollte

Standort: Wo genau befinden sich die Produktionsserver, die Backup-Server und eventuelle Notfallkopien? Diese drei Antworten können unterschiedlich ausfallen. Nationalität: Wer kontrolliert die Muttergesellschaft des Anbieters, und kann diese Gesellschaft eine Anforderung einer ausländischen Behörde erhalten? Zugriff: Welche technischen Zugriffe kann der Support aus dem Ausland öffnen, unter welchen Bedingungen und mit welcher Spur?

Subunternehmer: Die vollständige Liste der nachgelagerten Subunternehmer, mit ihrem Land und ihrer Rolle (Zahlung, E-Mail-Marketing, Support, Backup). Garantien: Klauseln zur Übermittlung, Verpflichtung zur Benachrichtigung im Falle einer behördlichen Anforderung, Audit-Recht, Sicherheitsmassnahmen, Verfahren bei Datenverletzung. Ausstieg: Exportformat, Fristen für die Rückgabe, zertifizierte Löschung am Ende des Vertrags.

Diese Fragen stellen sich nicht ein für alle Mal: Die Kontrollen bei den Subunternehmern sind eine fortlaufende Pflicht für den Verantwortlichen der Bearbeitung. In der Schweiz veröffentlicht die zuständige Behörde für Fragen des Datenschutzes und der Transparenz nützliche Informationen für KMU; an sie muss man sich wenden, wenn Zweifel an einer Vertragsklausel oder an der Zulässigkeit einer Übermittlung bestehen.

Fragen, die man seinem Hoster vor der Unterzeichnung stellen sollte

Hosting in der Schweiz oder im Ausland: Eine zu dokumentierende Entscheidung

Es gibt keine einzige Antwort. Das nDSG schreibt kein Hosting in der Schweiz vor: Es regelt die Bekanntgabe personenbezogener Daten ins Ausland und stellt die Übermittlung unter den Vorbehalt eines angemessenen Schutzes im Zielstaat oder anerkannter Garantien. Das Hosting in der Schweiz ist eine Wahl der Souveränität und der Nähe — anwendbares Recht, französischsprachiger Support, Latenz, Energie —, keine allgemeine Pflicht.

Was konstant bleibt, ist die Nachvollziehbarkeit der Entscheidung: Für jede Datenfamilie schriftlich festhalten, welcher Anbieter sie hostet, in welchem Land sich Server und Backups befinden, wer sie rechtmässig fordern kann und unter welchen Bedingungen man wegziehen kann. Dieses Dokument wird bei jedem neuen abgeschlossenen Abonnement, bei jedem Wechsel des Zahlungsanbieters oder Marketing-Tools und bei jeder Risikoanalyse aktualisiert — es ist dieses Dokument, und nicht der Hinweis «in der Schweiz gehostet», das die Konformität beweist.