Der Mythos von der gesetzlich verlangten Schweizer Datenhaltung

"Unsere Kunden verlangen nach Schweizer Rechenzentren." "Die Daten müssen in der Schweiz lagern." Solche Aussagen höre ich immer wieder. Von Herstellern, von Schweizer Cloud-Anbietern, von Anwendern. Manch einer versucht sogar, das Schweizer Gesetz als Grund anzuführen. Das verlange von Unternehmen, dass sie ihre Daten auf Schweizer Boden lagern.

Stimmt das? "Es gibt in der Schweiz kein ausdrückliches Verbot, wonach Firmen Daten zur Bearbeitung nicht ins Ausland auslagern dürfen", schreibt mir der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, kurz EDÖB, in einer E-Mail.

Es gibt aber das Schweizer Datenschutzgesetz. Das gibt vor, wie man mit Personendaten umgehen muss. Es verbietet nicht per se, Personendaten im Ausland zu lagern oder zu verarbeiten. Man darf Personendaten im Ausland verarbeiten. Wenn man sicherstellen kann, dass diese Daten nach den Richtlinien des Schweizer Datenschutzgesetzes bearbeitet werden.

Konkret heisst es in Artikel 6: "Personendaten dürfen nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet."

Laut dem EDÖB müssen im Fall der fehlenden Gesetzgebung verschiedene Bedingungen erfüllt sein, wenn die Daten dennoch ins Ausland sollen. Der Schutz der Daten muss etwa durch Garantien oder einen Vertrag gewährleistet sein. Alternativ kann die betroffene Person ausdrücklich erlauben, dass ihre Daten ins Ausland übertragen und dort bearbeitet werden. In Artikel 6 stehen insgesamt sieben Ausnahmen, die es erlauben, Daten ins (unsichere) Ausland zu übermitteln. Es geht dabei wohlgemerkt immer nur um Persondaten.

Ist die angeblich geforderte Swissness von Cloud-Anwendungen also nur Marketing? Oder gibt es tatsächlich Firmen, die ihre Daten um jeden Preis in der Schweiz halten wollen? Vermutlich beides. Denn es gibt sie, solche Firmen. Das erzählte mir etwa Reto Meneghini. Ich besuchte ihn für unser Porträt in Urdorf, im Hauptsitz seiner Firma Mondaycoffee (Seite 18). Er sagte mir aber auch, dass die Angst vor den Clouds im Ausland aus den hiesigen IT-Abteilungen stamme. Geschäftsführern von Firmen sei es eigentlich egal, wo ihre Daten lägen.

Braucht es also überhaupt Schweizer Cloud-Provider? Es hängt wohl von der Branche ab. Einem Arzt, einem Anwalt oder einer Bank ist das Risiko im Ausland vermutlich zu hoch. In jedem Fall braucht es Cloud-Reseller, die den vielen Firmen da draussen die Vorteile der Cloud zeigen und ihnen mit Rat und Tat beistehen.

Ich wünsche Ihnen viel Lesevergnügen mit der September-Ausgabe!