Gespeichert in der Schweiz ist nur die halbe Antwort

Seit März 2018 gilt in den USA der CLOUD Act. Er verpflichtet amerikanische Anbieter bei Ermittlungen, Daten herauszugeben, auch wenn diese im Ausland liegen. «Gespeichert in der Schweiz» ist deshalb nur die halbe Antwort.

Der Speicherort ist nur eine von zwei Fragen

Bei Daten in der Cloud lohnt es sich, zwei Fragen auseinanderzuhalten. Der Speicherort sagt, wo die Server physisch stehen. Der Rechtsraum sagt, welchem Recht das Unternehmen untersteht, das den Dienst betreibt.

Die beiden Antworten können auseinanderfallen. Ein Rechenzentrum kann in Zürich stehen und trotzdem von einem Konzern mit Sitz in den USA betrieben werden. Solche Angebote gibt es: Microsoft hat im Dezember 2019 Office 365 mit Datenhaltung in Schweizer Rechenzentren lanciert. Die Ankündigung spricht von ruhenden Kundendaten und nennt Exchange Online, SharePoint Online, OneDrive for Business und Teams, nicht alle Dienste.

Der CLOUD Act reicht bis nach Zürich

Der CLOUD Act wurde im März 2018 unterzeichnet. Er hat einen neuen Paragrafen ins US-Recht eingefügt, 18 U.S.C. § 2713. Danach müssen Anbieter Daten herausgeben, die sie besitzen, verwahren oder kontrollieren, unabhängig davon, ob diese Daten in den USA oder im Ausland liegen. Das gilt für Ermittlungen der Strafverfolgung.

Die Schweizer Datenschutzbeauftragten weisen in ihrer Resolution darauf hin, dass eine solche Herausgabe ohne die Regeln der internationalen Rechtshilfe erfolgen kann. Wer auf Daten zugreifen kann, hängt also auch vom Sitz des Anbieters ab.

privatim hält solche Auslagerungen meist für unzulässig

privatim ist die Konferenz der schweizerischen Datenschutzbeauftragten. Dazu gehören die kantonalen Beauftragten, der EDÖB und mehrere Städte. Am 18. November 2025 hat die Konferenz eine Resolution verabschiedet, publiziert am 24. November.

Die Kernaussage der privatim-Resolution vom November 2025, sinngemäss und kein wörtliches Zitat. Die Resolution spricht von öffentlichen Organen; die öffentlichen Schulen habe ich ergänzt, weil sie dazu gehören.

In den Worten der Resolution: Wenn öffentliche Organe besonders schützenswerte oder geheimhaltungspflichtige Personendaten in Cloud-Software grosser internationaler Anbieter auslagern, ist das in den meisten Fällen unzulässig. Als Beispiel nennt die Resolution Microsoft 365. Möglich bleibt es, wenn die Behörde die Daten selbst verschlüsselt und der Anbieter keinen Zugang zum Schlüssel hat.

Zur Einordnung:

• Die Resolution ist eine Einschätzung der Aufsichtsbehörden, kein Gesetz. Der Kanton Thurgau liest sie vorsichtiger: nicht zwingend in jedem Fall.
• Schulen werden in der Resolution nicht ausdrücklich genannt. Im Video und auf der Folie ist das meine Übertragung: Öffentliche Schulen sind öffentliche Organe und damit erfasst, private Schulen nicht. Die Aussage im Video ist deshalb eine sinngemässe Zusammenfassung, kein wörtliches Zitat.
• Es geht um Cloud-Software grosser Anbieter, nicht um jeden internationalen Cloud-Dienst.
• Der Kanton Glarus hat sich der Resolution nicht angeschlossen.

Drei Fragen vor dem nächsten Tool

1. Wo liegen die Daten? Gilt die Zusage für alle Funktionen oder nur für einen Teil der Daten?
2. Welchem Recht untersteht der Anbieter? Wo haben der Betreiber und sein Mutterkonzern ihren Sitz?
3. Wer hält den Schlüssel? Verschlüsselt deine Organisation selbst, oder verwaltet der Anbieter die Schlüssel?

Vorab lohnt sich eine vierte Frage: Um welche Daten geht es überhaupt? Für eine Linkliste gelten andere Massstäbe als für Förderberichte oder Gesundheitsangaben.

Meine Sicht

Speicherort ist Geografie. Rechtsraum ist Politik. Wer nur nach dem Serverstandort fragt, hat deshalb erst die Hälfte geprüft.