DSGVO, nDSG, Cloud Act — diese drei Abkürzungen tauchen regelmässig in Diskussionen zum Datenschutz auf, oft vermischt oder verwechselt. Dabei handelt es sich um sehr unterschiedliche Rechtsrealitäten mit spezifischen Implikationen für ein Schweizer KMU. Die DSGVO stammt aus der Europäischen Union. Das nDSG ist Schweizer Recht. Der Cloud Act stammt aus den USA. Jeder hat einen eigenen Anwendungsbereich und spezifische Folgen für Ihre Daten und Ihr Hosting. Hier ist ein klarer Vergleich, damit Sie wissen, was für Sie gilt, warum und was das konkret ändert.
Die DSGVO — die europäische Verordnung, von der viele Schweizer KMU nicht wissen, dass sie für sie gilt
Was ist die DSGVO?
Die Datenschutz-Grundverordnung (DSGVO) ist im Mai 2018 in der Europäischen Union in Kraft getreten. Sie schafft einen einheitlichen Rahmen für den Schutz personenbezogener Daten von EU-Ansässigen.
Gilt sie für Schweizer KMU?
Ja — in bestimmten Fällen. Die DSGVO hat eine extraterritoriale Reichweite: Sie gilt für jede Organisation, auch ausserhalb der EU, die personenbezogene Daten von EU-Ansässigen im Rahmen eines Waren- oder Dienstleistungsangebots oder des Verhaltens-Trackings verarbeitet. Konkret gilt die DSGVO für Ihr Schweizer KMU, wenn Sie Produkte oder Dienstleistungen an Kunden in Frankreich, Deutschland oder einem anderen EU-Land verkaufen, Tracking-Cookies auf einer von der EU aus zugänglichen Website einsetzen oder Daten von Mitarbeitern verarbeiten, die in der EU wohnhaft sind — selbst wenn Ihr Unternehmen in der Schweiz ansässig ist.
Was die DSGVO verlangt
- Ausdrückliche Einwilligung für die Datenverarbeitung
- Recht auf Vergessenwerden, Auskunftsrecht und Datenübertragbarkeit für betroffene Personen
- Meldung von Datenpannen innerhalb von 72 Stunden
- Bestellung eines Datenschutzbeauftragten in bestimmten Fällen
- Auftragsverarbeitungsverträge mit allen Auftragsverarbeitern
Sanktionen
Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist.
Das nDSG — das modernisierte Schweizer Recht
Was ist das nDSG?
Das neue Datenschutzgesetz (nDSG) ist am 1. September 2023 in Kraft getreten. Es ersetzt das DSG von 1992 und modernisiert den Schweizer Rahmen, indem es sich weitgehend an den Grundsätzen der DSGVO orientiert, aber ein eigenständiges Gesetz bleibt.
Gilt es für Schweizer KMU?
Ja — für alle. Im Gegensatz zur DSGVO, die nur bei der Verarbeitung von Daten von EU-Ansässigen gilt, gilt das nDSG für jede Organisation, die personenbezogene Daten von natürlichen Personen in der Schweiz verarbeitet — unabhängig von der Grösse. Ein KMU mit drei Personen ist genauso betroffen wie ein Grossunternehmen.
Was das nDSG verlangt
- Verzeichnis von Verarbeitungstätigkeiten (für Unternehmen, die sensible Daten in grossem Umfang verarbeiten)
- Meldung von Datenpannen an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten sobald möglich
- Privacy by Design und Privacy by Default
- Strenger Rahmen für Datenübermittlungen in Drittländer
- Auftragsverarbeitungsverträge mit Auftragsverarbeitern
Wesentliche Unterschiede zur DSGVO
| Kriterium | DSGVO | nDSG |
|---|---|---|
| Anwendungsbereich | Daten von EU-Ansässigen | Daten von Personen in der Schweiz |
| Schwelle | Keine Grössenschwelle | Keine Grössenschwelle |
| DSB obligatorisch | In bestimmten Fällen | Nicht obligatorisch |
| Meldungsfrist | 72 Stunden | Sobald möglich |
| Sanktionen | Bis zu 4 % des weltweiten Umsatzes | Bis zu CHF 250'000 (strafrechtlich, natürliche Person) |
| Extraterritoriale Reichweite | Ja | Begrenzt |
Sanktionen
Das nDSG sieht Strafen von bis zu CHF 250'000 vor — diese zielen jedoch auf die verantwortlichen natürlichen Personen, nicht direkt auf Unternehmen. Das ist ein wichtiger Unterschied zur DSGVO.
Der Cloud Act — das US-Gesetz, das alle betrifft
Was ist der Cloud Act?
Der Clarifying Lawful Overseas Use of Data Act (Cloud Act) ist ein 2018 verabschiedetes US-Gesetz. Es erlaubt US-Behörden, US-Technologieunternehmen zur Herausgabe von Daten zu zwingen, die auf deren Servern gespeichert sind — auch auf Servern ausserhalb der USA.
Gilt er für Schweizer KMU?
Nicht direkt — aber indirekt, ja. Der Cloud Act gilt nicht für Schweizer Unternehmen als solche. Er gilt für US-Unternehmen. Wenn Sie jedoch US-Cloud-Dienste nutzen — AWS, Microsoft Azure, Google Cloud, Microsoft 365, Salesforce und viele andere — sind Ihre Daten potenziell für US-Behörden zugänglich, auch wenn die Server physisch in der Schweiz oder Europa stehen.
Was das konkret bedeutet
- Daten bei einem US-Provider können ohne Ihr Einverständnis an US-Behörden weitergegeben werden
- Das kann einen Konflikt mit dem nDSG und der DSGVO erzeugen, die Übermittlungen in Drittländer streng regeln
- Standardvertragsklauseln und Auftragsverarbeitungsverträge schützen nicht vor dem Cloud Act
Der Unterschied zu einem unabhängigen Schweizer Host
Ein unabhängiger Schweizer Host — nicht im Besitz eines US-Unternehmens, ohne US-Tochtergesellschaften — unterliegt nicht dem Cloud Act. Ihre Daten bleiben unter Schweizer Jurisdiktion und können nur nach massgebendem Schweizer Recht übermittelt werden.
Vergleich der drei Rechtsrahmen
| Kriterium | DSGVO | nDSG | Cloud Act |
|---|---|---|---|
| Ursprung | Europäische Union | Schweiz | Vereinigte Staaten |
| Inkrafttreten | Mai 2018 | September 2023 | April 2018 |
| Gilt für Schweizer KMU | Bei EU-Daten | Immer | Indirekt |
| Ziel | Daten schützen | Daten schützen | Zugriff für US-Behörden |
| Geografische Reichweite | Extraterritorial | Hauptsächlich Schweiz | Extraterritorial |
| Hosting-Auswirkung | Regelt Übermittlungen ausserhalb der EU | Regelt Übermittlungen ausserhalb der Schweiz | Risiko einer Übermittlung in die USA |
| Vertraglicher Schutz | Teilweise | Teilweise | Nein |
Was das für Ihr Hosting bedeutet
Falls Sie der DSGVO unterliegen
Sie müssen sicherstellen, dass Ihre Hosting-Provider angemessene Garantien für Daten von EU-Ansässigen bieten. Ein Hosting in der Schweiz ist mit der DSGVO vereinbar, wenn geeignete vertragliche Garantien vorliegen — die Schweiz wird von der Europäischen Kommission seit 2000 als angemessen anerkannt, auch wenn diese Anerkennung regelmässig überprüft wird.
Falls Sie dem nDSG unterliegen
Sie müssen dokumentieren, wo Ihre Daten liegen, welche Auftragsverarbeiter involviert sind und unter welchen Bedingungen. Ein Hosting in der Schweiz bei einem unabhängigen Schweizer Betreiber vereinfacht diese Dokumentation erheblich und reduziert Compliance-Risiken.
Falls Sie US-Cloud-Dienste nutzen
Sind Sie dem Cloud Act ausgesetzt, unabhängig vom Standort der Server. Der einzige Weg, diese Exposition zu vermeiden, besteht darin, für sensible Daten keine von US-Unternehmen betriebenen Dienste zu nutzen.
In der Praxis: was tun?
Erfassen Sie Ihre Verarbeitungstätigkeiten: Identifizieren Sie, welche Daten Sie verarbeiten, von wem sie stammen (Ansässige in der Schweiz, EU, andere) und wo sie gehostet werden. Das ist die Basis jedes Compliance-Ansatzes.
Ermitteln Sie Ihre Exposition:
- Haben Sie Kunden in Frankreich oder Deutschland? Die DSGVO gilt.
- Verarbeiten Sie Daten von Personen in der Schweiz? Das nDSG gilt.
- Nutzen Sie AWS, Azure oder Google Cloud? Der Cloud Act ist Realität.
Wählen Sie einen passenden Host: Für die sensibelsten Daten bietet ein unabhängiger Schweizer Host die einfachste Absicherung: nDSG eingehalten, DSGVO-Kompatibilität erleichtert, Cloud-Act-Exposition null.
Dokumentieren und vertraglich regeln: Unabhängig vom Host sind explizite Auftragsverarbeitungsverträge unerlässlich — sowohl für die DSGVO als auch für das nDSG.
Zusammenfassung
DSGVO, nDSG und Cloud Act sind nicht austauschbar. Für ein typisches Schweizer KMU gilt das nDSG immer, die DSGVO gilt, wenn Sie Kunden oder Mitarbeiter in der EU haben, und der Cloud Act gilt indirekt, wenn Sie US-Dienste nutzen. Die gute Nachricht: die Wahl eines unabhängigen Schweizer Hosts ist die einfachste Antwort auf diese drei Fragen gleichzeitig. Ihre Daten bleiben in der Schweiz, unter Schweizer Jurisdiktion, ausser Reichweite des Cloud Act, in einem mit dem nDSG kompatiblen Rahmen und mit erleichterter DSGVO-Konformität. Wenn Sie Ihre Situation überprüfen oder Ihre Hosting-Optionen besprechen möchten, kontaktieren Sie uns.
AlpineDC verfügt über dedizierte Räumlichkeiten in Lausanne und Crissier, mit einem autonomen Netzwerk AS198385 und Multi-Carrier-Konnektivität. Unsere Infrastrukturen befinden sich ausschliesslich in der Schweiz und werden von einem lokalen Team betrieben.