Welche Formulardaten dürfen die Schweiz verlassen?

Die meisten Formulardaten dürfen die Schweiz rechtmässig verlassen. Im revidierten Datenschutzgesetz (nDSG, SR 235.1) steht nirgends, dass Personendaten auf Schweizer Boden gespeichert werden müssen. Geregelt ist nicht die Geografie, sondern die Voraussetzung: Bevor Antworten die Grenze überqueren, brauchen Sie entweder einen Zielstaat, den der Bundesrat als angemessen anerkannt hat, oder eine Garantie, auf die Sie sich stützen können, oder eine Ausnahme, die auf Ihren Fall passt — und in jeder Konstellation müssen Sie den Befragten mitteilen, in welchen Staat ihre Daten gelangen. Drei Sektorregime überschreiben diese Antwort vollständig, und genau dort geraten Schweizer Organisationen in der Praxis in die Klemme.

Dürfen Formulardaten die Schweiz rechtmässig verlassen?

Ja, unter Voraussetzungen. Art. 16 Abs. 1 nDSG lautet sinngemäss: Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das betreffende internationale Organ einen angemessenen Schutz gewährleistet. Das ist der Hauptweg. Als Bekanntgabe zählt alles, was Personendaten in den Zugriffsbereich eines Empfängers ausserhalb der Schweiz bringt — das Hochladen von Formularantworten in eine im Ausland gehostete Datenbank, ein Lesezugriff für ein ausländisches Supportteam, der Export einer Tabelle an eine Kollegin in München. Beachten Sie die eine Ausnahme in Art. 18 nDSG: Werden Daten über einen automatisierten Informations- und Kommunikationsdienst einer breiten Öffentlichkeit zugänglich gemacht, gilt das nicht schon deshalb als Bekanntgabe ins Ausland, weil die Seite aus anderen Staaten abrufbar ist. Das deckt Ihre öffentliche Formularseite. Es deckt die Antworten nicht. Dieser Beitrag ist das operative Gegenstück zu unserem Positionierungstext über Schweizer Datensouveränität: Dort geht es darum, weshalb Daten in der Schweiz einen Wert haben, hier darum, was das Recht verlangt, wenn sie eben nicht in der Schweiz bleiben.

Der Dreistufentest: Angemessenheit, Garantien, Ausnahmen

1. Angemessenheit (Art. 16 Abs. 1). Der Bundesrat führt in Anhang 1 DSV eine Liste der Staaten und Organe mit angemessenem Schutz. Steht Ihr Zielstaat darauf, brauchen Sie kein zusätzliches Übermittlungsinstrument — die ordentlichen Pflichten bleiben: ein Vertrag zur Auftragsbearbeitung nach Art. 9 (der Auftragsverarbeitungsvertrag, AVV), ein Bearbeitungsverzeichnis, Sicherheitsmassnahmen und die Information nach Art. 19 Abs. 4.
2. Geeignete Garantien (Art. 16 Abs. 2). Fehlt eine Feststellung des Bundesrates, ist die Bekanntgabe zulässig, wenn ein angemessener Schutz gewährleistet wird durch: einen völkerrechtlichen Vertrag; Datenschutzklauseln in einem Vertrag, die dem EDÖB vorgängig mitgeteilt wurden; spezifische Garantien eines Bundesorgans; vom EDÖB vorgängig genehmigte, ausgestellte oder anerkannte Standarddatenschutzklauseln; oder vorgängig genehmigte verbindliche unternehmensinterne Datenschutzvorschriften.
3. Ausnahmen (Art. 17). Sechs Tatbestände: ausdrückliche Einwilligung; unmittelbarer Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags; überwiegendes öffentliches Interesse oder Feststellung, Ausübung und Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer ausländischen Behörde; Schutz von Leben oder körperlicher Unversehrtheit; Daten, die die betroffene Person selbst allgemein zugänglich gemacht hat; oder Daten aus einem gesetzlich vorgesehenen Register. Art. 17 Abs. 2 verpflichtet Sie, den EDÖB auf Anfrage über Bekanntgaben nach einzelnen dieser Gründe zu informieren.

Die Ausnahmen sind der schwächste der drei Wege und derjenige, der am häufigsten zweckentfremdet wird. Sie sind für den Einzelfall gedacht — eine einmalige Bekanntgabe, ein bestimmter Vertrag, eine bestimmte Notlage — und nicht als dauerhafte Rechtsgrundlage für ein Umfragewerkzeug, das Sie jede Woche einsetzen. Wer „ausdrückliche Einwilligung“ in ein Architekturdiagramm schreibt, hat mit hoher Wahrscheinlichkeit das falsche Instrument gewählt.

Meine Befragten sind in der Schweiz — darf ich die Daten in der EU speichern?

Im Regelfall ja. Anhang 1 DSV führt in der seit dem 15. September 2024 geltenden Fassung 44 Ziele auf, darunter alle 27 EU-Mitgliedstaaten sowie Island, Liechtenstein und Norwegen. Für ein Schweizer KMU mit einer Veranstaltungsanmeldung, einem Newsletter-Abo oder einer Zufriedenheitsumfrage ohne besonders schützenswerte Daten ist ein in der EU gehostetes Formularwerkzeug mit sauberem Auftragsverarbeitungsvertrag konform. Wer Ihnen erzählt, Schweizer Daten dürften nie einen EU-Server berühren, verkauft Ihnen etwas oder hat Art. 16 Abs. 1 nicht gelesen.

Die Falle: ein EU-Server im Eigentum einer Nicht-EU-Gesellschaft

Der Satz „wir hosten in Frankfurt“ trägt genau dort nicht mehr, wo die Gesellschaft, die dieses Frankfurter Rechenzentrum betreibt, selbst einer Drittstaatenrechtsordnung untersteht, die eine Herausgabe erzwingen kann. Der EDÖB spricht das in seiner Anleitung zur Prüfung der Zulässigkeit von Datenübermittlungen ins Ausland nach Art. 16 Abs. 2 lit. b und d nDSG direkt an; sie erschien im Juni 2021 und wurde im Mai 2023 für das neue nDSG überarbeitet.

Zu beachten ist, dass ein Auftragsbearbeiter in einem Staat mit angemessenem Datenschutzniveau unter Umständen einem Gesetz oder einer anderen verbindlichen Vorgabe eines Drittstaates unterliegen kann, die ihn zur Herausgabe der Daten an die Behörden dieses Drittstaates verpflichtet … (Beispiel: Server in der Schweiz, der EU oder dem EWR, die einem Unternehmen gehören, das direkt oder indirekt der Rechtsordnung eines Staates ohne angemessenes Datenschutzniveau untersteht).

Die Folge steht im selben Dokument ausdrücklich: In dieser Konstellation gehen Sie so vor, als bestünde gar keine Angemessenheit, und schlagen den Weg über Art. 16 Abs. 2 mit einem Transfer Impact Assessment ein. Die Konformitätsfrage zu Ihrem Formularwerkzeug lautet also nicht nur „wo stehen die Server?“, sondern „welcher Rechtsordnung untersteht die betreibende Gesellschaft?“. Das sind zwei verschiedene Fragen, und wenn sie auseinanderfallen, ist nur die zweite entscheidend.

Welche Länder stehen auf der Schweizer Angemessenheitsliste?

Massgebend ist Anhang 1 DSV, und die Staatenliste ist kurz genug, um sie in einer Minute zu lesen. Die folgende Tabelle gruppiert die Ziele, die für Formularwerkzeuge relevant sind, und hält fest, was jedes von Ihnen tatsächlich verlangt. Lesen Sie die Spalte „Der Haken“ sorgfältig — mehrere Einträge sind bedingt, und einer davon ist an eine Bedingung geknüpft, die Sie pro Anbieter überprüfen müssen.

Warum Japan und Südkorea auf der EU-Liste stehen, aber nicht auf der Schweizer

Das ist die nützlichste Einzelinformation dieses Beitrags und zugleich diejenige, die in Anbieterdokumentationen am häufigsten falsch steht. Die Europäische Kommission hat einen Angemessenheitsbeschluss für Japan erlassen und am 17. Dezember 2021 einen für die Republik Korea. Keiner der beiden Staaten erscheint in Anhang 1 DSV. Die Schweiz führt ihre eigene Beurteilung nach Art. 8 DSV durch — internationale Verpflichtungen, Rechtsstaatlichkeit und Menschenrechte, die anwendbare Gesetzgebung und deren Vollzug, wirksame Rechte und Rechtsbehelfe der betroffenen Personen sowie eine funktionierende unabhängige Aufsichtsbehörde — jeweils unter Beizug des EDÖB. Die beiden Listen überschneiden sich stark, sie sind aber nicht dieselbe Liste. Ein Schweizer Exporteur, der nach Tokio übermittelt, braucht Standardvertragsklauseln und ein Transfer Impact Assessment, während ein Exporteur in München für dieselben Daten keines von beidem benötigt.

Angemessenheit ist eine widerlegbare Vermutung, keine Bewilligung

Die Anleitung des EDÖB ist deutlich, was ein Eintrag in Anhang 1 einbringt: Sie verschafft dem Exporteur den guten Glauben nach Art. 3 Abs. 1 ZGB — und guter Glaube ist nach Art. 3 Abs. 2 widerlegbar. Sie können sich nicht darauf berufen, wenn Sie wissen, dass die Angemessenheit in Ihrem konkreten Fall tatsächlich nicht besteht. Der Exporteur, so die Anleitung, bleibt in jedem Fall für den Export verantwortlich und muss sich periodisch darüber informieren, ob die Angemessenheit weiterhin gilt. Das ist eine Dauerpflicht für Sie, kein einmaliges Häkchen bei der Anbieterauswahl.

Darf ein Schweizer Unternehmen einen US-Umfrageanbieter einsetzen?

Ja, und der Weg dorthin ist kein Trick. Am 14. August 2024 beschloss der Bundesrat, die Vereinigten Staaten in Anhang 1 DSV aufzunehmen, mit Wirkung ab dem 15. September 2024. Die Angemessenheit ist eng gefasst: Sie erfasst Personendaten, die von Organisationen bearbeitet werden, die nach den Grundsätzen des Swiss-U.S. Data Privacy Framework zertifiziert sind. Sie stützt sich auf die Executive Order 14086 vom 7. Oktober 2022, die Verordnung des Justizministers zur Errichtung des Data Protection Review Court, die Intelligence Community Directive 126 sowie die Bezeichnung der Schweiz am 7. Juni 2024 als qualifizierender Staat für den zweistufigen Rechtsbehelfsmechanismus. Der EDÖB hält selbst fest, dass damit ab dem 15. September 2024 ein angemessener Datenschutz im Austausch zwischen der Schweiz und zertifizierten US-Unternehmen gewährleistet ist.

So prüfen Sie, ob Ihr Anbieter wirklich zertifiziert ist

• Schlagen Sie die juristische Einheit auf der offiziellen Data Privacy Framework List unter dataprivacyframework.gov nach — nicht auf der Marketingseite des Anbieters und nicht in einem Vergleichsblog.
• Prüfen Sie, ob der Eintrag ausdrücklich das Swiss-U.S.-Framework abdeckt. Sehr viele Organisationen sind ausschliesslich für das EU-U.S.-Framework zertifiziert. Diese Zertifizierung nützt Ihnen unter Anhang 1 DSV nichts.
• Prüfen Sie, ob der Name der Einheit mit demjenigen in Ihrem Vertrag übereinstimmt. Zertifizierungen haften an einer benannten juristischen Einheit; eine Tochtergesellschaft oder eine anders benannte Rechnungsstellungseinheit ist vom Eintrag der Muttergesellschaft nicht erfasst.
• Die Zertifizierung ist eine Selbstzertifizierung gegenüber der US International Trade Administration und muss jährlich erneuert werden. Organisationen werden bei Rückzug, ausbleibender Rezertifizierung oder anhaltender Nichteinhaltung gestrichen — setzen Sie also eine Wiedervorlage, statt den Eintrag einmalig als Bildschirmfoto abzulegen.

Was das Data Privacy Framework nicht abdeckt

Es schaltet den US CLOUD Act nicht ab, der seit dem Frühjahr 2018 in Kraft ist und Daten erfasst, die von US-kontrollierten Anbietern gehalten werden, unabhängig davon, wo auf der Welt sie liegen. Ein Anbieter kann eine Anordnung anfechten, wenn die betroffene Person weder US-Person noch dort ansässig ist und die Herausgabe ausländisches Recht verletzen würde — Art. 271 und Art. 273 StGB sind genau die Art von Konflikt, die dabei mitgedacht wird —, doch das ist ein Anfechtungsverfahren und keine Immunität, und die Schweiz hat mit den Vereinigten Staaten kein Abkommen nach dem CLOUD Act. Das Bundesamt für Justiz veröffentlichte am 17. September 2021 einen Bericht zum US CLOUD Act für alle, die die offizielle Schweizer Einordnung nachlesen wollen. Auf EU-Seite hält Art. 48 DSGVO fest, dass ein Urteil oder eine Behördenentscheidung eines Drittstaats nur auf der Grundlage einer geltenden internationalen Übereinkunft wie eines Rechtshilfeabkommens anerkennungsfähig ist; die im Juni 2025 finalisierten Leitlinien 02/2024 des EDSA betonen, dass Art. 48 selbst keine Übermittlungsgrundlage ist. Unser Beitrag über Herausgabeersuchen und Durchsuchungsbeschlüsse zeigt, wie eine solche Anordnung in der Praxis aussieht und was ein Anbieter herausgeben kann und was nicht.

Welche vertraglichen Garantien braucht es für US-Cloud-Anbieter?

Ist der Empfänger nicht DPF-zertifiziert, sind die EU-Standardvertragsklauseln das Arbeitspferd. Am 27. August 2021 anerkannte der EDÖB die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 als Grundlage für Bekanntgaben in Staaten ohne angemessenen Schutz — vorausgesetzt, die für die Anwendung unter Schweizer Recht nötigen Anpassungen und Ergänzungen werden vorgenommen. Die älteren Instrumente (die Auftragsbearbeitungsklauseln von 2010, der Schweizer Vertrag über den grenzüberschreitenden Datenfluss von 2013, der Mustervertrag des Europarats) waren nur bis zum 31. Dezember 2022 verwendbar. Art. 9 DSV zählt die zehn zwingenden Inhalte vertraglicher Datenschutzklauseln auf, von der Zweckbindung und den Kategorien von Daten und betroffenen Personen über die Zielstaaten, die Aufbewahrung, die Empfänger und die Sicherheitsmassnahmen bis zur Meldung von Verletzungen und den Rechten der betroffenen Personen. Art. 10 Abs. 2 DSV verpflichtet den EDÖB, die von ihm genehmigten, ausgestellten oder anerkannten Klauseln zu veröffentlichen und das Ergebnis einer Prüfung innert 90 Tagen mitzuteilen.

Das Transfer Impact Assessment: die vier Garantien des EDÖB

Die Standardvertragsklauseln zu unterzeichnen, ist die einfachere Hälfte. Die Anleitung des EDÖB verlangt von Ihnen die Beurteilung, ob vier Garantien im Zielstaat sinngemäss gewährleistet sind, und sie hält ausdrücklich fest, dass der Exporteur diese Abklärungen selbst vornehmen muss und sich nicht allein auf die Aussagen des Importeurs stützen darf.

1. Legalität — behördliche Zugriffe brauchen eine hinreichende gesetzliche Grundlage (Art. 5 und Art. 164 der Bundesverfassung als Schweizer Referenz).
2. Verhältnismässigkeit — Art. 5 Abs. 2 der Bundesverfassung und Art. 6 Abs. 2 nDSG.
3. Wirksame Rechtsbehelfe — Art. 13 Abs. 2 der Bundesverfassung, Art. 32 nDSG sowie Art. 8 und 13 EMRK.
4. Zugang zu einem unabhängigen Gericht — Art. 29 ff. der Bundesverfassung, Art. 32 nDSG, Art. 6 Abs. 1 EMRK.

Zwei operative Punkte aus derselben Anleitung. Erstens erfasst die Analyse das anwendbare Recht, die Verwaltungs- und Gerichtspraxis sowie die Rechtsprechung — subjektive Faktoren wie die Wahrscheinlichkeit eines Behördenzugriffs dürfen in der Regel nicht berücksichtigt werden. „Nach unseren Anmeldedaten für den Firmenanlass würde niemals jemand fragen“ ist kein Argument, das die Beurteilung kennt. Zweitens enthält die Anleitung im Anhang einen US-spezifischen Fragebogen, für die Schweiz aus dem noyb-Fragebogen adaptiert und mit Bezug auf das Schrems-II-Urteil; er deckt 50 U.S.C. § 1881a (FISA 702), die Executive Order 12333 sowie die Kontrolle durch eine US-Muttergesellschaft oder US-Aktionäre ab. Bei jeder Frage steht dem Anbieter die Antwortoption offen, dass er rechtlich zur Nichtbeantwortung verpflichtet ist — was einiges darüber aussagt, wie die Übung üblicherweise verläuft. Und wenn die Beurteilung Lücken zutage fördert, die sich nicht durch ergänzende Massnahmen ausgleichen lassen, ist die Anleitung unmissverständlich: Die Übermittlung ist unverzüglich auszusetzen oder zu beenden. Diesen Satz halten Sie sich vor Augen, wenn ein Anbieter anbietet, eine gesetzliche Zugriffsbefugnis „mit einer Klausel“ zu schliessen — ein Vertrag zwischen zwei Privaten bindet keine ausländische Behörde, und der EDÖB sagt das genau so.

Unser Unternehmen ist schweizerisch, hat aber Mitarbeitende in der EU — welches Recht gilt?

In der Regel beide Gesetze parallel. Das nDSG gilt nach Art. 3 Abs. 1 für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden — eine Schweizer Arbeitgeberin, die Personaldaten aus Formularen bearbeitet, untersteht dem nDSG unabhängig vom Serverstandort. Die DSGVO gilt nach ihren eigenen räumlichen Regeln, wenn Sie eine Niederlassung in der EU haben oder dort Waren und Dienstleistungen anbieten oder Verhalten beobachten. Die beiden Regime stehen nahe genug beieinander, dass ein sauber gebauter Formularprozess beide erfüllt; die praktische Überschneidung gehen wir in DSGVO vs. nDSG für Formulardaten durch.

Wir haben Kundschaft in Deutschland, Frankreich und der Schweiz — welchem Recht folgen wir?

Bauen Sie themenweise auf die jeweils strengere Anforderung, statt sich für ein einziges Regime zu entscheiden. In der Praxis heisst das: Dokumentation der Rechtsgrundlagen und Bearbeitung von Betroffenenanfragen auf DSGVO-Niveau, dazu die Schweizer Besonderheiten ohne DSGVO-Gegenstück — am deutlichsten die Pflicht nach Art. 19 Abs. 4, Zielstaat und Garantie zu nennen. Den Vergleich Bestimmung für Bestimmung finden Sie in nDSG vs. DSGVO: die wichtigsten Bestimmungen. Beachten Sie zudem Art. 14 nDSG: Eine ausländische private Verantwortliche muss nur dann eine Vertretung in der Schweiz bezeichnen, wenn vier Voraussetzungen kumulativ erfüllt sind — Angebot von Waren oder Dienstleistungen in der Schweiz oder Beobachtung von Verhalten in der Schweiz, umfangreich, regelmässig und mit hohem Risiko für die Persönlichkeit der betroffenen Personen. Viele ausländische Anbieter nehmen an, sie bräuchten eine, und brauchen keine; einige nehmen das Gegenteil an und liegen ebenso falsch.

Wann Sektorvorschriften die Angemessenheitsantwort überschreiben

Diesen Teil überspringen die meisten Checklisten zur Auslandsbekanntgabe. Art. 9 Abs. 1 lit. b nDSG erlaubt die Übertragung der Bearbeitung an einen Auftragsbearbeiter nur, wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht sie verbietet — und Art. 9 Abs. 3 verlangt die vorgängige Zustimmung der Verantwortlichen für Unterauftragsbearbeiter. Diese Bestimmung ist der Haken, an dem ein Berufsgeheimnis, ein Aufsichtsrundschreiben oder ein Forschungsgesetz eine Angemessenheitsfeststellung vollständig aushebeln kann. Anhang 1 sagt Ja; die Sektorvorschrift sagt trotzdem Nein.

Art. 321 StGB — das Berufsgeheimnis

Anwältinnen, Ärzte, Zahnärztinnen, Psychologen, Apothekerinnen und ihre Hilfspersonen sind an Art. 321 StGB gebunden. Nach der herrschenden Lehre gilt ein Cloud-Anbieter als Hilfsperson im Sinne von Art. 321 Ziff. 1 Abs. 1, weshalb eine Auslagerung nicht per se eine Verletzung darstellt — der Beizug muss aber für die Leistungserbringung notwendig und für die Klientschaft voraussehbar sein, mit Weisungsrechten, Datensicherheit und Kontrolle über Unterauftragsbearbeiter. Ob die Hilfsperson in der Schweiz oder im Ausland sitzt, ist nach dieser Lesart für sich allein nicht entscheidend. Behandeln Sie das als Lehrmeinung und vertretbare Position, nicht als gesetzlichen sicheren Hafen, und holen Sie Rat ein, bevor Sie sich darauf stützen. Daneben schafft Art. 62 nDSG eine eigene Strafnorm — eine Busse bis CHF 250'000, ebenfalls auf Antrag — für die vorsätzliche Offenbarung geheimer Personendaten, von denen jemand bei der Ausübung eines Berufs Kenntnis erlangt hat, der solche Kenntnisse erfordert.

FINMA-beaufsichtigte Institute und Auslagerungen ins Ausland

Das FINMA-Rundschreiben 2018/3 zum Outsourcing bei Banken und Versicherern setzt in der Fassung vom 1. Januar 2021 eine Latte, die mit Angemessenheit nichts zu tun hat. Abschnitt G zur Auslagerung ins Ausland verlangt, dass das Institut ausdrücklich zusichern kann, dass es selbst, seine Prüfgesellschaft und die FINMA ihre Prüfungs- und Kontrollrechte ausüben und durchsetzen können und dass eine Sanierung oder Abwicklung in der Schweiz möglich bleibt, wobei die nötigen Informationen jederzeit in der Schweiz verfügbar sein müssen. Abschnitt F verlangt ein vertragliches Einsichts- und Prüfrecht, das uneingeschränkt, vollständig und jederzeit verfügbar ist. Ein Formularanbieter mit Schweizer Rechenzentrum hilft Ihnen dabei; er befreit Sie nicht davon, denn die Pflicht ist vertraglicher und organisatorischer Natur, nicht geografischer.

Forschungsdaten und Buchhaltungsunterlagen

Für die Forschung am Menschen legt das Humanforschungsgesetz (HFG, SR 810.30) eine Einwilligungs- und Ethikschicht über alles Obenstehende: Art. 32 verlangt für die Weiterverwendung genetischer Daten und biologischen Materials in identifizierender Form eine ausdrückliche, auf das konkrete Projekt bezogene Einwilligung, während Art. 33 für andere identifizierende gesundheitsbezogene Daten eine Generaleinwilligung zu Forschungszwecken zulässt — zusätzlich braucht es die Bewilligung der Ethikkommission. Was das HFG nicht tut: eine eigene Zielstaatenregel schaffen. Die Auslandsfrage richtet sich weiterhin nach Art. 16 und 17 nDSG, wobei der Status von Gesundheits-, genetischen und biometrischen Daten als besonders schützenswerte Personendaten nach Art. 5 lit. c den Einsatz erhöht, ohne den Test zu ändern. Buchhaltungsunterlagen sind der Spiegelfall und verdienen eine klare Ansage, weil die Folklore in die andere Richtung läuft. Art. 958f OR und die Geschäftsbücherverordnung (GeBüV, SR 221.431) verlangen, dass Bücher und Buchungsbelege zehn Jahre ab Ende des Geschäftsjahres aufbewahrt werden, dass elektronische Aufbewahrung Änderungen nachweisbar macht und dass die Unterlagen jederzeit lesbar sind. Das sind Verfügbarkeits- und Integritätspflichten, keine Standortregel — die GeBüV sagt nicht, dass Ihre Bücher auf Schweizer Boden liegen müssen. Sammelt Ihr Formular Spesenabrechnungen oder Rechnungsdaten, planen Sie nach der Aufbewahrungsuhr; unser Beitrag über Aufbewahrungsfristen für Formulardaten arbeitet die sich überlagernden Fristen durch.

Wann Hosting im Ausland völlig in Ordnung ist

Wir verkaufen Ende-zu-Ende-verschlüsselte Formulare, deren Einreichungen in der Schweiz gespeichert werden — nehmen Sie diesen Abschnitt also als den Teil, in dem wir gegen den eigenen Verkaufstrichter argumentieren. Es gibt eine grosse Kategorie von Schweizer Formulardaten, für die ein im Ausland gehostetes Werkzeug die richtige, konforme und günstigere Antwort ist, und alles andere zu behaupten würde das Obenstehende weniger glaubwürdig machen.

• Gewöhnliche Daten in ein Ziel im EU/EWR-Raum. Veranstaltungsanmeldungen, Newsletter-Abos, Zufriedenheitsumfragen, Kontaktformulare mit Name und E-Mail-Adresse. Anhang 1 deckt das Ziel ab; ein Auftragsverarbeitungsvertrag und eine korrekte Datenschutzerklärung decken den Rest. Es gibt keine Regel „Daten müssen in der Schweiz bleiben“, gegen die Sie verstossen könnten.
• Ein DPF-zertifizierter US-Anbieter für dieselbe Datenklasse. Ein aktueller Swiss-U.S.-Eintrag ist eine gesetzliche Grundlage nach Art. 16 Abs. 1, kein Schlupfloch. Prüfen, Wiedervorlage setzen, weiterarbeiten.
• Ein Betrieb, der bereits auf einer grossen Plattform standardisiert ist. Die EU Data Boundary von Microsoft ist eine echte technische Zusage und keine Marketingseite, und sie schliesst die Schweiz als EFTA-Staat ausdrücklich ein, mit Rechenzentren in der Schweiz unter den genutzten oder angekündigten Standorten. Die Dokumentation von Microsoft ist auch bei den Grenzen ehrlich — „begrenzte Umstände“, in denen Daten den Perimeter dennoch verlassen, systemgenerierte Protokolle, die pseudonymisiert statt beseitigt werden, entfernter DevOps-Zugriff, ein Perimeter, dessen Umfang sich nach dem Registrierungsland des Tenants richtet, und Multi-Geo-Kundschaft, die ausserhalb des Geltungsbereichs liegt. Welche einzelnen Dienste erfasst sind, legen die Produktbestimmungen fest — prüfen Sie also Ihre, statt es anzunehmen. Die Verschlüsselungsseite dieses Stapels gehen wir in Ist Microsoft Forms verschlüsselt? durch.

Wo Schweizerform nicht die richtige Antwort ist

• Wir nehmen Ihnen den Papierkram nicht ab. Auch wenn Antworten nur von der Inhaberin des Tresorschlüssels entschlüsselt werden können, schulden Sie weiterhin die Information nach Art. 19 Abs. 4, ein Bearbeitungsverzeichnis, einen Auftragsverarbeitungsvertrag und einen Aufbewahrungsentscheid. Ende-zu-Ende-Verschlüsselung beseitigt ein Vertraulichkeitsrisiko; sie beseitigt keine Pflicht.
• Wenn Ihr Ablauf verlangt, dass der Anbieter mit Klartext arbeitet, passt unsere Bauform nicht. Serverseitige Auswertung, serverseitiges Rendering in ein ausländisches Dokumentenmanagement, Weiterleitung nach Antwortinhalt oder ein vom Anbieter betriebener Helpdesk, der Einsendungen liest — Zero-Knowledge-Erfassung steht all dem entgegen. Ein Werkzeug mit starkem Auftragsverarbeitungsvertrag und dokumentiertem Transfer Impact Assessment passt dann besser.
• FINMA-beaufsichtigte Institute sollten uns nicht für sich allein als Auslagerungsantwort betrachten. Das Rundschreiben 2018/3 verlangt durchsetzbare Prüfrechte für das Institut, seine Prüfgesellschaft und die FINMA sowie garantierten Schweizer Zugang für Abwicklungszwecke. Schweizer Hosting hilft; der Rest ist eine Vertrags- und Governance-Übung.
• Wir sind eine Erfassungsschicht. Die Auslandskonformität einer klinischen Studie, eines konzernweiten Personalsystems oder eines KYC-Dossiers liegt grösstenteils hinter dem Formular. Eine verschlüsselte Erfassung repariert keinen Export, der später in Ihrem CRM stattfindet.

Warum Ende-zu-Ende-Verschlüsselung die Übermittlungsanalyse verändert

Echte Arbeit leistet Ende-zu-Ende-Verschlüsselung in der Mitte des Dreistufentests: Sie verändert, was eine Partei im Ausland tatsächlich in Händen hält. Schweizerform verschlüsselt Antworten im Browser der befragten Person; der Geheimtext liegt in der Schweiz bei Infomaniak, das öffentlich festhält, Daten ausschliesslich in der Schweiz zu hosten und zu bearbeiten, ein unabhängiges Schweizer Unternehmen zu sein, den Support in der Schweiz zu betreiben und unter anderem über ISO/IEC 27001:2022 zu verfügen. Entschlüsseln kann eine Einsendung nur, wer den Tresorschlüssel hat. Wir können sie nicht lesen, was bedeutet: Wir haben nichts Lesbares, das wir herausgeben könnten — an niemanden. Der Unterschied zu anbieterverwalteter Verschlüsselung ist das ganze Thema unseres Beitrags Verschlüsselung at Rest vs. Ende-zu-Ende.

Was der EDÖB zu BYOK und BYOE sagt

Die Anleitung des EDÖB hält ausdrücklich fest, dass vertragliche Zusätze gegen behördliche Zugriffe kaum taugen, weil sie Drittstaatenbehörden nicht binden können, und dass technische und organisatorische Massnahmen so ausgestaltet sein müssen, dass ein Behördenzugriff faktisch verhindert wird. Sie benennt dann die Form dieser Massnahmen: Für die reine Datenablage bei einem Anbieter in einem Staat ohne angemessenen Schutz sei eine Verschlüsselung denkbar, die nach den Grundsätzen „bring your own key“ und zusätzlich „bring your own encryption“ umgesetzt wird, sodass in der Cloud kein Klartext existiert und dort weder ent- noch verschlüsselt wird. Das ist die Beschreibung einer Zero-Knowledge-Architektur. Der EDSA kommt in den Empfehlungen 01/2020 zu ergänzenden Massnahmen, Fassung 2.0 vom 18. Juni 2021, zum vereinbaren Schluss: Verschlüsselung ist eine wirksame ergänzende Massnahme für die Ablage ohne Klartextzugriff, sofern sie dem Stand der Technik entspricht, fehlerfrei umgesetzt ist und die Schlüssel ausschliesslich beim Exporteur oder bei einer Stelle im EWR oder in einem angemessenen Staat bleiben.

Wovon Verschlüsselung Sie nicht befreit

Drei ehrliche Grenzen. Der EDÖB ergänzt selbst, dass solche technischen Massnahmen anspruchsvoll werden, sobald die Dienstleistung im Zielstaat über die reine Datenablage hinausgeht — dieselbe Einschränkung, die wir weiter oben beschreiben. Zweitens wird das Argument, Geheimtext bei einer Partei ohne Schlüssel sei etwas anderes als Klartext, durch den relativen Ansatz der Schweiz zur Bestimmbarkeit gestützt, den das Bundesgericht im Logistep-Entscheid (BGE 136 II 508 vom 8. September 2010) dargelegt hat: Die Bestimmbarkeit beurteilt sich nach den konkreten Umständen des Einzelfalls und nicht abstrakt. Das ist ein Argument zu Ihren Gunsten und kein Präjudiz dafür, dass verschlüsselte Daten keine Personendaten wären — das hat das Gericht nie gesagt, und Sie sollten es auch nicht so in eine Datenschutz-Folgenabschätzung schreiben. Drittens und am praktischsten: Nichts davon berührt die Informationspflicht.

Wie Sie eine Auslandsbekanntgabe in sechs Schritten dokumentieren

Fazit: Welche Formulardaten dürfen die Schweiz verlassen?

Gewöhnliche Formulardaten dürfen mit einem Auftragsverarbeitungsvertrag und einer zutreffenden Datenschutzerklärung in jedes der 44 Ziele von Anhang 1 DSV gehen — einschliesslich der gesamten EU und des EWR, des Vereinigten Königreichs und DPF-zertifizierter US-Organisationen. Daten in alle anderen Staaten brauchen Standardvertragsklauseln mit den Schweizer Anpassungen plus ein Transfer Impact Assessment, und die Ausnahmen von Art. 17 sind für Einzelfälle gedacht, nicht für Architekturen. Daten, die unter ein Berufsgeheimnis, die FINMA-Outsourcing-Regeln oder das Humanforschungsrecht fallen, unterliegen einem zweiten Test, den die Angemessenheit nicht erledigt. Und ein EU-Rechenzentrum, betrieben von einer Gesellschaft unter einer Drittstaatenrechtsordnung, verschafft Ihnen den Vorteil von Anhang 1 überhaupt nicht. Praktisch heisst das: „Wo stehen die Server?“ ist die zweite Frage, nicht die erste. Die erste lautet, wer die Gesellschaft kontrolliert, und die dritte, ob irgendjemand in der Kette eine lesbare Kopie hält. Die Daten in der Schweiz zu behalten und den Entschlüsselungsschlüssel bei sich, verkürzt alle drei Antworten gleichzeitig — die Dokumentation verkürzt es nicht, und wer Ihnen das verspricht, verkauft Ihnen das Falsche. Wenn Sie auf dieser Grundlage einen Anbieter auswählen: Unsere Übersicht der Formular- und Umfrage-Tools mit Schweizer Hosting geht die tatsächliche Datenhaltung jedes Anbieters einzeln durch.