Serverstandort Schweiz bei Formularen: was er bringt und was nicht

«Unsere Daten bleiben in der Schweiz» ist eine der häufigsten und am seltensten geprüften Aussagen in der schweizerischen Softwarebeschaffung. Und es sind eigentlich drei Aussagen in einem Mantel. Ein Formular-Tool kann in einem schweizerischen Rechenzentrum laufen und dabei von einer ausländisch beherrschten Firma betrieben werden; es kann von einer tadellos schweizerischen Gesellschaft angeboten werden, die jede Antwort bei Amazon in Irland ablegt; und es kann in beiden Punkten schweizerisch sein, während Support-Team, Benachrichtigungs-E-Mails und Fehlerprotokolle Einsendungsinhalte still in vier weitere Länder tragen.

Dieser Beitrag behandelt das Warum. Wenn Sie das Wer suchen — die aktuelle Anbieterübersicht, welche Formular- und Umfrage-Tools Antwortdaten wirklich in der Schweiz speichern, mit der Dokumentation zu jeder Aussage —, dann ist das unsere Übersicht der Formular- und Umfrage-Tools mit Schweizer Hosting, geprüft im Juli 2026.

Drei Aussagen, die wie eine klingen

Fast jeder «Schweizer Hosting»-Stichpunkt fasst drei voneinander unabhängige Tatsachen zusammen. Sie zu trennen ist das Nützlichste, was Sie in einer Anbieterprüfung tun können — denn eine Anbieterin kann eine erfüllen und die anderen zwei verfehlen, ohne etwas Unwahres zu sagen.

Die dritte Zeile wird regelmässig weggelassen — und sie entscheidet über den Wert der ersten beiden. 18 U.S.C. § 2713, 2018 mit dem CLOUD Act eingeführt, verpflichtet US-Anbieter elektronischer Kommunikations- oder Remote-Computing-Dienste, Inhalte und Aufzeichnungen in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle zu sichern und offenzulegen — unabhängig davon, ob die Informationen innerhalb oder ausserhalb der Vereinigten Staaten liegen. Ein Schweizer Rechenzentrum, betrieben von einem US-beherrschten Anbieter, beantwortet also die Standortfrage und lässt die Zwangsfrage unverändert stehen.

Was Schweizer Hosting tatsächlich bringt

Ohne Fahnenschwenken bleiben vier konkrete Vorteile — und alle vier sind Geld wert.

1. Eine Auslandbekanntgabe weniger zu dokumentieren. Art. 16 nDSG erlaubt die Bekanntgabe ins Ausland, wenn der Bundesrat einen angemessenen Schutz festgestellt hat — die Liste ist Anhang 1 der Datenschutzverordnung — oder wenn sie auf einem Staatsvertrag, Standarddatenschutzklauseln oder verbindlichen Unternehmensregeln beruht; Art. 17 ergänzt enge Ausnahmen. Nichts davon ist prohibitiv, aber alles davon ist Papierarbeit, die Sie pflegen und vorlegen können müssen. Eine rein schweizerische Kette entfernt den Punkt, statt ihn zu lösen.
2. Verfahrensreibung für ausländische Behörden. Eine ausländische Behörde, die Daten bei einer schweizerischen Betreiberin will, muss in der Regel den Rechtshilfeweg nutzen: langsam, sichtbar, überprüfbar. Daten bei einem Anbieter in dessen eigener Jurisdiktion sind direkt erreichbar, oft vertraulich. Diese Differenz ist der praktische Kern von Datensouveränität.
3. Eine einfachere Antwort für regulierte Branchen. Wo das Berufsgeheimnis nach Art. 321 StGB gilt — Medizin, Anwaltschaft, Zahnmedizin, Psychologie, Apotheken —, erfasst die Pflicht auch Hilfspersonen, und dazu gehören alle, die auf Ihre Systeme zugreifen können. Eine kurze, schweizerische Bearbeitungskette macht diese Pflicht leichter einzuhalten und deutlich leichter zu erklären. Öffentliche Organe haben eine zusätzliche Ebene: Die privatim-Resolution vom November 2025 zu internationalen Cloud-Diensten hält den Einsatz von Anbietern mit ausländischem Zugriff nur in engen Fällen für zulässig — mit der bemerkenswerten Ausnahme, dass das öffentliche Organ selbst verschlüsselt und der Anbieter keinen Schlüssel hält.
4. Latenz und Sprache, ganz unglamourös. Schweizer Teilnehmende bekommen ein schnelleres Formular, und Schweizer Support heisst Vertrag, Rechnung und Eskalationsweg in Ihrer Sprache und Zeitzone. Das steht in keiner Datenschutzprüfung; im Betrieb merkt es jede und jeder.

Was es nicht bringt: Immunität. Die schweizerische Strafprozessordnung erlaubt es schweizerischen Behörden, die Herausgabe oder Beschlagnahme von in der Schweiz gehaltenen Daten anzuordnen — und ein schweizerischer Anbieter, der Ihre Einsendungen lesen kann, kann zur Herausgabe verpflichtet werden. Dieses Szenario, und was Verschlüsselung daran ändert, behandeln wir in Herausgabeersuchen, Durchsuchungsbeschlüsse und Ihre Formulardaten.

Die Nebenkanäle, die die Schweiz verlassen, während die Datenbank bleibt

Diesen Teil behandelt fast keine Anbieterseite — und genau hier verlassen in der Praxis die meisten Daten das Land. Ein Formular ist nicht bloss eine Datenbankzeile. Es ist eine Seite, die von irgendwo geladen und durch irgendwas ausgeliefert wird, mit Benachrichtigungen, Protokollen und Support-Werkzeugen daran. Jedes davon ist für sich eine mögliche Bekanntgabe ins Ausland.

• Das CDN vor dem Formular. Wird die Formularseite über ein ausländisches Content-Delivery-Netz ausgeliefert, das TLS terminiert, sieht dieses Netz die Anfrage — und je nach Konfiguration die übermittelten Inhalte. Eine schweizerische Datenbank hinter einem US-Edge-Netz ist kein schweizerischer Datenpfad.
• Benachrichtigungs-E-Mails. Mit Abstand das häufigste Leck. Eine Benachrichtigung mit den Antworten erzeugt eine unverschlüsselte Kopie der Einsendung in jedem Empfangspostfach und auf jedem Mailserver unterwegs. Liegt Ihr Postfach in einer ausländischen Cloud, liegt Ihr schweizerisch gehostetes Formular jetzt auch dort.
• Schriften, Skripte und CAPTCHAs. Eine Webschrift, ein Analytics-Schnipsel oder ein CAPTCHA von einem ausländischen Host gibt bei jedem Formularaufruf die IP-Adresse und den Seitenkontext der teilnehmenden Person an diesen Host bekannt — bevor überhaupt jemand etwas absendet.
• Fehler- und Leistungsüberwachung. Crash-Reporter und Session-Replay-Werkzeuge erfassen regelmässig Feldinhalte in ihren Datenpaketen. Ein Monitoring-Backend im Ausland ist eine Auftragsbearbeiterin mit Zugriff auf Einsendungsdaten — beabsichtigt oder nicht.
• Support- und Administrationszugriff. Wo sitzt das Support-Team, und was kann es sehen? Fernadministration eines schweizerischen Rechenzentrums aus dem Ausland setzt einen Menschen mit Zugriff ausserhalb der Jurisdiktion, obwohl die Festplatten nie umziehen.
• Backups — und die zweite Anbieterin, die Sie nicht bemerkt haben. Backups liegen manchmal in einer anderen Region als die Produktion; Zahlungsdienstleister, E-Signatur-Dienste, SMS-Gateways und KI-Funktionen oft in einem ganz anderen Land. Jede davon gehört auf die Liste der Unterauftragsbearbeiter — und an dieser Liste zerbrechen Standortaussagen üblicherweise.

Genügt EU-Hosting?

Rechtlich meist ja — und das ist die ehrliche Antwort. EU- und EWR-Staaten stehen auf der schweizerischen Angemessenheitsliste; die Daten von Schweizer Teilnehmenden in Frankfurt oder Dublin zu speichern ist eine rechtmässige Auslandbekanntgabe, die weder Standardklauseln noch eine Transfer-Folgenabschätzung erfordert. Wenn Ihre einzige Sorge die nDSG-Konformität ist, ist EU-Hosting eine vertretbare Wahl, und es gibt keinen Grund, etwas anderes zu behaupten.

Drei Situationen verschieben die Rechnung. Erstens eine Branchenschicht, die strenger ist als das Datenschutzrecht: Berufsgeheimnis, kantonale Regeln für Schulen und Spitäler, FINMA-Erwartungen an Auslagerungen, Forschungsgovernance. Zweitens die Eigentumsfrage — ein grosser Teil des EU-Hostings wird von US-beherrschten Konzernen erbracht, womit Sie wieder beim CLOUD-Act-Absatz oben sind. Drittens die Wahrnehmungsfrage, nicht juristisch, aber real: Wer ein Hinweisgeberformular oder einen Anamnesebogen ausfüllt, trifft eine Vertrauensentscheidung, und «gespeichert in Irland bei einer US-Firma» ist ein schwierigerer Satz als «gespeichert in der Schweiz». Wo der ganze Zweck des Formulars darin besteht, dass Menschen ehrlich antworten, zählt das. Den vollständigen rechtlichen Test, Land für Land, finden Sie in welche Formulardaten die Schweiz verlassen dürfen.

Was das Label «swiss hosting» zertifiziert — und was nicht

Das Label «swiss hosting», im August 2020 von Swiss Made Software gestartet, kommt einer überprüfbaren Kurzformel am nächsten. Es verlangt, dass das Unternehmen in schweizerischem Eigentum steht und seinen Sitz in der Schweiz hat, dass Anwendungen und Personen- oder Geschäftsdaten in einem Rechenzentrum in der Schweiz gehostet werden, dass Datenschutz und Sicherheit schweizerischem Recht unterstehen und dass nur die Kundschaft und schweizerische Behörden auf die Daten zugreifen dürfen. Damit deckt es alle drei oben getrennten Aussagen ab — genau deshalb ist es nützlicher als ein Fahnensymbol.

Beachten Sie, was es weiterhin nicht zertifiziert: ob die Anbieterin Ihre Inhalte technisch lesen kann. Schweizerform ist bei Infomaniak gehostet — einem unabhängigen Schweizer Unternehmen, 1994 in Genf gegründet, mehrheitlich im Besitz der Mitarbeitenden, mit Standorten in Genf und Zürich, unter anderem zertifiziert nach ISO 27001:2022. Das ist eine starke Standortgeschichte, und für sich allein würde sie den Anbieter dennoch im Vertrauensbereich lassen. Dass er es nicht ist, liegt an der Architektur, nicht an der Geografie — beschrieben auf unserer Sicherheitsseite.

Der Standort beantwortet «wer kann zwingen», nicht «wer kann lesen»

Der Satz, den es sich zu merken lohnt: Der Serverstandort sagt, welcher Staat Zugriff erzwingen kann; die Architektur sagt, was es herzugeben gibt. Fast jede Anbieterin in diesem Markt verschlüsselt Daten auf dem Transportweg und im Ruhezustand mit eigenen Schlüsseln. Das ist eine sinnvolle, echte Massnahme gegen gestohlene Hardware und falsch konfigurierte Speicher. Es ist keine Barriere gegenüber der Anbieterin, ihren Support-Werkzeugen, ihren Unterauftragsbearbeitern oder einer an sie gerichteten Anordnung — denn sie hält den Schlüssel. Den Unterschied erklärt Verschlüsselung im Ruhezustand vs. Ende-zu-Ende.

Ende-zu-Ende-Verschlüsselung verschiebt den Gegenstand der Frage. Werden Antworten im Browser der teilnehmenden Person verschlüsselt und kann nur die Person mit dem Schlüssel sie entschlüsseln, dann produziert eine Anordnung an den Anbieter Geheimtext, ein kompromittiertes Backup Geheimtext und ein Support-Engineer mit Produktivzugriff Geheimtext. Der Standort wird damit zu einer nützlichen Eigenschaft zweiter Ordnung statt zur tragenden — weshalb wir beides machen und offen sagen, dass nur das Erste das schwächere Produkt wäre.

Eine Hosting-Aussage in fünfzehn Minuten prüfen

Wann Schweizer Hosting wirklich keine Rolle spielt

Auch das gehört gesagt, denn wer jedes Formular zur Souveränitätsfrage macht, verbraucht die Glaubwürdigkeit, die er für die wirklich heiklen braucht. Eine Mittagsumfrage, eine interne Raumbuchung, eine öffentliche Anmeldung mit Name und E-Mail-Adresse, eine Zufriedenheitsbewertung ohne Identifikationsmerkmale: dafür ist ein EU-gehostetes Werkzeug, das Ihre Organisation ohnehin bezahlt, eine völlig vernünftige Antwort — und das Gegenteil zu behaupten erschwert das Gespräch an dem Tag, an dem ein wirklich sensibles Formular kommt.

Die Grenze zieht meist der Inhalt, nicht die Menge. Besonders schützenswerte Daten nach Art. 5 lit. c nDSG, alles unter einer Geheimhaltungspflicht, alles, wo die Ehrlichkeit der Antwort vom Vertrauen in den Kanal abhängt, und alles, wonach eine Aufsichtsbehörde eines Tages fragen könnte — das sind die Formulare, bei denen Standort und Architektur ihren Preis wert sind. Unsere Übersicht der Online-Formular-Tools für Schweizer Unternehmen betrachtet den Markt mit derselben Bodenhaftung.

Fazit

Stellen Sie drei Fragen statt einer. Wo liegen die Antwortdaten physisch? Wem gehört die Betreiberin, wer kontrolliert sie, und unter welchem Recht? Und kann irgendjemand ausser Ihnen eine Einsendung lesen? Das Erste ist eine Tatsache, die Sie schriftlich verifizieren können. Das Zweite eine, die im Handelsregister steht. Das Dritte entscheidet, wie viel die ersten beiden wert sind — und es ist das, was die meisten Anbieterseiten nie erwähnen.

Schweizer Hosting ist ein echter Vorteil, ehrlich benannt: weniger zu dokumentierende Transfers, Verfahrensreibung für ausländische Behörden, eine einfachere Erzählung für regulierte Branchen. Es ist keine Vertraulichkeitsgarantie — und jede Seite, die es als solche darstellt, auch die einer Konkurrentin, auch unsere, sollte man mit diesem Wissen lesen.