Wichtiger als der Standort ist, dass Sie wissen, welche Daten Sie wem anvertrauen, dass ein Auftragsbearbeitungsvertrag vorliegt und dass Ihr Bearbeitungsverzeichnis stimmt. Der Standort Schweiz ist bei mehreren Anbietern wählbar und für besonders schützenswerte Daten sinnvoll, ersetzt aber keine der drei Grundlagen. Wir sind keine Anwälte; für die rechtliche Beurteilung ziehen Sie bitte eine Fachperson bei.
Was das revidierte Datenschutzgesetz verlangt
Das seit einigen Jahren geltende Schweizer Datenschutzgesetz verlangt von Unternehmen im Kern drei Dinge, die auch KMU betreffen: ein Verzeichnis der Bearbeitungstätigkeiten, Verträge mit Auftragsbearbeitern und eine Information der betroffenen Personen.
Ein Cloud-Anbieter, der Ihre Mail oder Ihre Dokumente hostet, ist ein Auftragsbearbeiter. Das bedeutet, dass ein entsprechender Vertrag bestehen muss – bei den grossen Anbietern ist er Teil der Nutzungsbedingungen und muss nicht einzeln verhandelt werden.
Das Bearbeitungsverzeichnis ist für kleine Unternehmen unter bestimmten Voraussetzungen erleichtert, aber in der Praxis ohnehin sinnvoll: Es ist die einzige Liste, die beantwortet, welche Personendaten Sie überhaupt haben.
Wann der Standort wirklich zählt
Für gewöhnliche Geschäftsdaten ist ein Rechenzentrum in Europa unproblematisch. Der Aufwand, alles zwingend in der Schweiz zu halten, steht dem Nutzen meist nicht gegenüber.
Anders sieht es bei besonders schützenswerten Personendaten aus – Gesundheitsdaten, biometrische Daten, Angaben über staatliche Massnahmen. Wer solche Daten bearbeitet, sollte den Standort bewusst wählen und dokumentieren.
Ebenfalls anders bei Berufsgeheimnisträgern. Anwaltskanzleien, Arztpraxen und Treuhandbüros unterliegen zusätzlichen Pflichten, die über das Datenschutzgesetz hinausgehen. Hier ist eine juristische Abklärung vor dem Cloud-Einsatz kein Luxus.
Mehrere Anbieter bieten inzwischen Schweizer Rechenzentren an, teils mit Aufpreis. Wo es sachlich begründet ist, ist das eine saubere Lösung.
Die praktische Liste für den Einstieg
- Welche Daten sollen in die Cloud? Eine grobe Liste genügt: Mail, Dokumente, Buchhaltung, Personaldossiers, Kundendaten.
- Welche davon sind Personendaten, welche besonders schützenswert?
- Liegt für jeden eingesetzten Dienst ein Auftragsbearbeitungsvertrag vor?
- Ist der Speicherort dokumentiert und für die betroffenen Personen einsehbar?
- Gibt es eine Regelung, wie lange Daten aufbewahrt und wann sie gelöscht werden?
Diese fünf Punkte decken den grössten Teil dessen ab, was in einer Prüfung gefragt wird. Sie sind an einem halben Tag zusammengetragen.