Microsoft, Amazon Web Services und Google betreiben Rechenzentren in Europa und teilweise auch in der Schweiz. Damit k\u00f6nnen Unternehmen ihre Daten geografisch vergleichsweise nah speichern.<\/p>\n\n\n\n
Doch beim Thema Datenschutz und Datensouver\u00e4nit\u00e4t reicht eine Frage allein nicht aus: In welchem Land steht der Server?<\/strong><\/p>\n\n\n\n Ebenso relevant ist, welches Unternehmen den Dienst betreibt, welchem Recht dieses Unternehmen unterliegt und welche weiteren Dienstleister an der Verarbeitung beteiligt sind.<\/p>\n\n\n\n Gerade bei US-amerikanischen Cloud-Anbietern spielt dabei der US CLOUD Act<\/strong> eine wichtige Rolle.<\/p>\n\n\n\n Dieser Artikel erkl\u00e4rt, warum Serverstandort und Unternehmenssitz nicht dasselbe sind, was eine viel beachtete Aussage von Microsoft vor dem franz\u00f6sischen Senat tats\u00e4chlich bedeutet und worauf Schweizer Unternehmen bei der Auswahl eines Hosting- oder Cloud-Anbieters achten sollten.<\/p>\n\n\n\n Wenn ein Cloud-Anbieter mit einem Rechenzentrum in der Schweiz oder innerhalb der Europ\u00e4ischen Union wirbt, ist diese Information durchaus relevant.<\/p>\n\n\n\n Der physische Standort beeinflusst unter anderem, wo Daten verarbeitet werden und welche Anforderungen bei grenz\u00fcberschreitenden Daten\u00fcbermittlungen ber\u00fccksichtigt werden m\u00fcssen.<\/p>\n\n\n\n Er beantwortet jedoch nicht automatisch die Frage, welchem Recht der Anbieter selbst unterliegt.<\/strong><\/p>\n\n\n\n Ein US-amerikanisches Unternehmen bleibt grunds\u00e4tzlich ein US-Unternehmen, auch wenn bestimmte Daten auf Servern in Z\u00fcrich, Frankfurt oder Paris gespeichert werden.<\/p>\n\n\n\n Le Clarifying Lawful Overseas Use of Data Act<\/strong>, kurz CLOUD Act, ist ein US-amerikanisches Gesetz aus dem Jahr 2018.<\/p>\n\n\n\n Vereinfacht gesagt k\u00f6nnen US-Beh\u00f6rden unter bestimmten rechtlichen Voraussetzungen von einem ihrer Jurisdiktion unterliegenden Anbieter die Herausgabe von Daten verlangen, die sich in dessen Besitz, Verwahrung oder Kontrolle befinden.<\/p>\n\n\n\n Dabei kann auch relevant sein, dass sich die betreffenden Daten physisch ausserhalb der Vereinigten Staaten befinden.<\/p>\n\n\n\n Das bedeutet allerdings nicht, dass US-Beh\u00f6rden jederzeit beliebig auf s\u00e4mtliche Daten eines amerikanischen Cloud-Anbieters zugreifen k\u00f6nnen. F\u00fcr entsprechende Herausgabeverlangen gelten rechtliche Verfahren, und Anbieter k\u00f6nnen bestimmte Anordnungen anfechten.<\/p>\n\n\n\n F\u00fcr Unternehmen bleibt dennoch eine wichtige Erkenntnis: Der physische Standort eines Servers allein beseitigt m\u00f6gliche rechtliche Zugriffsm\u00f6glichkeiten nicht.<\/strong><\/p>\n\n\n\n Besondere Aufmerksamkeit erhielt dieses Thema im Juni 2025 durch eine Anh\u00f6rung von Microsoft France vor einer Untersuchungskommission des franz\u00f6sischen Senats.<\/p>\n\n\n\n Am 10. Juni 2025 wurde Anton Carniaux, Director of Public and Legal Affairs bei Microsoft France, gefragt, ob er garantieren k\u00f6nne, dass die Microsoft anvertrauten Daten franz\u00f6sischer B\u00fcrger niemals aufgrund einer Anordnung der US-Regierung ohne ausdr\u00fcckliche Zustimmung der franz\u00f6sischen Beh\u00f6rden \u00fcbermittelt w\u00fcrden.<\/p>\n\n\n\n Seine Antwort lautete: Nein, eine solche absolute Garantie k\u00f6nne er nicht geben.<\/strong><\/p>\n\n\n\n Diese Aussage wurde sp\u00e4ter auch im Bericht des franz\u00f6sischen Senats zur digitalen Souver\u00e4nit\u00e4t aufgegriffen.<\/p>\n\n\n\n Wichtig ist allerdings der vollst\u00e4ndige Kontext: Microsoft erkl\u00e4rte w\u00e4hrend derselben Anh\u00f6rung, rechtlich nicht gerechtfertigte Anfragen anzufechten und Kunden soweit m\u00f6glich zu informieren. Nach Aussage von Microsoft war zu diesem Zeitpunkt kein europ\u00e4ischer Unternehmenskunde von einem solchen Fall betroffen.<\/p>\n\n\n\n Die Aussage bedeutet deshalb nicht, dass amerikanische Beh\u00f6rden automatisch oder regelm\u00e4ssig auf europ\u00e4ische Kundendaten zugreifen.<\/p>\n\n\n\n Sie zeigt aber, dass selbst ein europ\u00e4ischer Serverstandort keine absolute Garantie gegen m\u00f6gliche rechtliche Herausgabeverlangen bieten kann.<\/p>\n\n\n\n Auch Schweizer Unternehmen nutzen heute zahlreiche internationale Cloud-Dienste: Microsoft 365, Azure, Amazon Web Services, Google Cloud und viele weitere Plattformen geh\u00f6ren l\u00e4ngst zum normalen Gesch\u00e4ftsalltag.<\/p>\n\n\n\n Das ist nicht grunds\u00e4tzlich problematisch. Cloud-Dienste k\u00f6nnen erhebliche Vorteile bei Verf\u00fcgbarkeit, Skalierbarkeit, Zusammenarbeit und Sicherheit bieten.<\/p>\n\n\n\n Unternehmen sollten jedoch wissen, wo ihre Daten verarbeitet werden und welche Unternehmen daran beteiligt sind.<\/strong><\/p>\n\n\n\n Gerade bei besonders sensiblen Daten sollte die Wahl eines Dienstleisters deshalb nicht allein auf Marketingbegriffen wie \u201eSwiss Region\u201c, \u201eEU Region\u201c oder \u201eData Center Switzerland\u201c beruhen.<\/p>\n\n\n\n Das Schweizer Datenschutzgesetz verbietet nicht grunds\u00e4tzlich, Cloud-Dienste oder ausl\u00e4ndische Anbieter zu verwenden.<\/p>\n\n\n\n Unternehmen bleiben jedoch daf\u00fcr verantwortlich, Personendaten angemessen zu sch\u00fctzen und die gesetzlichen Anforderungen bei einer Bearbeitung oder Bekanntgabe von Daten ins Ausland zu beachten.<\/p>\n\n\n\n Je nach Zielland und konkreter Datenverarbeitung k\u00f6nnen daf\u00fcr zus\u00e4tzliche Garantien oder rechtliche Grundlagen erforderlich sein.<\/p>\n\n\n\n Entscheidend ist deshalb eine Betrachtung des gesamten Datenflusses:<\/p>\n\n\n\n Bei besonders sch\u00fctzenswerten Personendaten oder regulatorisch sensiblen Anwendungen sollte die konkrete Situation zus\u00e4tzlich rechtlich gepr\u00fcft werden.<\/p>\n\n\n\n Non.<\/p>\n\n\n\n Auch ein Server in Deutschland, Frankreich oder der Schweiz macht eine Website nicht automatisch datenschutzkonform.<\/p>\n\n\n\n Eine Website kann beispielsweise in einem europ\u00e4ischen Rechenzentrum betrieben werden und gleichzeitig Daten an Analyse-, Werbe-, Zahlungs- oder Cloud-Dienste in anderen L\u00e4ndern \u00fcbertragen.<\/p>\n\n\n\n Umgekehrt ist die Nutzung eines internationalen Dienstleisters nicht automatisch ein Datenschutzverstoss.<\/p>\n\n\n\n Entscheidend sind die konkrete Datenverarbeitung, die beteiligten Unternehmen, die technischen Schutzmassnahmen und die jeweils erforderlichen rechtlichen Grundlagen.<\/p>\n\n\n\n Auch an dieser Stelle m\u00f6chten wir klar unterscheiden zwischen Unternehmenssitz und Serverstandort.<\/p>\n\n\n\nServerstandort und Anbieter sind zwei verschiedene Dinge<\/h2>\n\n\n\n
Was ist der US CLOUD Act?<\/h2>\n\n\n\n
Was Microsoft 2025 vor dem franz\u00f6sischen Senat sagte<\/h2>\n\n\n\n
Warum die Aussage f\u00fcr Schweizer Unternehmen interessant ist<\/h2>\n\n\n\n
Was das Schweizer Datenschutzgesetz verlangt<\/h2>\n\n\n\n
\n
Ist europ\u00e4isches Hosting automatisch datenschutzkonform?<\/h2>\n\n\n\n
Wo befindet sich die Infrastruktur von CURIAWEB?<\/h2>\n\n\n\n