Microsoft, Amazon Web Services und Google betreiben Rechenzentren in Europa und teilweise auch in der Schweiz. Damit können Unternehmen ihre Daten geografisch vergleichsweise nah speichern.
Doch beim Thema Datenschutz und Datensouveränität reicht eine Frage allein nicht aus: In welchem Land steht der Server?
Ebenso relevant ist, welches Unternehmen den Dienst betreibt, welchem Recht dieses Unternehmen unterliegt und welche weiteren Dienstleister an der Verarbeitung beteiligt sind.
Gerade bei US-amerikanischen Cloud-Anbietern spielt dabei der US CLOUD Act eine wichtige Rolle.
Dieser Artikel erklärt, warum Serverstandort und Unternehmenssitz nicht dasselbe sind, was eine viel beachtete Aussage von Microsoft vor dem französischen Senat tatsächlich bedeutet und worauf Schweizer Unternehmen bei der Auswahl eines Hosting- oder Cloud-Anbieters achten sollten.
Serverstandort und Anbieter sind zwei verschiedene Dinge
Wenn ein Cloud-Anbieter mit einem Rechenzentrum in der Schweiz oder innerhalb der Europäischen Union wirbt, ist diese Information durchaus relevant.
Der physische Standort beeinflusst unter anderem, wo Daten verarbeitet werden und welche Anforderungen bei grenzüberschreitenden Datenübermittlungen berücksichtigt werden müssen.
Er beantwortet jedoch nicht automatisch die Frage, welchem Recht der Anbieter selbst unterliegt.
Ein US-amerikanisches Unternehmen bleibt grundsätzlich ein US-Unternehmen, auch wenn bestimmte Daten auf Servern in Zürich, Frankfurt oder Paris gespeichert werden.
Was ist der US CLOUD Act?
Del Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act, ist ein US-amerikanisches Gesetz aus dem Jahr 2018.
Vereinfacht gesagt können US-Behörden unter bestimmten rechtlichen Voraussetzungen von einem ihrer Jurisdiktion unterliegenden Anbieter die Herausgabe von Daten verlangen, die sich in dessen Besitz, Verwahrung oder Kontrolle befinden.
Dabei kann auch relevant sein, dass sich die betreffenden Daten physisch ausserhalb der Vereinigten Staaten befinden.
Das bedeutet allerdings nicht, dass US-Behörden jederzeit beliebig auf sämtliche Daten eines amerikanischen Cloud-Anbieters zugreifen können. Für entsprechende Herausgabeverlangen gelten rechtliche Verfahren, und Anbieter können bestimmte Anordnungen anfechten.
Für Unternehmen bleibt dennoch eine wichtige Erkenntnis: Der physische Standort eines Servers allein beseitigt mögliche rechtliche Zugriffsmöglichkeiten nicht.
Was Microsoft 2025 vor dem französischen Senat sagte
Besondere Aufmerksamkeit erhielt dieses Thema im Juni 2025 durch eine Anhörung von Microsoft France vor einer Untersuchungskommission des französischen Senats.
Am 10. Juni 2025 wurde Anton Carniaux, Director of Public and Legal Affairs bei Microsoft France, gefragt, ob er garantieren könne, dass die Microsoft anvertrauten Daten französischer Bürger niemals aufgrund einer Anordnung der US-Regierung ohne ausdrückliche Zustimmung der französischen Behörden übermittelt würden.
Seine Antwort lautete: Nein, eine solche absolute Garantie könne er nicht geben.
Diese Aussage wurde später auch im Bericht des französischen Senats zur digitalen Souveränität aufgegriffen.
Wichtig ist allerdings der vollständige Kontext: Microsoft erklärte während derselben Anhörung, rechtlich nicht gerechtfertigte Anfragen anzufechten und Kunden soweit möglich zu informieren. Nach Aussage von Microsoft war zu diesem Zeitpunkt kein europäischer Unternehmenskunde von einem solchen Fall betroffen.
Die Aussage bedeutet deshalb nicht, dass amerikanische Behörden automatisch oder regelmässig auf europäische Kundendaten zugreifen.
Sie zeigt aber, dass selbst ein europäischer Serverstandort keine absolute Garantie gegen mögliche rechtliche Herausgabeverlangen bieten kann.
Warum die Aussage für Schweizer Unternehmen interessant ist
Auch Schweizer Unternehmen nutzen heute zahlreiche internationale Cloud-Dienste: Microsoft 365, Azure, Amazon Web Services, Google Cloud und viele weitere Plattformen gehören längst zum normalen Geschäftsalltag.
Das ist nicht grundsätzlich problematisch. Cloud-Dienste können erhebliche Vorteile bei Verfügbarkeit, Skalierbarkeit, Zusammenarbeit und Sicherheit bieten.
Unternehmen sollten jedoch wissen, wo ihre Daten verarbeitet werden und welche Unternehmen daran beteiligt sind.
Gerade bei besonders sensiblen Daten sollte die Wahl eines Dienstleisters deshalb nicht allein auf Marketingbegriffen wie „Swiss Region“, „EU Region“ oder „Data Center Switzerland“ beruhen.
Was das Schweizer Datenschutzgesetz verlangt
Das Schweizer Datenschutzgesetz verbietet nicht grundsätzlich, Cloud-Dienste oder ausländische Anbieter zu verwenden.
Unternehmen bleiben jedoch dafür verantwortlich, Personendaten angemessen zu schützen und die gesetzlichen Anforderungen bei einer Bearbeitung oder Bekanntgabe von Daten ins Ausland zu beachten.
Je nach Zielland und konkreter Datenverarbeitung können dafür zusätzliche Garantien oder rechtliche Grundlagen erforderlich sein.
Entscheidend ist deshalb eine Betrachtung des gesamten Datenflusses:
- Welche Daten werden verarbeitet?
- Wo werden sie gespeichert?
- Welche Unternehmen können darauf zugreifen?
- In welchen Ländern befinden sich diese Unternehmen?
- Welche Unterauftragnehmer werden eingesetzt?
- Welche technischen Schutzmassnahmen bestehen?
- Wie werden Daten verschlüsselt?
Bei besonders schützenswerten Personendaten oder regulatorisch sensiblen Anwendungen sollte die konkrete Situation zusätzlich rechtlich geprüft werden.
Ist europäisches Hosting automatisch datenschutzkonform?
No.
Auch ein Server in Deutschland, Frankreich oder der Schweiz macht eine Website nicht automatisch datenschutzkonform.
Eine Website kann beispielsweise in einem europäischen Rechenzentrum betrieben werden und gleichzeitig Daten an Analyse-, Werbe-, Zahlungs- oder Cloud-Dienste in anderen Ländern übertragen.
Umgekehrt ist die Nutzung eines internationalen Dienstleisters nicht automatisch ein Datenschutzverstoss.
Entscheidend sind die konkrete Datenverarbeitung, die beteiligten Unternehmen, die technischen Schutzmassnahmen und die jeweils erforderlichen rechtlichen Grundlagen.
Wo befindet sich die Infrastruktur von CURIAWEB?
Auch an dieser Stelle möchten wir klar unterscheiden zwischen Unternehmenssitz und Serverstandort.
CURIAWEB ist ein Schweizer Unternehmen mit Sitz in Chur. Unsere Hosting-Infrastruktur befindet sich jedoch in professionellen Rechenzentren in Germania.
Wir betreiben deshalb aktuell kein Webhosting mit Serverstandort Schweiz und möchten auch nicht den Eindruck erwecken, dies sei der Fall.
Unsere Kunden erhalten einen Schweizer Vertragspartner und persönlichen Support aus Chur, kombiniert mit leistungsfähiger europäischer Rechenzentrums-Infrastruktur.
Weitere Informationen zu unseren Hosting-Angeboten finden Sie unter Webhosting presso CURIAWEB.
Was unterscheidet CURIAWEB von einer US-Cloud?
CURIAWEB ist kein globaler Hyperscaler und möchte auch keiner sein.
Wir bieten klassisches Webhosting, WordPress Hosting, E-Mail-Dienste, Domains und weitere Dienstleistungen rund um Websites an.
Das ist ein anderes Einsatzgebiet als beispielsweise Microsoft Azure, Amazon Web Services oder Google Cloud. Ein direkter Leistungsvergleich wäre deshalb wenig sinnvoll.
Für eine typische Unternehmenswebsite, einen Verein, ein WordPress-Projekt oder einen kleineren Online-Shop ist eine komplexe Hyperscale-Cloud häufig gar nicht erforderlich.
Hier können ein überschaubares Hosting-Angebot, persönlicher Support und eine klar definierte Infrastruktur die einfachere Lösung darstellen.
Europäischer Serverstandort bedeutet nicht völlige Unabhängigkeit
Auch bei einem europäischen Hosting-Anbieter sollte man mit Begriffen wie „vollständige digitale Souveränität“ vorsichtig umgehen.
Moderne Hosting-Infrastrukturen bestehen aus zahlreichen Komponenten: Hardware, Betriebssysteme, Netzwerkkomponenten, Software, Zertifikatsdienste, DNS, Backup-Systeme und weitere externe Dienstleistungen.
Eine absolute technische oder rechtliche Unabhängigkeit von sämtlichen ausländischen Unternehmen ist in der heutigen IT-Welt nur schwer zu erreichen.
Seriöser ist deshalb die Frage: Welche Abhängigkeiten bestehen tatsächlich und welche davon sind für meine Daten relevant?
Welche Hosting-Lösung ist die richtige?
Das hängt davon ab, welche Daten und Anwendungen betrieben werden.
Für eine normale Unternehmenswebsite sind die Anforderungen andere als für Patientendaten, Anwaltsakten, Finanzinformationen oder hochsensible Geschäftsgeheimnisse.
Bei der Auswahl eines Hosting- oder Cloud-Anbieters sollten Unternehmen deshalb mindestens folgende Punkte prüfen:
- Unternehmenssitz des Anbieters
- physischer Serverstandort
- anwendbares Recht
- eingesetzte Unterauftragnehmer
- Verschlüsselung und Zugriffsschutz
- Backup- und Sicherheitskonzept
- Support und Verantwortlichkeiten
- Anforderungen der eigenen Branche
Fazit: Nicht nur fragen, wo der Server steht
Der Standort eines Rechenzentrums ist ein wichtiger Bestandteil einer Hosting-Entscheidung. Er ist aber nicht die ganze Antwort.
Wer Datensouveränität ernst nimmt, sollte mindestens drei Fragen getrennt betrachten:
- Wo befindet sich der Server?
- Wer betreibt den Dienst?
- Welchem Recht unterliegt dieser Anbieter?
Die Anhörung von Microsoft France vor dem französischen Senat hat genau diesen Unterschied sichtbar gemacht: Ein europäischer Speicherort allein kann keine absolute Garantie dafür liefern, dass Daten niemals Gegenstand eines ausländischen Herausgabeverlangens werden.
Genauso falsch wäre allerdings die Behauptung, dass jede Nutzung einer amerikanischen Cloud automatisch unsicher oder datenschutzwidrig sei.
Die bessere Entscheidung entsteht durch Transparenz, eine realistische Risikobewertung und eine Hosting-Lösung, die tatsächlich zu den verarbeiteten Daten und zum jeweiligen Unternehmen passt.
