Pflichten nach nDSG für Hosting und Cloud in der Schweiz

Was bedeutet das nDSG für einen Hosting- oder Cloud-Anbieter in der Schweiz

Mit nDSG ist das totalrevidierte Bundesgesetz über den Datenschutz gemeint, das am 1. September 2023 zusammen mit der neuen Datenschutzverordnung (DSV) in Kraft getreten ist. Für einen Hosting- oder Cloud-Anbieter sind die Hauptpflichten Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen, das Verzeichnis der Bearbeitungstätigkeiten, die Datenschutz-Folgenabschätzung, die Meldung von Verletzungen des Schutzes personenbezogener Daten sowie die Regeln für Übermittlungen ins Ausland.

Das DSG definiert Personendaten als alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Es definiert Bearbeiten als jeden Umgang damit, unabhängig von den angewandten Mitteln und Verfahren. Das Bearbeiten umfasst: Einsichtnahme, Abgleich, Anpassung, Archivierung, Aufbewahrung, Lesen, Offenlegung, Beschaffung, Erfassung, Sammlung, Löschung, Veröffentlichung, Strukturierung, Organisation, Speicherung, Änderung, Verbreitung, Verknüpfung, Vernichtung und Nutzung.

Dies ist die Definition, die in der Schweiz tätige Unternehmen in ihren Datenschutzerklärungen übernehmen, indem sie erklären, dass sie dem Bundesgesetz über den Datenschutz (DSG) und der Datenschutzverordnung (DSV) entsprechen.

Für einen Hosting- oder Cloud-Provider ist die Konsequenz klar: Es gibt keine «rein technische» Bearbeitung. Die Replikation eines Volumes, das nächtliche Backup, das Lesen eines Logs oder die Löschung eines Mandanten sind rechtlich ebenso relevante Vorgänge wie das Ausfüllen eines Formulars durch den Endnutzer.

Die Kategorien von Daten, die ein Infrastrukturanbieter durchlaufen sieht, sind in der Regel folgende: Browser- und Gerätedaten, Inhaltsdaten, Kommunikationsdaten, Metadaten, Nutzungsdaten. Dazu kommen: Stammdaten einschliesslich Bestands- und Kontaktdaten, Standortdaten, Transaktionsdaten, Vertragsdaten und Zahlungsdaten.

Im Bereich Hosting und Cloud fallen darunter IP-Adressen und Verbindungs-Metadaten, Authentifizierungs-Logs sowie Rechnungs- und Kontaktdaten der Ansprechpartner des Kunden. In vielen Fällen gehören auch die eigentlichen Inhalte dazu: Dateien, Datenbanken, E-Mail-Postfächer.

Ein Teil dieser Daten ist besonders schützenswert: Gewerkschaftliche, politische, religiöse oder weltanschauliche Meinungen und Aktivitäten; Gesundheitsdaten, Intimsphäre, Zugehörigkeit zu einer Ethnie oder Rasse; genetische Daten; biometrische Daten, die eine Person eindeutig identifizieren; Daten über Sanktionen oder straf- oder verwaltungsrechtliche Verfahren; Daten über Sozialhilfemassnahmen.

Diese Kategorien erhöhen das erforderliche Niveau bei technischen und organisatorischen Massnahmen, der Protokollierung und, in den vorgesehenen Fällen, bei der Bearbeitungsregelung.

Verantwortlicher, Auftragsbearbeiter oder gemeinsame Verantwortung: Wer haftet wofür

Die Qualifikation ist keine Eigenschaft des Unternehmens, sondern der einzelnen Bearbeitungstätigkeit. Schweizer Datenschutzerklärungen sagen dies explizit: Im Einzelfall kann die Bearbeitung personenbezogener Daten durch Dritte erfolgen oder es kann eine gemeinsame Verantwortung mit Dritten bestehen.

Beim Hosting und Cloud kann derselbe Anbieter somit für die vom Kunden anvertraute Infrastruktur Auftragsbearbeiter sein. Er kann unabhängiger Verantwortlicher für seine eigenen Bearbeitungen sein und mitverantwortlich für gemeinsame Tätigkeiten, beispielsweise wenn er an der Festlegung der Zwecke eines Managed Service beteiligt ist.

Ein dokumentierter Fall zeigt, wie Rollen in einem Ökosystem koexistieren. Die Plattform ePlix umfasst verschiedene Anbieter – Betreuungsgesellschaften, Banken, Versicherungsgesellschaften und Unternehmen –, die Daten und Dienstleistungen bereitstellen. Diese Anbieter können die Plattform wiederum für ihre eigenen Zwecke nutzen.

Gemäss der Datenschutzerklärung der Plattform handeln «diese Anbieter als unabhängige Verantwortliche hinsichtlich der Bearbeitung personenbezogener Daten und sind ihrerseits für die Einhaltung der Datenschutzvorschriften und die Erfüllung der Anforderungen für die zulässige Übermittlung der von den betroffenen Personen erhaltenen personenbezogenen Daten verantwortlich».

Der Betreiber der Plattform erklärt, nicht für den Datenschutz oder die Sicherheitspraktiken dieser Anbieter verantwortlich zu sein.

Für den Anbieter ist die Konsequenz eher operativ als juristisch. Wer im Auftrag des Kunden bearbeitet, schliesst den Vertrag ab und wendet ihn an, folgt den erhaltenen Weisungen, stellt die technischen und organisatorischen Massnahmen bereit und unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten.

Wer für eigene Zwecke bearbeitet – Netzwerksicherheit, Missbrauchsprävention, Fakturierung, Produktanalyse, Marketing – liefert seine eigene Datenschutzerklärung und haftet direkt. Das Verschieben von Kundendaten zu Zwecken, die nicht von den Weisungen gedeckt sind, bedeutet einen Rollenwechsel mit den daraus resultierenden Informationspflichten.

Auftragsbearbeitungsvertrag: Mindestanforderungen zwischen Provider und Kunde

Ein in der Schweiz üblicher Auftragsbearbeitungsvertrag beginnt mit der Erklärung des Zwecks des Instruments. Er muss die Pflichten im Bereich des Datenschutzes in der Beziehung zwischen Anbieter und Kunde regeln und einen angemessenen Schutz während der Übermittlung personenbezogener Daten gewährleisten.

Die terminologische Klausel verankert die Begriffe im DSG und präzisiert, dass die Vereinbarung den Parteien hilft, die Allgemeine Datenschutzverordnung (DSGVO) einzuhalten, wenn die Daten EU-Kunden betreffen. Dies ist die doppelte Verankerung, die reproduziert werden muss: Definitionen gemäss DSG und, falls erforderlich, DSGVO-Abdeckung.

Die zu regelnden Elemente sind wiederkehrend. Erstens die Beschreibung der Bearbeitung: Inhalt und Dauer des Vertragsverhältnisses, Art und Zweck der Bearbeitung ergeben sich aus den Allgemeinen Geschäftsbedingungen und einem speziellen Anhang.

Zweitens die Modalitäten des Auftrags: Der Kunde beauftragt den Anbieter formell, indem er das Bestellformular ausfüllt und das Konto erstellt.

Drittens Änderung und Widerruf: Kunden können Aufträge über das Kundenportal hinzufügen, ändern oder widerrufen, indem sie den Anbieter benachrichtigen. Anfragen, die den Service ändern und nicht in den AGB vorgesehen sind, werden als Sonderanfragen behandelt. Mündliche Aufträge müssen sofort schriftlich bestätigt oder im Portal erfasst werden.

Viertens die Pflichten des Anbieters: Die Aktivitäten intern so zu organisieren, dass die Vorschriften eingehalten werden. Er muss zudem angemessene technische und organisatorische Massnahmen ergreifen, die in einem Anhang aufgeführt sind, um den Kunden bei der Erfüllung seiner Pflichten gemäss DSG und DSGVO zu unterstützen.

Zwei Punkte sind vor der Unterzeichnung sorgfältig zu prüfen. Die Sprache und die massgebende Version: Im selben untersuchten schweizerischen Vertrag gilt im Falle von Abweichungen zwischen der deutschen und der englischen Version die deutsche Fassung.

Die Kohärenz zwischen Widerruf und Technik: Wenn der Kunde einen Auftrag über das Portal widerruft, muss der Anbieter einen Prozess haben, der den Widerruf in eine überprüfbare Aktion übersetzt.

Technische und organisatorische Massnahmen (TOM) für die Cloud-Infrastruktur

Die praktische Referenz ist der Leitfaden des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu den technischen und organisatorischen Massnahmen betreffend den Datenschutz, veröffentlicht als PDF am 23. Januar 2024.

Er illustriert Risiken und Lösungen aktueller Informationssysteme. Er legt die Hauptthemen des Datenschutzes aus der Sicht möglicher Massnahmen dar – zum Beispiel Verschlüsselung, Anonymisierung, Authentifizierung – und soll als Hilfe bei der Umsetzung angemessener Massnahmen dienen.

Ausgewiesene Adressaten sind die für Informationssysteme verantwortlichen Personen, ob technisch versiert oder nicht, die direkt mit der Verwaltung personenbezogener Daten betraut sind. Daher ist er auch für Nicht-Sicherheitsspezialisten nutzbar.

In Kontrollen für die Infrastruktur übersetzt, führt der Leitfaden dazu, unter anderem Massnahmen wie Verschlüsselung, Anonymisierung und Authentifizierung zu berücksichtigen. Für jede Kontrolle ist anzugeben, wer sie ausführt und wie nachgewiesen wird, dass sie aktiv ist.

In der Cloud muss die Aufteilung der Massnahmen geschrieben, nicht vorausgesetzt werden. Typischerweise liegen Struktur, Netzwerk, Hypervisor und Speicherverschlüsselung in der Verantwortung des Anbieters.

Dem Kunden bleiben die Konfiguration der Berechtigungen, das Identitätsmanagement, die Verschlüsselung der Daten vor dem Senden und die Wahl der Speicherstandorte.

Die Dokumentation der aktiven Massnahmen mit Version und Datum im Anhang dient dem Kunden für seine eigene Compliance-Dokumentation und dem Anbieter, wenn er einen Sicherheitsfragebogen oder eine vertragliche Überprüfung beantworten muss.

Diese Massnahmen setzen auch Artikel 7 DSG um, der den Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen einführt. Für einen Cloud-Service bedeutet dies, bereits in der Designphase die technischen und organisatorischen Massnahmen zu entscheiden, die die Anwendung der DSG-Prinzipien ermöglichen.

Artikel 12 DSG verpflichtet Verantwortliche und Auftragsbearbeiter, also auch den Anbieter, ein Verzeichnis aller Bearbeitungstätigkeiten zu führen, das stets aktuell ist. Die Verordnung sieht Ausnahmen für Unternehmen mit weniger als 250 Mitarbeitenden vor, deren Bearbeitungen nur ein geringes Risiko für die Persönlichkeit der betroffenen Personen darstellen.

Protokollierung und Logs: Art. 4 DSV für automatisierte Bearbeitungen

Die Pflicht ist weit formuliert und betrifft den Anbieter direkt. Gemäss Artikel 4 DSV müssen der private Verantwortliche für die Bearbeitung und sein privater Auftragsbearbeiter bei automatisierter Bearbeitung personenbezogener Daten bestimmte Vorgänge protokollieren.

Es handelt sich um die Erfassung, Änderung, Einsichtnahme, Bekanntgabe, Löschung und Vernichtung von Daten. Es ist also nicht nur eine Pflicht des Kunden. Der private Auftragsbearbeiter – also der Anbieter, der im Drittauftrag bearbeitet – ist neben dem Verantwortlichen Adressat dieser Pflicht.

Die technischen Empfehlungen des EDÖB zur Protokollierung gemäss Artikel 4 DSV wurden am 20. Dezember 2023 als PDF veröffentlicht. Sie sollen einen Überblick darüber geben, was die Protokollierung umfasst, und welche technischen Massnahmen zur Erfüllung des Artikels erforderlich sind.

Wenn die Spuren im Auftrag des Kunden aufbewahrt werden, muss der Vertrag festlegen, wie der Kunde darauf zugreift und wie lange sie verfügbar bleiben.

Bearbeitungsregelung: Wann die Cloud sie formalisieren muss

Die Bedingung wird vom EDÖB angegeben. Der private Verantwortliche für die Bearbeitung und sein privater Auftragsbearbeiter (vgl. Art. 5 DSV) legen eine Bearbeitungsregelung für automatisierte Bearbeitungen fest, wenn sie in grossem Umfang besonders schützenswerte personenbezogene Daten bearbeiten.

Dasselbe gilt, wenn sie eine Profilierung mit hohem Risiko durchführen. Es sind zwei alternative Wege: Qualität und Volumen der Daten einerseits, Profilierung mit hohem Risiko andererseits.

Für Hosting und Cloud trifft häufiger das erste Kriterium zu, da die Bearbeitung per Definition automatisiert ist und die entscheidende Variable die Skala in Kombination mit der Sensibilität wird.

Ein Anbieter, der für zahlreiche Kunden Gesundheitsdaten, biometrische oder genetische Daten, Informationen über straf- oder verwaltungsrechtliche Verfahren hostet, nähert sich der Schwelle von «grossem Umfang». Dasselbe gilt, wenn er HR-Plattformen für mehrere Organisationen verwaltet.

Das zweite Kriterium betrifft die eigenen Bearbeitungen des Anbieters, beispielsweise Profilierungen, die zu Sicherheitszwecken oder für interne Produkte durchgeführt werden.

Das Instrument existiert: Der EDÖB veröffentlicht die Anweisungen zur Erstellung einer Bearbeitungsregelung für Private, mit einer Vorlage im Word-Format (Version vom 5. Dezember 2023), und separate Anweisungen für Bundesorgane.

Da die Bestimmung Verantwortliche und Auftragsbearbeiter gemeinsam nennt, muss die Regelung mit dem Kunden erstellt werden. Der Verantwortliche beschreibt darin auch die dem Anbieter anvertraute Bearbeitung und die begleitenden Massnahmen. Der Anbieter, der eigene Bearbeitungen hat, die unter die Kriterien fallen, erstellt eine eigene Regelung.

Dieselben Bearbeitungen erfordern oft eine Datenschutz-Folgenabschätzung: Private Verantwortliche müssen diese durchführen, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte mit sich bringen kann, beispielsweise bei einer umfangreichen Bearbeitung besonders schützenswerter Daten. Bei hohen Restrisiken ist die Abschätzung zur Stellungnahme beim EDÖB einzureichen.

Der Anbieter sollte ein Standard-Informationspaket vorbereiten – Systeme, Datenkategorien, Massnahmen, Unterauftragnehmer –, das er den Kunden übergibt, die die Regelung erstellen oder aktualisieren müssen.

Sicherheitsverletzungen: Meldung an den EDÖB und Information der Betroffenen

Referenz ist der Leitfaden des EDÖB zur Meldung von Verletzungen des Schutzes personenbezogener Daten, veröffentlicht als PDF am 6. Februar 2025.

Er behandelt die gesetzlichen Anforderungen für die Meldung an den EDÖB, insbesondere das Konzept des «wahrscheinlich hohen Risikos» gemäss Artikel 24 Absatz 1 DSG. Er definiert auch die Anforderungen für die Information der Betroffenen im Falle einer Verletzung des Schutzes personenbezogener Daten gemäss Artikel 24 Absatz 4 DSG.

Der Standard ist zeitlich: Die Meldung muss so schnell wie möglich beim EDÖB eingehen, nachdem der Verantwortliche die möglichen Folgen abgeklärt, die Risiken bewertet und entschieden hat, ob und wie er die betroffene Person informiert.

Die Risikobewertung obliegt dem Verantwortlichen, aber die Daten zur Bewertung hat der Anbieter. Erforderlich sind: Welche Systeme sind betroffen, welche Datenkategorien, wie viele betroffene Personen, wann ereignete sich der Vorfall, wann wurde er erkannt, welche Eindämmungsmassnahmen wurden ergriffen, welche Restauswirkungen bestehen.

Der Vertrag sollte einen jederzeit nutzbaren Kontaktkanal, eine Frist für die Kommunikation an den Kunden und das Verbot nicht mit dem Verantwortlichen koordinierter öffentlicher Kommunikationen zum Vorfall festlegen. Ohne diese Elemente ist der Kunde nicht in der Lage, seine Meldefrist einzuhalten.

Dem Anbieter obliegt auch die dokumentarische Spur des Vorfalls: Chronologie, Analyse, Massnahmen, Kommunikationen. Dies dient der Meldung und der Information der Betroffenen, aber auch der nach Artikel 4 DSV geforderten Protokollierung und für spätere Einwände des Kunden oder einer Behörde.

Ein Vorfallsregister, das für alle Fälle und nicht nur für gemeldete geführt wird, ermöglicht es, wiederkehrende Signale zu erkennen und Konfigurationen zu korrigieren, bevor der Vorfall erhebliche Ausmasse annimmt.

Übermittlungen ins Ausland, Unterauftragnehmer und Datensouveränität

Die Übermittlung in Drittstaaten ist eine zu dokumentierende Entscheidung. Eine schweizerische Datenschutzerklärung formuliert dies so: «Wir können personenbezogene Daten in Staaten übermitteln, deren Gesetzgebung keinen angemessenen Datenschutz gewährleistet, vorausgesetzt…», wodurch die Operation also von der Einhaltung von Bedingungen abhängig gemacht wird.

Die Rechtsgrundlage ist Artikel 16 DSG: Daten dürfen ins Ausland übermittelt werden, wenn der Bundesrat festgestellt hat, dass der Empfängerstaat einen angemessenen Schutz gewährleistet. Andernfalls sind Garantien erforderlich, wie die Standardvertragsklauseln der Europäischen Kommission, die vom EDÖB anerkannt sind.

In der relevanten Geographie ist zu berücksichtigen, dass der Europäische Wirtschaftsraum die EU-Mitgliedstaaten und das Fürstentum Liechtenstein umfasst. Die Europäische Kommission erkennt der schweizerischen Datenschutzgesetzgebung den Charakter eines angemessenen Schutzes zu.

Dies macht die Schweiz zu einem kompatiblen Ziel für DSGVO-pflichtige Kunden, beseitigt aber nicht die Analyse der ausgehenden Datenflüsse.

Das Thema der Souveränität wird von einigen Anbietern deutlich angesprochen. InvestGlass, das eine in der Schweiz gehostete oder On-Premise installierbare CRM-Plattform anbietet, präsentiert sein Angebot als Garantie dafür, dass sensible Daten durch schweizerische Gesetze geschützt bleiben.

Er will sie «vor ausländischen Gerichtsbarkeiten wie dem US-amerikanischen CLOUD Act schützen» und weist auf die Risiken US-amerikanischer Cloud-Anbieter hin.

Dies ist eine kommerzielle Aussage eines einzelnen Anbieters, keine Compliance-Bewertung. Der nützliche Punkt ist, dass der Datenstandort nicht das einzige Kriterium ist: Entscheidend sind auch die Gerichtsbarkeit des Anbieters und seiner Unterauftragnehmer sowie wer Zugriffsanfragen erhalten kann.

Konkret zu tun: Inventar der Unterauftragnehmer mit Sitz, Rolle und bearbeiteten Datenkategorien. Dann Klauseln zur vorherigen Genehmigung und Information bei Änderungen; Überprüfung der bei Übermittlungen in Staaten ohne angemessenen Schutz angewandten Garantien; Kohärenz zwischen den tatsächlichen Flüssen und dem, was in der dem Endkunden bereitgestellten Datenschutzerklärung angegeben ist.

Die Dokumentation der Gerichtsbarkeiten ermöglicht es, Fragen regulierter Kunden, die immer häufiger fragen, wo die Daten residieren und wer darauf zugreifen kann, zeitnah zu beantworten.

Checkliste für den Anbieter: Von der Kartierung bis zur Incident-Response

Zuerst kartieren. Liste der Bearbeitungen mit Datenkategorien, Zwecken, beteiligten Systemen, eingenommener Rolle (Verantwortlicher, Auftragsbearbeiter, Mitverantwortlicher) und Unterauftragnehmern mit deren jeweiliger Gerichtsbarkeit.

Aus dieser Karte ergeben sich die neu zu verhandelnden Verträge, die zu aktualisierenden Datenschutzerklärungen und die zu prüfenden Schwellenwerte.

Verträge und Datenschutzerklärungen. Vergleichen Sie die bestehenden AVB mit den Mindestelementen: Beschreibung von Inhalt, Dauer, Art und Zweck der Bearbeitung; Modalitäten der Beauftragung, Änderung und Widerruf.

Dann Anhang mit den technischen und organisatorischen Massnahmen; Unterstützung des Verantwortlichen; Regime der Unterauftragnehmer; Sprache und massgebende Version. Aktualisieren Sie Ihre eigene Datenschutzerklärung für die als unabhängiger Verantwortlicher durchgeführten Bearbeitungen.

Technische und organisatorische Massnahmen. Wenden Sie den EDÖB-Leitfaden an: Verschlüsselung, Anonymisierung, Authentifizierung und die anderen aufgeführten Massnahmen.

Eine schriftliche Aufteilung zwischen Anbieter und Kunde ist erforderlich, mit Nachweis, welche Massnahmen aktiv sind und seit wann.

Protokollierung. Aktivieren Sie Logs für Erfassung, Änderung, Einsichtnahme, Bekanntgabe, Löschung und Vernichtung von Daten gemäss Artikel 4 DSV.

Befolgen Sie die technischen Empfehlungen des EDÖB vom 20. Dezember 2023 zur Protokollierung gemäss Artikel 4 DSV.

Regelung. Prüfen Sie, ob die Bedingungen vorliegen: Grosser Umfang besonders schützenswerter Daten oder Profilierung mit hohem Risiko.

Falls ja, verwenden Sie die EDÖB-Anweisungen für Private und erstellen Sie das Dokument gemeinsam mit den verantwortlichen Kunden.

Vorfälle. Bereiten Sie ein Verfahren basierend auf den EDÖB-Leitlinien vom 6. Februar 2025 vor.

Es muss Folgendes vorsehen: Ständig aktiver Meldungskanal, vertragliche Frist für die Kommunikation an den Kunden, sofortige Erfassung der für die Bewertung des wahrscheinlich hohen Risikos erforderlichen Daten (Artikel 24 Absätze 1 und 4 DSG), Vorfallsregister und Aufbewahrung der Dokumentation.

Operative Prioritäten. Kartierung und Rollen zuerst, da sie alles Weitere bestimmen.

Dann AVB und technische Massnahmen; anschliessend Protokollierung und Incident-Verfahren. Schlussendlich die Steuerung von Übermittlungen und Unterauftragnehmern, die dennoch mit dem Inventar der Gerichtsbarkeiten begonnen werden muss.