privatim verabschiedet Resolution zu internationalen Cloud-Lösungen

Die Auslagerung von sensitiven Personendaten durch öffentliche Organe in Cloud-Lösungen internationaler Anbieter ist in den meisten Fällen unzulässig, wie privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, in der heute publizierten Resolution festhält.

Auch bei öffentlichen Organen steigt das Interesse an zur Nutzung bereit gestellter Anwendungen, sogenannter «Software-as-a-Service» («SaaS»). Öffentliche Organe tragen eine besondere Verantwortung für die Daten ihrer Bürgerinnen und Bürger. Werden Datenbearbeitungen an Dritte ausgelagert, müssen der Datenschutz und die Informationssicherheit gewährleistet bleiben. Besonderes Augenmerk liegt dabei auf besonders schützenswerten Personendaten oder solchen, die einer gesetzlichen Geheimhaltungspflicht unterstehen.

Bei global operierenden Unternehmen ist es für Schweizer Behörden schwierig, die Einhaltung der vertraglich festgehaltenen Pflichten bezüglich Datenschutzvorgaben sowie die Umsetzung der technischen Massnahmen zu kontrollieren. Die Nutzung von SaaS-Lösungen stellt damit einen erheblichen Kontrollverlust dar. Unterstehen Daten einer gesetzlichen Geheimhaltungspflicht, kann nicht jeder Dritte für die Auslagerung als Hilfsperson beigezogen werden. Der seit 2018 geltende CLOUD Act kann US-Anbieter verpflichten, Daten ihrer Kunden an US-Behörden herauszugeben, ohne die entsprechende internationale Rechtshilfe einzuhalten. Dies gilt auch für Daten, die in Schweizer Rechenzentren gespeichert sind.

Privatim hält in der Resolution als Ergebnis fest, dass die Nutzung von SaaS-Lösungen internationaler Anbieter für öffentliche Organe nur dann zulässig ist, wenn die besonders schützenswerten oder einer gesetzlichen Geheimhaltungspflicht unterstehenden Personendaten vom entsprechenden Organ selbst verschlüsselt werden. Der Cloud-Anbieter darf dabei keinen Zugang zum Schlüssel haben.

Link zur Resolution

 

Bern, 24. November 2025

 

Für Fragen stehen zur Verfügung:
Dr. iur. Dominika Blonski, Vizepräsidentin von privatim, Datenschutzbeauftragte des Kantons Zürich, datenschutz@dsb.zh.ch, 044 360 99 22
Martine Stoffel, membre du bureau de privatim, préposée cantonale à la transparence et à la protection des données du canton Fribourg, martine.stoffel@fr.ch, 079 123 58 95

Verwandte Artikel

Nutzung von Social Media Datenschutzkonforme Nutzung von Social Media durch öffentliche Organe Twitter und Facebook werden als Plattform für Veröffentlichungen und zum direkten Austausch mit Bürgerinnen und Bürgern genutzt. Mehrere Akteure
Corona-Listen: Das lässt... Warum fordert der Datenschutz bestimmte Maßnahmen? Um Beschäftigte dafür zu sensibilisieren, helfen konkrete Beispiele, die jeder kennt. Die Kritik der Datenschützer, wie etwa Gaststätten mit den Kontaktdaten
Die falsche Dramaturgie Das EU-Parlament lädt Facebook-Chef Mark Zuckerberg zur Anhörung – redet dann aber lieber selbst. So vertun die Politiker eine ebenso seltene wie wertvolle Chance. Nach etwa 40 Minuten
Stand der Revisionen der ... Aufgrund der Datenschutzrevisionen in Europa – vor allem die Modernisierung der Europarats-Konvention 108+ und der Erlass der schengen-relevanten EU-Richtlinie 2016/680 für die justizielle und polizeiliche Zusammenarbeit –
Stellungnahme zur Hamonis... Stellungnahme von privatim, der Konferenz der schweizerischen Datenschutzbeauftragten, zu den rechtlichen Herausforderungen bei der kantonsübergreifenden Harmonisierung von Datenbearbeitungen im Bildungsbereich. Für allfällige Fragen steht Ihnen der Präsident
Vernehmlassung Ziviler Na... Anhörung zur Änderung des Bundesgesetzes über die Zuständigkeiten im Bereich des zivilen Nachrichtendienstes (ZNDG) privatim begrüsst die Schaffung einer formell-gesetzlichen Grundlage für den Betrieb des ISAS. Vernehmlassungsantwort
Vernehmlassung zum Bundes... privatim begrüsst die Stossrichtung hinsichtlich der Vereinfachung des Rechtszuganges durch Bündelung des geltenden Polizeirechts – es gibt aber gleichwohl einige Punkte zu bemerken. Vernehmlassungsantwort als PDF
Nachlese: Ist das medizin...   Immer mehr Ärzte und Spitäler lagern die elektronische Verwaltung, Archivierung und Bearbeitung ihrer Patientendaten an Dritte aus.  Seit Jahren stellt sich  die Frage, ob dieses Outsourcing
Vernehmlassung zur Genehm... Vernehmlassung von privatim, der Konferenz der schweizerischen Datenschutzbeauftragten, zur «Genehmigung und Umsetzung des Haager Unterhaltsübereinkommens und -protokolls von 2007 und Bundesgesetz zur Verbesserung der nationalen Inkassohilfe bei
Facebook darf Nicht-Mitgl... Ein belgisches Gericht verbietet Facebook, Surfdaten von Nutzern zu erfassen, die keinen Account bei dem Social Network haben. Dem Unternehmen bleibt nur sehr wenig Zeit, das Urteil