Cloud-ERP in der Schweiz: nDSG, Datenstandort und Auslandstransfer

Ein Cloud-ERP hält Artikel-, Kunden-, Lieferanten- und Personaldaten. Der Datenstandort ist eine Auswahlentscheidung: Er bestimmt die Pflichten und die Zusagen, die Sie vor der Unterschrift brauchen.

Was der Datenstandort auslöst

Das revidierte Datenschutzgesetz (DSG) schützt Personendaten natürlicher Personen (Art. 2 Abs. 1 DSG). Zum Bekanntgeben zählt auch das Zugänglichmachen (Art. 5 Bst. e DSG). Ein Fernzugriff des Supports oder einer Unterauftragsbearbeiterin aus dem Ausland ist damit eine Bekanntgabe ins Ausland, auch wenn der Server in der Schweiz steht. Eine allgemein zugängliche Veröffentlichung über automatisierte Informations- und Kommunikationsdienste gilt dagegen nicht als Bekanntgabe ins Ausland (Art. 18 DSG).

Entscheidend ist deshalb nicht nur der Standort der Festplatte, sondern die Rechtsordnung der empfangenden Organisation. Die Anleitung des EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) nennt als Beispiel ein Unternehmen mit Servern in der Schweiz, der EU oder dem EWR, das direkt oder indirekt einer staatlichen Rechtsordnung eines Staates ohne angemessenes Datenschutzniveau untersteht; solche Fälle sind gesondert zu prüfen (N01, Verfahren nach N03). Nach der Darstellung des EDÖB handelt die Cloud-Anbieterin als Auftragsbearbeiterin des Kunden; Verantwortlicher für die datenschutzkonforme Bearbeitung bleibt der Kunde. Reine Sachdaten ohne Personenbezug fallen nicht unter das DSG; die Buchführungspflichten gelten unabhängig davon.

Das DSG ist nicht zwingend das einzige anwendbare Recht: Nach der FAQ des EDÖB gilt die DSGVO der EU nicht unmittelbar in der Schweiz, kann aber ein Schweizer Unternehmen treffen, das in der EU ansässigen Personen Waren oder Dienstleistungen anbietet oder deren Verhalten beobachtet.

Datenstandort, Pflichten und Klauseln im Vergleich

Die Tabelle stellt vier Fälle den DSG-Pflichten und den Klauseln gegenüber, die Sie verlangen.

Datenstandort und Zugriff	Pflicht nach dem DSG	Klauseln, die Sie verlangen
Server und Support nur in der Schweiz, Anbieter mit Sitz in der Schweiz	Kein Auslandfall nach Art. 16 DSG; die Bearbeitung richtet sich nach Art. 9 DSG	Auftragsbearbeitungsvertrag: Bearbeitung nur nach Ihren Weisungen (Art. 9 Abs. 1 DSG), Nachweis der Datensicherheit (Art. 9 Abs. 2 DSG), Unteraufträge nur mit vorgängiger Genehmigung (Art. 9 Abs. 3 DSG; Art. 7 DSV), Protokolle getrennt vom System mindestens ein Jahr aufbewahren, soweit die Protokollierungspflicht nach Art. 4 Abs. 1 DSV greift (Art. 4 Abs. 5 DSV)
Server und Support in einem Staat mit Angemessenheitsentscheid (alle EU- und EWR-Staaten, etwa Deutschland, Frankreich oder Österreich)	Bekanntgabe nach Art. 16 Abs. 1 DSG zulässig (Anhang 1 DSV); der Eintrag ist eine widerlegbare Vermutung	Zusätzlich zum Auftragsbearbeitungsvertrag: Speicher-, Support- und Unterauftragsländer offenlegen; Weiterexport in einen Staat ohne Eintrag ausschliessen oder an Ihre Zustimmung binden
USA, empfangende Organisation ist zertifiziert	Angemessenheit nur für zertifizierte Organisationen (Anhang 1 Ziff. 44 DSV), in Kraft seit 15. September 2024	Nachweis der Zertifizierung genau dieser Organisation, auch der US-Mutter- oder Supportgesellschaft; Zertifizierung als Vertragsanhang mit Meldung bei Wegfall; Weiterexport ausschliessen
USA ohne Zertifizierung oder Staat ohne Eintrag in Anhang 1 DSV	Kein Angemessenheitsentscheid; Bekanntgabe nur mit Garantie nach Art. 16 Abs. 2 DSG oder Ausnahme nach Art. 17 DSG	Standarddatenschutzklauseln nach Art. 16 Abs. 2 Bst. d DSG oder Datenschutzklauseln im Vertrag nach Bst. b, dem EDÖB vorgängig mitgeteilt; bei unverhältnismässigen behördlichen Zugriffen technische Massnahmen, sonst Aussetzen der Bekanntgabe

Der Eintrag in Anhang 1 begründet nur eine Vermutung: Ihr Betrieb bleibt verantwortlich und muss bei konkreten Gegenhinweisen wie im Fall ohne Eintrag vorgehen; den Weiterexport beurteilen Sie gesondert (N01, N02). Lässt sich ein unverhältnismässiger behördlicher Zugriff nicht durch technische Massnahmen ausschliessen, ist die Bekanntgabe auszusetzen oder zu beenden (N05 bis N10).

Für Übermittlungen, die ausschliesslich dem DSG unterstehen, sind die anerkannten Standardklauseln in einem Anhang anzupassen: der EDÖB als Aufsichtsbehörde, der Verweis auf das DSG statt auf die DSGVO und ein Gerichtsstand in der Schweiz. Die Einzelheiten stehen in Datenbekanntgabe ins Ausland, die EU-Perspektive in Cloud-ERP und DSGVO.

Welche Klauseln Sie vom Anbieter verlangen

Pflichtpunkte der Auftragsbearbeitung nach Art. 9 DSG:

1. Weisungsbindung: Der Anbieter bearbeitet die Personendaten nur nach Ihren dokumentierten Weisungen (Art. 9 Abs. 1 DSG).
2. Datensicherheit nach Art. 8 DSG mit den Zielen Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit (Art. 2 und 3 DSV).
3. Unteraufträge nur mit vorgängiger Genehmigung (Art. 9 Abs. 3 DSG; Art. 7 DSV).

Bei einer Bekanntgabe ins Ausland ohne Angemessenheitsentscheid schreibt Art. 9 Abs. 1 DSV für die Datenschutzklauseln nach Art. 16 Abs. 2 Bst. b DSG und die spezifischen Garantien nach Bst. c zusätzlich vor:

4. Kategorien der Daten und der betroffenen Personen, Art und Zweck der Bekanntgabe und gegebenenfalls die Namen der Staaten (Art. 9 Abs. 1 Bst. b bis d DSV).
5. Aufbewahrung, Löschung und Vernichtung der Personendaten (Art. 9 Abs. 1 Bst. e DSV).
6. Meldepflicht bei einer Verletzung der Datensicherheit (Art. 9 Abs. 1 Bst. h DSV); siehe Datenpanne melden.
7. Rechte der Betroffenen, insbesondere Auskunft, Datenherausgabe, Berichtigung und Löschung (Art. 9 Abs. 1 Bst. j DSV).

Als redaktionelle Ergänzung: Protokolle getrennt vom System mindestens ein Jahr aufbewahren, soweit die Protokollierungspflicht nach Art. 4 Abs. 1 DSV greift (Art. 4 Abs. 5 DSV); am Vertragsende Rückgabe oder Löschung der Daten und eine Datenherausgabe in einem offenen Format vereinbaren (EDÖB-Checkliste Cloud-Computing); wie Sie Sicherungen zurückholen, beschreibt Wer sichert die Cloud-Daten?.

Was die Buchführung verlangt

Das Obligationenrecht (OR) verlangt eine Buchführung nach den Grundsätzen ordnungsmässiger Buchführung; zu beachten sind namentlich der Belegnachweis und die Nachprüfbarkeit (Art. 957a Abs. 2 OR). Geführt werden darf sie schriftlich, elektronisch oder vergleichbar sowie in einer Landessprache oder in Englisch (Art. 957a Abs. 5 OR).

Geschäftsbücher und Buchungsbelege sind zehn Jahre ab Ablauf des Geschäftsjahres aufzubewahren (Art. 958f Abs. 1 OR). Die Form ist frei, verlangt wird die Übereinstimmung mit den zugrunde liegenden Geschäftsvorfällen und die jederzeitige Wiederlesbarkeit (Art. 958f Abs. 3 OR). Die Geschäftsbücherverordnung (GeBüV) bindet den Datenstandort über zwei Ergebnisse: Bis zum Fristende muss eine berechtigte Person die Bücher innert angemessener Frist einsehen und prüfen können, und Personal sowie Geräte oder Hilfsmittel müssen verfügbar bleiben (Art. 6 Abs. 1 und 2 GeBüV); auf Begehren muss der Betrieb sie auch ohne Hilfsmittel lesbar machen können (Art. 6 Abs. 3 GeBüV).

Dazu kommt die Dokumentation: Organisation, Zuständigkeiten, Abläufe und Infrastruktur gehören in Arbeitsanweisungen (Art. 4 Abs. 1 GeBüV). Wer auf einem veränderbaren Träger speichert — Fest- und Wechselplatten sowie Solid-State-Speicher gelten als veränderbar —, sichert die Integrität technisch, weist den Speicherzeitpunkt unverfälschbar nach und dokumentiert die Abläufe samt Protokollen (Art. 9 Abs. 1 Bst. b und Abs. 2 GeBüV). Archivierte Daten sind zu inventarisieren und Zugriffe aufzuzeichnen (Art. 7 und 8 GeBüV).

Beispiel mit erfundenen Angaben: Eine Handels-AG mit kalenderjahrgleichem Geschäftsjahr führt ihr ERP bei einer Anbieterin mit Rechenzentren in Frankfurt und Zürich. Die Belege des Geschäftsjahres 2026 sind bis zum 31. Dezember 2036 aufzubewahren (Art. 958f Abs. 1 OR). Kündigt die Anbieterin den Dienst im Jahr 2031, muss die AG die Daten weitere fünf Jahre einsehbar und prüfbar halten und die Migration vorher einplanen; eine Kopie auf einem veränderbaren Träger ohne Integritätsschutz genügt nicht (Art. 9 Abs. 1 Bst. b GeBüV). Für die Mehrwertsteuer gilt zusätzlich die Aufbewahrung bis zur absoluten Verjährung (Art. 70 Abs. 2 Mehrwertsteuergesetz, MWSTG); die nötigen Unterlagen nennt MWST-Kontrolle der ESTV.

Seit wann die Regeln gelten

Das revidierte DSG vom 25. September 2020 gilt seit 1. September 2023; die konsolidierte Fassung trägt den Stand 7. Juli 2025, die Datenschutzverordnung den Stand 1. Dezember 2025. Der Eintrag für die Vereinigten Staaten in Anhang 1 DSV gilt seit 15. September 2024.

Der 32. Titel des OR (Art. 957 ff.) ist am 1. Januar 2013 in Kraft getreten; nach Art. 2 Abs. 1 der Übergangsbestimmungen der Änderung vom 23. Dezember 2011 gilt er erstmals für das Geschäftsjahr, das zwei Jahre später beginnt. Die GeBüV ist seit 1. Juni 2002 in Kraft (Art. 12 GeBüV).

Was bei einem Verstoss droht

Private Personen werden auf Antrag mit Busse bis 250’000 Franken bestraft, wenn sie vorsätzlich unter Verstoss gegen Art. 16 Abs. 1 und 2 DSG und ohne die Voraussetzungen des Art. 17 DSG Personendaten ins Ausland bekanntgeben (Art. 61 Bst. a DSG), die Bearbeitung einem Auftragsbearbeiter ohne die Voraussetzungen nach Art. 9 Abs. 1 und 2 DSG übergeben (Bst. b) oder die Mindestanforderungen an die Datensicherheit nach Art. 8 Abs. 3 DSG missachten (Bst. c). Alle drei Tatbestände setzen Vorsatz und einen Strafantrag voraus. Wer dagegen einer Verfügung des EDÖB oder einem Entscheid der Rechtsmittelinstanzen, die oder der unter Hinweis auf diese Strafdrohung ergangen ist, vorsätzlich nicht Folge leistet, wird mit Busse bis 250’000 Franken bestraft (Art. 63 DSG).

Wer Geschäftsbücher, Belege, Geschäftspapiere und sonstige Aufzeichnungen vorsätzlich oder fahrlässig nicht ordnungsgemäss aufbewahrt, wird mit Busse bestraft (Art. 98 Bst. e MWSTG); der Höchstbetrag beträgt CHF 10’000, soweit das Gesetz nichts anderes bestimmt (Art. 106 Abs. 1 Strafgesetzbuch, StGB).

Checkliste für Ihren Betrieb

1. Listen Sie Speicherorte, Supportzugriffe und Sitzländer der Unterauftragsbearbeiter auf.
2. Prüfen Sie je Empfängerland, ob es in Anhang 1 DSV steht und ob ein bedingter Eintrag wie der für die USA in Ihrem Fall erfüllt ist.
3. Verlangen Sie bei US-Beteiligung den Nachweis der Zertifizierung genau der Organisation, die auf Ihre Daten zugreift.
4. Regeln Sie die Auftragsbearbeitung nach Art. 9 DSG mit Weisungsbindung und Datensicherheit sowie den Meldepfad bei einer Verletzung der Datensicherheit (Art. 24 Abs. 3 DSG).
5. Vereinbaren Sie Datenherausgabe in einem offenen Format und Löschung am Vertragsende.
6. Halten Sie fest, wie die Bücher bis zum Fristende einsehbar und prüfbar bleiben (Art. 6 GeBüV).
7. Legen Sie fest, in welchen Abständen Sie nachprüfen, ob die Angemessenheit für Ihre Länder noch gilt; der Bundesrat beurteilt sie periodisch neu (Art. 8 Abs. 4 DSV).