Cloud-ERP in der Schweiz: Datenbekanntgabe ins Ausland

Ein Cloud-ERP hält Kundendaten, Lieferantenkontakte und Personaldaten. Liegt die Infrastruktur im Ausland oder arbeitet der Support von dort, ist das eine Bekanntgabe ins Ausland; Art. 16 und 17 DSG regeln sie. Massgebend sind Empfängerland und Instrument.

Was im Cloud-ERP als Bekanntgabe ins Ausland gilt

Das Gesetz zählt zum Bekanntgeben auch das Zugänglichmachen von Personendaten (Art. 5 Bst. e DSG); damit löst der Fernzugriff die Regeln aus. Lässt Ihr Betrieb den Support oder einen Dienstleister aus einem anderen Staat auf die Daten zugreifen, gibt er sie bekannt.

Verantwortlich ist Ihr Betrieb, der über Zweck und Mittel der Bearbeitung entscheidet (Art. 5 Bst. j DSG); der Anbieter, der in Ihrem Auftrag bearbeitet, ist Auftragsbearbeiter (Art. 5 Bst. k DSG). Ihm dürfen Sie die Bearbeitung übertragen, wenn die Daten so bearbeitet werden, wie Sie als Verantwortlicher selbst es tun dürften, keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegensteht und Sie sich vergewissert haben, dass er die Datensicherheit gewährleisten kann (Art. 9 Abs. 1 Bst. a und b sowie Abs. 2 DSG). Unteraufträge brauchen Ihre vorgängige Genehmigung; Änderungen muss er mitteilen, und Sie können widersprechen (Art. 9 Abs. 3 DSG; Art. 7 DSV).

Wer betroffen ist und welche Daten zählen

Das revidierte DSG schützt Personendaten natürlicher Personen (Art. 2 Abs. 1 DSG): im ERP die Personaldaten Ihrer Mitarbeitenden, die Kontaktdaten von Ansprechpersonen bei Kunden und Lieferanten und die Daten von Einzelunternehmen. Reine Angaben zu einer juristischen Person ohne Bezug zu einer natürlichen Person fallen nicht darunter.

Ein Betrieb, der sein ERP in der Schweiz betreibt und keinen Zugriff aus dem Ausland zulässt, hat keinen Auslandfall nach Art. 16 DSG. Klären Sie trotzdem, welcher Rechtsordnung der Anbieter untersteht: Der EDÖB nennt in seiner Anleitung US-Cloud-Anbieter mit Servern in der Schweiz oder der EU als Beispiel für einen Dienstleister unter einer Drittstaatsordnung.

Welches Instrument passt zu welchem Empfängerland?

Die Tabelle ordnet die Fälle nach Empfängerland; Grundlage ist die konsolidierte Fassung der Datenschutzverordnung vom 1. Dezember 2025.

Empfänger und Land	Entscheid des Bundesrates	Instrument	Belege in Ihrem Betrieb
Staat in Anhang 1 DSV, etwa Deutschland, Frankreich, Österreich, das Vereinigte Königreich, Israel, Neuseeland oder Uruguay	Angemessenheit festgestellt (Art. 16 Abs. 1 DSG; Art. 8 Abs. 1 DSV)	Keine weitere Garantie nötig	Staat und Zweck im Verzeichnis, soweit verzeichnispflichtig (befreit: unter 250 Mitarbeitende nach Art. 24 DSV); Weiterexport in ein Drittland gesondert beurteilen
Kanada	Angemessenheit festgestellt, aber nur, wenn das kanadische Bundesgesetz vom 13. April 2000 im privaten Bereich oder ein ihm weitgehend entsprechendes Gesetz einer Provinz zur Anwendung gelangt (Anhang 1 Ziff. 7 DSV)	Bei erfüllter Bedingung keine weitere Garantie nötig; sonst Garantie nach Art. 16 Abs. 2 DSG oder Ausnahme nach Art. 17 DSG	Nachweis, dass eines der genannten Gesetze anwendbar ist; sonst Nachweis der gewählten Garantie nach Art. 16 Abs. 2 DSG, etwa eines unterzeichneten Klauselsatzes, oder der Ausnahme nach Art. 17 DSG
USA, empfangende Organisation ist zertifiziert	Angemessenheit nur für zertifizierte Organisationen (Anhang 1 Ziff. 44 DSV), in Kraft seit 15. September 2024	Keine weitere Garantie nötig	Nachweis der Zertifizierung genau dieser Organisation; Staat im Verzeichnis, soweit verzeichnispflichtig (befreit: unter 250 Mitarbeitende nach Art. 24 DSV)
USA ohne Zertifizierung oder Staat ohne Eintrag, etwa Japan, Brasilien, Indien oder China	Kein Entscheid	Garantie nach Art. 16 Abs. 2 DSG, also Standarddatenschutzklauseln oder Datenschutzklauseln in einem Vertrag, oder Ausnahme nach Art. 17 DSG	Bei Standarddatenschutzklauseln: unterzeichneter Klauselsatz. Bei Datenschutzklauseln in einem Vertrag zusätzlich deren vorgängige Mitteilung an den EDÖB. Bei einer Ausnahme: Nachweis der Ausnahme. Staat und Garantie im Verzeichnis, soweit verzeichnispflichtig (befreit: unter 250 Mitarbeitende nach Art. 24 DSV)
Konzerninterne Übermittlung an ein verbundenes Unternehmen, wenn für das Empfängerland kein Angemessenheitsentscheid vorliegt	Kein Entscheid	Verbindliche unternehmensinterne Datenschutzvorschriften (Art. 16 Abs. 2 Bst. e DSG; Art. 11 DSV)	Genehmigung des EDÖB oder einer für den Datenschutz zuständigen Behörde eines Staates mit angemessenem Schutz

Anhang 1 führt 44 Einträge; für Staaten ohne Eintrag besteht kein Angemessenheitsentscheid. Bedingt ist der Eintrag für Kanada: Die Angemessenheit gilt nur, wenn das kanadische Bundesgesetz «Loi sur la protection des renseignements personnels et les documents électroniques» vom 13. April 2000 im privaten Bereich oder ein diesem Bundesgesetz weitgehend entsprechendes Gesetz einer kanadischen Provinz zur Anwendung gelangt (Anhang 1 Ziff. 7 DSV). Einzelne Einträge tragen Fussnoten: Die Angemessenheit für die USA umfasst nicht die Bekanntgabe im Rahmen der Zusammenarbeit nach der Richtlinie (EU) 2016/680. Wer weiter exportieren lässt, beurteilt den zweiten Empfänger gesondert; nach der EDÖB-Anleitung kann bei einer Übermittlung in einen EU- oder EWR-Staat vom angemessenen Niveau ausgegangen werden, wenn ein Weiterexport in ein Drittland ausgeschlossen ist. Der Eintrag begründet nur eine widerlegbare Vermutung: Der Betrieb bleibt für den Export verantwortlich, prüft periodisch nach und behandelt einen Eintrag mit konkreten Gegenhinweisen wie den Fall ohne Eintrag.

Wenn kein Angemessenheitsentscheid vorliegt

Ohne Entscheid des Bundesrates ist die Bekanntgabe zulässig, wenn ein geeigneter Datenschutz durch eine Garantie nach Art. 16 Abs. 2 DSG gewährleistet wird; daneben bleiben die Ausnahmen nach Art. 17 DSG. Gangbar sind für einen Schweizer Betrieb zwei Wege: Standarddatenschutzklauseln und Datenschutzklauseln in einem Vertrag.

Der EDÖB hat die Standardvertragsklauseln der EU nach dem Durchführungsbeschluss (EU) 2021/914 mit allen Modulen und die Modellvertragsklauseln des Europarates nach Art. 14 Abs. 3 Bst. b des modernisierten Übereinkommens 108 anerkannt; ihre Verwendung muss er nicht erfahren. Für Übermittlungen, die ausschliesslich dem DSG unterstehen, sind sie in einem Anhang anzupassen: Der EDÖB ist als Aufsichtsbehörde zu bezeichnen, die Verweise auf die DSGVO sind als Verweise auf das DSG zu verstehen, und für Betroffene mit gewöhnlichem Aufenthalt in der Schweiz ist ein alternativer Gerichtsstand in der Schweiz zu präzisieren. Untersteht eine Übermittlung zusätzlich der DSGVO, weil auch Daten von Personen mit Aufenthalt in der EU betroffen sind, so sind im Anhang der EDÖB für den Teil nach DSG und eine EU-Aufsichtsbehörde für den Teil nach DSGVO zu benennen; unterstellen die Parteien dagegen nach der zweiten Option des EDÖB alle Übermittlungen dem Standard der DSGVO, bleibt es bei den Verweisen auf die DSGVO.

Datenschutzklauseln in einem Vertrag nach Art. 16 Abs. 2 Bst. b DSG sind der zweite Weg. Sie müssen dem EDÖB vor der Bekanntgabe mitgeteilt werden und gelten nur für die in diesem Vertrag vorgesehene Bekanntgabe. Eine einmal erstattete Mitteilung deckt nach Art. 9 Abs. 3 DSV weitere Bekanntgaben unter denselben Klauseln, solange Empfängerkategorien, Zweck und Datenkategorien im Wesentlichen unverändert bleiben. Die spezifischen Garantien nach Art. 16 Abs. 2 Bst. c DSG erarbeitet ein zuständiges Bundesorgan.

Beide Wege verpflichten zur Nachkontrolle: Sie treffen angemessene Massnahmen, damit der Empfänger die Klauseln einhält (Art. 9 Abs. 2 DSV), und bleiben für den Export verantwortlich; die Vermutung sorgfältiger Abklärung befreit nicht von der Haftung (EDÖB, Bekanntgabe ins Ausland). Erlaubt die Rechtsordnung des Empfängerlandes unverhältnismässige behördliche Zugriffe, prüfen Sie nach der Anleitung technische Massnahmen, die solche Zugriffe faktisch verhindern; sonst ist die Bekanntgabe auszusetzen oder zu beenden.

Was die Klauseln enthalten müssen

Klauseln nach Art. 16 Abs. 2 Bst. b DSG und spezifische Garantien nach Bst. c müssen mindestens die folgenden Punkte regeln (Art. 9 Abs. 1 DSV):

1. die Anwendung der Grundsätze der Rechtmässigkeit, von Treu und Glauben, der Verhältnismässigkeit, der Transparenz, der Zweckbindung und der Richtigkeit (Bst. a);
2. die Kategorien der bekanntgegebenen Personendaten und der betroffenen Personen (Bst. b);
3. Art und Zweck der Bekanntgabe (Bst. c);
4. gegebenenfalls die Namen der Staaten oder internationalen Organe und die Anforderungen an die Bekanntgabe (Bst. d);
5. die Anforderungen an Aufbewahrung, Löschung und Vernichtung (Bst. e);
6. die Empfänger oder Empfängerkategorien (Bst. f);
7. die Massnahmen zur Gewährleistung der Datensicherheit (Bst. g);
8. die Pflicht, Verletzungen der Datensicherheit zu melden (Bst. h);
9. bei Empfängern, die Verantwortliche sind, die Pflicht zur Information der betroffenen Personen (Bst. i);
10. die Rechte der betroffenen Person: Auskunft und Datenherausgabe oder -übertragung, Widerspruch gegen die Bekanntgabe, Berichtigung, Löschung oder Vernichtung, Rechtsschutz bei einer unabhängigen Behörde (Bst. j Ziff. 1 bis 4).

Für anerkannte Standarddatenschutzklauseln nach Art. 16 Abs. 2 Bst. d DSG gilt Art. 10 DSV: Der Verantwortliche oder der Auftragsbearbeiter trifft angemessene Massnahmen, damit der Empfänger die Klauseln beachtet (Abs. 1), und der EDÖB veröffentlicht die Liste der Klauseln, die er genehmigt, ausgestellt oder anerkannt hat (Abs. 2). Die Punkte nach Art. 9 Abs. 1 DSV verlangt die Verordnung für Datenschutzklauseln in einem Vertrag nach Bst. b und für spezifische Garantien nach Bst. c.

Für den Cloud-ERP-Vertrag heisst das: die bearbeiteten Datenkategorien, die Länder der Speicherung und des Supports, die Unterauftragsbearbeiter mit Sitzland, Aufbewahrung und Löschung, Datensicherheit und Meldepfad bei einem Vorfall gehören in den Vertrag.

Was Sie dokumentieren und mitteilen müssen

Tragen Sie im Verzeichnis der Bearbeitungstätigkeiten den Staat und die Garantie nach Art. 16 Abs. 2 DSG ein (Art. 12 Abs. 2 Bst. g DSG); befreit sind Unternehmen mit weniger als 250 Mitarbeitenden, ausser bei besonders schützenswerten Personendaten in grossem Umfang oder Profiling mit hohem Risiko (Art. 12 Abs. 5 DSG; Art. 24 DSV).

Informieren Sie die betroffenen Personen über den Staat oder das internationale Organ und über die Garantien oder die angewandte Ausnahme (Art. 19 Abs. 4 DSG); die Informationspflicht nach Art. 19 entfällt nach Art. 20 Abs. 1 DSG, wenn die betroffene Person die Angaben bereits hat (Bst. a) oder die Bearbeitung gesetzlich vorgesehen ist (Bst. b), und nach Abs. 3 kann der Verantwortliche die Mitteilung einschränken, aufschieben oder darauf verzichten. Wo keine Ausnahme greift, gehört die Angabe für Ansprechpersonen von Kunden und Lieferanten in die Datenschutzerklärung und für Personaldaten in die Information bei der Beschaffung.

Behalten Sie die Angemessenheit im Blick: Der Bundesrat beurteilt sie periodisch neu (Art. 8 Abs. 4 DSV), und eine Änderung von Anhang 1 wirkt nicht auf bereits erfolgte Bekanntgaben zurück (Art. 8 Abs. 6 DSV). Die Liste der Unterauftragsbearbeiter gehört in Ihr Löschkonzept im ERP für die Schweiz. Nach der Darstellung des EDÖB kann dieselbe Übermittlung zusätzlich der DSGVO unterstehen, wenn davon auch Daten von Personen mit Aufenthalt in der EU betroffen sind; diese Fälle behandelt Cloud-ERP mit US-Bezug und DSGVO.

Was bei einem Verstoss droht

Private Personen werden auf Antrag mit Busse bis 250’000 Franken bestraft, wenn sie vorsätzlich gegen Art. 16 Abs. 1 und 2 DSG verstossen und keine Ausnahme nach Art. 17 DSG erfüllen (Art. 61 Bst. a DSG). Dieselbe Busse trifft, wer die Bearbeitung einem Auftragsbearbeiter übergibt, ohne die Voraussetzungen nach Art. 9 Abs. 1 und 2 DSG zu erfüllen (Art. 61 Bst. b DSG); beide Tatbestände setzen Vorsatz und einen Antrag voraus. Meldet der Anbieter eine Verletzung der Datensicherheit, prüfen Sie zugleich Ihre eigene Meldepflicht nach Datenpanne in der Schweiz.

Checkliste für Ihren Betrieb

• Kennen Sie die Länder, in denen Ihr Cloud-ERP speichert, sichert und Support leistet, samt Unterauftragsbearbeitern?
• Steht jedes dieser Länder in Anhang 1 DSV, oder haben Sie eine Garantie nach Art. 16 Abs. 2 DSG oder eine Ausnahme nach Art. 17 DSG? Bei einem bedingten Eintrag wie Kanada prüfen Sie zusätzlich, ob Ihr Fall die Bedingung des Eintrags erfüllt.
• Bei US-Beteiligung: Ist die zugreifende US-Organisation nach dem Swiss-US Data Privacy Framework zertifiziert?
• Bei Datenschutzklauseln in einem Vertrag nach Art. 16 Abs. 2 Bst. b DSG und spezifischen Garantien nach Bst. c: Enthalten sie die zehn Mindestpunkte nach Art. 9 Abs. 1 DSV, und sind die Vertragsklauseln dem EDÖB vorgängig mitgeteilt? Für anerkannte Standarddatenschutzklauseln nach Bst. d gilt Art. 10 DSV; ihre Verwendung ist nicht meldepflichtig.
• Sind bei Standardvertragsklauseln für Übermittlungen, die dem DSG unterstehen, der EDÖB als Aufsichtsbehörde, das anwendbare Recht und der Gerichtsstand für Betroffene in der Schweiz ergänzt?
• Regelt der Vertrag Unteraufträge mit vorgängiger Genehmigung und Mitteilung von Änderungen (Art. 9 Abs. 3 DSG; Art. 7 DSV)?
• Stehen Staat und Garantie im Verzeichnis der Bearbeitungstätigkeiten, soweit Sie zur Führung verpflichtet sind (befreit: unter 250 Mitarbeitende nach Art. 24 DSV, ausser bei besonders schützenswerten Personendaten in grossem Umfang oder Profiling mit hohem Risiko), und ist die Information nach Art. 19 Abs. 4 DSG erteilt, soweit keine Ausnahme nach Art. 20 DSG greift?
• Halten Sie fest, wie Sie bei einem Wegfall der Angemessenheit vorgehen?