Hosting der eigenen Daten in der Schweiz ändert drei sehr konkrete Dinge: das auf den Hosting-Vertrag anwendbare Recht, wie einfach sich Fragen von Kundinnen und Kunden zum Speicherort beantworten lassen, und wie einfach das Compliance-Dossier für Datenübermittlungen ins Ausland wird. Es ändert hingegen nichts am Recht, dem der Anbieter der darüber installierten Software weiterhin unterliegt – eine häufige Verwechslung zwischen dem Standort des Servers und der Rechtszuständigkeit des Anbieters. Die Mehrkosten existieren zwar, sind aber selten das richtige Kriterium, um allein zu entscheiden.
Was ändert sich konkret, wenn das Hosting in der Schweiz erfolgt?
Die erste Änderung betrifft den Vertrag selbst. Ein Schweizer Hoster – Infomaniak und Exoscale sind die bekanntesten Beispiele – arbeitet nach Schweizer Recht, ist den Schweizer Behörden gegenüber rechenschaftspflichtig und fällt ohne Zweifel unter das DSG[1]. Für die Ebene «Hosting» stellt sich die Frage der Datenübermittlung ins Ausland schlicht nicht: Die Daten bleiben im Land, was das Verarbeitungsverzeichnis entsprechend vereinfacht – ein Punkt, den ich ausführlich in nDSG: Wo schlafen die Daten Ihres KMU wirklich? behandelt habe.
Die zweite Änderung betrifft Image und Vertrauen. Ein Teil der Schweizer Kundschaft – im Gesundheitswesen, in der Finanzbranche, im öffentlichen Sektor oder einfach bei vorsichtigen Geschäftsführungen – stellt vor der Unterschrift ganz spontan die Frage nach dem Hosting-Standort. Die Antwort «in der Schweiz, bei einem Schweizer Hoster» beendet die Diskussion mit einem Satz, während die Antwort «irgendwo in einer internationalen Cloud» mehrere neue eröffnet.
Die dritte Änderung betrifft den Rechtsweg im Streitfall. Ein Schweizer Hoster untersteht den Schweizer Behörden, darunter dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) für Fragen des Datenschutzes. Ein ausländischer Hoster untersteht in erster Linie seinem eigenen nationalen Recht, und das Schweizer Verfahren greift erst in zweiter Linie, wenn überhaupt.
Was das Schweizer Hosting nicht löst
Hier liegt die Nuance, die am häufigsten übersehen wird: Der Standort des Servers und das Recht, dem der Softwareanbieter unterliegt, sind zwei verschiedene Dinge. Ein amerikanischer SaaS-Anbieter, der ein Rechenzentrum in der Schweiz oder in der EU mietet, um dort Ihre Daten zu speichern, bleibt als amerikanisches Unternehmen potenziell durch amerikanisches Recht erreichbar. Der CLOUD Act, ein Bundesgesetz aus dem Jahr 2018, erlaubt es den US-Behörden, Daten von einem Anbieter anzufordern, der ihrer Gerichtsbarkeit untersteht – unabhängig davon, in welchem Land sich der Server befindet, auf dem diese Daten liegen. Ins Visier gerät der Anbieter, nicht der physische Standort der Festplatte.
Ich habe die vollständige Mechanik dieser extraterritorialen Frage andernorts ausführlich dargestellt, ebenso wie den Umgang damit, ohne in Alarmismus zu verfallen – sie verdient es, nach Datentyp klassifiziert statt pauschal behandelt zu werden, wie ich in nDSG: Wo schlafen die Daten Ihres KMU wirklich? erkläre. Das Wichtige lässt sich in einem Satz zusammenfassen: Den Hoster zu wechseln, ohne den Softwareanbieter zu wechseln, reicht nicht aus, um eine sensible Angabe aus dem Geltungsbereich eines ausländischen Rechts herauszuholen.
Schweizer Hosting löst auch nicht Ihre eigenen Praktiken. Ein seit Jahren geteiltes Passwort, nie deaktivierte Konten ehemaliger Mitarbeitender, ein nie unterzeichneter Auftragsverarbeitungsvertrag: Kein noch so schweizerischer Hoster behebt diese Schwachstellen an Ihrer Stelle.
Die Mehrkosten, in Grössenordnungen
Der Reflex ist zu glauben, Schweizer Hosting sei unbezahlbar. Die Realität ist gemässigter. Für eine Standardinfrastruktur – eine Website, eine Fachanwendung, eine Datenbank – bewegt sich der Aufpreis eines Schweizer Hosters gegenüber einem vergleichbaren internationalen Angebot meist im Bereich von zehn bis wenigen Dutzend Franken pro Monat, nicht in Hunderten, und der Abstand hat sich in den letzten Jahren verringert, da das Schweizer Angebot gereift ist. Bei grösseren Speicher- oder Rechenvolumen kann der Aufpreis steigen, bleibt aber selten der Faktor, der ein Projektbudget kippen lässt.
Die eigentliche Rechnung ist ohnehin nicht nur finanzieller Natur. Bei einer massgeschneiderten Anwendung fällt der Hosting-Kostenanteil in der Regel wenig ins Gewicht gegenüber den Kosten für Konzeption und Wartung – ein Posten unter mehreren in einem massgeschneiderten Projekt, nicht die Zeile, die alles entscheidet. Die umgekehrte Logik – einen Hoster nur wegen des günstigsten Preises wählen – birgt das gegenteilige Risiko: eine Frage, die ein moderater Aufpreis gelöst hätte, auf ausländisches Recht abzuwälzen.
Der Extremfall: gar kein Hosting mehr
Es gibt einen Punkt im Spektrum, an dem sich die Hosting-Frage schlicht auflöst: der vollständige Verzicht auf Hosting. Das ist die Entscheidung, die ich bei FiscalDoc getroffen habe, der lokalen Anwendung, die ich zur Ablage meiner Steuerunterlagen gebaut habe. Keine Cloud, weder schweizerisch noch ausländisch: Das KI-Modell, das meine Dokumente analysiert, läuft direkt auf meinem Computer, und nichts läuft über einen externen Server. Ich habe diesen Fall in FiscalDoc: 1'400 CHF/Jahr SaaS durch lokale KI ersetzen dokumentiert.
Das ist keine universelle Lösung: Sobald ein Team gemeinsam arbeiten, ein Werkzeug von mehreren Standorten aus nutzen oder eine durchgehende Verfügbarkeit garantieren muss, wird eine Form von Hosting wieder nötig. Aber FiscalDoc markiert nützlich das andere Ende des Spektrums. Internationale Cloud, europäische Cloud, Schweizer Cloud, eigenes dediziertes Hosting, lokaler Arbeitsplatz: Mit jeder Stufe steigt die Kontrolle, und die Zahl der Dritten, denen man vertrauen muss, sinkt entsprechend.
Wie entscheiden, ohne ein Quartal dafür zu opfern
Die schnellste Methode besteht darin, Ihre Daten zu klassifizieren, bevor Sie einen Hoster wählen – nicht umgekehrt. Bestimmte Kategorien rechtfertigen standardmässig ein Schweizer Hosting oder eine erhöhte Aufmerksamkeit gegenüber dem anwendbaren Recht des Anbieters:
- Gesundheitsdaten und Krankenakten;
- sensible Personaldaten – Löhne, Bewertungen, Arztzeugnisse;
- Akten im Zusammenhang mit einem laufenden oder bevorstehenden Rechtsstreit;
- strategische Geschäftsgeheimnisse – Pläne, Margen, Verhandlungen;
- Kundendaten, die einer spezifischen vertraglichen oder regulatorischen Anforderung unterliegen.
Für den Rest – eine Visitenkarten-Website, ein Marketing-Tool, ein gewöhnlicher Team-Messenger – zählt der Standort weniger als die Sorgfalt der Prozesse: ordnungsgemässe Auftragsverarbeitungsverträge, kontrollierte Zugriffe, jederzeit möglicher Export. Genau das ist die Bestandsaufnahme, die ich jeder massgeschneiderten Lösung voranstelle, und der Ausgangspunkt, den ich in Was muss ein Schweizer KMU 2026 im Umgang mit KI tun? empfehle.
Zwei Themen schliessen sich naturgemäss daran an, sobald das Hosting gewählt ist. Erstens: Was passiert an dem Tag, an dem Sie das Werkzeug oder den Hoster wechseln wollen? Das habe ich in Wie man Daten aus einem SaaS migriert, ohne etwas zu zerstören behandelt. Zweitens, grundlegender: Wem gehört jenseits des Hosting-Standorts eigentlich der Code und das Modell, das auf diesem Server läuft? Das ist die Frage, die ich in Wem gehören Ihr Werkzeug, Ihr Code, Ihre Daten? stelle.
Wichtig in Kürze
— Ein Schweizer Hoster ändert das auf den Hosting-Vertrag anwendbare Recht, das Image und den Rechtsweg im Streitfall – nicht das Recht, dem der Anbieter der darüber genutzten Software weiterhin unterliegt. — Die Mehrkosten eines Schweizer Hostings bewegen sich bei einer Standardinfrastruktur meist im Bereich von zehn bis wenigen Dutzend Franken pro Monat, selten in Hunderten. — Klassifizieren Sie Ihre Daten, bevor Sie einen Hoster wählen: Gesundheit, sensible Personaldaten, Rechtsstreitigkeiten und Geschäftsgeheimnisse rechtfertigen erhöhte Wachsamkeit; der Rest hängt vor allem von Ihren Prozessen ab.
FAQ
Reicht Schweizer Hosting aus, wenn mein Softwareanbieter amerikanisch ist? Nein. Der Serverstandort und die Rechtszuständigkeit, der der Anbieter untersteht, sind zwei verschiedene Fragen. Ein amerikanischer Anbieter bleibt potenziell durch amerikanisches Recht erreichbar, selbst wenn die Daten über ein Schweizer oder europäisches Rechenzentrum laufen, weil der CLOUD Act das Unternehmen betrifft, nicht den Standort der Festplatte.
Kommt der CLOUD Act wirklich zur Anwendung, oder ist das nur ein Schreckgespenst? Seine Tragweite gegenüber Schweizer Recht wird unter Juristinnen und Juristen diskutiert, und ich hüte mich davor, zu entscheiden, was Gerichte noch nicht abschliessend geklärt haben. Feststehend ist hingegen das Prinzip: Das Gesetz erlaubt es den amerikanischen Behörden, Daten von einem Anbieter unter ihrer Zuständigkeit anzufordern. Der richtige Reflex ist, Ihre sensiblen Daten zu klassifizieren – nicht, die Frage zu ignorieren oder zu dramatisieren.
Wie viel kostet Schweizer Hosting ungefähr im Vergleich zu einem internationalen Angebot? Bei einer Standardinfrastruktur liegt der Aufpreis meist im Bereich von zehn bis wenigen Dutzend Franken pro Monat, mit einem Abstand, der sich in den letzten Jahren verringert hat. Bei grossen Volumen kann er stärker steigen, bleibt aber selten der entscheidende Faktor gegenüber den Gesamtkosten eines Projekts.
Muss man aus Prinzip alles in der Schweiz hosten? Nein, das wäre eine schlecht eingesetzte Ausgabe. Reservieren Sie die Anforderung eines Schweizer oder lokalen Hostings für Daten, deren Sensibilität dies rechtfertigt: Gesundheit, Personalwesen, Rechtsstreitigkeiten, Geschäftsgeheimnisse. Für den Rest zählt die Sorgfalt der Prozesse mehr als der Standort des Rechenzentrums.
Gibt es eine noch strengere Option als Schweizer Hosting? Ja: der Verzicht auf Hosting. FiscalDoc, die Anwendung, die ich für meine eigenen Steuerangelegenheiten gebaut habe, läuft vollständig lokal, ganz ohne Cloud. Sie eignet sich nicht für jeden Anwendungsfall – die Zusammenarbeit im Team leidet darunter –, aber sie existiert und markiert nützlich die obere Grenze des Spektrums.
Sie können heute nicht sagen, welchem Recht Ihre sensibelsten Daten unterliegen? Die KI-Nutzungsdiagnose: sechzig Minuten, um Ihre tatsächlichen Abläufe zu erfassen, zu identifizieren, was massgeschneiderte Lösungen verdient, was in SaaS bleiben kann und was gar keine KI braucht. Diagnose buchen
Quellen
[1] Bundesgesetz über den Datenschutz (DSG), Revision vom 25. September 2020, in Kraft seit 1. September 2023. www.fedlex.admin.ch/eli/cc/2022/491/fr [↩]
Jérôme Deshaie ist CEO und Gründer von MCVA Consulting SA, einer augmentierten Agentur mit Sitz im Wallis. Fünfzehn Jahre im Dienst grosser internationaler Marken, jetzt direkt für Schweizer KMU. Werdegang.