Kaum ein Begriff wird im Schweizer Digitalgeschäft so beiläufig verwendet wie Cloud-Souveränität. In Angebotsunterlagen steht er meist neben einer Landesflagge und der Angabe, das Rechenzentrum stehe in Zürich, Bern oder Genf. Das ist eine korrekte Aussage über Geografie und eine unvollständige Aussage über Datenhoheit. Denn die eigentliche Frage lautet nicht, wo die Festplatte steht, sondern wer unter welchem Recht Zugriff verlangen kann und was passiert, wenn er es tut.
Der Standort ist eine Teilantwort
Ein Server in der Schweiz unterliegt zunächst schweizerischem Recht — soweit unbestritten. Entscheidend ist aber die Kette dahinter. Betreibt eine schweizerische Tochtergesellschaft die Infrastruktur, während die Muttergesellschaft im Ausland sitzt und die administrativen Zugänge verwaltet, dann kann eine Anordnung an die Mutter faktisch bis zu den Daten reichen, obwohl die Hardware das Land nie verlassen hat. Umgekehrt gilt: Ein europäischer Anbieter mit klarer Eigentümerstruktur und einem Vertrag nach schweizerischem Recht kann in der Praxis besser dastehen als ein inländisches Angebot, das im Hintergrund auf einer ausländischen Plattform aufsetzt.
Deshalb führt die Frage «Wo liegen die Daten?» allein selten weiter. Nützlicher sind drei präzisere Fragen: Wer besitzt den Betreiber? Welches Recht gilt für den Vertrag? Und wer verfügt technisch über die administrativen Zugänge und die Schlüssel? Erst die Antworten darauf ergeben ein Bild, das einer Prüfung standhält.
Was im Vertrag stehen muss
Verträge über Cloud-Dienste sind lang, und die relevanten Stellen stehen selten im Marketingteil. Vier Punkte sollten sich ohne Interpretationsakrobatik finden lassen. Erstens das anwendbare Recht und der Gerichtsstand, weil im Konfliktfall alles davon abhängt. Zweitens der Umgang mit Behördenanfragen: Verpflichtet sich der Anbieter, die Kundschaft zu informieren, soweit es ihm erlaubt ist, und Anfragen auf ihre Rechtsgrundlage zu prüfen, statt sie einfach zu beantworten? Drittens die Liste der Unterauftragsbearbeiter mit ihren Standorten, denn hier verlässt die Datenverarbeitung häufig unbemerkt das Land — etwa über einen Support-Dienstleister oder ein Monitoring-Werkzeug. Viertens das Ausstiegsverfahren: in welchem Format, in welcher Frist und zu welchen Kosten die Daten zurückkommen.
Der vierte Punkt wird am häufigsten übersehen und ist der praktisch wichtigste. Ein Vertrag, aus dem man nicht herauskommt, verlagert die Machtfrage unabhängig von jeder Souveränitätsklausel. Wer Daten nur in einem proprietären Format exportieren kann, ist an den Anbieter gebunden, auch wenn auf dem Papier alles der eigenen Kontrolle untersteht.
Der Zielkonflikt ist echt
Zwischen souveräner Datenhaltung und Funktionsumfang besteht ein realer Widerspruch, der sich nicht wegargumentieren lässt. Grosse internationale Plattformen bieten einen Dienstkatalog, den ein regionaler Anbieter nicht abbilden kann — von verwalteten Datenbanken über Werkzeuge für maschinelles Lernen bis zu weltweiter Auslieferung. Wer diese Dienste braucht, kauft sie dort oder baut sie selbst, mit dem entsprechenden Aufwand.
Für die meisten Schweizer Betriebe ist die Frage jedoch weniger dramatisch, als die Debatte klingt. Der Bedarf besteht typischerweise aus Dateiablage, E-Mail, einer Branchenlösung und einem Buchhaltungssystem. Für dieses Bündel gibt es lokale Angebote mit vertretbarem Funktionsumfang, und die Mehrkosten pro Arbeitsplatz bleiben überschaubar. Der Zielkonflikt wird dort scharf, wo Unternehmen eigene datenintensive Produkte bauen — und genau dort lohnt sich die Trennung nach Schutzbedarf am meisten.
Nach Schutzbedarf trennen, nicht pauschal entscheiden
Die verbreitetste Fehlentscheidung ist die pauschale: Entweder wird die gesamte Landschaft nach dem strengsten denkbaren Fall ausgelegt, was teuer wird und Vorhaben ausbremst, oder es wird nichts unterschieden und alles in denselben Dienst gelegt. Beides ist vermeidbar. Personaldossiers, Gesundheitsdaten, Kundenverträge und Preiskalkulationen verlangen eine sauber geregelte Umgebung mit dokumentierten Zugriffen. Eine Projektablage ohne Personendaten, ein Newsletter-Verteiler oder eine Testumgebung verlangen das nicht.
Diese Einteilung kostet einen Nachmittag und erspart eine Grundsatzdebatte. Sie hat zudem einen Nebeneffekt, der oft mehr wert ist als die Souveränitätsfrage selbst: Wer seine Daten nach Schutzbedarf sortiert, weiss anschliessend, welche Bestände er überhaupt hat, wo sie liegen und wer sie pflegt. Das ist dieselbe Grundlage, die jedes Vorhaben zur Digitalisierung und jedes Projekt mit künstlicher Intelligenz ohnehin braucht.
Was das revidierte Datenschutzgesetz verlangt
Das revidierte Datenschutzgesetz schreibt keinen Serverstandort vor. Es verlangt aber, dass die Bearbeitung von Personendaten nachvollziehbar geregelt ist, dass Auftragsbearbeiter vertraglich gebunden werden und dass eine Übermittlung ins Ausland nur erfolgt, wenn dort ein angemessener Schutz besteht oder geeignete Garantien vorliegen. Wer die vier Vertragsfragen sauber beantworten kann, erfüllt diese Anforderungen in der Regel ohne zusätzliche Übung — und wer sie nicht beantworten kann, hat unabhängig vom Standort ein Dokumentationsproblem. Souveränität ist damit weniger ein Bekenntnis als eine Fleissarbeit, die sich in einem Prüfungsfall auszahlt.