Wie es heute wirklich aussieht
Wo Ihre Daten heute wirklich liegen — CLOUD Act und Schweizer Recht
Wer Microsoft 365, Google Workspace oder ChatGPT nutzt, arbeitet mit US-Anbietern — auch wenn auf dem Label „Rechenzentrum Zürich" steht. Der CLOUD Act verpflichtet US-Konzerne, ihren Behörden auf Anfrage Zugriff auf Kundendaten zu gewähren, unabhängig vom Speicherort. Was zählt, ist nicht der Server-Standort, sondern unter welchem Recht der Anbieter steht.
Der CLOUD Act, knapp erklärt
Das US-Gesetz verpflichtet US-Cloud-Anbieter, ihren Strafverfolgungsbehörden Zugang zu Kundendaten zu gewähren — auch wenn diese ausserhalb der USA liegen. Der internationale Rechtshilfeweg wird damit umgangen. Praktisch heisst das: Eine Treuhand-Kanzlei in Schaffhausen, die ihre Mandatsdaten in M365 ablegt, hat ihre Daten unter US-Jurisdiktion — auch bei aktiviertem „EU Data Boundary".
Was die EU Data Boundary nicht leistet
Die EU Data Boundary ist keine technische Massnahme, die den Microsoft-Zugriff verhindert. Sie ist ein nicht überprüfbares Versprechen, dass Daten auf EU-Servern liegen. Die Frage des Zugriffs aus den USA, bei der der Speicherort keine Rolle spielt, wird damit nicht gelöst.
Ihre persönliche Haftung (revDSG)
Seit dem revidierten Datenschutzgesetz vom 1. September 2023 drohen bei vorsätzlichen Verstössen Bussen bis zu CHF 250'000 — gegen Sie persönlich, nicht gegen die Firma. Das gilt insbesondere für Fälle, in denen sensible Kundendaten ohne ausreichende Garantien ins Ausland fliessen.
Die gute Nachricht: Für jedes US-Tool gibt es heute eine Schweizer Alternative, die funktioniert. Und für manches, wofür Sie keinen Ersatz wollen, gibt es einen sauberen Weg.