Webhosting in der Schweiz und Datenschutz: was revDSG und DSGVO für Website, E-Mail und Backups bedeuten

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Bundesgesetz über den Datenschutz: das revDSG, oft auch nDSG genannt (auf Französisch und Italienisch nLPD). Für kleine und mittlere Unternehmen stellt sich dabei immer wieder dieselbe praktische Frage: Wo dürfen unsere Website, unsere Postfächer und unsere Backups liegen, und was brauchen wir von unserem Hosting-Anbieter? Die kurze Antwort: Das Schweizer Recht verlangt kein Rechenzentrum in der Schweiz. Sie müssen aber wissen, wo Ihre Daten liegen, wer sie für Sie bearbeitet und wie sie geschützt sind, und das in Ihrer Datenschutzerklärung offenlegen. Dieser Leitfaden erklärt die Regeln, die beim Hosting zählen, vergleicht sie mit der EU-DSGVO und endet mit einer Checkliste zum Abarbeiten.

revDSG, DSGVO oder beides?#

Das revDSG gilt für Unternehmen und Privatpersonen in der Schweiz, die Personendaten bearbeiten, also Angaben zu einer bestimmten oder bestimmbaren natürlichen Person: Namen, E-Mail-Adressen, IP-Adressen, Bestellverläufe. Seit der Revision sind Daten juristischer Personen nicht mehr durch das Gesetz geschützt. Es gilt auch für Bearbeitungen im Ausland, sofern sie sich in der Schweiz auswirken.

Auch die DSGVO kann ein Schweizer Unternehmen ohne Niederlassung in der EU betreffen: wenn es Personen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten beobachtet, etwa mit Tracking auf der Website. Ein Onlineshop, der nach Deutschland liefert, oder ein Hotel, das um Gäste in Italien wirbt, ist schnell in dieser Lage. Dann gelten beide Gesetze nebeneinander, und ein Unternehmen ohne Niederlassung in der EU muss unter Umständen eine Vertretung in der EU bestimmen.

Muss meine Website in der Schweiz gehostet sein?#

Nein. Weder das revDSG noch die DSGVO schreiben vor, in welchem Land eine gewöhnliche Firmenwebsite gehostet sein muss. Geregelt ist die Bekanntgabe von Personendaten ins Ausland. Der Bundesrat führt eine Liste der Staaten mit angemessenem Datenschutz, und alle EU- und EWR-Staaten stehen darauf: Hosting in der EU ist also ohne zusätzliche Garantien für die Bekanntgabe ins Ausland erlaubt (den Auftragsbearbeitungsvertrag brauchen Sie trotzdem). In die USA können Daten seit dem 15. September 2024 an Unternehmen übermittelt werden, die unter dem Swiss-US Data Privacy Framework zertifiziert sind; für andere Länder braucht es Garantien wie Standardvertragsklauseln. Umgekehrt anerkennt die EU die Schweiz als Land mit angemessenem Schutz, was die EU-Kommission im Januar 2024 bestätigt hat: Daten von Kundinnen und Kunden aus der EU dürfen also in der Schweiz gehostet werden.

Warum setzen trotzdem viele Schweizer KMU auf Hosting in der Schweiz? Weil es vieles vereinfacht: ein Land in der Datenschutzerklärung statt einer Liste, weniger Übermittlungsgrundlagen zu prüfen, ein Anbieter nach Schweizer Recht, den Sie in Ihrer Sprache erreichen. Manche Branchen mit Berufsgeheimnis und manche Kundenverträge stellen zudem strengere Regeln auf, wo Daten liegen dürfen. Prüfen Sie das, bevor Sie sich entscheiden.

Ihr Hosting-Anbieter ist Ihr Auftragsbearbeiter#

Wenn Ihr Hoster Ihre Website, die Einträge Ihres Kontaktformulars, Ihre Shop-Bestellungen und Ihre E-Mails speichert, bearbeitet er Personendaten in Ihrem Auftrag: Rechtlich ist er Auftragsbearbeiter, und Sie bleiben als Verantwortlicher für die Daten zuständig. Nach dem revDSG dürfen Sie eine Bearbeitung einem Auftragsbearbeiter vertraglich übertragen, ohne Formvorschrift, wenn er nur das tut, was Sie selbst tun dürften, und wenn Sie sich vergewissern, dass er die Datensicherheit gewährleistet; Unterauftragsbearbeiter darf er nur mit Ihrer vorgängigen Genehmigung beiziehen. Nach der DSGVO ist ein schriftlicher Vertrag Pflicht, meist Auftragsverarbeitungsvertrag (AVV) genannt. Ein guter Vertrag regelt:

• Gegenstand, Dauer, Art und Zweck der Bearbeitung sowie die Art der Daten;
• Bearbeitung nur nach Ihren dokumentierten Weisungen und Vertraulichkeit der beteiligten Mitarbeitenden;
• die technischen und organisatorischen Sicherheitsmassnahmen;
• Unterauftragsbearbeiter, ihren Standort und wie Sie über Änderungen informiert werden;
• Unterstützung, wenn Betroffene ihre Rechte geltend machen oder eine Datenschutzverletzung eintritt;
• Löschung oder Rückgabe der Daten bei Vertragsende sowie Informationen, mit denen Sie all das überprüfen können.

Bei ThunderHosting erhalten Geschäftskunden, die über unsere Dienste Personendaten Dritter bearbeiten, auf Anfrage einen Auftragsbearbeitungsvertrag, wie in unseren AGB festgehalten. Unsere Datenschutzerklärung nennt, wo wir Daten speichern und mit welchen Arten von Dienstleistern wir arbeiten.

Wo Website, E-Mail und Backups wirklich liegen#

«In der Schweiz gehostet» ist selten nur ein einziger Ort. Gehen Sie jede Kopie Ihrer Daten durch:

• Website und Datenbanken. Der Server, auf dem Ihr CMS läuft, und die Datenbank mit Formulareinträgen, Kundenkonten und Bestellungen.
• E-Mail. Postfächer enthalten oft mehr Personendaten als die Website: Namen, Adressen, Verträge, manchmal Lohn- oder Gesundheitsangaben. Wo Ihre Postfächer liegen, ist ebenso wichtig wie der Standort der Website. Nutzen Sie einen separaten E-Mail-Dienst, ist das ein weiterer Auftragsbearbeiter mit eigenem Standort.
• Backups. Ein Backup ist eine vollständige Kopie Ihrer Daten, oft in einem zweiten Rechenzentrum. Fragen Sie, in welchem Land es liegt und wie lange es aufbewahrt wird: Gelöschte Daten bleiben in Backups, bis diese überschrieben werden.
• DNS und CDN. DNS-Einträge werden naturgemäss von vielen Standorten aus ausgeliefert, und ein Content Delivery Network kopiert Ihre Seiten auf Server weltweit. Das sind meist öffentliche Inhalte, gehören aber trotzdem auf die Liste.
• Skripte von Dritten. Analyse-Tools, Webfonts, Karten, Chat-Widgets und eingebettete Videos senden mindestens die IP-Adresse der Besucher an ihren Anbieter, oft in den USA.

Mit dem Webhosting von ThunderHosting laufen Ihre Website, Ihre Postfächer und Ihre Datenbanken auf unserer Plesk-Plattform in unserem Rechenzentrum in Lugano, Tessin. Tägliche Backups sind in jedem Paket enthalten. Wie unsere Datenschutzerklärung ausführt, werden Kundendaten auf Servern in der Schweiz und in der Europäischen Union gespeichert: Für Redundanz und Backups nutzen wir zusätzlich Partner-Rechenzentren in Deutschland und Finnland, also in Ländern, deren Datenschutz die Schweiz als angemessen anerkennt.

Cookies und Webanalyse#

Eine allgemeine Cookie-Einwilligungspflicht kennt das Schweizer Recht nicht. Nach dem Fernmeldegesetz dürfen Sie Daten auf dem Gerät von Besuchern speichern und auslesen, wenn Sie darüber informieren und erklären, wie man es ablehnen kann; Ihre Datenschutzerklärung muss beschreiben, was Sie erheben. Für Besucher in der EU verlangen die DSGVO und die ePrivacy-Regeln der EU eine vorgängige Einwilligung für Cookies, die nicht unbedingt nötig sind, etwa für Analyse und Marketing. Richtet sich Ihre Website an Personen in der EU, ist ein Cookie-Banner, das diese Skripte erst nach der Einwilligung lädt, die sichere Wahl.

Jedes zusätzliche Tool ist ein weiterer Empfänger und oft eine Bekanntgabe ins Ausland, die in die Datenschutzerklärung gehört. Weniger Tools bedeuten eine kürzere Erklärung und eine schnellere Website: Hosten Sie Webfonts auf Ihrem eigenen Server, statt sie bei einem Dritten zu laden, und fragen Sie sich, ob Sie die erhobenen Statistiken wirklich auswerten.

Datensicherheit: SSL und die Grundlagen#

Beide Gesetze verlangen technische und organisatorische Massnahmen, die dem Risiko angemessen sind. Für eine typische KMU-Website heisst das:

• HTTPS überall. Jedes Formular, jedes Login und jede Shopseite muss verschlüsselt sein. Alle unsere Webhosting-Pakete enthalten kostenlose Let's-Encrypt-Zertifikate (SSL-Zertifikate).
• Updates. Die meisten Angriffe auf Websites nutzen veraltete CMS-Versionen und Plugins. Das WordPress Toolkit im Control Panel hält WordPress aktuell.
• Getrennte Konten. Geben Sie jeder Person ein eigenes FTP- oder E-Mail-Konto mit starkem Passwort, statt ein Login zu teilen.
• Backups und Wiederherstellung. Wissen Sie, wie oft Backups laufen, wie lange sie aufbewahrt werden und wie Sie sie zurückspielen.
• Datensparsamkeit. Löschen Sie alte Formulareinträge, ungenutzte Postfächer und Testkopien der Website, die Sie nicht mehr brauchen.

Auch Angriffe auf die Verfügbarkeit sind ein Sicherheitsthema: Lesen Sie dazu unseren Artikel über DDoS-Schutz (auf Englisch).

Checkliste für Schweizer KMU#

1. Listen Sie die Personendaten auf, die Ihre Website und Ihre E-Mail bearbeiten: Formulare, Shop, Newsletter, Postfächer, Server-Logs.
2. Fragen Sie Ihren Hoster, in welchem Land Website, Datenbanken, Postfächer und Backups liegen.
3. Schliessen Sie einen Auftragsbearbeitungsvertrag mit Ihrem Hoster und mit jedem anderen Dienst ab, der für Sie Personendaten bearbeitet.
4. Prüfen Sie jede Bekanntgabe ins Ausland: ein Staat auf der Liste des Bundesrates oder Garantien wie Standardvertragsklauseln oder das Data Privacy Framework.
5. Nutzen Sie HTTPS auf jeder Domain und Subdomain, auch für das Webmail.
6. Prüfen Sie Cookies und Skripte von Dritten, und setzen Sie ein Cookie-Banner ein, wenn Sie Besucher in der EU ansprechen.
7. Aktualisieren Sie Ihre Datenschutzerklärung: wer Sie sind, was Sie wozu erheben, Empfänger und Länder, in die Daten gehen.
8. Legen Sie Ihre Backups fest: Häufigkeit, Standort, Aufbewahrung und einen Wiederherstellungstest.
9. Bereiten Sie sich auf eine Datenschutzverletzung vor: wer entscheidet und wer sie fristgerecht dem EDÖB meldet (und, wo die DSGVO gilt, einer EU-Behörde).
10. Löschen Sie regelmässig Daten, die Sie nicht mehr brauchen.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Welche Regeln für Ihr Unternehmen gelten, hängt von Ihrer Tätigkeit, Ihren Kunden und Ihren Verträgen ab; lassen Sie Datenschutzerklärung und Verträge von einer Fachperson prüfen. Der EDÖB veröffentlicht auf seiner Website Leitfäden für Unternehmen.

Hosting in Lugano mit ThunderHosting#

Unser Webhosting beginnt bei CHF 5 pro Monat mit Solo Spark; Smart Space kostet CHF 9 und Business Pack CHF 20 pro Monat. Jedes Paket enthält Postfächer auf Ihrer eigenen Domain (E-Mail-Konten und Webmail), kostenloses SSL, tägliche Backups und das Plesk Control Panel, und ThunderHosting GmbH ist ein Schweizer Unternehmen, das auf Deutsch, Englisch, Französisch und Italienisch antwortet. Brauchen Sie ein eigenes Betriebssystem und Root-Zugriff, gibt Ihnen ein VPS in Lugano die volle Kontrolle und damit auch die volle Verantwortung für die Absicherung des Servers. Sie kommen von einem anderen Anbieter? Wir ziehen Ihre Website kostenlos um. Um Anbieter nicht nur beim Datenschutz zu vergleichen, nutzen Sie unsere Checkliste zur Wahl von Webhosting in der Schweiz.

Häufig gestellte Fragen#

Ist Hosting in der EU nach dem revDSG erlaubt?#

Ja. Alle EU- und EWR-Staaten stehen auf der Liste des Bundesrates mit Staaten, die einen angemessenen Datenschutz bieten. Nennen Sie die Länder in Ihrer Datenschutzerklärung.

Brauche ich einen Auftragsbearbeitungsvertrag mit meinem Hosting-Anbieter?#

Wo die DSGVO gilt, ja: Er ist Pflicht. Auch nach dem revDSG ist die Bearbeitung vertraglich zu übertragen, ohne Formvorschrift; Sie müssen sicherstellen, dass Ihr Anbieter Daten nur so bearbeitet, wie Sie es selbst dürften, und sie sicher aufbewahrt. Ein schriftlicher Vertrag ist der einfachste Nachweis. ThunderHosting stellt Geschäftskunden auf Anfrage einen zur Verfügung.

Gilt die DSGVO für meine Schweizer Website?#

Sie kann gelten: wenn Sie Personen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten, etwa mit Tracking. Eine Website für lokale Kundschaft in der Schweiz fällt meist nur unter das revDSG.

Brauche ich in der Schweiz ein Cookie-Banner?#

Für Besucher aus der Schweiz genügt es, zu informieren und zu erklären, wie man Cookies ablehnt. Für Besucher in der EU brauchen Cookies, die nicht unbedingt nötig sind, eine vorgängige Einwilligung.

Wo liegen meine E-Mails bei ThunderHosting?#

Die Postfächer unserer Webhosting-Pakete laufen auf unserer Plesk-Plattform in Lugano, zusammen mit Ihrer Website und Ihren Datenbanken. Backups werden aufbewahrt, wie in unserer Datenschutzerklärung beschrieben, auch in Partner-Rechenzentren in Deutschland und Finnland.