Wo Ihre Website steht: Serverstandort, Auftragsbearbeitung und was das Datenschutzgesetz verlangt

Die Frage kommt zuverlässig, und sie kommt von den Betrieben, die es am ernstesten meinen: Kanzleien, Treuhandbüros, Praxen. «Steht der Server in der Schweiz?» Die Sorge dahinter ist berechtigt. Nur beantwortet die Frage weniger, als man hofft.

Denn eine Website, die in einem Schweizer Rechenzentrum liegt, kann trotzdem bei jedem Seitenaufruf die IP-Adresse des Besuchers in ein Land senden, über das nie jemand gesprochen hat — durch eine eingebundene Schriftart, eine Karte, ein Video, ein Auswertungswerkzeug. Und umgekehrt kann eine Seite auf einem Server im EU-Raum sauber aufgesetzt sein, weil die dafür nötigen Voraussetzungen erfüllt und dokumentiert sind.

Dieser Beitrag ordnet ein, was das Schweizer Datenschutzgesetz beim Hosting tatsächlich verlangt, wo Ihre Daten hingehen, ohne dass es jemand merkt, und welche fünf Punkte Sie in zehn Minuten selbst prüfen können. Er ersetzt keine Rechtsberatung — er sorgt dafür, dass Sie die richtige Frage stellen.

Was das Gesetz verlangt — und was nicht

Das revidierte Datenschutzgesetz, in Kraft seit dem 1. September 2023, enthält keine allgemeine Pflicht, Daten in der Schweiz zu halten. Es gibt kein Gebot «Serverstandort Schweiz». Wer Ihnen eines verkauft, verkauft Ihnen ein gutes Gefühl, nicht eine gesetzliche Vorgabe.

Was das Gesetz stattdessen regelt, sind zwei Beziehungen:

Erstens die Beziehung zu Ihrem Dienstleister. Wer Ihre Website betreibt, bearbeitet Personendaten in Ihrem Auftrag — mindestens Serverprotokolle mit IP-Adressen, in aller Regel auch Formularzuschriften und E-Mail. Das ist eine Auftragsbearbeitung nach Art. 9 DSG, und die Verantwortung bleibt bei Ihnen.

Zweitens die Beziehung zum Ausland. Sobald Personendaten die Schweiz verlassen, greift Art. 16 DSG. Nicht als Verbot, sondern als Begründungspflicht.

Der Standort ist also nicht die Regel, sondern eine Folge davon, wie Sie diese beiden Punkte beantworten. Er kann trotzdem die richtige Antwort sein — nur aus anderen Gründen, und dazu weiter unten mehr.

Ihr Hoster ist Auftragsbearbeiter: die vier Anforderungen

Art. 9 DSG ist kurz, und er lässt sich in vier Sätzen zusammenfassen, die Sie mit jedem Anbieter durchgehen können.

Eins: Die Übertragung muss vertraglich oder gesetzlich vorgesehen sein. In der Praxis heisst das: ein Vertrag, der die Auftragsbearbeitung benennt. Ein Hosting-Angebot per E-Mail und eine Rechnung sind kein Vertrag über Datenbearbeitung.

Zwei: Der Auftragsbearbeiter darf die Daten nur so bearbeiten, wie Sie selbst es dürften. Er arbeitet in Ihrem Auftrag, nicht auf eigene Rechnung. Eine Klausel, die dem Anbieter eigene Auswertungszwecke einräumt, passt nicht dazu.

Drei: Es darf keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegenstehen. Dieser Halbsatz ist der Grund, weshalb der Beitrag für Kanzlei, Praxis und Treuhand anders gelesen werden muss als für einen Handwerksbetrieb — dazu gleich.

Vier: Sie müssen sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. «Vergewissern» ist eine Handlung, nicht eine Annahme. In der Praxis genügt meistens eine dokumentierte Auskunft: Wo stehen die Server, wer hat Zugriff, wie wird gesichert, wie lange werden Protokolle aufbewahrt.

Hinzu kommt eine Regel, die in der Praxis am häufigsten übersehen wird: Ein Auftragsbearbeiter darf die Bearbeitung nur mit Ihrer vorgängigen Genehmigung an Dritte weitergeben. Die Genehmigung kann besonders oder allgemein erteilt werden; bei einer allgemeinen muss der Auftragsbearbeiter Sie über geplante Wechsel informieren und Ihnen die Möglichkeit zum Widerspruch lassen.

Das ist keine Formalie. Ihr Hoster hat fast sicher Unterbeauftragte: das Rechenzentrum, den Backup-Dienst, den Versanddienst für E-Mails, das Netzwerk, das Ihre Seite ausliefert. Die Frage «Wen setzen Sie ein?» gehört deshalb zur Standardausrüstung eines Erstgesprächs — genauso wie die Frage, wem Domain und Zugänge am Ende gehören.

Ins Ausland: zwei Wege, kein dritter

Wenn Personendaten ins Ausland gehen — und das tun sie beim Hosting im Ausland naturgemäss —, kennt Art. 16 DSG zwei Wege.

Weg eins: angemessener Schutz. Der Bundesrat stellt fest, welche Staaten, Gebiete, Sektoren und internationalen Organe einen angemessenen Datenschutz gewährleisten. Diese Liste steht in Anhang 1 der Datenschutzverordnung. Steht das Zielland darauf, ist die Bekanntgabe ohne zusätzliche Massnahmen zulässig. Für Hosting im europäischen Raum ist das der übliche Fall.

Weg zwei: geeignete Garantien. Fehlt ein solcher Entscheid, ist die Bekanntgabe zulässig, wenn ein geeigneter Datenschutz auf andere Weise sichergestellt ist — in der Praxis meist über Standardvertragsklauseln, die vom EDÖB genehmigt oder anerkannt sind, ergänzt um eine Beurteilung der Lage im Zielstaat.

Ein Sonderfall, der viele Werkzeuge betrifft: die USA. Der Bundesrat hat die USA in die Liste aufgenommen; die entsprechende Änderung der Datenschutzverordnung ist am 15. September 2024 in Kraft getreten. Wichtig ist die Reichweite: Die Angemessenheit gilt nicht für die USA als Ganzes, sondern für Unternehmen, die sich nach dem Swiss-U.S. Data Privacy Framework zertifiziert haben. Ob ein bestimmter Anbieter zertifiziert ist, lässt sich in der öffentlichen Liste des Frameworks nachsehen. Ist er es nicht, sind Sie wieder auf Weg zwei.

Für Ihre Website heisst das ganz praktisch: Nicht «USA ja oder nein», sondern «dieser Anbieter — zertifiziert oder nicht, und steht es im Vertrag».

Wo Daten abfliessen, ohne dass es jemand merkt

Der Serverstandort betrifft die Dateien Ihrer Seite. Die häufigeren Abflüsse geschehen woanders — in Bestandteilen, die eine Seite bei jedem Aufruf von fremden Adressen nachlädt. Der Besucher muss dafür nichts anklicken; sein Browser holt sie automatisch, und dabei wird seine IP-Adresse übertragen.

Fünf Stellen, an denen das bei KMU-Websites typischerweise passiert:

Schriften und Symbolsätze, die von einem fremden Dienst geladen statt mit der Seite ausgeliefert werden. Der technisch wie rechtlich einfachste Weg ist, sie mitzuliefern — das spart nebenbei Ladezeit, siehe die drei Werte, die Google misst.

Karten und Anfahrtspläne, die als interaktives Element eingebettet sind. Für die meisten Betriebe genügt ein Bild mit Adresse und ein Link, der die Karte erst auf Klick öffnet.

Videos von Videoplattformen, oft schon auf der Startseite. Dieselbe Lösung: Vorschaubild, Aufruf erst auf Klick.

Auswertungswerkzeuge. Hier lohnt der Blick besonders, weil die Auswahl direkt darüber entscheidet, ob Sie ein Einwilligungsbanner brauchen — wie Sie ohne eines auskommen und trotzdem wissen, ob die Seite etwas bringt, steht in Messen statt raten.

Der Versandweg Ihrer Formulare. Was mit einer Zuschrift nach dem Absenden geschieht, ist eine eigene Kette: Formularverarbeitung, Mailversand, Postfach, allenfalls ein Ticketsystem. Jedes Glied ist ein Auftragsbearbeiter. Zum technischen Teil davon — und zum häufigsten Fehler dabei — haben wir aufgeschrieben, warum Firmen-E-Mails im Spam landen.

Jede dieser Einbindungen gehört ausserdem in die Datenschutzerklärung; welche Punkte dort mindestens stehen müssen, steht in Impressum, Datenschutz, Kontaktformular.

Berufsgeheimnis: die Schicht über dem Datenschutz

Für Anwältinnen, Ärzte, Zahnärztinnen, Psychotherapeuten und ihre Hilfspersonen gilt neben dem Datenschutzrecht das Berufsgeheimnis nach Art. 321 StGB — eine Strafnorm, die ausdrücklich auch Hilfspersonen erfasst. Das ist kein zweites Datenschutzgesetz, sondern eine andere Art von Pflicht: Sie schützt nicht die Daten, sondern das Anvertraute.

Genau darauf zielt der oben zitierte Halbsatz aus Art. 9 DSG, wonach keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegenstehen darf. Für geheimnisgebundene Betriebe ist die Frage nach dem Dienstleister deshalb nicht nur eine Datenschutzfrage, sondern eine Frage der eigenen Berufspflichten — mit entsprechend engeren Anforderungen an Vertrag, Zugriffsregelung und Unterbeauftragung. Wie das konkret für Zuschriften und Dateiuploads aussieht, haben wir in Mandantendaten über die Website entgegennehmen auseinandergenommen.

Praktische Konsequenz: Für eine reine Visitenkarten-Website ohne Uploads und ohne Mandatsbezug ist der Standort meist nachrangig. Sobald aber Unterlagen entgegengenommen, Termine mit Anliegen erfasst oder Mandatsdaten verarbeitet werden, wird der Standort zu einer der Fragen, die man aktiv entscheidet statt sie mitlaufen zu lassen. Und dann ist ein Schweizer Hosting oft schlicht die einfacher begründbare Wahl — nicht weil das Gesetz es verlangt, sondern weil sie die Prüfkette verkürzt.

Zehn Minuten: Ihr Selbstcheck

Eins. Wo steht Ihre Website physisch, und wer ist der Betreiber des Rechenzentrums? Wenn Sie beides nicht in einer Minute beantworten können, ist das der erste Befund.

Zwei. Gibt es einen Vertrag, der die Auftragsbearbeitung benennt — und stehen darin Zugriff, Sicherung, Aufbewahrungsdauer der Protokolle und die Liste der Unterbeauftragten?

Drei. Öffnen Sie Ihre Startseite und sehen Sie sich an, was sie von fremden Adressen nachlädt. Ohne Werkzeug geht das über die Entwicklerwerkzeuge des Browsers, Reiter «Netzwerk». Jede fremde Adresse ist eine Frage, die beantwortet sein will. Eine erste Einschätzung liefert auch unser Datenschutz-Check.

Vier. Stimmt die Datenschutzerklärung mit dem überein, was Sie in Punkt drei gesehen haben? Erfahrungsgemäss ist die Erklärung entweder älter als die Website oder von einem Muster übernommen, das Dienste nennt, die gar nicht im Einsatz sind — beides ist ein Problem.

Fünf. Wenn ein Dienstleister in den USA sitzt: Ist er nach dem Swiss-U.S. Data Privacy Framework zertifiziert, und liegt das schriftlich vor? Falls nicht — welche Garantien wurden vereinbart?

Wer alle fünf Punkte beantworten kann, ist weiter als die meisten. Wer an Punkt zwei hängenbleibt, hat die häufigste Lücke gefunden.

Wie wir es halten

Wir bauen statische Websites: HTML, CSS, Bilder, keine Datenbank, kein Redaktionssystem im Hintergrund. Das ist zuerst eine Entscheidung für Tempo und Wartungsarmut — es reduziert aber auch die Zahl der Stellen, an denen Daten überhaupt anfallen. Schriften liefern wir mit der Seite aus, Karten und Videos binden wir so ein, dass sie erst auf Klick laden, und der Weg einer Formularzuschrift wird im Projekt einmal sauber festgelegt statt nachträglich repariert.

Wo gehostet wird, entscheiden wir mit Ihnen und nicht für Sie. Für einen Handwerks- oder Gastrobetrieb ist ein guter europäischer Anbieter in aller Regel unproblematisch; für beratende Betriebe mit Geheimnispflicht empfehlen wir in der Regel Schweizer Hosting, weil es die Begründung kurz hält. Der Unterschied im Preis ist bei einer KMU-Website klein gegenüber dem Aufwand, den eine unklare Lage später verursacht.

Was das kostet, steht offen auf der Preisseite: Festpreise von CHF 1'200, 3'900 und 6'900, wahlweise in Raten ab CHF 100 im Monat. Wie eine solche Seite je Branche aussieht, zeigen die Demos — etwa für eine Praxis oder ein Treuhandbüro. Was nach dem Aufschalten anfällt, steht in Wer pflegt Ihre Website nach dem Launch.

Drei Fragen an Ihren jetzigen Anbieter

Erstens: In welchem Land liegen meine Website-Dateien, meine Protokolle und meine Backups — und wer betreibt die Rechenzentren? Drei Antworten, nicht eine; Backups liegen erstaunlich oft woanders.

Zweitens: Welche Unterbeauftragten setzen Sie ein, und wie werde ich über Wechsel informiert? Eine belastbare Antwort ist eine Liste. «Wir arbeiten mit Partnern» ist keine.

Drittens: Welche Bestandteile lädt meine Seite von fremden Adressen nach? Wer das ohne Nachsehen beantwortet, kennt seine eigene Arbeit. Wer nachsieht und dann antwortet, ist ebenso in Ordnung. Wer die Frage für übertrieben hält, hat sie beantwortet.

Beim Vergleich von Anbietern hilft daneben unsere Liste in Webagentur im Kanton Zug finden.

Häufige Fragen

Muss meine Website in der Schweiz gehostet werden?

Das Datenschutzgesetz kennt keine allgemeine Pflicht, Daten in der Schweiz zu halten. Es regelt zwei andere Dinge: die Beauftragung des Hosters als Auftragsbearbeiter nach Art. 9 DSG und die Bekanntgabe von Personendaten ins Ausland nach Art. 16 DSG. Ein Server im Ausland ist deshalb nicht verboten, sondern begründungspflichtig: Entweder steht der Staat auf der Liste mit angemessenem Datenschutz in Anhang 1 der Datenschutzverordnung, oder es braucht geeignete Garantien, etwa anerkannte Standardvertragsklauseln. Anders liegt der Fall bei Berufsgeheimnis- oder Aufsichtspflichten und bei einzelnen Branchenvorgaben — dort kann der Standort sehr wohl vorgegeben oder faktisch entschieden sein.

Brauche ich mit meiner Webagentur einen Auftragsbearbeitungsvertrag?

Sobald die Agentur oder der Hoster in Ihrem Auftrag Personendaten bearbeitet — und das tut jeder, der Ihre Formularzuschriften, Serverprotokolle oder Ihr Postfach betreibt —, ist das eine Auftragsbearbeitung. Art. 9 DSG verlangt, dass die Übertragung vertraglich oder gesetzlich vorgesehen ist, dass die Daten nur so bearbeitet werden, wie Sie selbst es dürften, dass keine Geheimhaltungspflicht entgegensteht und dass Sie sich von der Datensicherheit überzeugen. Weiter darf ein Auftragsbearbeiter die Bearbeitung nur mit Ihrer vorgängigen Genehmigung an Dritte weitergeben. Ein schriftlicher Vertrag ist der übliche Weg, diese Punkte belegbar zu machen.

Dürfen Daten aus der Schweiz in die USA gehen?

Ja, unter einer Bedingung. Der Bundesrat hat die USA in die Liste der Staaten mit angemessenem Datenschutz aufgenommen; die Änderung der Datenschutzverordnung ist am 15. September 2024 in Kraft getreten. Die Angemessenheit gilt jedoch nicht für die USA als Ganzes, sondern nur für Unternehmen, die sich nach dem Swiss-U.S. Data Privacy Framework zertifiziert haben. Ist Ihr Dienstleister nicht zertifiziert, bleibt es bei den Garantien nach Art. 16 Abs. 2 DSG, also in der Regel bei Standardvertragsklauseln samt Prüfung der Lage im Zielstaat.

Stand und Fundstellen: Anforderungen an die Auftragsbearbeitung und die Weitergabe an Dritte nach Art. 9 des Bundesgesetzes über den Datenschutz (DSG, in Kraft seit 1. September 2023); Bekanntgabe ins Ausland nach Art. 16 DSG samt Staatenliste in Anhang 1 der Datenschutzverordnung; Aufnahme der USA in diese Liste gestützt auf das Swiss-U.S. Data Privacy Framework, Inkrafttreten der Verordnungsänderung am 15. September 2024 gemäss Mitteilung des Bundesrates; Berufsgeheimnis samt Hilfspersonen nach Art. 321 StGB. Dieser Beitrag ist eine Orientierung, keine Rechtsberatung. Stand: September 2026.

Über uns: LMMeier ist eine Webagentur im Kanton Zug — Websites für KMU zum Festpreis, persönlich von Lisa und Matthias aus Baar. ← Alle Beiträge