Das Schweizer Berufsgeheimnis nach Art. 321 StGB erfasst bestimmte Berufe, darunter Anwälte, Ärzte, Apotheker, Notare und Revisoren nach Obligationenrecht, samt ihren Hilfspersonen. Ein Treuhänder, der nicht als Revisionsstelle tätig ist, fällt in der Regel nicht darunter, unterliegt aber vertraglicher Verschwiegenheit und dem Datenschutzrecht. Eine Cloud-Auslagerung ist grundsätzlich möglich, wenn der Anbieter als Hilfsperson eingebunden ist und Vertraulichkeit vertraglich, technisch und organisatorisch sichergestellt wird. Zu prüfen sind acht Punkte: Rechtsgrundlage, Speicherort, Verschlüsselung und Schlüsselhoheit, Zugriff und Support, Protokollierung, Unterauftragsverarbeiter, Beendigung und Rückgabe, Notfall und Meldepflichten. Häufig übersehen wird die eigene Webseite, über die Kontaktformulare und Uploads Personendaten in eine CMS-Datenbank mit öffentlich erreichbarer Anmeldung leiten.
Die Frage kommt fast immer in derselben Form: “Dürfen wir das überhaupt in die Cloud?”
Sie ist zu grob gestellt, und deshalb bekommt sie zu grobe Antworten. Meistens entweder “nein, auf keinen Fall” oder “klar, machen alle”. Beide sind falsch, und die zweite ist teurer.
Wer überhaupt betroffen ist
Art. 321 StGB stellt die Verletzung des Berufsgeheimnisses unter Strafe. Die Bestimmung zählt die Berufe abschliessend auf. Darunter fallen unter anderem Anwälte, Verteidiger, Notare, Ärzte, Zahnärzte, Apotheker, Hebammen, Psychologen und Revisoren nach Obligationenrecht. Ausdrücklich erfasst sind auch deren Hilfspersonen.
Was daraus folgt, wird regelmässig verwechselt:
Ein Anwalt unterliegt dem Berufsgeheimnis, zusätzlich der Standesregelung und der Aufsicht.
Ein Treuhänder unterliegt ihm nicht automatisch. Er fällt darunter, soweit er als Revisionsstelle tätig ist. Führt er Buchhaltungen und Steuererklärungen, ist er in aller Regel nicht von Art. 321 StGB erfasst, sondern durch Vertrag, durch das Datenschutzrecht und je nach Tätigkeit durch weitere Spezialgesetze gebunden.
Der Unterschied betrifft die Strafbarkeit, nicht die Sorgfalt. Wer Kundendaten schlecht schützt, hat auch ohne Art. 321 StGB ein Problem: vertraglich, aufsichtsrechtlich, und spätestens beim Vertrauensverlust.
Und wie bei allem hier gilt: das ist die Beschreibung eines Rahmens, damit die technische Diskussion an der richtigen Stelle anfängt, keine Rechtsberatung.
Die Hilfspersonen-Regel ist der Schlüssel
Die entscheidende Weichenstellung für die Cloud ist, dass das Gesetz Hilfspersonen mitdenkt. Ein Berufsgeheimnisträger darf sich Hilfspersonen bedienen, die dann selbst dem Geheimnis unterstehen.
Ein Cloud-Anbieter oder ein IT-Dienstleister lässt sich als solche Hilfsperson einbinden. Das ist der Weg, auf dem eine Auslagerung überhaupt zulässig wird. Es ist aber kein Automatismus, sondern eine Konstruktion, die getragen sein muss:
- vertraglich, mit ausdrücklicher Verpflichtung auf die Vertraulichkeit,
- technisch, sodass ein Zugriff auf Inhalte nicht beiläufig möglich ist,
- organisatorisch, mit dokumentierten Rollen und Protokollen.
Wer nur den ersten Punkt hat, hat ein Papier. Wer nur den zweiten hat, hat eine Konfiguration. Es braucht alle drei.
Acht Punkte, die vor der Auslagerung geklärt sein müssen
- Rechtsgrundlage und Rolle. Ist der Anbieter als Hilfsperson eingebunden, mit ausdrücklicher Verschwiegenheitsklausel? Gibt es einen Auftragsbearbeitungsvertrag?
- Speicherort. Wo liegen Daten und Sicherungen? Was genau deckt die Zusage “Schweiz” ab, und was nicht? Die sieben Punkte zur Datenresidenz gehören hier beantwortet.
- Verschlüsselung und Schlüsselhoheit. Verschlüsselt im Transport und im Ruhezustand ist Minimum. Die interessantere Frage ist, wer die Schlüssel hält und ob der Anbieter ohne dich entschlüsseln kann.
- Zugriff und Support. Wer kann im Betrieb Inhalte sehen? Braucht es dafür eine Freigabe? Wird jeder Zugriff protokolliert, und siehst du dieses Protokoll?
- Protokollierung. Wer hat wann worauf zugegriffen, in deinem eigenen System. Ohne diese Spur kannst du im Ernstfall nicht sagen, was passiert ist, und genau das wirst du sagen müssen.
- Unterauftragsverarbeiter. Welche weiteren Dienste hängen daran? Ein Mail-Versender, ein Suchdienst, ein Chat-Werkzeug. Jeder davon ist eine weitere Stelle, an der Inhalte vorbeikommen.
- Beendigung. Wie kommst du wieder heraus, in welchem Format, in welcher Frist, und wann werden die Daten beim Anbieter tatsächlich gelöscht?
- Notfall. Wer entscheidet was bei einem Vorfall, in welcher Reihenfolge wird informiert, und greift eine Meldepflicht? Das revidierte Datenschutzgesetz verlangt bei einer Verletzung der Datensicherheit mit hohem Risiko eine Meldung an den EDÖB.
Diese acht Punkte sind kein Formular für den Anbieter, sondern eine Grundlage für den eigenen Entscheid. Wer sie schriftlich hat, kann sie einem Mandanten zeigen. Wer sie nicht hat, hat ein Gespräch geführt.
Der Teil, den fast alle vergessen
In der Praxis wird die Kanzlei- oder Treuhandsoftware sorgfältig geprüft. Server, Verschlüsselung, Zugriffskonzept, alles dokumentiert.
Und dann steht daneben eine Webseite mit einem Kontaktformular.
Über dieses Formular kommen Personendaten herein: Namen, Anliegen, manchmal Beträge, manchmal Dokumente. Bei einer typischen WordPress-Installation landen diese Eingänge in der Datenbank auf einem gemieteten Server, oft in einem Plugin, dessen Version von aussen sichtbar ist, hinter einer Anmeldeseite, die offen im Internet steht.
Das ist selten Absicht. Es passiert, weil die Webseite als Marketing gilt und nicht als Datenverarbeitung. Der Angreifer macht diesen Unterschied nicht.
Drei Fragen, die sich hier lohnen:
- Was kommt über die Seite herein, und wo wird es gespeichert? Wenn Formulareingänge in einer CMS-Datenbank liegen, ist diese Datenbank Teil deiner Datenverarbeitung, mit allem, was dazugehört.
- Wer könnte sich anmelden? Wenn der Anmeldename öffentlich abrufbar ist, was bei WordPress häufiger vorkommt als gedacht, fehlt einem Angreifer nur noch das Passwort.
- Braucht die Seite überhaupt eine Datenbank? Für eine Kanzlei- oder Treuhandwebseite lautet die Antwort fast immer nein. Eine statisch ausgelieferte Seite mit einem Formular, das direkt in ein gesichertes Postfach zustellt, hat keine Datenbank, keine Anmeldung und kein Plugin, das veralten kann.
Das ist der Punkt, an dem aus einer rechtlichen Frage eine architektonische wird. Und es ist die günstigste Stelle, an der man ansetzen kann, weil dort meistens am wenigsten dranhängt.
Was ich empfehle
Erst einordnen, dann prüfen. Kläre, ob Art. 321 StGB überhaupt greift oder ob es um vertragliche Verschwiegenheit und Datenschutzrecht geht. Das verändert die Anforderungen erheblich.
Die acht Punkte schriftlich beantworten, einmal, sauber, mit dem Anbieter zusammen. Danach ist es ein Dokument, das man aktualisiert, statt jedes Mal eine Diskussion.
Und die Webseite in denselben Blick nehmen wie die Fachanwendung. Sie ist der einzige Teil des Systems, den jeder im Internet erreichen kann.
Häufige Fragen
Fällt ein Treuhänder unter das Berufsgeheimnis nach Art. 321 StGB?
Nicht automatisch. Art. 321 StGB zählt bestimmte Berufe auf, darunter Anwälte, Ärzte, Apotheker, Notare und Revisoren nach Obligationenrecht, samt ihren Hilfspersonen. Ein Treuhänder, der nicht als Revisionsstelle tätig ist, fällt in der Regel nicht darunter, ist aber vertraglich und über das Datenschutzrecht trotzdem zur Verschwiegenheit verpflichtet. Der Unterschied betrifft die Strafbarkeit, nicht die Sorgfaltspflicht. Das ist keine Rechtsberatung.
Darf ein Anwalt Mandantendaten in der Cloud speichern?
Grundsätzlich ja, wenn der Anbieter als Hilfsperson eingebunden ist und die Vertraulichkeit vertraglich, technisch und organisatorisch sichergestellt wird. Entscheidend sind Zugriffsbeschränkung, Verschlüsselung, Protokollierung, geregelte Unterauftragsverarbeiter und die Frage, wer im Support tatsächlich Inhalte sehen kann. Verbandsrichtlinien und die Aufsicht können zusätzliche Anforderungen stellen.
Was ist bei einer Cloud-Auslagerung unter Berufsgeheimnis zu prüfen?
Acht Punkte: Rechtsgrundlage und Einbindung als Hilfsperson, Ort der gespeicherten Daten, Verschlüsselung und Schlüsselhoheit, Zugriffs- und Supportkonzept, Protokollierung, Unterauftragsverarbeiter, Beendigung und Datenrückgabe, sowie der Notfall inklusive Meldepflichten. Alles davon gehört schriftlich, nicht ins Gespräch.
Warum ist die eigene Webseite dabei ein Thema?
Weil über sie oft unbemerkt Personendaten hereinkommen: Kontaktformulare, Datei-Uploads, Terminbuchungen, Rückrufwünsche. Diese Daten landen häufig in einer CMS-Datenbank auf einem gemieteten Server, dessen Anmeldung öffentlich erreichbar ist. Wer Mandantendaten in der Kanzleisoftware sorgfältig schützt und sie über das Kontaktformular ungeschützt einsammelt, hat die Kette an der schwächsten Stelle offen.