“Daten in der Schweiz” bedeutet technisch, dass die gespeicherten Daten in einer Schweizer Cloud-Region liegen, zum Beispiel AWS eu-central-2 in Zürich. Es bedeutet nicht, dass keine Daten das Land verlassen: Kontometadaten, globale Identitätsverwaltung, weltweite CDN-Caches, Telemetrie und Support-Zugriffe sind davon meist nicht erfasst. Das revidierte Schweizer Datenschutzgesetz verlangt keine Inlandspeicherung, sondern angemessenen Schutz bei Bekanntgabe ins Ausland; Datenresidenz ist deshalb meist eine vertragliche Anforderung. Gegen ausländische Herausgabepflichten hilft der Standort allein nicht, sondern Verschlüsselung mit kundenkontrollierten Schlüsseln und Datensparsamkeit. Prüfbar wird die Zusage über sieben Punkte: gespeicherte Daten, Sicherungen, Protokolle, Übertragungsweg, Support-Zugriff, Schlüsselverwaltung, Unterauftragsverarbeiter.
“Unsere Daten liegen in der Schweiz” ist einer der meistgesagten Sätze in Schweizer Ausschreibungen und einer der am seltensten geprüften.
Er ist selten falsch. Er ist nur meistens kleiner, als beide Seiten denken.
Was eine Schweizer Region tatsächlich festlegt
Wenn du eine Anwendung in einer Schweizer Cloud-Region betreibst, etwa AWS eu-central-2 in Zürich, dann liegen dort:
- die Datenbank und ihre Inhalte,
- die abgelegten Dateien und Dokumente,
- die Sicherungen, sofern du sie nicht ausdrücklich anderswohin kopierst,
- die Rechenleistung, die diese Daten verarbeitet.
Das ist substanziell, und es ist genau das, was die meisten meinen, wenn sie die Frage stellen. Die Kundendaten selbst bleiben im Land.
Was trotzdem hinausgeht
Hier wird es unbequem, und deshalb steht es selten in Angeboten.
Kontometadaten und Abrechnung. Wie viele Ressourcen du betreibst, wie sie heissen, was sie kosten. Diese Verwaltungsebene ist bei den grossen Anbietern global organisiert.
Identitätsverwaltung. Benutzer, Rollen und Berechtigungen sind bei AWS ein globaler Dienst. Wer sich anmeldet und mit welchen Rechten, ist keine Information, die an eine Region gebunden ist.
CDN-Caches. Eine Seite, die weltweit schnell sein soll, liegt weltweit im Zwischenspeicher. Öffentliche Inhalte sind damit auf Servern rund um den Globus. Für eine Marketing-Seite ist das gewollt, für ein Kundenportal muss man entscheiden, was überhaupt in den Cache darf.
Telemetrie und Betriebsdaten. Fehlermeldungen, Leistungsmesswerte, Sicherheitsereignisse. Vieles davon ist regional, manches nicht.
Der Support-Fall. Wenn du ein Ticket eröffnest und ein Techniker in Irland oder Virginia hineinschaut, ist die Frage nicht mehr, wo die Daten liegen, sondern wer sie sehen darf. Das ist vertraglich regelbar, aber es ist eben eine Vertragsfrage und keine Standortfrage.
Deine eigenen Nebenwege. Der Mail-Versand, das Analytics-Werkzeug, der Chat auf der Webseite, das Backup-Skript auf dem Notebook der Geschäftsführung. In der Praxis liegt hier der häufigste tatsächliche Abfluss, nicht bei der Cloud.
Was das Gesetz verlangt, und was nicht
Ein verbreitetes Missverständnis: Das revidierte Schweizer Datenschutzgesetz verlangt keine Speicherung in der Schweiz.
Es verlangt, dass eine Bekanntgabe ins Ausland nur in Länder mit angemessenem Datenschutz erfolgt oder mit geeigneten Garantien abgesichert wird, und dass die Bearbeitung transparent, verhältnismässig und angemessen gesichert ist. Der Bundesrat führt eine Länderliste. Für einen Grossteil Europas ist die Sache damit unproblematisch.
Datenresidenz in der Schweiz ist deshalb in den meisten Fällen keine gesetzliche Pflicht, sondern eine Anforderung: aus einem Vertrag, aus einer Ausschreibung, aus dem Berufsgeheimnis eines Mandanten, oder schlicht aus dem Wunsch des Kunden.
Das ist kein Argument dagegen. Eine vertragliche Anforderung ist genauso bindend wie eine gesetzliche, und ein verlorener Auftrag tut genauso weh. Es ist aber ein Argument dafür, den Grund zu kennen, bevor man den Aufpreis zahlt. Und einen Aufpreis gibt es: die Zürcher AWS-Region kostet gegenüber Frankfurt rund zehn Prozent mehr, bei Blockspeicher rund zwanzig, gemessen im August 2026.
Auch das hier ist keine Rechtsberatung. Es ist die Beschreibung dessen, was technisch passiert, damit die juristische Prüfung auf der richtigen Grundlage stattfindet.
Der Punkt, den der Standort nicht löst
Ein US-Anbieter kann grundsätzlich unabhängig vom Speicherort zur Herausgabe verpflichtet werden, wenn er der US-Jurisdiktion untersteht. Eine Schweizer Region ändert daran für sich genommen nichts.
Was praktisch etwas ändert:
- Verschlüsselung mit Schlüsseln, die du kontrollierst, und die der Anbieter nicht ohne deine Mitwirkung verwenden kann. Dann ist die Herausgabe von Datenblöcken nicht dasselbe wie die Herausgabe von Inhalten.
- Datensparsamkeit. Was nicht gespeichert ist, kann nicht herausgegeben werden. Der wirksamste Schutz ist meistens, weniger zu erheben.
- Ein Schweizer Anbieter für die Teile, bei denen das Risiko nicht tragbar ist. Das kostet Geld und Bequemlichkeit, und für manche Datensätze ist es die richtige Entscheidung.
Wer die Frage abschliessend beantwortet haben will, braucht eine juristische Beurteilung. Was ein Architekt beitragen kann, ist die ehrliche Auskunft darüber, wo welche Daten tatsächlich liegen.
Die sieben Punkte, die man prüfen sollte
Wenn dir jemand “Daten in der Schweiz” zusagt, oder wenn du es selbst zusagst, sind das die Fragen, die schriftlich beantwortet sein sollten:
- Gespeicherte Daten. In welcher Region liegen Datenbank und Dateien?
- Sicherungen. Wo liegen sie, und wie lange? Repliziert jemand sie in eine zweite Region?
- Protokolldaten. Wo liegen Zugriffs- und Anwendungslogs, wie lange, und was steht darin?
- Übertragung. Über welche Netze läuft der Verkehr, und was liegt in weltweiten Caches?
- Zugriff. Wer kann im Betrieb und im Support auf Inhalte zugreifen, von wo, und wird das protokolliert?
- Schlüssel. Wer verwaltet die Verschlüsselungsschlüssel, und kann der Anbieter ohne dich entschlüsseln?
- Unterauftragsverarbeiter. Welche weiteren Dienste hängen dran, und wo sitzen die?
Steht das nicht schriftlich, ist die Zusage eine Absichtserklärung. Steht es schriftlich, hast du eine Grundlage, auf der ein Jurist arbeiten kann.
Wie wir es halten
Wir bauen in AWS eu-central-2, also Zürich, und sagen dazu, was diese Aussage abdeckt und was nicht. Bei jedem Projekt gehen wir die sieben Punkte einmal durch und schreiben die Antworten auf, auch wenn niemand danach fragt.
Der Grund ist einfach: Der Satz “unsere Daten liegen in der Schweiz” wird irgendwann von jemandem geprüft, der es genau wissen will. Meistens von einem Kunden deines Kunden, in einer Ausschreibung, unter Zeitdruck. Dann ist es angenehm, das Dokument schon zu haben.
Häufige Fragen
Bedeutet eine Schweizer Cloud-Region, dass keine Daten die Schweiz verlassen?
Nein. Eine Schweizer Region legt fest, wo die gespeicherten Daten liegen, also Datenbanken, Dateien, Sicherungen. Nicht abgedeckt sind in der Regel Kontometadaten und Abrechnungsdaten, die globale Identitätsverwaltung, Inhalte in weltweiten CDN-Caches, Telemetrie und der Support-Fall, in dem jemand ausserhalb der Schweiz auf ein Ticket schaut. Wer ‘keine Daten verlassen die Schweiz’ zusagt, muss jeden dieser Punkte einzeln geprüft haben.
Verlangt das revDSG, dass Daten in der Schweiz gespeichert werden?
Nein. Das revidierte Datenschutzgesetz verlangt keine Speicherung im Inland. Es verlangt, dass eine Bekanntgabe ins Ausland nur in Länder mit angemessenem Schutz erfolgt oder mit geeigneten Garantien abgesichert wird, und dass die Bearbeitung transparent und gesichert ist. Datenresidenz in der Schweiz ist also meist eine vertragliche oder kundenseitige Anforderung, keine gesetzliche. Das ist keine Rechtsberatung.
Schützt eine Schweizer Region vor dem US CLOUD Act?
Nicht allein durch den Standort. Ein US-Anbieter kann grundsätzlich unabhängig vom Speicherort zur Herausgabe verpflichtet werden. Was praktisch hilft, ist Verschlüsselung mit Schlüsseln, die der Kunde kontrolliert und die der Anbieter nicht ohne Mitwirkung verwenden kann, sowie Datensparsamkeit. Wer die Frage rechtlich abschliessend beantwortet haben will, braucht eine juristische Prüfung, keinen Architekten.
Woran erkenne ich, ob ‘Daten in der Schweiz’ bei einem Anbieter stimmt?
An sieben Punkten: Region der gespeicherten Daten, Ort der Sicherungen, Ort der Protokolldaten, Verlauf der Übertragung, Zugriff durch Support und Betrieb, Schlüsselverwaltung, und die Unterauftragsverarbeiter. Steht das nicht schriftlich, ist die Zusage eine Absichtserklärung.