Cloud-Infrastruktur und Anwendungsintegration: Architektur, Verträge und Ausstieg in der Schweiz

Architekturmuster und Verantwortlichkeitsgrenzen verstehen

Cloud-Computing bedeutet technisch: Anwendungen, Software, Speicher, Entwicklungswerkzeuge, Netzwerkkapazitäten oder Rechenleistung werden bedarfsorientiert über ein Netzwerk – etwa das Internet – von einem Cloud-Anbieter bezogen. Werden dabei Personendaten übermittelt, gilt das Datenschutzgesetz. Entscheidend für die Architektur ist die Verantwortungsgrenze zwischen Anbieter und Kunde. Sie verschiebt sich je nach Modell deutlich.

Bei Software as a Service (SaaS) beziehen Unternehmen fertige Anwendungen – etwa für Buchhaltung, CRM oder Office – direkt vom Anbieter. Sie installieren nichts und erhalten laufend Updates sowie Support. Die Software wird meist webbasiert bereitgestellt; der Anbieter verantwortet Betrieb und Wartung.

Desktop as a Service (DaaS) ist ein Untertyp. Der Anbieter stellt virtuelle Desktop-Arbeitsplätze aus der Cloud bereit; der Nutzer erhält einen kompletten Desktop, der auf dem Server des Anbieters läuft. Auch hier trägt der Anbieter die ganze Infrastrukturverantwortung.

Bei Infrastructure as a Service (IaaS) mietet das Unternehmen Serverkapazitäten, Speicherplatz oder Netzwerkinfrastruktur und kann darauf eigene Software betreiben. Die Verantwortung für die physische Infrastruktur, die Ausfallsicherheit und die grundlegende Datensicherheit liegt beim Anbieter; für Betriebssystem und Anwendungsebene bleibt das Unternehmen zuständig. Diese verbleibende Eigenverantwortung wird in der Praxis oft unterschätzt.

Unabhängig vom Modell bleibt die datenschutzrechtliche Verantwortung beim Kunden. Unternehmen haften weiterhin für die Einhaltung des DSG, wenn sie Daten in die Cloud auslagern und technische Aufgaben dem Anbieter überlassen. Schon das Speichern von Personendaten in der Cloud gilt als Bearbeitung und untersteht dem DSG. Das Gesetz verlangt eine transparente, zweckgebundene und verhältnismässige Bearbeitung sowie angemessene technische und organisatorische Massnahmen.

Daraus ergeben sich wiederkehrende Architekturfragen: Wo liegen die Daten geografisch, und wie stark ist die Umgebung des einzelnen Kunden von anderen Kunden isoliert? Wie ist die Ausfallsicherheit über mehrere Standorte organisiert, und auf welcher Ebene wird verschlüsselt?

Anbieter von Private-Cloud-Lösungen werben mit georedundanten Rechenzentren in der Schweiz, dedizierten und vollständig isolierten Umgebungen pro Kunde sowie vollständiger Verschlüsselung. Solche Angaben sind vertraglich und technisch zu prüfen und nicht als Marketingaussage zu übernehmen.

Anwendungen anbinden, ohne Datenflüsse aus den Augen zu verlieren

Datenschutzrechtlich heikel sind oft unspektakuläre, alltägliche Cloud-Anwendungen. Dazu zählen Office-Werkzeuge für die Online-Zusammenarbeit zwischen Mitarbeitenden, Online-Verwaltungstools von E-Mail-Adressen für Newsletter oder Kundenberatung, Online-CRM-Systeme, das Hochladen von Videos auf Streaming-Plattformen sowie das Hochladen von Dateien auf einen über das Internet abrufbaren Server. In all diesen Fällen werden Personendaten bearbeitet, auch wenn die Anwendung primär einem betrieblichen Zweck dient.

Vor der Integration ist festzuhalten, welche Daten wohin fliessen. Zu dokumentieren sind mindestens die betroffenen Datenkategorien und ihre Herkunft, die ein- und ausgehenden Schnittstellen, die Empfänger innerhalb und ausserhalb der Organisation, die eingesetzten Unterauftragsbearbeiter sowie die Speicher- und Verarbeitungsorte einschliesslich allfälliger Sicherungskopien. Diese Aufzeichnung ist keine einmalige Übung. Sie ist bei jeder neuen Anwendung, jedem Update mit neuen Funktionen und jedem Anbieterwechsel zu überprüfen.

Rollenklarheit ist Voraussetzung. Das Unternehmen, das Cloud-Dienste anbietet, handelt in der Regel als Auftragsdatenbearbeiter des Kunden im Sinne von Art. 9 DSG. Der Kunde kann selbst Verantwortlicher für die Datenbearbeitung oder seinerseits Auftragsbearbeiter sein; ist er Auftragsbearbeiter, muss er die Anforderungen erfüllen, die der Verantwortliche für seine Datenbearbeitungen festgelegt hat. Als Verantwortlicher trägt er die Verantwortung dafür, dass die im Auftrag durchgeführten Bearbeitungen datenschutzkonform erfolgen und die Rechte der betroffenen Personen durch die Auslagerung nicht geschmälert werden.

Praktisch heisst das: Wer eine Newsletter-Plattform, ein CRM oder eine Videoplattform anbindet, muss vor dem ersten Datenimport klären, ob eine Auftragsbearbeitung vorliegt, welche Unterauftragsbearbeiter eingebunden sind und ob Daten in ein anderes Land gelangen. Wird ein Dienst ohne diese Prüfung produktiv gesetzt, lässt sich die Datenflussebene später nur mit erheblichem Aufwand rekonstruieren.

Prüfliste für die Integration von Cloud-Anwendungen mit Datenschutzrisiken

Verträge: Auftragsbearbeitung, Unterauftragsbearbeiter und Kontrollrechte

Beim Cloud-Computing liegt in der Regel eine Auftragsdatenbearbeitung vor: Der Anbieter verarbeitet die übermittelten Daten im Auftrag des Kunden. Diese Auftragsdatenverarbeitung muss vertraglich geregelt werden. Als Mindeststandard gelten ein Weisungs- und Kontrollrecht des Auftraggebers sowie ein Grundstandard der Datensicherheit.

Der Cloud-Nutzer ist als Verantwortlicher verpflichtet, sich zu vergewissern und vertraglich abzusichern, dass er die Anforderungen an eine Auftragsbearbeitung gemäss Art. 9 DSG einhält.

Grössere Cloud-Anbieter haben vorgefertigte Vertragsmuster für die Auftragsdatenverarbeitung. Diese Muster sind kritisch zu prüfen und nicht unverändert zu übernehmen. Sie sind regelmässig anbieterfreundlich formuliert und decken schweizerische Anforderungen nicht immer ab. Besonders zu regeln sind die Bedingungen für den Beizug weiterer Unterauftragsbearbeiter, die Information und gegebenenfalls das Widerspruchsrecht des Kunden bei Wechseln, die Meldepflichten bei Sicherheitsvorfällen sowie die Frage, wer die Kosten einer Prüfung trägt.

Kontrollrechte sollten nicht bloss auf dem Papier stehen. Sinnvoll sind klare Angaben dazu, welche Nachweise der Anbieter regelmässig liefert, unter welchen Voraussetzungen Vor-Ort-Audits möglich sind und wie Zertifizierungen einzuordnen sind. Ebenso gehören Löschung und Rückgabe der Daten ausdrücklich in den Vertrag. Wann werden Daten gelöscht, in welchem Format werden sie zurückgegeben, und was geschieht mit Kopien in Sicherungssystemen und bei Unterauftragsbearbeitern?

Schweizer Datenschutzvorgaben im Cloud-Computing

Drittlandübermittlung und Datenhoheit: USA, EU und Schweizer Regionen

Personendaten dürfen grundsätzlich nur in Länder übertragen werden, die ein angemessenes Datenschutzniveau bieten. Für die USA ist ein solches Niveau nach verbreiteter Auffassung nicht gewährleistet. Solche Übermittlungen müssen anderweitig abgesichert werden – andernfalls sind sie zu unterlassen. Als Ersatzabsicherung kommen insbesondere Standardvertragsklauseln in Betracht, wie sie das europäische Recht in Art. 46 DSGVO vorsieht.

Die Schweiz ist ihrerseits auf die Anerkennung durch die EU angewiesen. Der Angemessenheitsbeschluss der EU-Kommission zur Schweiz stammt aus dem Jahr 2000. Das revidierte Schweizer Datenschutzrecht wurde auch mit dem Ziel überarbeitet, diese Anerkennung zu sichern.

Das revidierte DSG sowie die neue Datenschutzverordnung und die Verordnung über Datenschutzzertifizierungen traten am 1. September 2023 in Kraft. Der Geltungsbereich wurde ausgeweitet. Er erstreckt sich nun auch auf Bearbeitungen, die sich in der Schweiz auswirken, obwohl sie im Ausland veranlasst wurden. Geschützt sind nur noch natürliche Personen.

Bei grösseren Cloud-Anbietern lassen sich die Serverstandorte meist regional eingrenzen. Empfehlenswert ist, diese Region auf Europa zu beschränken und vertraglich vorzusehen, dass keine Personendaten diese Region verlassen. Eine solche geografische Begrenzung ist wirksamer als eine blosse Absichtserklärung, weil sie sich technisch und vertraglich überprüfen lässt.

Davon zu unterscheiden ist die Frage der Datenhoheit. Sogenannte souveräne Cloud-Modelle zielen darauf ab, dass weder ausländische Regierungen noch ausländische Konzerne auf die Infrastruktur zugreifen oder sie überwachen können. Ob ein solches Modell trägt, hängt von den Eigentumsverhältnissen, dem Sitz des Anbieters, den geltenden Offenlegungspflichten und den tatsächlichen Zugriffsmöglichkeiten auf Schlüssel und Betriebssystem ab. Regionale Speicherung allein genügt nicht, wenn der Anbieter rechtlich verpflichtet bleiben kann, auf Daten zuzugreifen.

Ausstieg: Datenrückgabe, Konkurs und fehlendes Aussonderungsrecht

Gerät der Cloud-Anbieter in Konkurs, kann es sein, dass der Cloud-Nutzer nicht mehr an seine Daten gelangt. Nach geltender Rechtslage in der Schweiz besteht im Konkurs eines Unternehmens kein Aussonderungsrecht für Daten einer Drittperson. Das Schweizer Recht kennt auch kein Eigentumsrecht an Daten. Daten fallen nicht unter den Begriff der Sache im Zivilgesetzbuch, weil ihnen die notwendige Körperlichkeit fehlt.

Diese Ausgangslage lässt sich nicht durch eine blosse Vertragsklausel auflösen. Der Sachverhalt kann in der Regel nicht nur mit Blick auf das Schweizer Recht geklärt werden, da die meisten grossen Cloud-Anbieter im Ausland sitzen. Der Ausstieg ist deshalb vorausschauend zu gestalten – als Teil der Architektur und nicht als Anhang zum Vertrag.

Vertraglich zu verankern sind mindestens: ein Recht auf vollständige Rückgabe der Daten in einem gängigen, maschinenlesbaren Format; Fristen für Rückgabe und anschliessende Löschung; die Pflicht zur Übergangshilfe während einer definierten Migrationsphase; sowie die Sicherung von Kopien ausserhalb der Anbieterumgebung. Wer seine Daten nicht ohnehin in einem eigenen, kontrollierten System spiegelt, ist im Ernstfall allein auf die Kooperationsbereitschaft einer Konkursmasse angewiesen.

Der Ausstiegsplan sollte auch den Personalaufwand und die technischen Abhängigkeiten benennen: Welche Anwendungen hängen an derselben Plattform, welche Schnittstellen müssen ersetzt werden, und welche Datenformate lassen sich verlustfrei übernehmen? Ein Ausstieg, der erst im Konkursfall durchdacht wird, ist praktisch nicht mehr umsetzbar.

Ablaufplan für sicheren Cloud-Ausstieg

Backups sind Beute: Datensicherung und Wiederherstellung neu denken

Viele KMU gehen davon aus, dass ein vorhandenes Backup bereits Schutz bedeutet. Genau diese Annahme ist heute ein Risiko. Sicherungskopien können im selben Cloud-Konto wie die Produktivdaten liegen und mit denselben Zugangsdaten erreichbar sein. Bei einem kompromittierten Konto können sie mitverschlüsselt oder mitgelöscht werden; eine Sicherung am selben Ort und mit denselben Rechten wie das Original schützt nicht gegen die wahrscheinlichsten Schadensfälle.

Sicherungen gehören deshalb zur Cloud-Architektur und zum Ausstiegsplan, nicht zur alleinigen Zuständigkeit der IT-Abteilung. Sinnvoll sind verschlüsselte, redundante Sicherungen, die an einem vom Produktivsystem getrennten Ort gehalten werden und für die eigene Organisation jederzeit wiederherstellbar sind. Wo Daten in der Schweiz bleiben sollen, muss sich das auch auf die Sicherungskopien und auf die Sicherungssysteme allfälliger Unterauftragsbearbeiter erstrecken.

Ebenso wichtig wie die Sicherung ist die Wiederherstellung. Eine Wiederherstellung, die nie getestet wurde, ist im Notfall eine Annahme. Zu klären sind: Wie lange dauert eine vollständige Wiederherstellung, wer kann sie auslösen, welche Rechte sind dafür nötig, und wie wird geprüft, dass die wiederhergestellten Daten vollständig und unverändert sind? Diese Tests sollten dokumentiert und in regelmässigen Abständen wiederholt werden.

Schliesslich ist die Datensicherung mit der Auftragsbearbeitung abzustimmen: Wer sichert welche Daten, wie lange werden Sicherungen aufbewahrt, und wie werden sie gelöscht, wenn der Vertrag endet? Ohne diese Abstimmung bleibt offen, ob nach einem Anbieterwechsel Datenreste in Sicherungssystemen zurückbleiben.

Anbieterprüfung mit Blick auf Betrieb, Compliance und Exit

Die Prüfung eines Cloud-Anbieters sollte nicht bei Funktionsumfang und Preis enden. Bewährt hat sich eine strukturierte Abfrage entlang von acht Punkten.

Dazu gehören Datenstandort und Speicherorte der Sicherungen; eingesetzte Unterauftragsbearbeiter samt Sitz und Wechselmodalitäten; technische und organisatorische Sicherheitsmassnahmen einschliesslich Verschlüsselung und Schlüsselverwaltung. Ebenfalls zu prüfen sind vertragliche Weisungs- und Kontrollrechte sowie Auditmöglichkeiten; allfällige Drittlandtransfers und deren Absicherung; Konkursrisiko und rechtliche Stellung des Anbieters; Modalitäten der Datenrückgabe inklusive Format und Vollständigkeit; sowie Ausstiegsfristen und Übergangshilfe.

Als Orientierung dienen die Hinweise des EDÖB zum Cloud-Computing. Danach sind drei Aspekte besonders zu beachten: der Einsatz von Auftragsbearbeitern und Unterauftragsbearbeitern, die Sicherheit der Datenbearbeitung und die Übermittlung von Personendaten in Drittländer. Der EDÖB führt unter «Weitere Informationen» das überarbeitete privatim-Merkblatt «Cloud-spezifische Risiken und Massnahmen» (2022) auf. Er führt dort auch Broschüren des deutschen Bundesamts für Sicherheit in der Informationstechnik zur sicheren Nutzung von Cloud-Diensten (2016) und zur Auswahl eines Cloud-Dienstes (2022) auf.

Bei der Bewertung ist zu berücksichtigen, dass Cloud-Dienste als standardisierte Lösungen bereitgestellt werden. Standardisierung senkt die Kosten und erhöht die Skalierbarkeit, erschwert aber individuelle Vereinbarungen. Wo der Anbieter keine Abweichungen von seinen Standardbedingungen zulässt, muss die Organisation entscheiden, ob die verbleibenden Risiken für die konkreten Daten vertretbar sind – und ob allenfalls eine andere Lösung mit stärkerer regionaler Begrenzung oder eine eigene Umgebung sinnvoller ist.

Die Prüfung ist zu dokumentieren und zu wiederholen. Anlässe dafür sind der erstmalige Bezug eines Dienstes, wesentliche Vertrags- oder Funktionsänderungen, neue Unterauftragsbearbeiter, Änderungen der Rechtslage sowie der Austritt von Schlüsselpersonen beim Anbieter. Wer die Ergebnisse schriftlich festhält, kann später belegen, dass die Auswahl sorgfältig erfolgt ist. Beim nächsten Anbieterwechsel liegen die entscheidenden Fragen bereits beisammen.

8-Punkte-Checkliste zur Cloud-Anbieterprüfung