Die Diskussion um Datenschutz, Cloud-Souveränität und den Umgang mit US-Anbietern wie Microsoft, Google oder Amazon erhält in der Schweiz eine neue Dimension. In einer gemeinsamen Resolution der kantonalen Datenschutzverantwortlichen und des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wurde festgelegt, dass Schweizer Behörden künftig keine Cloud-Dienste amerikanischer Anbieter mehr nutzen dürfen – darunter ausdrücklich auch Microsoft Office 365 online sowie darauf basierende KI-Dienste.

Diese Entscheidung ist ein einschneidender Schritt, der weitreichende Auswirkungen auf Verwaltung, öffentliche Institutionen und mittelfristig voraussichtlich auch private Unternehmen haben wird.

Hintergrund: Das Ende des Privacy Shield und die Position der Schweiz

Bereits 2020 hatte der Europäische Gerichtshof das Privacy Shield Abkommen zwischen der EU und den USA aufgehoben, was zu erheblichen Unsicherheiten in der Übermittlung personenbezogener Daten an US-Anbieter führte.

Der Schweizer EDÖB kam – unabhängig von der EU – zu einem ähnlichen Schluss. In seiner Stellungnahme vom 8. September 2020 stellte er fest:

Das Privacy-Shield-Regime bietet kein angemessenes Datenschutzniveau für Datenübermittlungen von der Schweiz in die USA gemäss dem Schweizer Datenschutzgesetz (DSG). In der Folge strich der EDÖB den Hinweis auf ‹‹angemessenen Datenschutz unter bestimmten Bedingungen›› für die USA aus seiner Staatenliste.

Damit war klar: Jede Nutzung eines US-Cloud-Dienstes durch Schweizer Stellen ist rechtlich heikel – nun folgt die Konsequenz daraus.

Die neue Resolution: Keine US-Cloud-Dienste mehr in Schweizer Behörden

Die jüngst verabschiedete Resolution der Datenschutzbehörden bedeutet eine klare Zäsur: Behörden in der Schweiz dürfen keine US-Cloud-Anbieter mehr einsetzen.

Dies umfasst insbesondere:

• Microsoft Office 365 Online
• Cloud-basierte Dienste von Microsoft, Google, Amazon (AWS), Meta usw.
• darauf aufbauende KI-Module wie Copilot, Chat-basierte Dienste oder Analyseplattformen

Die Datenschutzbehörden argumentieren, dass:

1. US-Gesetze (z. B. Cloud Act, FISA 702) US-Behörden weitreichende Zugriffsmöglichkeiten gewähren,
2. der Schutzstandard in den USA nicht dem Schweizer DSG entspricht,
3. Schweizer Behörden die Einhaltung des DSG nicht sicherstellen können, solange Daten bei einem US-Cloud-Provider liegen.

Diese Entscheidung stellt Verwaltungen nun vor enorme technische und organisatorische Herausforderungen – insbesondere dort, wo Office 365 oder andere Cloud-basierte Systeme tief in die Prozesse integriert sind.

Und nun? Auswirkungen und erwartete Entwicklungen

Die Resolution betrifft aktuell Behörden – doch dabei wird es voraussichtlich nicht bleiben.

Experten erwarten, dass auch private Unternehmen, die:

• kritische Infrastrukturen betreiben,
• sicherheitsrelevante Aufgaben erfüllen oder
• besonders sensible Daten verarbeiten,

in einem nächsten Schritt von ähnlichen Einschränkungen betroffen sein könnten.

Damit würde ein Grossteil der Schweizer Wirtschaft gezwungen sein, Alternativen zu amerikanischen Cloud-Diensten zu prüfen – insbesondere Anbieter zu eruieren, die Datenhaltung zu 100 % in der Schweiz garantieren können.

Was bedeutet das für Führungsgremien, Verwaltungsräte und Aufsichtsräte?

Vor dem Hintergrund dieser regulatorischen Entwicklungen wird die Frage nach einem sicheren, rechtskonformen Board-Portal noch wichtiger.

Bereits im Juli 2020 hat Loomion CEO Christopher Knabe im BOARD-Magazin des Bundesanzeiger Verlags in einem Fachartikel analysiert, welche Kriterien bei der Auswahl eines Board-Portals relevant sind – insbesondere nach dem Ende des Privacy Shield. Viele dieser Punkte gewinnen durch die aktuelle Schweizer Entwicklung zusätzlich an Bedeutung:

• Schweizer oder europäische Datenspeicherung
• Keine Verarbeitung durch US-Subauftragsnehmer
• End-to-End-Sicherheit ohne Cloud-Risiken
• Zugriffsbeschränkungen und Zero-Knowledge-Architekturen

Lösungen wie Loomion, die vollständig DSG-konform betrieben werden können und nicht auf US-Cloud-Infrastruktur basieren, werden dadurch zunehmend zur strategischen Wahl – und Loomion ist aktuell der einzige Board-Management-Software-Anbieter auf dem Markt, der alle diese Kriterien erfüllt.

Fazit: Eine Zäsur für die digitale Souveränität der Schweiz

Die Resolution ist mehr als ein datenschutzrechtlicher Hinweis – sie ist ein Paradigmenwechsel. Sie zwingt Behörden und in Zukunft vermutlich auch private Unternehmen, sich mit souveränen, europäischen oder schweizerischen Alternativen auseinanderzusetzen. US-Cloud-Dienste, die jahrelang Standard waren, werden in zentralen Bereichen nicht mehr tragfähig sein.

Für Unternehmen, die frühzeitig auf datenschutzkonforme, lokal betriebene Lösungen setzen, entsteht damit nicht nur Rechtssicherheit – sondern ein wichtiger Wettbewerbsvorteil.

Sie haben Fragen zum Artikel oder sind gerade auf der Suche nach einer sicheren Board-Management-Lösung, bei der Ihre Daten die Schweiz nicht verlassen? Sprechen Sie mit Christopher Knabe, einem ausgewiesenen Fachmann auf dem Gebiet.