Der 2018 in den USA verabschiedete Cloud Act (Clarifying Lawful Overseas Use of Data Act) verpflichtet Anbieter von Online-Diensten, die der US-Rechtshoheit unterstehen, den US-Behörden Daten herauszugeben, die sie besitzen, kontrollieren oder überwachen — selbst wenn die Daten ausserhalb der USA gespeichert sind, etwa in einem Schweizer Rechenzentrum. Diese extraterritoriale Reichweite steht im Zentrum der Spannungen mit dem DSG und der DSGVO.
Extraterritoriale Reichweite ohne Rechtshilfeweg
Der Cloud Act ersetzt das Kriterium des Speicherorts durch das Kriterium der Kontrolle: Entscheidend ist nicht, wo die Daten liegen, sondern wer sie kontrolliert. Ein US-Anbieter (Microsoft, Google, Amazon…) kann daher verpflichtet werden, in der Schweiz gehostete Daten offenzulegen, ohne dass der ordentliche Weg der internationalen Rechtshilfe eingehalten wird. Vertragliche Zusicherungen des Anbieters binden die US-Behörden nicht.
Wichtiger Hinweis
Der Cloud Act endet nicht beim Anbieter, mit dem Sie den Vertrag schliessen. Er gilt für Daten, die von jedem Unternehmen, das der US-Rechtshoheit untersteht, «besessen, kontrolliert oder überwacht» werden — auch von einem Unterauftragnehmer, einem Rechenzentrumsbetreiber, einem Softwarehersteller oder einer US-Tochtergesellschaft Ihres Anbieters. Ein Anbieter mit Sitz in der Schweiz oder in Europa kann daher indirekt betroffen sein, sobald er Infrastrukturen oder Dienste amerikanischer Unternehmen nutzt (Microsoft, AWS, Google usw.). Vor der Wahl eines Anbieters ist nicht nur dessen Sitz zu prüfen, sondern die gesamte Kette der Unterauftragnehmer und technischen Abhängigkeiten. Die Nationalität der Software genügt jedoch nicht für die Beurteilung: Eine US-Software, die auf der eigenen Infrastruktur betrieben wird, deren Protokolle lokal bleiben und auf die der Hersteller keinen technischen Zugriff hat, setzt die Daten dem Cloud Act kaum aus. Entscheidend ist die technische Möglichkeit des Anbieters, auf die Daten zuzugreifen — Fernzugriff des Supports, Telemetrie, Hosting oder Hybridfunktionen.
DSG und DSGVO: Transferregeln auf dem Prüfstand
Das DSG (Art. 16 f.) und die DSGVO (Kapitel V) erlauben die Übermittlung von Daten ins Ausland nur, wenn der Empfängerstaat ein angemessenes Schutzniveau bietet oder geeignete Garantien bestehen. Seit dem Schrems-II-Urteil des EuGH ist jedoch klar, dass Standardvertragsklauseln gegenüber Überwachungsgesetzen, die Zugriffe ohne wirksame Kontrolle erlauben, nicht genügen. Der Cloud Act schafft genau diesen Konflikt: einen gesetzlich vorgesehenen Zugriff, unabhängig von den vertraglichen Zusagen des Anbieters.
Schweizer Verwaltung und Microsoft-Tools
Viele Kantone und Gemeinden nutzen Microsoft 365, Teams oder Outlook für E-Mail, Speicherung und Zusammenarbeit. Die Konferenz der schweizerischen Datenschutzbeauftragten (Privatim) hat am 18. November 2025 eine Resolution verabschiedet (publiziert am 24. November 2025): SaaS-Lösungen internationaler Anbieter — Microsoft 365 wird ausdrücklich genannt — sind für besonders schützenswerte Personendaten oder Daten, die einer gesetzlichen Geheimhaltungspflicht unterstehen, in der Regel nicht geeignet.
Die Gründe: fehlende echte Ende-zu-Ende-Verschlüsselung, ungenügende Transparenz über Unterauftragnehmer und Updates, einseitige Änderung der Bedingungen, Kontrollverlust sowie die Unterstellung der US-Anbieter unter den Cloud Act. Für Privatim ist eine Nutzung nur denkbar, wenn das Gemeinwesen die Daten selbst verschlüsselt und der Anbieter keinen Zugriff auf die Schlüssel hat.
Die Resolution ist für den Bund nicht rechtlich bindend, und der Kanton Glarus hat sich ausdrücklich distanziert. Sie setzt jedoch eine klare Leitlinie für die Behörden und stützt die Haltung der kantonalen Datenschutzbeauftragten.
Berufe mit Geheimhaltungspflicht: dieselbe Logik
Anwälte, Ärzte, Notare und andere Berufsgeheimnisträger (Art. 321 StGB) oder den Pflichten des DSG/der DSGVO unterstellte Personen müssen gleich denken. Wer vertrauliche Dossiers in einer E-Mail- oder Cloud-Umgebung eines US-Anbieters speichert, setzt sie einem Zugriff nach dem Cloud Act aus, der mit dem Berufsgeheimnis unvereinbar ist. Vertragsklauseln, Zertifizierungen oder Zusagen des Anbieters genügen nicht: Nur eine Architektur, bei der der Berufsträger die Schlüsselhoheit behält, reduziert das Risiko wirklich.
Praktische Empfehlungen
1. Daten klassifizieren: öffentlich, allgemein beruflich, sensibel oder geheimhaltungspflichtig. 2. Sensible Daten in der Schweiz oder in Europa bei Anbietern hosten, die dem Cloud Act nicht unterstehen. 3. Bei unvermeidbarer Nutzung internationaler Anbieter Ende-zu-Ende-Verschlüsselung mit lokal gehaltenen Schlüsseln einsetzen. 4. Risikoanalyse (DSFA) dokumentieren und Unterauftragnehmer prüfen. 5. Offizielle Positionen (Privatim, EDÖB, EDPB) und Rechtsprechung verfolgen.
Quellen
Text des Cloud Act (H.R. 4943, US-Kongress)
Bundesgesetz über den Datenschutz (DSG, SR 235.1)
Datenschutz-Grundverordnung (DSGVO, EU 2016/679)
Privatim — Resolution zur Auslagerung von Datenbearbeitungen in die Cloud
EuGH, Urteil Schrems II (C-311/18)
Swissinfo — Data protection officer warns Swiss authorities over US cloud risks
Heise — Switzerland: Data Protection Officers Impose Broad Cloud Ban for Authorities