Microsoft 365 und der Schweizer Datenschutz: Die Grenzen einer delegierten Compliance

21. Oktober 2026Von David Papaux

Bürosoftware, E-Mail und kollaborative Speicherung sind in wenigen Jahren auf gehostete Suiten umgestiegen. Für eine Anwaltskanzlei oder ein Schweizer Unternehmen stellt sich nicht mehr die Frage, ob Microsoft 365 verwendet wird, sondern ob diese Verwendung einer datenschutzrechtlichen Prüfung standhält. Die folgende Analyse ist bewusst kritisch: nicht weil die Cloud als solche rechtswidrig wäre, sondern weil Compliance dort zu einer aus dem Katalog gekauften Dienstleistung wird, die kaum überprüfbar ist und weitgehend von ausländischem Recht abhängt. Die selbst gehostete Open-Source-Alternative bietet keine Immunität, verlagert aber die Kontrolle dorthin, wo der Verantwortliche sie tatsächlich ausüben kann.

Was das DSG tatsächlich verlangt

Seit dem Inkrafttreten des revidierten Datenschutzgesetzes ist der Rahmen klar: Bearbeitungsgrundsätze (Art. 6), angemessene Sicherheit unter Berücksichtigung des Risikos (Art. 9), Information der betroffenen Personen (Art. 19), Folgenabschätzung bei hohem Risiko (Art. 22) sowie Strafen von bis zu 250 000 Franken, die gegen natürliche Personen verhängt werden (Art. 60 ff.). Nichts in diesem Regelwerk schreibt die Cloud vor oder verbietet sie; alles verlangt, mit Belegen dokumentieren zu können, dass die Bearbeitung rechtmässig, verhältnismässig und sicher ist.

Übermittlungen ins Ausland und US-Recht: der Reibungspunkt

Die Schwierigkeit ist nicht technisch, sondern rechtlich. Eine europäische Hosting-Lösung von Microsoft 365 schliesst die Anwendung der US-Gesetzgebung auf Daten, die von der Muttergesellschaft und ihren weiteren Auftragsbearbeitern bearbeitet werden, nicht aus, insbesondere den CLOUD Act. Die Rechtsprechung der Union zu Übermittlungen, namentlich das Urteil Schrems II, hat diese Analyse für jeden in der Schweiz niedergelassenen Verantwortlichen, der Daten in die Vereinigten Staaten exportiert, unumgänglich gemacht.

Die Anerkennung des Data Privacy Framework durch den Bundesrat ab dem 15. September 2024 hat die Lage für zertifizierte Unternehmen entschärft. Sie löst sie nicht. Die Zertifizierung erfasst bestimmte Einheiten und Datenkategorien, ist widerruflich, bleibt umstritten und ändert weder den Anwendungsbereich ausländischer Überwachungsmassnahmen noch die Stellung des Support-Anbieters ausserhalb des zertifizierten Perimeters. Bei sensiblen Daten im Sinne von Art. 5 DSG — Gesundheitsdaten, Betreibungsdaten, politische Meinungen in einem Dossier — ist die Übung eine dokumentarische Herkulesaufgabe.

Die Auftragsbearbeitung überträgt keine Verantwortung

Das DSG ist weniger formalistisch als Art. 28 DSGVO, doch das Ergebnis ist identisch: Der Verantwortliche bleibt für das Ergebnis rechenschaftspflichtig. Die Prüfung eines proprietären Codes ist jedoch unmöglich; sie reduziert sich auf die Lektüre von ISO-27001-Bestätigungen oder SOC-2-Berichten, die vom Anbieter oder für ihn verfasst wurden. Für den Anwalt kommt das Berufsgeheimnis hinzu (Art. 321 StGB): Dossiers einer Infrastruktur anzuvertrauen, deren Zugriffe der effektiven Kontrolle der Kanzlei entzogen sind, ist nicht neutral, und das Bundesgesetz verlangt darüber hinaus eigene Vorsichtsmassnahmen.

Auf interner Ebene muss der Arbeitgeber, der eine kollaborative Suite mit Telemetrie, Protokollierung und Produktivitätswerkzeugen einsetzt, den Persönlichkeitsschutz der Arbeitnehmer (Art. 321a OR) beachten; der unbefugte Zugriff oder die Entwendung von Daten durch einen Mitarbeiter oder Dritte fällt dagegen unter Art. 179novies StGB. Diese Risiken bestehen unabhängig vom Hosting, sind aber schwieriger zu beherrschen, wenn man nicht weiss, wo und von wem die Protokolle aufbewahrt werden.

Die Folgenabschätzung: eine oft umgangene Aufgabe

Die Bundesbehörde erinnert regelmässig daran: Die Folgenabschätzung nach Art. 22 DSG muss die konkrete Bearbeitung einschliesslich ihres rechtlichen Umfelds betreffen. Das Kopieren des Compliance-Fragebogens des Anbieters ist keine solche. Eine seriöse Analyse setzt voraus, die tatsächlichen Datenflüsse, die aufeinanderfolgenden Auftragsbearbeiter, die Speicher- und Supportstandorte zu identifizieren und anschliessend das Restrisiko zu gewichten. Genau dort sind die Dossiers oft lückenhaft.

Die selbst gehostete Open-Source-Option: ein struktureller Vorteil

Eine Suite wie Nextcloud, verbunden mit Collabora Online, auf einer gewählten und in der Schweiz administrierten Infrastruktur installiert, verändert die Natur des Problems. Der Code ist auditierbar, Auslandübermittlungen entfallen, die Protokolle bleiben unter Kontrolle, die Reversibilität ist real und die Kosten werden vorhersehbar. Das ist kein Argument technologischer Sympathie, sondern des Rechts: Der Konformitätsnachweis wird möglich, weil der Verantwortliche die Komponenten beherrscht.

Der Vorteil ist jedoch struktureller, nicht automatischer Natur. Ein schlecht aktualisierter selbst gehosteter Server ohne starke Authentifizierung, ohne getestete Backups, ohne Zugriffstrennung und ohne verwertbare Protokollierung exponiert mehr als eine grosse, korrekt parametrierte Plattform. Das DSG ist technologieneutral: Es verlangt angemessene Sicherheit und effektive Governance. Selbst-Hosting verschiebt die Beweislast, beseitigt sie aber nicht, und es setzt interne Kompetenzen oder einen vertraglich gebundenen Partner voraus.

Eine Anforderung an die Governance, nicht an den Anbieter

Das entscheidende Kriterium ist somit nicht « Cloud oder lokaler Server », sondern die Fähigkeit, die Wahl zu dokumentieren, die Abwägung zu begründen, den Auftragsbearbeiter zu überwachen und die Entscheidung periodisch neu zu bewerten. Eine Kanzlei, die Microsoft 365 ohne Analyse der Übermittlungen und ohne Ausgleichsmassnahmen beibehält, geht ein schwer zu verteidigendes Risiko ein; eine Kanzlei, die ohne Sicherheitspolitik und ohne Wiederanlaufplan zu Open Source migriert, hat nichts gewonnen. Compliance lässt sich beweisen, nicht kaufen.