Cloud-Daten: Pflichten für Schweizer KMU gemäss DSG

Anwendungsbereich des DSG für ein KMU, das seine Daten in die Cloud auslagert

Das Bundesgesetz über den Datenschutz (DSG) ist seit dem 1. September 2023 zusammen mit seiner Verordnung (DSV) in Kraft. Die Rechtsgrundlage bilden das DSG und die DSV. Ein KMU, das Personendaten bearbeitet, muss daher das DSG einhalten, auch wenn die Speicherung einem Cloud-Anbieter anvertraut wird.

Die Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Er überwacht, dass private Unternehmen keine rechtswidrigen Bearbeitungen von Personendaten vornehmen.

Eine Angabe ist persönlich, wenn sie sich auf eine identifizierte oder identifizierbare Person bezieht.

Die betroffene Person ist die natürliche Person, deren Personendaten bearbeitet werden. An sie richten sich die im DSG vorgesehenen Rechte, auch wenn die Daten bei einem Cloud-Anbieter gespeichert sind.

Die Bearbeitung umfasst jeden Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren: Beschaffung, Aufbewahrung, Nutzung, Umarbeitung, Bekanntgabe, Archivierung, Löschung oder Vernichtung. Die Speicherung bei einem Cloud-Anbieter fällt unter diese Definition.

Bestimmte Daten sind besonders schützenswert: religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten, Gesundheitsdaten, Intimsphäre, rassische oder ethnische Herkunft, genetische Daten, biometrische Daten, die eine Person eindeutig identifizieren, straf- oder verwaltungsrechtliche Verfolgungen und Sanktionen sowie Massnahmen der Sozialhilfe.

Kundenstämme, Personalakten oder Lohnunterlagen beziehen sich auf Personen und fallen in den Anwendungsbereich des Gesetzes. Es spielt keine Rolle, ob sie auf den Servern des Unternehmens oder bei einem Anbieter gespeichert sind.

Das Gesetz gilt für alle Unternehmen in der Schweiz, unabhängig von ihrer Grösse. Es stützt sich auf die Grundsätze der Rechtmässigkeit, der Treu und Glauben, der Zweckbindung, der Transparenz, der Verhältnismässigkeit, der Richtigkeit und der Datensicherheit.

Konkret muss das KMU seine Rolle bestimmen, die Grundsätze der Rechtmässigkeit, Treu und Glauben, Zweckbindung, Transparenz, Verhältnismässigkeit, Richtigkeit und Sicherheit anwenden und seine Datenflüsse dokumentieren.

Zu den konkreten Pflichten gehören auch die Sicherheit der einem Auftragsbearbeiter anvertrauten Daten, die Nachvollziehbarkeit der Zugriffe und die Einhaltung der Rechte der betroffenen Personen.

Es sind zwei Rollen zu unterscheiden. Der Verantwortliche bestimmt die Zwecke und Mittel der Bearbeitung; der Auftragsbearbeiter bearbeitet die Daten in seinem Auftrag. Ein Cloud-Dienstleister handelt als Auftragsbearbeiter des KMU, das ihm IT-Funktionen auslagert.

Der Bundesrat sieht Ausnahmen für Unternehmen vor, die weniger als 250 Mitarbeitende beschäftigen und deren Datenbearbeitung ein geringes Risiko darstellt.

Die Compliance beginnt mit der Identifizierung der Rollen. Das Unternehmen bestimmt, ob es als Verantwortlicher oder als Auftragsbearbeiter für die Daten seiner Kunden, Mitarbeitenden oder Lieferanten tätig ist.

DSG-Pflichten für ein KMU, das einen Cloud-Anbieter nutzt

Datensouveränität: Eine hohe Erwartung Schweizer Unternehmen

In der Schweiz verarbeiten die Banken-, Versicherungs- und Industriesektoren sensible Daten und müssen eine absolute Nachvollziehbarkeit garantieren. Sie setzen naturgemäss auf Datensouveränität und Kostenkontrolle.

Die Kostenkontrolle hängt auch von der Dimensionierung ab. Grosse Sprachmodelle erfordern leistungsstarke GPUs oder TPUs für die Inferenz, was zu hohen Cloud-Rechnungen und schwer planbaren Betriebsbudgets führt; kleine Modelle liefern bis zu 90 % Genauigkeit mit nur 5 % der Ressourcen.

Die Inferenz kleiner Modelle liegt am Randnetzwerk (Edge) oder vor Ort unter 50 Millisekunden, was die Menge der Daten reduziert, die das Unternehmen verlassen müssen. Jede vermiedene Verarbeitung in der Cloud bedeutet einen weniger zu dokumentierenden Datenfluss.

Bevor ein KMU seine Daten anvertraut, muss es wissen, wo sie gehostet werden, in welchem Gebiet und bei welchen allfälligen Unterauftragnehmern. Es muss auch festlegen, wer darauf zugreifen kann und unter welchen Bedingungen.

Die Dokumentation der Datenflüsse präzisiert, welche Daten wohin, wie oft und über welchen Kanal gesendet werden.

Die der betroffenen Person geschuldete Information nennt die Empfänger oder die Kategorien von Empfängern, denen die Daten bekanntgegeben wurden.

Wenn Personendaten ins Ausland gelangen, muss die der betroffenen Person geschuldete Information den betreffenden Staat sowie gegebenenfalls die vorgesehenen Garantien oder die Anwendung einer Ausnahme präzisieren.

Ein Hosting in der Schweiz schliesst die Frage der Übermittlung grundsätzlich aus. Die Dokumentation der Flüsse und Zugriffe bleibt jedoch in jedem Fall erforderlich.

Die Datensouveränität entbindet das KMU nicht von seinen DSG-Pflichten. Es muss die Flüsse, Zugriffe und Empfänger dokumentieren, auch im Falle eines Hostings in der Schweiz.

Kleine vs. grosse KI-Modelle: Dimensionen und Kosten für Schweizer KMU

Vorteile und Einschränkungen des Hostings in der Schweiz vs. im Ausland

Der Vertrag mit dem Cloud-Anbieter: Was geregelt sein muss

Der Vertrag legt den Standort des Hostings, den Umfang der Zugriffe und die Personen fest, die berechtigt sind, die Daten einzusehen, einschliesslich beim Anbieter.

Er muss auch die Protokollierung der Zugriffe, das Auditrecht, das Vorgehen im Störfall sowie die Rückgabe der Daten und die Beendigungsbedingungen am Ende der Beziehung abdecken.

Wenn die Lohnbuchhaltung ausgelagert wird, verwaltet der Dienstleister die Berechnungen, die Sozialversicherungsbeiträge, die Quellensteuer und das Schweizer Lohnausweis-Zertifikat. Der Vertrag muss die angemessene Dokumentation und die Unterstützung bei Audits garantieren.

Wenn der Dienstleister Unterauftragnehmer beizieht, muss das KMU die Kette kennen und Zusicherungen erhalten, die den mit dem direkten Ansprechpartner ausgehandelten gleichwertig sind.

Der Verantwortliche muss sicherstellen, dass sein Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten. Diese Pflichten ergeben sich aus dem DSG und seiner Verordnung (DSV).

Der Auftragsbearbeiter ist die private Person, die Personendaten im Auftrag des Verantwortlichen bearbeitet. Der Cloud-Dienstleister handelt in dieser Eigenschaft, wenn das KMU ihm IT-Funktionen auslagert.

Der Vertrag muss es dem KMU ermöglichen, nachzuweisen, dass der Auftragsbearbeiter die Datensicherheit gewährleistet.

Schlüsselschritte für die DSG-Compliance bei der Auslagerung der Datenbearbeitung

Nachvollziehbarkeit, Zugriffsprotokolle und Audits: Beweise vor dem Incident vorbereiten

Die Compliance mit dem DSG erfordert detaillierte Nachverfolgungen, Zugriffsprotokolle und regelmässige Audits.

Konkret muss angegeben werden können, wer welche Daten wann eingesehen hat. Diese Spuren müssen lange genug aufbewahrt werden, um eine Kontrolle oder eine Informationsanfrage abzudecken.

Zugriffsprotokolle und Auditberichte werden vor dem Incident vorbereitet. Ihre Rekonstruktion nachträglich ist kaum möglich, insbesondere wenn die Zugriffe über einen Cloud-Dienst erfolgen.

Diese Protokolle und Auditberichte bilden die Beweismechanismen für die DSG-Compliance.

Die Banken-, Versicherungs- und Industriesektoren fordern eine absolute Nachvollziehbarkeit. Diese Anforderung deckt sich mit den Dokumentations- und Beweispflichten, die bereits beim KMU liegen.

Die Verantwortung bleibt beim KMU, auch wenn ein Dienstleister ausführt

Die Auslagerung der Lohnverwaltung illustriert diese Aufteilung: Der Dienstleister übernimmt die Berechnungen und Meldungen, aber Sie bleiben der Arbeitgeber Ihrer Mitarbeitenden. Die gesetzliche Verantwortung wird nicht übertragen.

Der Dienstleister meldet und deklariert bei der AHV, der EO und der ALV, schliesst die BVG ab, verwaltet die Unfallversicherung UVG (SUVA oder Privatversicherer), die Quellensteuer und den Schweizer Lohnausweis. Diese Vorgänge betreffen Mitarbeiterdaten und unterliegen weiterhin dem DSG.

Das Employee Leasing ist ein separater Fall: Die Leasinggesellschaft wird zum gesetzlichen Arbeitgeber. Dieses Modell erfordert eine vom SECO erteilte Bewilligung zur Arbeitnehmerüberlassung. In der Cloud verhält es sich ähnlich: Der Anbieter hostet die Daten im Auftrag des KMU, das für die Bearbeitung verantwortlich bleibt. Es muss dies nachweisen können, gestützt auf Protokolle und Dokumentation.

Jede Person kann vom Verantwortlichen Auskunft verlangen, ob sie betreffende Daten bearbeitet werden, und kann deren Löschung oder Berichtigung verlangen. Die betroffene Person muss dieses Recht selbst geltend machen. Die Auskunft ist grundsätzlich kostenlos und wird innerhalb von dreissig Tagen erteilt. Bei unverhältnismässigem Aufwand können Kosten von maximal 300 Franken verrechnet werden.

Die Auskunft betrifft die Identität und die Kontaktdaten des Verantwortlichen, die bearbeiteten Daten, den Bearbeitungszweck, die Aufbewahrungsdauer oder die Kriterien zu deren Festlegung sowie die Herkunft der Daten.

Sie gibt auch die Empfänger oder die Kategorien von Empfängern an und, falls zutreffend, das Bestehen einer automatisierten Einzelentscheidung sowie die ihr zugrunde liegende Logik.

Das Auskunftsrecht kann verweigert, eingeschränkt oder aufgeschoben werden, wenn überwiegende private oder öffentliche Interessen dagegen sprechen. Der Verantwortliche gibt dann den Grund für die Verweigerung an. Die Begründung muss die Überprüfung ermöglichen, ob die Einschränkung gerechtfertigt ist.

Die Person, die ihr Recht ausübt, muss ihr Gesuch nicht begründen. Das DSG sieht zudem die Befreiung von Gerichtsgebühren im Zivilprozess vor, um den Zugang zur Justiz zu erleichtern.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist die unabhängige Aufsichtsbehörde. Er ist mit der Überwachung der korrekten Anwendung der eidgenössischen Datenschutzbestimmungen betraut. Er wacht darüber, dass private Unternehmen keine rechtswidrigen Bearbeitungen von Personendaten vornehmen. Seine Adresse ist Feldeggweg 1, 3003 Bern.

Der EDÖB weist darauf hin, dass das schweizerische Datenschutzrecht direkt auf Bearbeitungen anwendbar ist, die auf künstliche Intelligenz zurückgreifen.

Der EDÖB stellt ein Kontaktformular sowie eine Hotline zur Verfügung, die von Montag bis Freitag von 10:00 bis 11:30 Uhr unter der Nummer 058 462 43 95 erreichbar ist. Er legt der Bundesversammlung jährlich einen Tätigkeitsbericht vor.

Als Beauftragter für die Öffentlichkeit ist der EDÖB die Vermittlungsstelle für den Zugang zu amtlichen Dokumenten. Er spricht Empfehlungen aus, wenn keine Einigung erzielt werden konnte.