Projekt mit sensiblen personenbezogenen Daten: Host in der Schweiz (Infomaniak, Hostpoint) oder in der Europäischen Union (OVHcloud, Scaleway)?
Bei der Wahl geht es nicht nur um die Flagge des Rechenzentrums. Es berücksichtigt die komplette Kette: Produktion, Backups, Protokolle, Verwaltungsunterstützung, Subunternehmer und verbundene SaaS-Tools.
Viele Teams vergleichen zwei Länder auf einer Folie. Prüfer vergleichen das schwächste Glied in der Kette – in den USA oft ein vergessenes Backup, nicht das im Marketing beworbene primäre Rechenzentrum.
Schweiz: außerhalb der EU, geregelt durch Angemessenheit
Die Schweiz bietet anerkannte Rechtsstabilität, dokumentierte Rechenzentren und einen Angemessenheitsbeschluss der Europäischen Union für Datenübertragungen – vorbehaltlich der folgenden Bedingungen und regulatorischen Entwicklungen.
Infomaniak veröffentlicht einen CO2-Fußabdruck und eine ISO 27001-Zertifizierung, bietet HDS Health France jedoch nicht an. Hostpoint und andere Schweizer Anbieter sind in Ordnung, wenn Ihre Kunden einen dokumentierten Schweizer Wohnsitz und klare vertragliche Anforderungen akzeptieren – nicht, wenn Ihre Spezifikationen eine strenge Rechtsprechung der Europäischen Union oder SecNumCloud vorschreiben.
Die Schweiz ist nicht die EU: Die Schweizer LPD und die DSGVO stimmen in vielen Punkten überein, aber französische Sektorzertifizierungen (HDS) und sensible öffentliche Beschaffungen können die Schweiz vom ersten Absatz des Vertrags ausschließen.
EU: native DSGVO und Branchenzertifizierungen
Französische, deutsche oder niederländische Gastgeber unterliegen direkt der DSGVO. Je nach Akteur greifen Sie auf das Gesundheits-HDS, SecNumCloud oder andere sektorale Zertifikate zu, die bei einem allgemeinen Schweizer Hoster nicht verfügbar sind.
Die Rechtsprechung der Europäischen Union garantiert nicht die Abwesenheit eines amerikanischen Subunternehmers: Ein Rechenzentrum in Paris mit CDN, Support oder Backup in den Vereinigten Staaten verwässert das „100 % EU“-Versprechen genau so, wie eine Schweizer Produktion mit amerikanischem Backup die Schweiz verwässert.
| Kriterium | Schweiz | EU |
|---|---|---|
| Rahmen | LPD + EU-Angemessenheit | DSGVO |
| HDS Gesundheit FR | Nein (Infomaniak) | Ja (Umfang) |
| Cloud-Gesetz | Außerhalb der USA, wenn reines CH | Risiko, wenn US-Subunternehmer |
| Beweis | Infomaniak-Berichte | Branchenzertifizierungen |
Kartieren Sie die Kette – nicht nur das Hauptrechenzentrum
Fordern Sie ein Flussdiagramm, DPA, den Speicherort der Sicherungskopien und Zugriff auf den Administrator-Support an. Schweizer Produktion + Backup in den USA + amerikanisches CDN verwässern das „100% Swiss“-Versprechen. Französische Produktion + unbeaufsichtigtes amerikanisches SaaS verwässern die Europäische Union.
Stellen Sie konkrete Fragen: Wo sind die Zugriffsprotokolle? Wer kann den Server aus dem Ausland administrieren? Welche Subunternehmer kümmern sich um Tickets oder Backups? Eine vage Antwort auf eine dieser Fragen macht die Wahl eines Landes oft ungültig.
Konsultieren Sie Infomaniak RGPD und Schrems II, um Übertragungen und vertragliche Garantien zu regeln.
Anwendungsfall: Wenn die Schweiz reicht, wenn die EU auferlegt
Relevante Schweiz: Schweizer oder europäisches KMU, das einen Sitz in der Schweiz, eine Unternehmenswebsite, Medien, SaaS ohne HDS- oder SecNumCloud-Anforderungen akzeptiert. Der Kunde schätzt die Stabilität und Transparenz von Infomaniak.
Relevante EU: Französischer öffentlicher Markt, HDS-Gesundheit, Betreiber, der eine strenge Gerichtsbarkeit der Europäischen Union verlangt, Vertragsbezeichnung SecNumCloud oder Verbot der Übertragung außerhalb der EU ohne Schrems-II-Garantien.
Die richtige Wahl ist nicht diejenige, die Ihr technisches Team beruhigt – es ist diejenige, der Ihr Kunde und Ihr DPO vorbehaltlos zustimmen können.
Schrems II und amerikanische Subunternehmer
Schrems II zielt hauptsächlich auf Überweisungen in Länder ohne Angemessenheitsbeschluss ab – insbesondere in die Vereinigten Staaten. Die Schweiz bleibt weiterhin durch Angemessenheit reguliert, aber ein Schweizer Kanal mit einem undokumentierten amerikanischen SaaS-Tool birgt das gleiche Risiko wie ein französischer Host mit demselben SaaS.
Dokumentieren Sie Garantien, Vertragsklauseln und fehlende Cloud-Act-Kette dort, wo Ihre Kunden dies benötigen. Das Land des Hauptrechenzentrums reicht nicht aus, wenn das CRM, das Überwachungstool oder das Backup außerhalb des versprochenen Umfangs liegen.
Der Gipfel: Der sensible Wohnsitz ist das schwächste Glied
Entscheide dich und gehe ohne blinden Fleck voran
Erfordern Sie ein Datenflussdiagramm, eine unterzeichnete DPA und einen schriftlichen Speicherort für Sicherungen und Protokolle. Überprüfen Sie Subunternehmer, Administrator-Support-Zugriff und mit der Produktion verbundene SaaS-Tools. Richten Sie die Auswahl an den Kundenanforderungen aus: HDS, SecNumCloud, strenge Rechtsprechung der Europäischen Union oder Wohnsitz in der Schweiz akzeptiert.
Konsultieren Sie Infomaniak RGPD, Schrems II und das Verzeichnis, um dokumentierte Akteure vor der Unterzeichnung zu vergleichen.
Häufig gestellte Fragen
Ist die Schweiz „DSGVO gleichwertig“?
Die Schweiz profitiert von einem Angemessenheitsbeschluss der Europäischen Union für Übermittlungen, vorbehaltlich weiterer Bedingungen und regulatorischer Entwicklungen. Dies ist jedoch nicht die Europäische Union: Überprüfen Sie die von Ihren Kunden geforderten DPA, Subunternehmer und Branchenzertifizierungen, bevor Sie volle Gleichwertigkeit versprechen.
Infomaniak oder ein französischer Hoster für sensible Daten?
Infomaniak ist geeignet, wenn für Ihren Kunden ein Schweizer Wohnsitz und ISO 27001 ausreichen und keine französische Zertifizierung (HDS) oder SecNumCloud-Anforderung besteht. Ein französischer oder europäischer Gastgeber ist geeignet, wenn Ihre Kunden ausdrücklich EU-Gerichtsbarkeit oder sektorale Zertifikate benötigen, die in der Schweiz nicht verfügbar sind.
Ändert Schrems II die Schweizer Wahl?
Schrems II zielt hauptsächlich auf Überweisungen in Länder ab, in denen es keine angemessenen Regelungen gibt, insbesondere in die Vereinigten Staaten. Die Schweiz bleibt reguliert, Sie müssen jedoch die Garantien und das Fehlen einer Cloud-Act-Kette über amerikanische Subunternehmer oder SaaS dokumentieren. Das Land des Rechenzentrums reicht ohne eine umfassende Kartierung nicht aus.
Backups ausserhalb der Schweiz?
Dies ist ein kritischer Punkt: Fragen Sie nach dem Speicherort von Kopien, Protokollen und Administratorunterstützung. Eine Produktion in der Schweiz mit Unterstützung in der Europäischen Union oder den Vereinigten Staaten macht manchmal die Botschaft „100 % schweizerisch“ ungültig – genau wie eine EU-Produktion mit Unterstützung in den USA das europäische Versprechen ungültig macht.
Sensible Daten: Der richtige Wohnort ist der, den Sie von Anfang bis Ende zeichnen können – nicht der im Slogan.