KMU-Magazin Nr. 4/5, April/Mai 2026 Cloud-Lösungen: Das ist rechtlich entscheidend

Cloud-Lösungen sind aus dem Geschäftsalltag von Schweizer KMU kaum mehr wegzudenken. Doch gerade weil sie so selbstverständlich und unverzichtbar geworden sind, tauchen immer wieder praktische und rechtliche Fragen auf. Wir geben einen Überblick über die rechtlichen Grundlagen und zeigen, was bei der Auswahl und Nutzung zu beachten ist.

Cloud Computing beschreibt ein Modell der flexiblen, bedarfsorientierten Nutzung von IT-Ressourcen, etwa in Form von Servern, Datenspeichern oder Applikationen über ein (meist öffentliches) Netzwerk, oft das Internet. Die eigene IT-Infrastruktur wird durch externe Anbieter ergänzt oder je nach Modell sogar ersetzt, was geringere Betriebskosten, den Wegfall von Wartungsaufwand und eine hohe Skalierbarkeit ermöglicht.

Cloud-Modelle

Cloud-Dienste werden in verschiedenen Modellen angeboten. Eines der gängigsten Cloud-Modelle ist «Software as a Service» (SaaS). Hierbei beziehen Unternehmen fertige Softwareanwendungen (z. B. für Buchhaltung, CRM oder Office) direkt vom Anbieter, müssen keine Installation vornehmen und erhalten regelmässige Updates sowie Support. Die Software wird in der Regel webbasiert bereitgestellt, der Anbieter ist für Betrieb und Wartung verantwortlich. Ein Untertyp davon ist das Modell «Desktop as a Service» (DaaS). Hierbei stellt der Anbieter virtuelle Desktop-Arbeitsplätze aus der Cloud bereit. Der Nutzer erhält einen kompletten Desktop, der auf dem Server des Anbieters läuft. Auch beim Modell DaaS trägt der Anbieter die gesamte Infrastrukturverantwortung. Eine dritte Möglichkeit ist das Modell «Infrastructure as a Service» (IaaS). Hierbei mietet das Unternehmen Serverkapazitäten, Speicherplatz oder Netzwerkinfrastruktur und kann darauf eigene Software betreiben. Die Verantwortung für die physische Infrastruktur, Ausfallsicherheit und grundlegende Datensicherheit liegt beim Anbieter. Das Unternehmen bleibt, im Gegensatz zu den anderen Modellen, jedoch für das Betriebssystem und die Anwendungsebene zuständig.

Rechtlich wird Cloud Computing vor allem dann bedeutsam, wenn Personendaten, wie etwa Kundendaten, Personaldossiers, Gesundheitsinformationen oder andere besonders schützenswerte Personendaten, bearbeitet werden. Bereits das Speichern solcher Daten in der Cloud gilt als Bearbeitung und ist den Vorgaben des Bundesgesetzes über den Datenschutz (DSG) unterstellt. Das DSG schreibt unter anderem vor, dass Personendaten transparent, zweckgebunden und verhältnismässig zu bearbeiten und durch angemessene technische und organisatorische Massnahmen zu schützen sind.

Wichtig zu wissen: Unternehmen bleiben auch dann verantwortlich für die Einhaltung der Bestimmungen des DSG, wenn sie die Daten in die Cloud auslagern und technische Aufgaben dem Anbieter überlassen. Deshalb ist bei der Auswahl des Anbieters besondere Sorgfalt geboten.

Kriterien für die Anbieterwahl

Schweizer Unternehmen können aus der Vielzahl von Anbietern gezielt die passendsten herausfiltern, indem sie neben Konditionen und Leistungsumfang auch datenschutz- und berufsgeheimnisrelevante Aspekte berücksichtigen. Der Standort der Datenbearbeitung ist ein zentrales Kriterium: Es empfiehlt sich, Anbieter zu wählen, deren Daten in Schweizer Rechenzentren oder in Staaten mit vergleichbarem Datenschutzniveau bearbeitet werden. Gerade bei internationalen Anbietern sollte geprüft werden, ob Backend oder Support aus Drittstaaten (Nicht-EU-Staaten) erfolgt, da dies Risiken mit sich bringen kann. Nachweisbare Sicherheitsstandards wie Zertifikate (z. B. ISO/ IEC 27001), Audits und unabhängige Prüfberichte können zusätzliche Sicherheit geben. Transparenz bezüglich aller Subunternehmer und Supportstrukturen sowie vertragliche Regelungen zur Zustimmung bei Subaufträgen sind ebenfalls entscheidend, um Kontrolle und Vertrauen zu schaffen.

Besonders wichtig ist die Anbieterwahl bei sensiblen oder besonders schützenswerten Personendaten wie Gesundheitsdaten, Angaben zu Religion oder Ethnie oder Daten, die einem Berufs- oder Amtsgeheimnis unterliegen. Unternehmen haben dann umso mehr sicherzustellen, dass technische und organisatorische Schutzmassnahmen wie starke Verschlüsselungen und ein konsequentes Zugriffskonzept tatsächlich umgesetzt sind und auch die berufsrechtlichen Vorgaben eingehalten werden.

Service-Level-Agreements

Nach der Auswahl eines passenden Anbieters geht es in einem nächsten Schritt darum, die wichtigsten Vertragsinhalte gezielt zu regeln. Im Zentrum steht zunächst die Leistungsbeschreibung: Sie hält Arten, Umfang, Verfügbarkeit und Performance der vom Anbieter zu erbringenden Leistungen fest. Ebenso ist darauf zu achten, dass sämtliche fixen und variablen Kostenpositionen, wie Speichererweiterungen oder spezielle Supportleistungen, transparent und eindeutig dargestellt sind, um Überraschungen bei den Gesamtkosten zu vermeiden.

Für geschäftskritische Cloud-Dienste ist sodann der Abschluss eines Service-Level-Agreements (SLA) dringend zu empfehlen. Ein SLA kann als Teil des Hauptvertrags oder separat vereinbart werden und regelt detailliert Verfügbarkeitszusagen, Reaktionszeiten sowie die Bearbeitung von Störungen oder Ausfällen. Dadurch kann das Risiko eines Betriebsunterbruchs aufgrund Ausfalls eines Cloud-Dienstes verringert werden.

Ferner sind Haftung und Gewährleistung klar und ausgewogen zu regulieren. Zu beachten ist, dass Standardverträge von Anbietern oftmals Haftungsbeschränkungen zulasten des Kunden vorsehen, hier ist besondere Vorsicht und gegebenenfalls Nachverhandlung geboten.

Die Regelung der Beendigung des Vertrags und des Datenrückgabeprozesses stellt einen weiteren zentralen Vertragsbestandteil dar: Es sind dabei Kündigungsfristen, das Verfahren für einen reibungslosen und vollständigen Datenexport sowie die gründliche Löschung sämtlicher Datensicherungen (Back-ups) verbindlich festzuhalten. Zugleich muss die Portabilität und Interoperabilität von Daten gewährleistet werden, sodass ein Wechsel zu einem anderen Anbieter oder System ohne Betriebsunterbruch möglich bleibt.

Besondere Pflichten

Schliesslich sind auch datenschutzrechtliche Verpflichtungen zu vereinbaren: Der Anbieter sowie sämtliche Subunternehmer müssen sich vertraglich zu vollständiger Einhaltung der geltenden Datenschutzgesetze verpflichten. Dazu gehören unter anderem Meldepflichten des Anbieters bei Datenschutzverstössen sowie die Unterstützung des Kunden bei der Erfüllung behördlicher Auskunfts- und Mitwirkungspflichten.

Besonders für Unternehmen und Personen, die dem Berufsgeheimnis gemäss Art. 321 StGB unterstehen (z. B. Anwälte oder Ärzte), gelten im Umgang mit Cloud-Diensten erhöhte Anforderungen: Bereits die technische Möglichkeit des Zugriffs durch den Anbieter auf unverschlüsselte Daten kann eine tatbestandsmässige Offenbarung darstellen. Vertraglich ist daher sicherzustellen, dass Anbieter und Subunternehmer einer Geheimhaltungspflicht unterliegen, die dem Berufsgeheimnis entspricht. Zudem wird empfohlen, die Zulässigkeit der Datenauslagerung vorab mit der zuständigen Aufsichtsbehörde oder dem Berufsverband abzuklären oder deren Weisungen zu konsultieren. Unter Umständen ist es erforderlich, mit dem Cloud-Anbieter spezifische Zusatzverträge betreffend das Berufsgeheimnis abzuschliessen, um den gesetzlichen Anforderungen zu genügen. Gewisse Anbieter stellen solche Zusatzvereinbarungen bereits standardmässig zur Verfügung.

Cloud und Datenschutz

Das bereits im Rahmen der Anbieterwahl sowie der Vertragsgestaltung angesprochene Thema Datenschutz ist beim Cloud Computing zentral. Nachfolgend werden die wesentlichen datenschutzrechtlichen Herausforderungen nochmals erläutert. Im Verhältnis von Unternehmen und deren Cloud-Anbietern gilt grundsätzlich das Unternehmen als Verantwortlicher nach DSG, da es über Zweck und Mittel der Datenbearbeitung entscheidet. Der Cloud-Anbieter hingegen wird regelmässig als Auftragsbearbeiter tätig und darf Personendaten ausschliesslich auf Weisung des Verantwortlichen bearbeiten. Eine klare und vertraglich festgelegte Abgrenzung dieser Rollen ist essenziell, sowohl hinsichtlich der Haftung als auch der Kontrollrechte. Regelmässig erfolgt diese Festlegung durch einen separaten Auftragsdatenbearbeitungsvertrag, dessen Abschluss für sämtliche Outsourcing-Projekte mit Personendaten nachdrücklich empfohlen wird. Werden besonders schützenswerte Personendaten bearbeitet, sind verschärfte Anforderungen zu beachten: Eine Subdelegation an weitere Bearbeiter sollte nicht oder nur eingeschränkt zulässig sein, die Haftung darf nicht ausgeschlossen oder reduziert werden, und es muss insbesondere bei SaaS Lösungen technisch sichergestellt werden, dass dem Anbieter der Zugriff auf sensible Inhalte, etwa durch Verschlüsselung oder lokale Datenspeicherung, verwehrt bleibt. Für die Übermittlung von Personendaten ins Ausland, was je nach Anbieter notwendig sein kann, ist stets zu prüfen, ob das Empfängerland ein angemessenes Datenschutzniveau aufweist. Der Bundesrat führt eine entsprechende Liste. Für die EU und US-Unternehmen mit Zertifizierung unter dem Swiss-U.S. Data Privacy Framework gilt ein adäquater Schutz. Andernfalls sind ergänzende vertragliche Garantien vorzusehen.

Darauf kommt es an

Cloud Computing hat sich im Schweizer Geschäftsalltag als unverzichtbare Technologie etabliert. Die vielfältigen Vorteile, von erhöhter Flexibilität und Skalierbarkeit bis hin zu erheblichen Effizienzgewinnen, sind für Unternehmen längst Realität. Gleichzeitig stellt die rechtssichere Nutzung von Cloud-Diensten hohe Ansprüche an die Organisation und erfordert eine sorgfältige Auswahl vertrauenswürdiger Anbieter, eine transparente Vertragsgestaltung sowie konsequente Berücksichtigung datenschutz- und berufsrechtlicher Vorgaben. Gerade bei der Bearbeitung von sensiblen oder besonders schützenswerten Personendaten sind Kontrollmechanismen, klare Verantwortlichkeiten und technische Sicherheitsmassnahmen essenziell. Wer diese Aspekte beherzigt, kann das Potenzial von Cloud-Lösungen optimal nutzen und gleichzeitig Risiken zuverlässig minimieren.