Kurz zusammengefasst
- Datenstandort muss für Speicherung, Verarbeitung, Support und Metadaten getrennt betrachtet werden.
- Der Hauptanbieter bleibt nicht der einzige Empfänger; Unterauftragnehmer und optionale Dienste zählen mit.
- Eine Regionseinstellung beantwortet die Rechtmässigkeit eines Auslandtransfers nicht allein.
- Änderungsmitteilungen und Widerspruchs- oder Ausstiegswege gehören in den Vertrag und Betrieb.
Zuerst den tatsächlichen Datenfluss kartieren
Eine Prüfung beginnt nicht mit einer Länderliste, sondern mit den Datenarten und Komponenten. Erst danach lassen sich Empfänger, Orte und rechtliche Rollen sinnvoll zuordnen.
| Datenart | Hauptdienst | Weiterer Empfänger oder Zugriff | Zu erfassende Orte | Nachweis und Zusatzmassnahme |
|---|---|---|---|---|
| Prompts, Ausgaben und hochgeladene Dateien | KI-Anwendung und Modell-Endpunkt | Modell-Unterauftragnehmer, Dateidienst oder Content-Safety-Dienst | Speicher-, Modellverarbeitungs- und Backup-Orte | Regionseinstellung, Aufbewahrungsmatrix, Datenminimierung und Transportverschlüsselung |
| RAG-Quellen und Berechtigungen | Such- oder Vektordienst | Connectors, Quell-SaaS und Indexierungsanbieter | Indexspeicher, Retrieval-Verarbeitung und Regionen der Quellsysteme | Unterauftragnehmerliste, Rechteprüfung sowie getestete Löschung oder Rechteentzug |
| Identitäts-, Abrechnungs- und Nutzungsmetadaten | Konto- und Administrationsdienst | Identity Provider, Zahlungsabwicklung und Analytics | Kontodatenbank, Analytics und Länder mit Supportzugriff | Zweckbegrenzung, Rollenkontrollen und Vertragsumfang für globale Metadaten |
| Diagnose- und Supportinhalte | Logging- und Supportplattform | Observability-Anbieter und autorisierte Supportpersonen | Logspeicher, Fernzugriff und Länder der Vorfalluntersuchung | Inhaltssparsame Logs, Zugriffsgenehmigung, Audit-Trail und Transfergarantie |
Die gesamte Auftragskette prüfen
Nach Schweizer Datenschutzrecht bleibt der Verantwortliche auch beim Outsourcing verantwortlich. Er muss Auftragsbearbeiter sorgfältig auswählen, instruieren und angemessen überwachen. Die Unterauftragskette muss deshalb transparent und vertraglich beherrschbar sein.
- Name, Leistung und Standort jedes relevanten Unterauftragnehmers
- Welche Datenarten und Zwecke ihm zugeordnet sind
- Wie neue Unterauftragnehmer angekündigt werden
- Welche Einwands-, Anpassungs- oder Kündigungsrechte bestehen
- Wie Löschung, Auskunft, Sicherheit und Vorfälle entlang der Kette unterstützt werden
Ein einfacher Entscheidungsweg für jedes Empfängerland
Die Prüfung kann für Hauptanbieter, jeden relevanten Unterauftragnehmer und Fernzugriffe des Supports in derselben Reihenfolge erfolgen. Ausgangspunkt ist die Staatenliste in Anhang 1 der Schweizer Datenschutzverordnung und nicht eine Anbieterbezeichnung wie «European Hosting».
- Schritt 1
Angemessenheit prüfen
Klären, ob Anhang 1 DSV den konkreten Empfänger, den betroffenen Sektor und die konkrete Bekanntgabe unter Berücksichtigung aller Einschränkungen und Fussnoten erfasst. Der Ländername allein genügt nicht: Für die USA gilt die Angemessenheit beispielsweise nur für Organisationen, die nach dem Swiss–U.S. Data Privacy Framework zertifiziert sind. Ist der konkrete Transfer erfasst, kann die Bekanntgabe auf Artikel 16 Absatz 1 DSG gestützt werden; die übrigen Datenschutzpflichten gelten trotzdem weiter.
- Schritt 2
Garantie nach Art. 16 wählen
Fehlt ein angemessenes Niveau, eine geeignete Garantie nach Art. 16 Abs. 2 DSG bestimmen, beispielsweise anerkannte Standarddatenschutzklauseln. Eine Ausnahme nach Art. 17 ist eng im Einzelfall zu prüfen und kein regulärer Ersatz.
- Schritt 3
Konkreten Transfer beurteilen
Prüfen, ob der Empfänger die Garantie angesichts lokalen Rechts, möglicher Behördenzugriffe, der Daten und der tatsächlichen Bearbeitung einhalten kann. Quellen, Annahmen und Auftragskette dokumentieren.
- Schritt 4
Massnahmen ergänzen oder stoppen
Reicht die Garantie praktisch nicht aus, wirksame Massnahmen wie Datenminimierung oder Verschlüsselung mit kontrollierten Schlüsseln ergänzen. Den Transfer nicht freigeben, wenn sich angemessener Schutz nicht herstellen lässt.
- Schritt 5
Dokumentieren und überwachen
Entscheid, Garantie, Zusatzmassnahmen und Review-Trigger festhalten und bei Änderungen an Ländern, Unterauftragnehmern, Zugriffen oder Diensten neu prüfen.
Auslandtransfers brauchen eine eigene rechtliche Prüfung
Personendaten dürfen nach Schweizer Recht ins Ausland bekanntgegeben werden, wenn die gesetzlichen Voraussetzungen erfüllt sind. Fehlt ein vom Bundesrat festgestelltes angemessenes Datenschutzniveau, können je nach Konstellation geeignete Garantien und zusätzliche Massnahmen erforderlich sein.
- Staatenliste gemäss Datenschutzverordnung prüfen.
- Vertragliche Garantien und deren konkrete Anwendbarkeit dokumentieren.
- Zugriffsmöglichkeiten nach lokalem Recht und praktische Schutzmassnahmen beurteilen.
- Datenminimierung, Verschlüsselung und Schlüsselhoheit als ergänzende Massnahmen prüfen.
- Berufs-, Amts- und andere Geheimhaltungspflichten separat berücksichtigen.
Nachweise und Änderungen dauerhaft beherrschen
Eine einmalige Anbieterprüfung veraltet. Unterauftragnehmer, Regionen und Produktarchitektur ändern sich. Das Unternehmen braucht deshalb eine aktuelle Quelle, einen Review-Rhythmus und klare Reaktion auf relevante Änderungen.
- Schritt 1
Nachweise bündeln
Vertrag, Unterauftragnehmerliste, Regionen, Garantien und Architekturstand gemeinsam versionieren.
- Schritt 2
Änderungen abonnieren
Benachrichtigungen des Anbieters an eine verantwortliche Stelle leiten.
- Schritt 3
Auswirkung bewerten
Neue Länder, Dienste oder Zugriffe gegen Datenklassen und Freigaben prüfen.
- Schritt 4
Handeln
Konfiguration anpassen, widersprechen, Daten reduzieren oder den Ausstieg auslösen.
Beispiel: Europäische Modellregion mit globalem Support
Ein Anbieter speichert Kundeninhalte in einer EU-Region, verarbeitet bestimmte Diagnosedaten aber über einen globalen Dienst und erlaubt kontrollierten Supportzugriff aus weiteren Ländern. Das Unternehmen erfasst diese Datenarten separat, beschränkt Diagnoseinhalte, prüft Garantien und Supportrechte und vereinbart eine Benachrichtigung bei Änderungen der Unterauftragnehmer.
Was Sie mitnehmen sollten
Erstellen Sie eine datenartenbezogene Matrix aus Empfänger, Zweck, Speicherort, Verarbeitungsort und Garantie. Eine einzige Regionsangabe ist kein vollständiger Nachweis.
Quellen und Vertiefung
Diese Primärquellen vertiefen Definitionen, technische Grundlagen oder verantwortlichen Einsatz.
Inhaltlich geprüft
Stand: 17. Juli 2026. Allgemeine Einordnung, keine Rechtsberatung. Die konkrete Rechtslage und der anwendbare Geltungsbereich sind für den jeweiligen Einsatz zu prüfen.