Webhosting in der Schweiz und Datensouveränität: der Ratgeber für KMU

Hosting in der Schweiz: um welche Daten geht es?

Für ein KMU umfasst „Hosting“ drei Dinge, die man besser trennt, weil sie andere Risiken und andere Anforderungen mit sich bringen.

• Die Website: öffentliche Seiten, Kontaktformular, vielleicht ein Shop. Die Personendaten betreffen dort vor allem Besucher und Kontakte.
• E-Mail und Arbeitsdateien: Austausch mit Kunden, Verträge, Anhänge.
• Rechnungen und Buchungsbelege: Namen, Adressen, Bankverbindungen, manchmal Löhne. Hier kommen zum Datenschutz die Aufbewahrung (10 Jahre, Art. 958f OR) und die Nachvollziehbarkeit (GeBüV) hinzu.

Ein gut gewähltes Webhosting genügt für den ersten Fall. Für den dritten lautet die Frage nicht nur „wo stehen die Server?“, sondern „kann ich die Integrität der Belege nachweisen, das Archiv herausgeben und sehen, wer was abgerufen hat?“. Unser Ratgeber zur Aufbewahrung beschreibt diese Anforderungen.

Was das Gesetz sagt: das nDSG verlangt nicht die Schweiz

Das revidierte Datenschutzgesetz (nDSG), in Kraft seit dem 1. September 2023, verlangt kein Hosting in der Schweiz. Es enthält vier Regeln, die für jeden Hoster gelten, ob schweizerisch oder nicht.

• Datensicherheit (Art. 8): Verantwortliche und Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit.
• Auftragsbearbeitung (Art. 9): Die Bearbeitung kann einem Auftragsbearbeiter übertragen werden, wenn ein Vertrag oder das Gesetz dies vorsieht, nur Bearbeitungen erfolgen, die Sie selbst vornehmen dürften, und keine gesetzliche oder vertragliche Geheimhaltungspflicht es verbietet. Sie müssen sich insbesondere vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleistet.
• Bekanntgabe ins Ausland (Art. 16): möglich in einen Staat, dessen Gesetzgebung nach Feststellung des Bundesrates einen angemessenen Schutz gewährleistet; sonst, wenn ein geeigneter Schutz gewährleistet ist, etwa durch einen völkerrechtlichen Vertrag oder Standarddatenschutzklauseln.
• Ausnahmen (Art. 17): ausdrückliche Einwilligung der betroffenen Person, unmittelbarer Zusammenhang mit einem Vertragsabschluss oder einer Vertragsabwicklung und einige weitere abschliessend aufgezählte Fälle.

Für Buchungsbelege legt Art. 958f OR die Aufbewahrungsfrist fest (zehn Jahre ab Ende des Geschäftsjahres) und lässt den elektronischen Träger zu. Auch er schreibt keinen Standort vor.

Massgebliche Behörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), dessen Website aktuelle Leitfäden und Erläuterungen veröffentlicht.

Was ein Schweizer Hoster nicht garantiert

Drei weitere Grenzen prüft man im Vertrag, nicht in einer Broschüre.

• Unterauftragnehmer: Ein Hoster kann Dienstleister (Zahlung, E-Mail, Support, Backup) einsetzen, die anderswo sitzen. Verlangen Sie die namentliche Liste und den Ort jeder Bearbeitung.
• Backups: Der Standort der Produktivdaten sagt nichts über den der Kopien. Fragen Sie, wo sie liegen, wie lange sie aufbewahrt und wie sie wiederhergestellt werden.
• Verschlüsselung: Was der Hoster nicht lesen kann, kann er nicht im Klartext herausgeben. Fragen Sie, was verschlüsselt ist und wer die Schlüssel hält.

Die Seite Souveränität wendet dieselbe Ehrlichkeit auf Dossivio an: Ort jeder Bearbeitung, namentlich genannte Anbieter und was wir nicht versprechen.

Eine Firmenwebsite ist kein Buchhaltungsarchiv

Webhosting dient dazu, eine Website zu veröffentlichen. Ein Buchhaltungsarchiv soll zehn Jahre später beweisen, dass ein Beleg nicht verändert wurde. Die Anforderungen unterscheiden sich: Auf einem veränderbaren Datenträger verlangt die GeBüV ein Verfahren, das die Integrität gewährleistet, einen fälschungssicheren Zeitstempel, dokumentierte Verfahren und ein Zugriffsprotokoll (Art. 8 und 9 GeBüV).

Rechnungen im Ordner eines Webhostings abzulegen macht daraus daher kein konformes Archiv, in keinem Land. Für Belege suchen Sie ein Archivierungsverfahren, das die Fragen der Tabelle im Ratgeber zur Aufbewahrung beantwortet, oder eine Lösung wie Dossivio Capture, die jeden Beleg mit seinem Protokoll archiviert, ohne Ihr Referenzarchiv zu ersetzen.

Auswahlraster: fünf Kriterien zum Vergleich von Hostern

Das Raster gilt für jeden Hoster, ob schweizerisch oder nicht. Lassen Sie sich die Antworten schriftlich geben: Was im Vertrag steht, zählt mehr als die Verkaufsseite.

Zwei Punkte sollten Sie vor der Unterschrift prüfen: den Verlängerungspreis, der vom Einstiegspreis abweichen kann, und die Vertragslaufzeit.

Angebotsbeispiel: das Webhosting von Infomaniak

Um das Raster an einem konkreten Fall zu zeigen, hier das Webhosting-Angebot von Infomaniak, einem in der Schweiz ansässigen Anbieter. Das ist kein Ranking: Es gibt weitere Schweizer Hoster, und die richtige Wahl hängt von Ihrem Bedarf ab. Die folgenden Fakten sind die Angaben, die der Anbieter auf seiner Seite macht, erfasst am 29. September 2026.

Alle Einzelheiten stehen auf der Webhosting-Seite von Infomaniak (Werbelink). Wenden Sie das obige Raster darauf an: Wo liegen die Backups, wer sind die Unterauftragnehmer, wie kommen Sie an Ihre Daten. Und bedenken Sie, dass dieses Angebot eine Website hostet, kein Buchhaltungsarchiv im Sinne der GeBüV.

Transparenz: dieser Link ist kommerziell