Die meisten KMU denken erst an den Datenstandort, wenn ein Kunde fragt: "Wo sind meine Daten gespeichert?" oder ein Anwalt bei einer Vertragsprüfung auf die DSG-Konformität hinweist. Wenn diese Frage aufkommt, ist der Wechsel der Dateninfrastruktur teuer, disruptiv und meist mit Zeitdruck verbunden — also genau nicht die Bedingungen, die man sich für einen so wichtigen Entscheid wünscht.

Was das Schweizer DSG tatsächlich verlangt

Das revidierte Schweizer Datenschutzgesetz (DSG / nDSG), das seit September 2023 in Kraft ist, legt Pflichten für alle Unternehmen fest, die Personendaten von Personen in der Schweiz bearbeiten. Wenn Ihr Unternehmen Kundendaten, Mitarbeitendendaten oder andere Personendaten von Schweizer Einwohnern verarbeitet, müssen Sie wissen — und nachweisen können — wo diese Daten gespeichert sind und wer darauf zugreifen kann.

Das ist keine abstrakte juristische Formalität. Es betrifft konkrete Entscheide: welchen Cloud-Anbieter Sie nutzen, wo dessen Server physisch stehen und ob Ihr Anbieter garantieren kann, dass Daten nicht ohne Ihr Wissen ausserhalb der Schweiz bearbeitet oder eingesehen werden.

Die Überschneidung mit der DSGVO

Wenn Ihr Unternehmen auch Kundinnen und Kunden in der EU bedient — selbst nur gelegentlich —, unterliegen Sie neben dem DSG auch wahrscheinlich der DSGVO. Das bedeutet doppelte Konformität: die Schweizer Anforderungen für Daten von Personen in der Schweiz erfüllen und gleichzeitig die DSGVO-Anforderungen für Daten von EU-Personen, teilweise sogar für dieselbe Kundenbeziehung, wenn diese in beiden Regionen tätig ist.

Wer das falsch macht, riskiert nicht nur einmalige Papierarbeit. Das ist eine laufende Belastung, jedes Mal wenn Sie Personendaten speichern oder übermitteln.

Wohin Ihre Daten bei Microsoft und Google tatsächlich gehen

Hier ist der Punkt, der viele KMU-Inhaber überrascht: Standardmässig speichern Microsoft 365 und Google Workspace Daten in Rechenzentren, die nicht zwingend in der Schweiz liegen — oft in den USA oder dort, wo die regionale Infrastruktur des Anbieters gerade steht. Beide Unternehmen bieten für Unternehmenskunden EU-basierte Datenresidenz-Add-ons an, aber zwei Dinge sollte man klar benennen:

• EU ist nicht Schweiz. Auch wenn Sie extra für EU-Datenresidenz bezahlen, erfüllt das einen anderen rechtlichen Rahmen als das Schweizer DSG. Ihre Daten befinden sich damit trotzdem nicht in einer Schweizer Rechtsordnung.
• Diese Add-ons erfordern oft Enterprise-Tarife, die für die meisten KMU zu teuer sind oder individuelle Vertragsverhandlungen voraussetzen, bei denen ein 15-Personen-Unternehmen wenig Verhandlungsmacht hat.

Der Standardzustand für die meisten KMU mit normalen M365- oder Google-Workspace-Plänen ist also: Die Personendaten Ihrer Kundinnen und Kunden werden ausserhalb der Schweiz gespeichert, möglicherweise sogar ausserhalb der EU, ohne dass im Unternehmen jemand diese Entscheidung bewusst getroffen hat. Es war einfach die Standardkonfiguration, die niemand geändert hat.

Rocky Cloud Hub: Jeder Byte auf Schweizer Boden

Rocky Cloud Hub wurde nach einer einfachen Regel gebaut: Jeder Byte an Daten wird in Schweizer Rechenzentren gespeichert, ohne Ausnahme. Nicht als Add-on, nicht als Enterprise-Upgrade — sondern als Standard und einzige Option. Für diese Daten gilt Schweizer Recht, und es gibt keine ausländischen Unterauftragsverarbeiter in der Kette. Wenn ein Kunde fragt, wo seine Daten gespeichert sind, ist die Antwort eindeutig.

Das ist besonders wichtig für Unternehmen, die sensible Datenkategorien bearbeiten: juristische Dokumente, Finanzunterlagen, gesundheitsnahe Informationen oder alles, bei dem die eigenen Konformität-Pflichten des Kunden an Sie als Dienstleister weitergegeben werden.

Praxisfall: Ein Distributor für Medizintechnik

Ein Distributor für Medizintechnik, mit dem wir zusammengearbeitet haben, hatte eine klare, harte Vorgabe: patientennahe Dokumente — Bestellunterlagen zu Medizinprodukten, die in der Patientenversorgung eingesetzt werden — durften im Rahmen seiner Konformität-Pflichten die Schweiz nicht verlassen. Allein diese Vorgabe schloss Standard-Deployments von Microsoft Teams und SharePoint aus, weil eine Garantie für ausschliesslich schweizerische Datenresidenz eine Enterprise-Verhandlung erfordert hätte, die das Unternehmen weder kostenmässig noch hinsichtlich der Vertragskomplexität stemmen konnte.

Rocky war für das Team innert 24 Stunden eingerichtet, mit garantierter Datenresidenz als Standard statt als Sonderfall. Kein Enterprise-Sales-Prozess, kein individueller Auftragsverarbeitungsvertrag zum Entwerfen und Prüfen — die Konformität-Anforderung war durch die Plattformarchitektur bereits erfüllt.

Der Preis der Konformität vs. der Preis eines Verstosses

Es lohnt sich, hier echte Zahlen daneben zu stellen. Unter dem Schweizer DSG können Bussen bei Verstössen — etwa bei Nichterfüllung von Anforderungen an Datensicherheit oder Auskunftspflichten — bis zu CHF 250'000 pro Vorfall betragen, und zwar gegen die verantwortliche Person und nicht nur gegen das Unternehmen. Das ist noch vor dem Reputationsschaden, wenn ein Kunde merkt, dass seine Daten nicht so behandelt wurden, wie er angenommen hatte, oder vor den Kosten einer Notfallmigration unter Regulierungsdruck.

Vergleichen Sie das mit den Kosten für Schweizer Infrastruktur von Anfang an: keine zusätzliche Position, keine Enterprise-Verhandlung, einfach eine Plattform, die Daten standardmässig dort speichert, wo Sie es brauchen.

Nicht nur Konformität — sondern Vertrauen

Jenseits des rechtlichen Risikos gibt es ein einfacheres kommerzielles Argument. Einem Kunden klar und ohne Einschränkungen sagen zu können: "Ihre Daten verlassen die Schweiz nie" ist ein Vertrauenssignal, das im B2B-Vertrieb immer wichtiger wird — insbesondere bei Kunden aus Finanzwesen, Gesundheitswesen, Rechtsdienstleistungen oder dem öffentlichen Sektor, wo Fragen zur Datenbearbeitung früh in Beschaffungsprozessen aufkommen.

Es zu sagen und es zu meinen — weil die Infrastruktur es tatsächlich garantiert und nicht, weil es ein Verkäufer behauptet — ist eine andere Ausgangslage, als zu hoffen, dass die Frage gar nicht erst aufkommt.