Cloud-Dienste im KMU prüfen – Anforderungen und IT-Dienstleister in Basel

Cloud-Dienste im KMU-Alltag: Anwendungen und Personendaten

Cloud-Computing meint technisch, dass Anwendungen und Software, Speicher, Entwicklungstools, Netzwerkkapazitäten oder Rechenleistung bedarfsorientiert über ein Netzwerk – etwa das Internet – von einem Cloud-Anbieter bezogen werden. Statt eigener Server und vorsorglich vorgehaltener Kapazität für Spitzenlasten nutzt das KMU genau die Ressourcen, die es gerade braucht. Bezahlt wird meist nutzungs- oder abonnementsabhängig. Diese Definition verwendet auch der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

Im KMU-Alltag begegnet die Cloud an vielen Stellen. Der EDÖB nennt als typische Beispiele Werkzeuge für die Online-Zusammenarbeit zwischen Mitarbeitenden, Online-Verwaltungstools von E-Mail-Adressen für Newsletter oder Kundenberatung und Online-CRM-Systeme. Hinzu kommen das Hochladen von Videos auf Streaming-Plattformen und das Hochladen von Dateien auf einen über das Internet abrufbaren Server.

Auch Office 365 nennt der EDÖB als Beispiel für einen Cloud-Dienst. Wie bei Online-CRM und Newsletter-Tools ist für das KMU entscheidend, ob darin Personendaten bearbeitet werden. (edoeb.admin.ch)

Sobald in diesem Rahmen Personendaten in eine Cloud übertragen werden, gilt das Datenschutzrecht. Im KMU ist das rasch der Fall: etwa bei Kundenadressen im Newsletter-Tool, Kontakthistorien im CRM oder Personalunterlagen in der Dateiablage. Der EDÖB nennt drei Bereiche, denen besondere Aufmerksamkeit gilt: Auftrags- und Unterauftragsbearbeitung, Datensicherheit und Bekanntgabe ins Ausland. Der EDÖB erläutert dazu das revidierte DSG. (edoeb.admin.ch)

Public, Private oder Hybrid: Welches Modell passt zur eigenen Datenhaltung?

Cloud-Modelle werden üblicherweise in drei Grundtypen unterteilt. In der Public Cloud stellen Anbieter ihre Cloudumgebung über das Internet zur Verfügung. Diese Umgebung ist öffentlich zugänglich und wird von verschiedenen Kunden gemeinsam genutzt; sehr oft funktioniert sie als Cloud-as-a-Service, bei dem monatlich oder jährlich ein Betrag für die Nutzung bezahlt wird. Vorteile sind Skalierbarkeit, Flexibilität und Kosteneffizienz; grösster Nachteil ist die starke Abhängigkeit vom Cloud-Provider.

Anbieter von Public-Cloud-Diensten sind zum Beispiel Amazon Web Services (AWS) und Microsoft Azure. Sie stellen ihre Cloudumgebung über das Internet zur Verfügung; die Nutzung wird oft monatlich oder jährlich als cloud-as-a-service bezahlt.

Eine Private Cloud wird von einer einzelnen Organisation oder einem Unternehmen betrieben und bietet Cloud-Computing-Ressourcen, die ausschliesslich für diese Organisation bestimmt sind. Sie kann in den eigenen Rechenzentren oder bei einem Cloud-Anbieter gehostet werden. Private Clouds bieten mehr Kontrolle und Sicherheit, sind jedoch oft kostenintensiver und weniger skalierbar als öffentliche Clouds.

Die Hybrid Cloud kombiniert öffentliche und private Ressourcen und verbindet sie so, dass Daten und Anwendungen nahtlos übertragen werden können. Damit lassen sich skalierbare Arbeitslasten in der öffentlichen Cloud betreiben, während sensible Daten und Anwendungen in der privaten Cloud bleiben. Ob die Public Cloud besser sei als die Private Cloud oder umgekehrt, lässt sich nicht generell sagen: Jedes Modell bietet unterschiedliche Vor- und Nachteile, und die Wahl hängt von den individuellen Bedürfnissen des einzelnen Unternehmens ab.

Vergleich der Cloud-Modelle: Public, Private und Hybrid

Die besten IT-Dienstleister in Basel

Legen Sie dem IT-Dienstleister einen konkreten Wiederherstellungsfall vor: Eine Datei wurde gestern gelöscht. Wer darf die Sicherung einspielen, wie lange dauert das und wie wird der Zugriff protokolliert?

Zuletzt aktualisiert: 2026-10-09. Quelle: Google Maps.

Wer haftet für die Daten? Die Rolle des KMU gegenüber der Anbieterin

Datenschutzrechtlich ist die Rollenverteilung meist klar: Das Unternehmen, das Cloud-Dienste anbietet, handelt in der Regel als Auftragsdatenbearbeiterin des Kunden – also des Cloud-Nutzers. Das KMU als Kunde kann dabei sowohl Verantwortlicher für die Datenbearbeitung als auch selbst Auftragsbearbeiter sein. (edoeb.admin.ch)

Tritt das KMU als Auftragsbearbeiter auf, muss es die Anforderungen erfüllen, welche der Verantwortliche für seine Datenbearbeitungen festgelegt hat. Das betrifft insbesondere KMU, die im Auftrag grösserer Kunden arbeiten und deren datenschutzrechtliche Vorgaben bis in die eingesetzten Cloud-Dienste weiterreichen müssen.

Tritt das KMU als Verantwortlicher auf, trägt es selbst die Verantwortung dafür, dass die Datenbearbeitungen, die die Cloud-Anbieterin im Auftrag durchführt, datenschutzkonform erfolgen und dass die Rechte der betroffenen Personen durch diese Auslagerung nicht geschmälert werden. Die Auslagerung an eine Anbieterin befreit somit nicht von der Verantwortung: Sie verschiebt die tatsächliche Bearbeitung, nicht die Rechenschaftspflicht des KMU.

Wichtige datenschutzrechtliche Aspekte bei Cloud-Diensten

Cloud-Verträge: Auftragsbearbeitung und Unteraufträge

Als Verantwortlicher muss sich der Cloud-Nutzer vergewissern und vertraglich absichern, dass die Auftragsbearbeitung datenschutzkonform erfolgt; der EDÖB erläutert die Auftragsbearbeitung. Im Vertrag sind Gegenstand und Dauer, Zweck, Datenarten und betroffene Personengruppen sowie die Pflichten der Anbieterin festzuhalten. Dazu gehören technische und organisatorische Massnahmen sowie der Umgang mit Unterauftragsbearbeitern. (edoeb.admin.ch)

Eine mögliche Arbeitsformulierung bündelt die Angaben: «Die Anbieterin bearbeitet [Datenarten] von [Personengruppen] zu [Zweck] und während [Dauer]. Sie setzt die vereinbarten technischen und organisatorischen Massnahmen um. Unteraufträge und Änderungen werden nach dem vereinbarten Informations- und Zustimmungsverfahren behandelt.»

Dem Einsatz von Unterauftragsbearbeitern gilt besondere Aufmerksamkeit – der EDÖB zählt ihn neben der Sicherheit der Datenbearbeitung und der Bekanntgabe ins Ausland zu den drei zentralen datenschutzrechtlichen Aspekten bei Cloud-Diensten. Zu klären ist, ob ein Unterauftrag der vorgängigen Zustimmung bedarf, wie das KMU über Wechsel informiert wird und welche Pflichten der Hauptanbieterin gegenüber ihren Unterauftragsbearbeitern auferlegt werden. Bewährt hat sich, eine aktuelle Liste der Unterauftragsbearbeiter zu verlangen und Änderungen nur nach vorgängiger Information oder Zustimmung zu akzeptieren.

Individueller Vertragsgestaltung sind Grenzen gesetzt: Cloud-Dienste werden als standardisierte Lösungen bereitgestellt. Das KMU verhandelt also in der Regel keinen massgeschneiderten Vertrag, sondern akzeptiert ein vorgegebenes Vertragswerk mit allgemeinen Geschäftsbedingungen und Datenschutzanhängen. Umso wichtiger ist es, vor der Einführung zu prüfen, ob dieses Standardwerk die eigenen Anforderungen abdeckt, und allfällige Lücken bewusst zu benennen statt sie stillschweigend zu übernehmen.

Checkliste zur sicheren Einführung von Cloud-Diensten im KMU

Datenhaltung in der Cloud: Bekanntgabe ins Ausland

Findet bei der Nutzung von Cloud-Diensten eine Datenbekanntgabe ins Ausland statt, muss vor der Bekanntgabe geprüft werden, ob sie den gesetzlichen Anforderungen genügt. Der EDÖB verweist dazu auf seine Erläuterungen zur Datenbekanntgabe ins Ausland. Entscheidend ist nicht nur der Sitz der Anbieterin, sondern der Ort, an dem die Daten tatsächlich gespeichert und bearbeitet werden – dazu gehören auch Backups, Support-Zugriffe und die Standorte von Unterauftragsbearbeitern.

Nach Art. 16 DSG dürfen Personendaten ins Ausland bekanntgegeben werden, wenn die Gesetzgebung des Empfängerstaates einen angemessenen Schutz gewährleistet. Fehlt ein angemessener Schutz, kann eine Bekanntgabe mit geeigneten Garantien zulässig sein, insbesondere mit vertraglichen Datenschutzklauseln. (edoeb.admin.ch)

Die Standortfrage gehört damit zu den Auswahlkriterien. Wer eine Anbieterin evaluiert, sollte wissen, in welchen Ländern Daten liegen, wer darauf zugreifen kann und welche Garantien für eine Bekanntgabe ins Ausland bestehen. Wer diese Angaben nicht erhält, kann die Anforderungen auch nicht abschliessend beurteilen.

Auch Kantone, Gemeinden und Behörden setzen Cloudlösungen ein und müssen diese rechtskonform und sicher betreiben. Für sie stellt sich die Standortfrage gleich wie für das KMU: Wo liegen die Daten, wer kann darauf zugreifen, und welche Garantien bestehen?

Als zusätzliches Argument kommt die Widerstandsfähigkeit des Gesamtsystems hinzu. Durch die Vernetzung und grosse Abhängigkeiten ist die Resilienz des ganzen Systems gefährdet, was auch einer zunehmenden Zentralisierung geschuldet ist; ein Ausfall oder ein Cyberangriff auf ein zentrales System hat entsprechend grosse Auswirkungen. Hans Mäder, Stadtpräsident der Stadt Wil, plädiert deshalb dafür, Systeme – wie es in der Schweizer Politik mit dem Föderalismus gelebt wird – subsidiär und möglichst lokal anzubieten.

Hans Mäder, Stadtpräsident der Stadt Wil, hält eine Auslagerung auf amerikanische Server für heikel. Er verweist auf den Datenschutz und darauf, dass Daten irgendwo auf der Welt auftauchen können und dadurch zunehmend nicht mehr unter eigener Kontrolle sind. (switzer.cloud)

Sicherheitsanforderungen für Cloud-Daten: Risiken und Massnahmen

Der EDÖB nennt die Sicherheit der Datenbearbeitung als einen der drei zentralen datenschutzrechtlichen Aspekte bei Cloud-Diensten. Für das KMU heisst das: zuerst die Risiken systematisch erfassen – betroffene Daten, deren Sensibilität und mögliche Folgen von Verlust, Verfälschung oder unbefugtem Zugriff. Daraus leitet es passende technische und organisatorische Massnahmen ab. (edoeb.admin.ch)

Für die Konkretisierung stehen erprobte Hilfsmittel zur Verfügung, auf die der EDÖB verweist. Dazu gehören das überarbeitete privatim-Merkblatt «Cloud-spezifische Risiken und Massnahmen» (2022). Vom deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) stammen die Broschüre «Sichere Nutzung von Cloud-Diensten – Schritt für Schritt von der Strategie bis zum Vertragsende» (2016) und die «Checkliste zur Auswahl eines Cloud-Dienstes» (2022). Solche Instrumente helfen, Risiken und Massnahmen nachvollziehbar zu dokumentieren.

Je nach Risiko kann das KMU Zugriffe auf Daten nach Rollen und Aufgaben beschränken, Mehrfaktor-Authentisierung einsetzen und gespeicherte sowie übertragene Daten verschlüsseln. Für die Wiederherstellung gehören getrennte Sicherungen und regelmässige Wiederherstellungstests in die Prüfung. Die ausgewählten Massnahmen sollten nachvollziehbar dokumentiert werden.

Bei einer Verletzung der Datensicherheit muss der Verantwortliche den EDÖB informieren, wenn die Verletzung für die betroffenen Personen zu einem hohen Beeinträchtigungsrisiko ihrer Persönlichkeit oder ihrer Grundrechte führt (Art. 24 DSG). (edoeb.admin.ch)

Ein verbreiteter Irrtum ist die Annahme, ein vorhandenes Backup genüge als Schutz. Wie eurebis in einem Beitrag zur Datensicherung von Schweizer KMU formuliert, glauben viele KMU: «Wir haben ein Backup, also sind wir geschützt» – und genau das sei heute ein Risiko, denn Backups sind Beute. Ein Backup ersetzt weder Zutritts-, Zugriffs- und Verfügbarkeitsmassnahmen noch die vertragliche Absicherung. Es ist eine Massnahme unter mehreren und muss selbst geschützt, regelmässig getestet und vom Produktivsystem getrennt gehalten werden.

Vorteile und Risiken der Cloud-Nutzung im KMU

Schritte zur rechtskonformen Nutzung von Cloud-Diensten

Abhängigkeit vom Anbieter und der Weg wieder heraus

Wer einen Cloud-Dienst nutzt, bindet sich an eine Anbieterin. In der Public Cloud gilt die starke Abhängigkeit vom Cloud-Provider als grösster Nachteil des Modells. Diese Bindung wird dann zum Problem, wenn Preise steigen, ein Dienst eingestellt, aufgeteilt oder in seinen Bedingungen verändert wird oder wenn ein Wechsel aus anderen Gründen notwendig wird.

Was beim Vertragsende gilt, sollte vor dem Vertragsabschluss geregelt sein. Zu klären sind Format und Mittel der Datenrückgabe, der Löschtermin, verbleibende Kopien in Sicherungen und deren Dauer, die Begleitung des Exports und die dafür anfallenden Kosten. Ebenso gehört die Frage dazu, ob und wie das KMU Anwendungen, Konfigurationen und Zugriffsrechte nach dem Vertragsende selbst weiterbetreiben kann.

Je stärker die eigenen Prozesse auf die Eigenheiten einer Anbieterin zugeschnitten sind – eigene Datenmodelle, Integrationen, geschultes Personal –, desto aufwendiger wird der Ausstieg. Deshalb lohnt es sich, die Abhängigkeit bereits bei der Auswahl mitzudenken: offene Formate, dokumentierte Schnittstellen und klare Regelungen für das Vertragsende.