Konformes IT-Outsourcing in der Schweiz 2026

Konformes IT-Outsourcing in der Schweiz beruht auf einem einfachen Prinzip: Sie können den Betrieb delegieren, nie die Verantwortung. Das Datenschutzgesetz (DSG) erlaubt die IT-Auslagerung vollumfänglich, sofern ein Vertrag die Datenbearbeitung regelt, Sie wissen, wo die Daten gespeichert sind und durch wen, und der Dienstleister ausreichende Garantien bietet. Hier ist, was das 2026 für ein KMU konkret bedeutet — von der Anbieterwahl bis zu den Vertragsklauseln.

Was das DSG zum IT-Outsourcing sagt

Ihr Managed-IT-Anbieter, Ihr Hoster und Ihr Cloud-E-Mail-Anbieter sind Auftragsbearbeiter im Sinne des DSG: Sie bearbeiten Personendaten in Ihrem Auftrag. Das Gesetz stellt drei Bedingungen an diese Delegation: Die Bearbeitung muss durch Vertrag oder Gesetz geregelt sein, der Anbieter darf die Daten nur im von Ihnen definierten Rahmen bearbeiten, und er muss ein Ihrem eigenen gleichwertiges Datenschutzniveau garantieren.

Die praktische Konsequenz: Auslagern ohne schriftlichen Auftragsbearbeitungsvertrag heisst nicht konform sein — selbst wenn der Anbieter gute Arbeit leistet. Und da die DSG-Sanktionen die verantwortlichen natürlichen Personen treffen (bis 250 000 CHF bei vorsätzlicher Zuwiderhandlung), verdient das Thema mehr als einen Handschlag. Unser DSG-Leitfaden 2026 für KMU behandelt den allgemeinen Rahmen.

Die zentrale Frage: Wo sind Ihre Daten wirklich?

«Ihre Daten sind bei uns» bedeutet nichts. Ein IT-Outsourcing umfasst in Wirklichkeit mehrere Standorte, die einzeln zu prüfen sind:

• Die Produktionsdaten: Server, Dateien, E-Mail — bei welchem Hoster, in welchem Land?
• Die Backups: oft bei einem anderen Anbieter als die Produktion, manchmal ausserhalb der Schweiz, ohne dass es je jemand geprüft hätte
• Die Werkzeuge des Dienstleisters: Überwachung, Ticketing, Fernwartung — diese Werkzeuge sehen Ihre Bildschirme und Systeme und sind häufig amerikanische Cloud-Dienste
• Die Unterauftragnehmer des Dienstleisters: ausgelagerter Helpdesk, Dritt-Rechenzentrum, Werkzeug-Hersteller

Schweizer Hosting ist keine absolute Rechtspflicht, vereinfacht die Konformität aber radikal: keine internationale Transferanalyse, keine Exposition gegenüber dem US CLOUD Act. Unser Artikel über die Migration in eine Schweizer Cloud vertieft diese Souveränitätsfragen.

Die Klauseln, die das Outsourcing konform machen

Der Vertrag mit Ihrem IT-Dienstleister muss ausdrücklich abdecken:

• Den Gegenstand der Bearbeitung: welche Datenkategorien, zu welchen Zwecken
• Die Sicherheitsmassnahmen: Verschlüsselung, Zugriffskontrolle, MFA, Protokollierung
• Den Standort: Daten, Backups und Werkzeuge, mit der Pflicht, Sie über jede Änderung zu informieren
• Die Unterauftragnehmer: Liste sowie das Recht, über Änderungen informiert zu werden oder ihnen zu widersprechen
• Die Datenschutzverletzungen: Pflicht, Sie unverzüglich zu alarmieren, mit den Informationen zur Risikobewertung und allfälligen EDÖB-Meldung
• Das Vertragsende: Rückgabe oder Vernichtung der Daten, Übergabe der Dokumentation und der Zugriffe

Diese Klauseln überschneiden sich weitgehend mit denen eines guten Managed-IT-Vertrags — SLA, Umfang, Reversibilität —, die wir in unserem Vertragsvergleichs-Leitfaden beschreiben. Konformität und Servicequalität werden im selben Moment verhandelt: vor der Unterschrift.

Regulierte Branchen: eine Stufe höher

Treuhänder, Arztpraxen, Anwälte und Notare fügen den DSG-Pflichten das Berufsgeheimnis hinzu: Die Vertraulichkeit der Kunden- oder Patientendaten ist strafrechtlich geschützt. Für diese Branchen erfordert das Outsourcing einen Anbieter, der diese Zwänge versteht — Schweizer Hosting, protokollierte Zugriffe, verstärkte vertragliche Vertraulichkeit. Ein eigenständiges Thema, das wir in unseren Top 7 der regulierten Managed IT und auf unseren Seiten für Treuhänder, Arztpraxen und Anwälte und Notare behandeln.

Das Vorgehen in fünf Schritten

• 1. Inventarisieren Sie Ihre Personendaten und deren Speicherorte (die Grundlage jeder DSG-Konformität)
• 2. Befragen Sie jeden bestehenden oder künftigen IT-Dienstleister: Standort, Unterauftragnehmer, Sicherheit, Verfahren bei Verletzungen — schriftlich
• 3. Vertraglich regeln: Auftragsbearbeitungsvertrag oder Nachtrag zu bestehenden Verträgen
• 4. Zugriffe einrahmen: persönliche Konten, geringste Berechtigung, MFA, jährliche Überprüfung
• 5. Dokumentieren Sie alles in Ihrem Bearbeitungsverzeichnis

Wenn Sie nicht wissen, wo Sie stehen, kartiert ein DSG-Audit Ihre Daten und liefert einen dokumentierten Aktionsplan. Und wenn Sie einen Anbieter suchen, der diese Punkte konstruktionsbedingt erfüllt — Daten vorrangig auf Schweizer Infrastruktur, dokumentierte Unterauftragnehmer, Ausstiegsklausel inbegriffen —, genau so haben wir AlpenCare, unsere Managed IT für KMU, konzipiert, bis hin zum Sovereign-Paket zur Reduktion der Abhängigkeiten von ausländischen Clouds.

Häufige Fragen

Ist IT-Outsourcing mit dem Schweizer Datenschutzgesetz vereinbar?

Ja, sofern es korrekt gemacht wird: Das DSG erlaubt die Auslagerung der Datenbearbeitung ausdrücklich. Ihr Unternehmen bleibt verantwortlich, darf den Betrieb aber einem Dienstleister anvertrauen, wenn ein Vertrag die Bearbeitung regelt, der Dienstleister ein angemessenes Schutzniveau garantiert und Sie wissen, wo Ihre Daten gespeichert sind und wer darauf zugreift.

Was muss der Vertrag mit einem IT-Dienstleister enthalten, um DSG-konform zu sein?

Einen Auftragsbearbeitungsvertrag (oder entsprechende Klauseln) mit: den bearbeiteten Datenkategorien, den Zwecken, den Sicherheitsmassnahmen, dem Standort der Daten und Backups, der Liste der Unterauftragnehmer, den Pflichten bei einer Datenschutzverletzung und dem Schicksal der Daten bei Vertragsende. Ohne diesen schriftlichen Rahmen beruht Ihre Konformität auf Vertrauen, nicht auf Recht.

Müssen die Daten eines Schweizer KMU zwingend in der Schweiz bleiben?

Nein, das DSG schreibt kein Schweizer Hosting vor: Es verlangt, dass Übermittlungen ins Ausland nur in Länder mit angemessenem Schutzniveau oder unter geeigneten Garantien erfolgen. In der Praxis vereinfacht Schweizer Hosting alles: keine Transferanalyse, keine Exposition gegenüber dem US CLOUD Act, ein klares Argument gegenüber Ihren Kunden. Für Berufe mit Berufsgeheimnis ist es dringend empfohlen.

Wer haftet bei einem Datenleck beim IT-Dienstleister?

Ihr Unternehmen bleibt im Sinne des DSG verantwortlich: Sie müssen den EDÖB benachrichtigen, wenn das Risiko hoch ist, und Ihre Reputation steht auf dem Spiel. Der Dienstleister hat eigene vertragliche Pflichten und kann Ihnen gegenüber haften, aber das Outsourcing überträgt die rechtliche Verantwortung für die Bearbeitung nie.

Wie überprüft man, ob ein IT-Dienstleister tatsächlich konform ist?

Verlangen Sie schriftliche Nachweise: genauer Standort der Daten und Werkzeuge (Überwachung, Ticketing, Fernzugriff), Liste der Unterauftragnehmer, Verfahren bei Verletzungen und Referenzen in anspruchsvollen Branchen. Ein konformer Anbieter beantwortet diese Fragen schriftlich und ohne Mühe; ausweichende Antworten sind ein Warnsignal.