In einem Rechenzentrum in Falkenstein in Deutschland, betrieben von Hetzner. Also in der EU, nicht in der Schweiz. Ich sage das offen, weil ich an Hosting und Wartung verdiene und Sie diesen Text entsprechend einordnen sollen.

Was muss in meine Datenschutzerklärung, wenn der Server im Ausland steht?

Vier Angaben: wer hostet, in welchem Land, zu welchem Zweck, und auf welcher Grundlage die Bekanntgabe zulässig ist. Art. 19 Abs. 4 revDSG verlangt ausdrücklich die Nennung des Staates. Steht der Server in Deutschland, brauchen Sie keine Standarddatenschutzklauseln, weil Deutschland in Anhang 1 DSV aufgeführt ist. Vom Text getrennt, aber genauso nötig: der Auftragsbearbeitungsvertrag mit dem Hoster.

Was passiert, wenn ich später den Hoster wechseln will?

Sie bekommen ein vollständiges Backup mit Datenbank und Dateien sowie Zugriff auf alle Logins, und wir stimmen die Umstellung mit dem neuen Hoster ab. Keine Bindungsklauseln über die zwölf Monate Mindestlaufzeit des Wartungsabos hinaus, keine Umzugsgebühr. Das ist mir wichtiger als ein Abo, das nur bleibt, weil der Weg raus mühsam ist.

Wo liegen die Sicherungen Ihrer Kunden-Websites?

Täglich gesichert, vierzehn Stände, auf derselben Maschine wie die Website. Ein zweites, automatisch beschriebenes Ziel gibt es nicht; die Kopie auf meinem Rechner hole ich von Hand. Wer ein getaktetes, geografisch getrenntes Ziel anbietet, bietet an dieser Stelle mehr.

Muss meine Website in der Schweiz gehostet sein? · Ratgeber

Q: Muss meine Website in der Schweiz gehostet sein?

Für die allermeisten Betriebe nein. Art. 16 Abs. 1 revDSG erlaubt die Bekanntgabe ins Ausland, wenn der Bundesrat für den Zielstaat einen angemessenen Schutz festgestellt hat. Diese Staaten stehen nach Art. 8 Abs. 1 der Datenschutzverordnung in deren Anhang 1, und Deutschland ist dort aufgeführt, zusammen mit allen 27 EU-Staaten. Pflicht ist nicht der Standort, sondern die Information darüber in Ihrer Datenschutzerklärung und ein Auftragsbearbeitungsvertrag mit dem Hoster nach Art. 9 revDSG.

Q: Ist ein Schweizer Server sicherer als ein deutscher?

Nein, nicht durch den Standort. Der Einbruch kommt über eine veraltete Erweiterung oder ein schwaches Passwort, nicht über die Landesgrenze. Der Standort ist eine rechtliche und vertragliche Frage, keine Sicherheitsfrage.

Muss die Website in der Schweiz stehen?

Nein. Für die allermeisten Schweizer Betriebe ist ein Schweizer Serverstandort datenschutzrechtlich kein Muss. Und damit Sie diesen Satz sofort einordnen können: Mein Server steht bei Hetzner in Falkenstein, Deutschland. Ich verdiene daran.

Offenlegung Ich verdiene an Hosting (CHF 19 pro Monat) und an der Wartung (ab CHF 79 pro Monat), und in beidem steckt mein eigener Server in Deutschland. Wer behauptet, ein Schweizer Standort sei nicht nötig, verkauft damit auch sich selbst. Deshalb die Gegenprobe: Wenn Sie einen Schweizer Standort wirklich brauchen, nenne ich Ihnen Schweizer Anbieter, statt Ihnen mein Hosting zu verkaufen. Das kostet mich das Abo. Mir ist das lieber als ein Kunde, der auf dem falschen Server sitzt und es erst merkt, wenn jemand nachfragt.

Die Empfehlung, der ich hier widerspreche, klingt meist so: Die Website müsse in der Schweiz liegen, sonst sei das mit dem Datenschutz nicht sauber. Sie kommt aus dem Bekanntenkreis, aus einem Beratungsgespräch oder von einem Hoster, der Schweizer Rechenzentren verkauft. Sie klingt vorsichtig und verantwortungsbewusst. Als pauschale Regel ist sie trotzdem falsch.

Was das Gesetz wirklich verlangt

Das revidierte Datenschutzgesetz (revDSG) gilt seit dem 1. September 2023. Es verbietet Hosting im Ausland nicht, es knüpft es an eine Bedingung.

Art. 16 Abs. 1 revDSG sagt: Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates einen angemessenen Schutz gewährleistet. Wo diese Feststellung nachzulesen ist, regelt Art. 8 Abs. 1 der Datenschutzverordnung (DSV): Die Staaten, Gebiete und Sektoren mit angemessenem Datenschutz werden in Anhang 1 dieser Verordnung aufgeführt.

Deutschland ist in Anhang 1 DSV aufgeführt, zusammen mit allen 27 EU-Staaten sowie Island, Liechtenstein und Norwegen. Die Liste umfasst 44 Einträge, dazu einzelne Drittstaaten und Gebiete, und sie ist alphabetisch geordnet; die Reihenfolge sagt also nichts über die Qualität des Schutzes aus. Ihre aktuelle Fassung stammt aus der Verordnung vom 14. August 2024, in Kraft seit dem 15. September 2024 (AS 2024 435). Für Hosting in Deutschland heisst das konkret: keine Standarddatenschutzklauseln nötig, keine besonderen Garantien, keine Einwilligung Ihrer Besucher. Die Bekanntgabe ist nach Art. 16 Abs. 1 revDSG von Gesetzes wegen zulässig.

Zwei Dinge müssen Sie dafür sehr wohl tun. Das erste ist informieren. Art. 19 Abs. 4 revDSG verlangt, dass Sie der betroffenen Person den Staat nennen, in den die Daten gehen. Das ist eine Zeile in der Datenschutzerklärung, kein Umzug des Servers.

Das zweite wird häufiger übersehen: Hosting ist Auftragsbearbeitung. Nach Art. 9 revDSG dürfen Sie die Bearbeitung einem Dritten übertragen, aber nur vertraglich oder gestützt auf das Gesetz, nur soweit die Daten so bearbeitet werden, wie Sie es selbst dürften, und nur wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht dagegensteht. Abs. 2 sagt ausdrücklich, dass Sie sich vergewissern müssen, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Praktisch heisst das: ein Vertrag mit dem Hoster, und nicht bloss ein Satz in der Datenschutzerklärung. Fragen Sie Ihren Hoster nach seinem Auftragsbearbeitungsvertrag; die grösseren Anbieter haben einen vorbereitet.

Ich bin kein Anwalt. Was hier steht, ist die Praxis-Sicht eines Webentwicklers, der Schweizer KMU-Seiten betreibt. Für eine verbindliche Beurteilung gehört ein heikler Fall zu einer Fachperson oder zum Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Die beiden Quellen können Sie selbst nachschlagen: das revDSG unter SR 235.1, die DSV mit Anhang 1 unter SR 235.11, beide auf fedlex.admin.ch.

Was ein Schweizer Standort ändert, und was nicht

Damit der Widerspruch fair bleibt: Ein Schweizer Standort ist nicht sinnlos. Drei Dinge ändert er wirklich.

Gerichtsstand und Vertragsrecht. Ein Schweizer Anbieter ist nach Schweizer Recht belangbar. Wenn es um einen Vertrag streitig wird, ist das einfacher als der Weg über eine ausländische Gesellschaft.
Behördenlage. Welche Behörde unter welchen Voraussetzungen auf Daten zugreifen kann, richtet sich nach dem Recht am Standort. Wer diesen Kreis eng halten will, hat mit einem Schweizer Standort weniger Beteiligte im Spiel.

Und jetzt die andere Hälfte, die im Verkaufsgespräch selten vorkommt.

Ein Schweizer Standort macht Ihre Website nicht schneller. Die Ladezeit entscheidet sich an der Bauweise der Seite, an Bildgrössen, an Skripten von Dritten und an der Server-Konfiguration, nicht an ein paar Hundert Kilometern Leitung. Ich nenne hier bewusst keine Millisekunden, weil ich keine eigene Messung habe, die einen Vergleich Schweiz gegen Deutschland sauber trägt. Wenn Ihnen jemand solche Zahlen vorrechnet, fragen Sie, wo, wann und womit gemessen wurde.

Ein Schweizer Standort macht Ihre Website auch nicht sicherer. Ein kompromittiertes WordPress ist in Zürich genauso kompromittiert wie in Falkenstein. Der Einbruch kommt über eine veraltete Erweiterung oder ein schwaches Passwort, nicht über die Landesgrenze. Was schützt, sind Updates, geprüfte Sicherungen und jemand, der hinschaut. Was das kostet und was es abdeckt, steht in Was kostet Website-Wartung in der Schweiz?.

Wann Sie trotzdem einen Schweizer Standort brauchen

Drei Fälle sprechen trotzdem für einen Schweizer Standort. Im ersten rate ich aktiv ab, bei mir zu hosten, in den anderen beiden entscheiden Sie oder Ihr Auftraggeber.

Berufsgeheimnis. Art. 321 des Strafgesetzbuchs stellt die Verletzung des Berufsgeheimnisses unter Strafe, für Rechtsanwältinnen, Notare, Ärzte, Psychologen, Apothekerinnen und weitere Berufe, und ausdrücklich auch für deren Hilfspersonen. Datenschutzrechtlich hängt der Fall an Art. 9 Abs. 1 lit. b revDSG: Die Übertragung an einen Auftragsbearbeiter ist nur zulässig, wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht dagegensteht. Rechtlich ist auch hier nicht in erster Linie das Land der Knackpunkt, sondern wer Zugriff auf welche Daten hat und was vertraglich abgesichert ist. In der Praxis wird die Diskussion mit Aufsicht, Verband und Mandantschaft mit einem Schweizer Standort aber deutlich kürzer, und diesen Aufwand nehme ich Ihnen nicht ab. Solange auf der Website nur ein Kontaktformular mit Name und Anliegen läuft, ist das meist unkritisch. Sobald Mandats- oder Patientendaten im System liegen, etwa über einen geschützten Bereich oder eine Terminbuchung mit Angaben zum Anliegen, gehört die Frage vor die Technik und zu einer Fachperson.

Vertragliche Vorgabe. Manche Auftraggeber schreiben den Standort vor, öffentliche Stellen etwa oder grössere Firmen in ihren Einkaufsbedingungen. Dann ist nicht mehr die Frage, ob die Vorgabe fachlich zwingend ist. Sie steht im Vertrag, und damit gilt sie.

Ihr ausdrücklicher Wunsch. Ein Teil der Kundschaft will es schlicht so. Das ist kein juristisches Argument, aber ein legitimes. Wenn Sie es so wollen, ist das Grund genug, und ich rede Ihnen das nicht aus.

Was in diesen Fällen passiert: Ich sage es Ihnen, bevor Sie bestellen, und nenne Ihnen Schweizer Anbieter, die für Ihren Fall in Frage kommen. Ich habe mit keinem davon eine Partnerschaft und bekomme dafür keine Provision, deshalb kann ich Ihnen auch keine Konditionen versprechen. Die Website baue ich trotzdem, nur das Hosting läuft dann nicht über mich.

Die drei Fragen, die mehr zählen als das Land

Wenn Sie einen Anbieter prüfen, bringen Ihnen diese drei Fragen mehr als die Standortfrage. Ich beantworte sie gleich für mich mit, samt den Stellen, an denen ich schlechter dastehe als andere.

Wo liegen die Sicherungen, und wie viele Stände gibt es? Bei mir wird täglich gesichert, vierzehn Stände bleiben abrufbar, also zwei Wochen zurück. Jetzt die unangenehme Hälfte: Diese Stände liegen auf derselben Maschine wie die Website. Ein zweites, automatisch beschriebenes Sicherungsziel gibt es nicht. Was es gibt, ist eine Kopie auf meinem eigenen Rechner, die ich von Hand hole und probeweise zurückspiele, damit ich weiss, dass sie trägt. Für den häufigen Fall, dass eine Änderung etwas zerschiesst oder eine Datei fehlt, reicht die Sicherung auf der Maschine gut. Für den seltenen Totalverlust der Maschine bleibt die Kopie auf meinem Rechner, und wie alt die im Ernstfall ist, hängt davon ab, wann ich sie zuletzt geholt habe. Ein getaktetes zweites Ziel wäre an dieser Stelle besser. Wenn Ihnen jemand ein geografisch getrenntes, automatisch beschriebenes Sicherungsziel anbietet, ist das mehr als das, was ich habe, und ich sage es lieber selbst, als dass Sie es später herausfinden.

Wer merkt einen Ausfall, und wie? Bei mir prüft sich der Server alle fünf Minuten selbst und schickt mir eine Mail, sobald die Seite zweimal hintereinander nicht antwortet. Diese Lösung hat eine eingebaute Lücke: Fällt die Maschine ganz aus, merkt eine Prüfung von innen genau das nicht. Einen externen Wachdienst habe ich nicht. Deshalb nenne ich auch keine Verfügbarkeitszahl. Eine Zahl, die ich nicht selbst gemessen habe, wäre eine Behauptung, und davon gibt es in diesem Markt genug.

Wer antwortet, wenn etwas klemmt, und innert wann? Bei mir: ich, innert einem Werktag (Mo bis Fr). Keine Warteschlaufe, keine Ticketnummer, aber auch keine Nacht- und Wochenendbereitschaft. Wenn Sie die brauchen, brauchen Sie einen anderen Anbieter, und zwar unabhängig vom Land.

Diese drei Antworten entscheiden im Alltag darüber, ob Ihre Website steht und wie schnell sie wieder läuft. Der Serverstandort entscheidet das nicht.

Was in Ihre Datenschutzerklärung gehört, wenn der Server im Ausland steht

Kurz und konkret, vier Angaben:

Wer hostet. Firma und Sitz des Hosters, in meinem Fall die Hetzner Online GmbH mit Sitz in Gunzenhausen, Deutschland.
Welches Land. Deutschland. Art. 19 Abs. 4 revDSG verlangt die Nennung des Staates.
Wozu. Betrieb und Auslieferung der Website, dazu die üblichen Server-Logdateien.
Auf welcher Grundlage. Deutschland ist in Anhang 1 DSV aufgeführt, die Bekanntgabe ist damit nach Art. 16 Abs. 1 revDSG zulässig. Standarddatenschutzklauseln brauchen Sie an dieser Stelle nicht.

Das gehört in den Abschnitt über die Bekanntgabe ins Ausland, direkt nach den Drittdiensten. Wie die Erklärung insgesamt aufgebaut ist und was sonst hineingehört, steht in Datenschutzerklärung für Schweizer Websites. Ob Sie zusätzlich einen Banner brauchen, ist eine ganz andere Frage; ich habe sie in Cookie-Banner Schweiz auseinandergenommen. Der Serverstandort löst jedenfalls keinen aus.

Auch das gehört zur Offenlegung: Ich schreibe keine Rechtstexte. Ich liefere Ihnen die technische Liste, also welcher Dienst wo läuft und welche Daten wohin fliessen. Daraus füllen Sie einen Generator korrekt aus oder lassen den Text prüfen.

Und beim Online-Shop?

Beim Shop verschiebt sich die Frage, deshalb hier nur der Verweis. Dort geht es nicht mehr um Server-Logdateien, sondern um Kunden- und Bestelldaten, und bei einer gemieteten Plattform liegen die gar nicht bei Ihrem Hoster, sondern beim Anbieter der Plattform. Die Standortfrage stellt sich dann völlig anders als bei einer Installation, die Sie selbst betreiben. Das habe ich in WooCommerce oder Shopify aufgedröselt, damit es hier nicht doppelt steht.

Mein Fazit

Ein Schweizer Serverstandort ist kein gesetzliches Muss: Deutschland steht in Anhang 1 der Datenschutzverordnung, und damit ist die Bekanntgabe nach Art. 16 Abs. 1 revDSG zulässig. Was das Gesetz verlangt, ist Transparenz, also Hoster und Land in der Datenschutzerklärung. Was Ihre Website im Alltag am Laufen hält, sind Sicherungen, eine Ausfall-Meldung und jemand, der antwortet. Und wenn Berufsgeheimnis, ein Vertrag oder schlicht Ihr Wunsch für die Schweiz sprechen, ist das ein guter Grund, und dann sage ich Ihnen das, auch wenn mich das ein Abo kostet.

Wenn Sie nicht wissen, wo Ihre Daten heute liegen, schaue ich nach. Ich brauche dafür nur Ihre Adresse im Netz und ein paar Minuten und sage Ihnen danach, welcher Hoster in welchem Land Ihre Seite ausliefert und ob in Ihrer Datenschutzerklärung dazu das Richtige steht. Ein Vorbehalt gehört dazu: Steht ein Zwischendienst davor, der die Seite beschleunigt oder abschirmt, sieht man von aussen nur diesen; dann brauche ich einen Blick ins Hosting-Konto. Kein Verkaufsdruck, Antwort innert einem Werktag (Mo bis Fr). Was mein eigenes Angebot umfasst, steht auf Hosting und Wartung.