Datensouveränität ist für Unternehmen in ganz Europa zu einer strategischen Priorität geworden. Doch trotz der zunehmenden Aufmerksamkeit seitens der Regulierungsbehörden enthalten das Schweizer Datenschutzrecht und die europäischen Regelwerke keine fertige Anleitung für Datensouveränität. Es gibt kein spezielles „Gesetz zur Datensouveränität“. Stattdessen legen eine Reihe von Datenschutz- und Cybersicherheitsvorschriften fest, welche Verantwortung Organisationen tragen, wie sie Personendaten schützen müssen und was beim Einsatz externer Dienstleister oder bei grenzüberschreitenden Datenflüssen zu beachten ist.

In unseren früheren Artikeln haben wir untersucht, warum Datensouveränität von mehr als nur dem Speicherort der Daten abhängt und wie technische Architektur Organisationen dabei hilft, die Kontrolle über ihre Daten zu behalten. Daraus ergibt sich die nächste Frage: Woher stammen diese Anforderungen?

Zwar verfolgen die Schweiz und die Europäische Union bei der Datenverwaltung unterschiedliche rechtliche Rahmenbedingungen, doch weisen sie auf dieselbe grundlegende Erwartung hin: Organisationen müssen eine sinnvolle Kontrolle über ihre Daten behalten. Was verlangen diese Vorschriften also konkret, und wie können Organisationen rechtliche Verpflichtungen in praktische operative Grundsätze umsetzen?

Datensouveränität in der Schweiz

1. DSG und VDS

In der Schweiz wird der Datenschutz in erster Linie durch das Bundesgesetz über den Datenschutz (DSG) und die Datenschutzverordnung (DSV) geregelt. Für kantonale und kommunale öffentliche Organe gelten die jeweiligen kantonalen Datenschutzgesetze. 

Obwohl das Schweizer Datenschutzrecht den Begriff „Datensouveränität“ nicht als eigenständigen Rechtsbegriff definiert oder regelt, legt einen klaren Grundsatz der Rechenschaftspflicht fest. Organisationen bleiben für den Schutz personenbezogener Daten und das Management der damit verbundenen Risiken verantwortlich, selbst wenn Verarbeitungsvorgänge an Dritte ausgelagert werden.

  • Datenschutz ist bereits bei der Planung einer Datenbearbeitung zu berücksichtigen.
  • Artikel 8 DSG verlangt „eine dem Risiko angemessene Datensicherheit“.
  • Wer Daten durch einen Dienstleister bearbeiten lässt, muss prüfen, ob dieser die Datensicherheit gewährleisten kann.
  • Für die Bekanntgabe von Personendaten ins Ausland gelten zusätzliche Voraussetzungen.
  • Auch bei einer ausgelagerten Datenbearbeitung trägt die Organisation die Verantwortung dafür, dass die Daten rechtmäßig bearbeitet und angemessen geschützt werden.

Unternehmen müssen Daten nach ihrem Schutzbedarf einordnen und Anbieter sowie Unterauftragnehmer sorgfältig prüfen. Zugriffsrechte und Verantwortlichkeiten sind klar festzulegen und durch Maßnahmen wie Verschlüsselung, starke Authentifizierung und Protokollierung abzusichern. Dokumentierte Lösch-, Wiederherstellungs- und Kontrollprozesse müssen zudem gewährleisten, dass die Organisation auch bei Vorfällen, Ausfällen oder Vertragsende handlungsfähig bleibt.

2. Hinweise des Eidgenössischen Datenschutz- und Informationsbeauftragten (EDÖB)

Der EDÖB hat Leitlinien veröffentlicht, die Organisationen dabei unterstützen, die Schweizer Datenschutzvorschriften bei Outsourcing und Cloud-Diensten anzuwenden.

Die Leitlinien betonen, dass die Bewertung von Cloud-Anbietern über die reine Prüfung von Verträgen hinausgehen muss. Organisationen sollten verstehen, wo Daten verarbeitet werden, welche Unterauftragnehmer beteiligt sind und wie sich vereinbarte Schutzmaßnahmen in der Praxis überprüfen und nachweisen lassen.

  • Organisationen müssen die Bearbeitungs- und Speicherorte ihrer Daten kennen.
  • Beteiligte Unterauftragnehmer sind in die Prüfung einzubeziehen.
  • Mögliche Bekanntgaben und Zugriffe aus dem Ausland müssen berücksichtigt werden.
  • Die Organisation muss kontrollieren können, ob die vereinbarten Schutzmaßnahmen eingehalten werden.

Unternehmen müssen nachvollziehen können, welche Daten externe Dienstleister wo bearbeiten und welche Unterauftragnehmer beteiligt sind. In die Bewertung gehören neben dem Speicherort auch die jeweils geltenden Rechtsordnungen und mögliche Zugriffe aus dem Ausland. Vereinbarte Schutzmaßnahmen sind regelmäßig zu kontrollieren und bei Änderungen neu zu bewerten.

3. Privatim Resolution zu internationalen Cloud-Diensten

Die Privatim-Resolution vom 24. November 2025 bietet wichtige Leitlinien für Organisationen des öffentlichen Sektors in der Schweiz, die internationale Cloud-Dienste evaluieren. Sie ist zwar nicht rechtsverbindlich, spiegelt jedoch die gemeinsame Position der Schweizer Datenschutzbehörden wider und hebt ein zentrales Souveränitätsanliegen hervor: Die Auslagerung darf nicht zu einem Kontrollverlust über sensible Daten führen.  

  • Privatim hält die Auslagerung besonders schützenswerter oder gesetzlich geheimhaltungspflichtiger Personendaten an internationale SaaS-Anbieter in den meisten Fällen für unzulässig, wenn der Anbieter auf die Daten im Klartext zugreifen kann.
  • Nach der Resolution kommt eine solche Nutzung nur infrage, wenn das öffentliche Organ die Daten selbst verschlüsselt und der Cloud-Anbieter keinen Zugang zu den Schlüsseln erhält.
  • Bei der Risikobewertung sind auch ausländische Zugriffsgesetze zu berücksichtigen. Als Beispiel nennt privatim den US CLOUD Act. Danach können US-Anbieter zur Herausgabe von Kundendaten an US-Behörden verpflichtet werden – auch wenn die Daten in einem Schweizer Rechenzentrum gespeichert sind. Der Datenstandort ist nicht mit Datensouveränität gleichzusetzen.

Öffentliche Organe müssen klären, ob sie besonders schützenswerte oder gesetzlich geheimhaltungspflichtige Personendaten bearbeiten. Anschließend ist zu prüfen, ob Anbieter oder Unterauftragnehmer auf Klartextdaten oder kryptografische Schlüssel zugreifen können. Dabei ist sicherzustellen, dass die Schlüssel unter der Kontrolle des verantwortlichen Organs oder der berechtigten Nutzerinnen und Nutzer bleiben und Veränderungen bei Konzernstruktur, Herausgabepflichten, Dienstleistern oder Datenflüssen in die dokumentierte Bewertung einfließen.

Schweizer Vorgaben und Anforderungen im Überblick

Regulatorischer Rahmen Kernaussage Praxisfrage
DSG und DSV Schutzmaßnahmen müssen in dem Risiko entsprechen. Sind alle relevanten Daten, Risiken und Schutzmaßnahmen erfasst?
 EDÖB-Hinweise Auslagerung entbindet nicht von Prüfung und Kontrolle. Wissen wir, wer unsere Daten wo und wie verarbeitet?
 Privatim Der Zugriff durch technische Dienstleister ist von Bedeutung, insbesondere bei sensiblen Daten. Kann der Anbieter Inhalte oder Schlüssel einsehen?

Datensouveränität in der Europäischen Union

Ähnlich wie die Schweiz regelt auch die EU Datensouveränität nicht durch ein einziges Rahmenwerk. Stattdessen ergeben sich hoheitsbezogene Anforderungen aus den Verpflichtungen in den Bereichen Datenschutz, internationale Datenübermittlung, Cybersicherheit und Resilienz, die Organisationen zunehmend dazu zwingen, Risiken durch Dritte zu verstehen und zu managen.

Die Datenschutz-Grundverordnung (DSGVO) ist der primäre Rechtsrahmen für den Schutz personenbezogener Daten. Für Übermittlungen in Staaten außerhalb der EU und des Europäischen Wirtschaftsraums kommen die Vorgaben aus Kapitel V der DSGVO, das Urteil Schrems II und die Empfehlungen des Europäischen Datenschutzausschusses hinzu.

Für kritische Sektoren führen NIS2 und DORA zusätzliche Verpflichtungen in Bezug auf Cybersicherheit, Resilienz und das Risikomanagement bei Dritten ein.

1. Datenschutz-Grundverordnung (DSGVO)

Die DSGVO wird oft in erster Linie als Datenschutzverordnung betrachtet. Viele ihrer Kernprinzipien, darunter die Rechenschaftspflicht, „Privacy by Design“ und die Aufsicht über Auftragsverarbeiter, unterstützen jedoch unmittelbar die Ziele der Datensouveränität. Im Kern zielt die DSGVO darauf ab, sicherzustellen, dass Organisationen während des gesamten Lebenszyklus personenbezogener Daten die Verantwortung für diese Daten behalten, unabhängig davon, wer sie verarbeitet.

  • Artikel 5 Absatz 2 DSGVO verankert die Rechenschaftspflicht. Die Einhaltung der Datenschutzgrundsätze müssen Organisationen nicht nur sicherstellen, sondern auch nachweisen können.
  • Artikel 25 verlangt, den Datenschutz bereits bei der Gestaltung von Systemen und Prozessen sowie durch datenschutzfreundliche Voreinstellungen zu berücksichtigen.
  • Wer personenbezogene Daten durch einen Auftragsverarbeiter verarbeiten lässt, muss nach Artikel 28 prüfen, ob dieser ausreichende Garantien für geeignete Schutzmaßnahmen bietet.
  • Artikel 32 verlangt technische und organisatorische Maßnahmen, die ein dem jeweiligen Risiko angemessenes Schutzniveau gewährleisten.
  • Die Schutzmaßnahmen sind regelmäßig zu überprüfen und bei Bedarf anzupassen.

Unternehmen müssen ihre Verarbeitungsvorgänge und die damit verbundenen Risiken kennen und dokumentieren. Datenschutz ist von Beginn an in Systeme und Arbeitsabläufe zu integrieren, während Auftragsverarbeiter und Unterauftragnehmer sorgfältig auszuwählen, vertraglich einzubinden und regelmäßig zu überprüfen sind. Zugriffe sind auf das erforderliche Maß zu begrenzen, und die Angemessenheit der eingesetzten Schutzmaßnahmen muss nachvollziehbar belegt werden können.

2. Drittlandtransfers, Schrems II und EDSA-Empfehlungen

Schrems II hat die Debatte um internationale Datenübermittlungen grundlegend verändert. Vor dem Urteil konzentrierten sich Organisationen häufig auf Übermittlungsmechanismen wie Standardvertragsklauseln. Heute erwarten die Aufsichtsbehörden von Organisationen, dass sie über den reinen Papierkram hinausblicken und prüfen, ob die Daten in der Praxis geschützt bleiben – auch vor dem Zugriff ausländischer Regierungen.

  • Kapitel V der DSGVO regelt die Übermittlung personenbezogener Daten in Drittländer. Liegt kein Angemessenheitsbeschluss der Europäischen Kommission vor, sind geeignete Garantien oder eine ausdrücklich vorgesehene Ausnahme erforderlich.
  • Das durch die DSGVO gewährleistete Schutzniveau darf durch eine Übermittlung in ein Drittland nicht untergraben werden.
  • Im Urteil Schrems II bestätigte der Europäische Gerichtshof zwar die grundsätzliche Gültigkeit der Standardvertragsklauseln. Zusätzlich müssen aber die Rechtslage und mögliche Behördenzugriffe im Empfängerland berücksichtigt werden.
  • Betroffene Personen müssen ein Schutzniveau erhalten, das dem in der EU garantierten Niveau „der Sache nach gleichwertig“ ist.
  • Die Empfehlungen des Europäischen Datenschutzausschusses verlangen, Datenübermittlungen vollständig zu erfassen, das verwendete Übermittlungsinstrument zu prüfen und bei Bedarf ergänzende Schutzmaßnahmen einzusetzen.
  • Kann ein angemessenes Schutzniveau nicht hergestellt werden, muss die Übermittlung ausgesetzt oder beendet werden.

Unternehmen müssen sämtliche Drittlandtransfers erfassen und die jeweilige Rechtsgrundlage klären. In die Bewertung gehören auch die Rechtslage und mögliche staatliche Zugriffe im Empfängerland. Bieten Verträge und technische Architektur zusammen kein angemessenes Schutzniveau, darf die Übermittlung nicht fortgeführt werden. Das gilt beispielsweise, wenn der Anbieter die Entschlüsselungsschlüssel kontrolliert und deshalb auf Klartextdaten zugreifen kann. Die Bewertung ist zu dokumentieren und bei Änderungen an Datenflüssen, Dienstleistern oder der Rechtslage zu aktualisieren.

3. NIS2 und DORA: Ergänzende Vorgaben zu Cybersicherheit und Resilienz 

NIS2 und  DORA regeln Datensouveränität nicht unmittelbar, ergänzen aber für die jeweils erfassten Organisationen den datenschutzrechtlichen Rahmen.

NIS2 verpflichtet wesentliche und wichtige Einrichtungen in bestimmten Sektoren zu einem systematischen Management von Cyberrisiken. Dazu gehören unter anderem Lieferkettensicherheit, Zugriffskontrollen, Vorfallbehandlung und Geschäftskontinuität.

DORA richtet sich an Finanzunternehmen und weitere erfasste Akteure des Finanzsektors. Die Verordnung stellt sicher, dass sie IKT-Risiken und Abhängigkeiten von externen IKT-Dienstleistern kontrollieren und auch bei Störungen handlungsfähig bleiben.

Für die Praxis bedeutet dies, dass Organisationen nicht nur den Schutz und die Zugänglichkeit ihrer Daten betrachten sollten. Sie müssen auch wissen, welche kritischen Prozesse von externen Diensten abhängen und wie sich Daten und Arbeitsabläufe bei einem Ausfall oder Anbieterwechsel wiederherstellen beziehungsweise fortführen lassen.

Die EU-Vorgaben im Überblick

Vorgabe Kernaussage Praxisfrage
DSGVO Datenschutz muss risikogerecht und nachgewiesen werden. Können wir belegen, dass personenbezogene Daten angemessen geschützt sind?
Kapitel V DSGVO , Schrems II und Leitlinien des EDSA Auch bei Drittlandtransfers muss das europäische Schutzniveau erhalten bleiben. Kennen wir alle Übermittlungen und mögliche Zugriffe aus Drittländern? 
NIS2 Verlangt von erfassten Einrichtungen die Kontrolle von Cyber-, Lieferketten- und Ausfallrisiken.  Bleiben kritische Dienste auch bei einem Cybervorfall beherrschbar?
DORA Verlangt von Finanzunternehmen die Kontrolle von IKT-Drittdienstleistern und operative Resilienz.  Können kritische Funktionen bei einem Ausfall oder Anbieterwechsel weiterlaufen?

Vier praktische Umsetzungsregeln für Datensouveränität

Obwohl die Vorschriften der Schweiz und der EU für unterschiedliche Zwecke entwickelt wurden, konzentrieren sie sich immer wieder auf dieselben praktischen Fragen:

  • Wissen die Organisationen, wo ihre Daten verarbeitet werden?
  • Wissen sie, wer darauf zugreifen kann?
  • Können sie die Kontrolle über Dritte nachweisen?
  • Können sie die Kontrolle behalten, wenn sich die Umstände ändern?

Die folgenden vier Grundsätze setzen diese wiederkehrenden regulatorischen Erwartungen in praktische Leitlinien um.

1. Datenflüsse und Abhängigkeiten kennen

Organisationen müssen wissen, welche Daten wo und durch wen bearbeitet werden. Dazu gehören nicht nur die eigentlichen Inhalte, sondern auch Metadaten, Back-ups, Supportzugriffe sowie beteiligte Anbieter und Unterauftragnehmer. Ebenso wichtig ist zu prüfen, welchen Rechtsordnungen diese unterliegen und welche Abhängigkeiten von externen Diensten bestehen.

2. Technisch mögliche Zugriffe begrenzen

Verträge und Richtlinien legen fest, wer auf Daten zugreifen darf. Sie genügen jedoch nicht, wenn die eingesetzte Lösung keine tatsächliche Steuerung ermöglicht. Organisationen sollten deshalb prüfen, wer Inhalte technisch entschlüsseln kann, wer die Schlüssel kontrolliert und ob der Anbieter auf Klartextdaten zugreifen könnte. 

3. Zugriff und Berechtigungen präzise verwalten

Sowohl interne als auch externe Nutzer sollten nur auf die Daten zugreifen können, die sie für ihre jeweilige Aufgabe benötigen. Unternehmen sollten in der Lage sein, Zugriffsrechte nach Bedarf zu gewähren, zu überprüfen, einzuschränken und zu widerrufen, während sie gleichzeitig den Überblick darüber behalten, wer Informationen einsehen, bearbeiten, herunterladen oder weitergeben darf.

4. Kontrolle nachweisen und Handlungsfähigkeit erhalten

Datensouveränität betrifft nicht nur den Schutz vor unbefugtem Zugriff. Organisationen müssen auch bei Sicherheitsvorfällen, Ausfällen oder einem Anbieterwechsel auf ihre Daten zugreifen und zentrale Prozesse fortführen können. Schutzmaßnahmen, Zugriffe und Risikobewertungen sind deshalb nachvollziehbar zu dokumentieren und regelmäßig zu überprüfen. Hinzu kommen geregelte Prozesse für Wiederherstellung, Datenlöschung, Migration und den Wechsel eines Dienstleisters.

Datensouveränität braucht technische Gewissheit

Um Datensouveränität zu erreichen, benötigen Unternehmen mehr als nur Compliance-Richtlinien und vertragliche Zusicherungen. Es bedarf einer Kombination aus technischer Architektur, organisatorischer Steuerung und nachweisbaren Kontrollmechanismen.

Letztendlich lautet die entscheidende Frage nicht, was ein Vertrag verspricht, sondern ob Ihr Unternehmen im täglichen Betrieb die Kontrolle über seine Datenflüsse behalten kann.

Datensouveränität-by-Design mit Tresorit

Die vier Regeln zeigen, dass Datensouveränität rechtliche, organisatorische und technische Kontrolle voraussetzt. Tresorit unterstützt Organisationen bei der praktischen Umsetzung.

Ende-zu-Ende-Verschlüsselung und eine Zero-Knowledge-Architektur stellen sicher, dass nur autorisierte Nutzer auf Daten zugreifen können – nicht einmal der Anbieter. Flexible Datenspeicherorte, detaillierte Zugriffs- und Freigabekontrollen sowie eine umfassende Aktivitätsüberwachung unterstützen eine sichere Zusammenarbeit und Daten-Governance.

Weisen die vier Regeln darauf hin, dass in Ihrer Organisation noch Handlungsbedarf besteht? Erfahren Sie, wie Tresorit Datensouveränität unterstützt.

Oliver Jäger