Die DSGVO-Falle: Warum «Server in Europa» nicht ausreicht

«Unsere Daten liegen auf Servern in Frankfurt.» «Wir nutzen die europäische Region von Microsoft Azure.» «Der Anbieter garantiert Hosting in der EU.» Diese Sätze fallen in praktisch jedem Compliance-Gespräch zu Cloud-Anbietern – und sie beruhigen fast immer diejenigen, die sie hören. Zu Unrecht. Der physische Serverstandort beantwortet eine wichtige, aber nicht die entscheidende Frage. Die entscheidende Frage lautet: Wo hat der Anbieter, der diese Server betreibt, seinen Rechtssitz? Und genau an dieser Stelle beginnt die Falle, in die auch datenschutzbewusste Unternehmen regelmässig tappen.

Der CLOUD Act: Zuständigkeit folgt der Gesellschaft, nicht dem Server

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) von 2018 verpflichtet US-Unternehmen, auf rechtmässige Anordnung US-amerikanischer Behörden Daten herauszugeben – unabhängig davon, wo diese Daten physisch gespeichert sind. Massgeblich ist nicht der Serverstandort, sondern ob das Unternehmen der US-Jurisdiktion unterliegt: durch Sitz, Gründung oder ausreichende geschäftliche Präsenz in den USA.

Das betrifft nicht nur die offensichtlichen US-Konzerne. Microsoft, Google, Amazon (AWS) und Salesforce sind alle US-Gesellschaften mit US-Rechtssitz – und damit CLOUD-Act-pflichtig, selbst wenn sie ihren Kundinnen und Kunden explizit «Hosting in der EU-Region» oder «Datenverarbeitung in der Schweiz» anbieten.

Schrems II: Warum die EU dieses Problem bereits einmal zu lösen versuchte

Dass diese Konstruktion mit europäischem Datenschutzrecht kollidiert, ist kein neues Erkenntnis. Der Europäische Gerichtshof hat 2020 im sogenannten Schrems-II-Urteil das EU-US Privacy Shield für ungültig erklärt – das damalige Rahmenwerk, das den transatlantischen Datentransfer regeln sollte. Der Kern des Urteils: US-Überwachungsgesetze bieten EU-Bürgerinnen und -Bürgern keinen mit der DSGVO vergleichbaren Schutz vor staatlichem Zugriff.

Als Ersatzmechanismus dienen seither vor allem Standard Contractual Clauses (SCCs) – vertragliche Standardklauseln. Diese sind rechtlich gültig, lösen aber nicht das zugrundeliegende Problem: Sie sind ein vertragliches Versprechen zwischen zwei Unternehmen. Sie können den Zugriff durch US-Behörden auf Basis des CLOUD Act nicht ausschliessen, weil dieser Zugriff auf Gesetzesebene erfolgt, nicht auf Vertragsebene.

Die Schweizer Verschärfung: Persönliche Haftung seit 2023

Für Unternehmen in der Schweiz kommt seit dem 1. September 2023 eine zusätzliche, sehr konkrete Dimension hinzu. Das revidierte Datenschutzgesetz (revDSG) verfolgt bei Verstössen einen fundamental anderen Ansatz als die DSGVO: Es bestraft primär nicht das Unternehmen, sondern die verantwortliche natürliche Person – also konkret Mitglieder der Geschäftsleitung, des Verwaltungsrats oder andere Personen mit Weisungsbefugnis.

Gemäss Art. 60–64 revDSG drohen bei vorsätzlichen Verstössen Bussen von bis zu CHF 250'000, die persönlich und nicht über eine Versicherung abgedeckt werden können. Das Unternehmen selbst kann nur subsidiär und lediglich bis CHF 50'000 gebüsst werden. Bereits Eventualvorsatz – das Inkaufnehmen eines möglichen Verstosses – reicht für die Strafbarkeit aus.

	DSGVO (EU)	revDSG (Schweiz)
Wer haftet primär	Das Unternehmen	Die verantwortliche natürliche Person
Maximalbusse	4% Jahresumsatz oder EUR 20 Mio.	CHF 250'000
Trifft	Unternehmenskapital	Privatvermögen
Versicherbar	teilweise	nein
Voraussetzung	auch fahrlässige Verstösse möglich	nur vorsätzliche Verstösse (inkl. Eventualvorsatz)

Die Lücke zwischen Wunsch und Realität ist real — und aktuell messbar

Dass diese Sorge in der Wirtschaft angekommen ist, aber noch nicht in konkretes Handeln übersetzt wurde, zeigt der aktuellste Bitkom Cloud Report: 85 Prozent der befragten Unternehmen in Deutschland halten das Land für zu abhängig von US-Cloud-Anbietern. 91 Prozent würden einen Cloud-Anbieter aus Deutschland bevorzugen. Umgesetzt haben diese Präferenz jedoch nur 53 Prozent – und 71 Prozent der Unternehmen beziehen weiterhin aktiv Cloud-Dienste aus den USA, obwohl nur 8 Prozent der Befragten US-Anbieter tatsächlich bevorzugen würden.

Bitkom Cloud Report, aktuelle Erhebung

Diese Lücke zwischen Wunsch (Datensouveränität) und Realität (aktive Nutzung US-amerikanischer Anbieter) ist genau die Lücke, in der die «Server in Europa»-Falle entsteht.

Was echte Datensouveränität tatsächlich voraussetzt

Für ein Unternehmen, das seine Anbieterkette wirklich CLOUD-Act-frei gestalten will, reicht die Prüfung des Serverstandorts nicht aus. Es braucht eine Prüfung der gesamten Kette:

• Gesellschaftsrechtlicher Sitz des Anbieters. Nicht: «Wo stehen die Server?» Sondern: «Welchem Gesellschaftsrecht und welcher Jurisdiktion untersteht die Gesellschaft, die den Dienst betreibt?»
• Tatsächlicher Ort der Datenverarbeitung, nicht nur der Speicherung. Bei KI-gestützten Diensten betrifft das explizit auch die Verarbeitung von Embeddings und die Inferenz des Sprachmodells selbst.
• Ein Auftragsverarbeitungsvertrag (AVV), der dem revDSG entspricht – nicht nur ein generischer, auf die DSGVO zugeschnittener Standardvertrag.
• Die Frage, ob überhaupt eine US-Rechtsperson irgendwo in der Kette involviert ist – als Mutterkonzern, als Subunternehmer oder als Infrastrukturanbieter im Hintergrund.

Erst wenn alle vier Punkte geklärt sind, lässt sich seriös beurteilen, ob der CLOUD Act auf eine Datenverarbeitung tatsächlich keinen Zugriff hat.

Wie Einblick KI diese Kette lückenlos schliesst

Einblick KI wurde bewusst so aufgebaut, dass alle vier Prüfpunkte ohne Einschränkung erfüllt sind:

• Gesellschaftsrechtlicher Sitz: Einblick KI GmbH ist eine Schweizer Gesellschaft mit Domizil in Zürich – kein US-Mutterkonzern, keine US-Tochtergesellschaft irgendwo in der Struktur.
• Serverstandort und Datenverarbeitung: Sowohl die Datenspeicherung als auch die Verarbeitung von Embeddings und die Sprachmodell-Inferenz laufen auf Schweizer Infrastruktur.
• AVV nach revDSG: Der Auftragsverarbeitungsvertrag ist auf die Schweizer Rechtslage zugeschnitten.
• Keine US-Rechtsperson in der Kette: Weil weder die Gesellschaft selbst noch die eingesetzte Infrastruktur einer US-Jurisdiktion unterstehen, entfällt die rechtliche Grundlage, auf der ein CLOUD-Act-Zugriff überhaupt ansetzen könnte.

Fazit

«Server in Europa» ist eine notwendige, aber keine hinreichende Bedingung für Datensouveränität. Solange der Anbieter, der diese Server betreibt, einer US-Jurisdiktion untersteht, bleibt der CLOUD Act anwendbar – unabhängig vom physischen Standort der Daten. Für Schweizer Unternehmen kommt seit 2023 eine zusätzliche, sehr persönliche Dimension hinzu: Die Verantwortung liegt nicht abstrakt beim Unternehmen, sondern konkret bei den Personen in der Geschäftsleitung, die im Zweifel mit ihrem eigenen Vermögen dafür geradestehen.

Wer die eigene Anbieterkette noch nie über den Serverstandort hinaus geprüft hat, sollte das nicht als theoretische Übung, sondern als überfällige Massnahme behandeln – bevor eine Datenpanne oder eine Anfrage des EDÖB diese Prüfung erzwingt.

Quellen: US CLOUD Act (2018); EuGH Schrems-II-Urteil (2020); Schweizer revDSG, Art. 60–64 (seit 1. September 2023); Bitkom Cloud Report (Tagesspiegel).