Wo dürfen Schweizer NGOs Spenderdaten hosten – in der Schweiz, EU oder USA?

Schweizer NGOs dürfen Spenderdaten grundsätzlich in der Schweiz, in Staaten mit angemessenem Datenschutzniveau oder mit geeigneten Garantien auch anderswo hosten. Entscheidend sind nicht nur der Serverstandort, sondern der Rechtsraum des Anbieters, Verträge, Unterauftragsbearbeiter und Sicherheitsmassnahmen. Schweizer Hosting bei einem nicht US-kontrollierten Anbieter reduziert rechtliche und operative Risiken, ersetzt aber keine Datenschutzprüfung.

Dieser Beitrag bietet eine allgemeine Orientierung zum Schweizer Datenschutzgesetz und zur DSGVO. Er ist keine Rechtsberatung. Bei besonders schützenswerten Personendaten, internationalem Fundraising, Profiling oder unklaren Datenflüssen sollte eine Datenschutzfachperson den konkreten Fall prüfen.

Was gilt für Spenderdaten nach revDSG beziehungsweise nDSG?

Das revidierte Schweizer Datenschutzgesetz heisst offiziell Datenschutzgesetz (DSG) und ist seit dem 1. September 2023 in Kraft. Die Bezeichnungen revDSG und nDSG werden weiterhin verwendet, meinen aber denselben geltenden Erlass.

Das DSG schreibt für private NGOs grundsätzlich keinen Serverstandort in der Schweiz vor. Es verlangt stattdessen, dass Personendaten rechtmässig, verhältnismässig, zweckgebunden und transparent bearbeitet werden. Verantwortliche müssen eine dem Risiko angemessene Datensicherheit gewährleisten. Bei einer Bekanntgabe ins Ausland kommen zusätzlich die Regeln von Art. 16 DSG zur Anwendung.

Was sind Spenderdaten?

Spenderdaten sind alle Angaben, die sich einer bestimmten oder bestimmbaren spendenden Person zuordnen lassen. Dazu gehören etwa Name, Adresse, E-Mail-Adresse, Spendenbetrag, Zahlungsreferenz, Korrespondenz, Spendenhistorie und dokumentierte Präferenzen.

Spenderdaten sind nicht automatisch besonders schützenswerte Personendaten. Sie können diesen Charakter aber erhalten, wenn sie beispielsweise religiöse, politische oder weltanschauliche Ansichten, Gesundheitsangaben oder Informationen über Hilfsbedürftigkeit offenbaren. Massgeblich sind Art. 5 lit. c DSG und, falls die DSGVO gilt, deren Art. 9. Eine Spende an eine bestimmte Organisation kann je nach Kontext Rückschlüsse auf solche Merkmale erlauben.

Welche Pflichten sind für das Hosting zentral?

Für die Anbieterwahl sind insbesondere diese Punkte relevant:

• Bearbeitungsgrundsätze: Zweck, Umfang und Aufbewahrungsdauer müssen nachvollziehbar sein (Art. 6 DSG).
• Datenschutz durch Technik und Voreinstellungen: Systeme sollen datenschutzfreundlich konzipiert und konfiguriert sein (Art. 7 DSG).
• Datensicherheit: Zugriffe, Verlust, Veränderung und unbefugte Bekanntgabe sind mit angemessenen technischen und organisatorischen Massnahmen zu begrenzen (Art. 8 DSG).
• Auftragsbearbeitung: Externe Hosting- und Softwareanbieter müssen kontrolliert und vertraglich eingebunden werden (Art. 9 DSG).
• Auslandbekanntgabe: Bei Datenzugriffen oder Datenstandorten ausserhalb der Schweiz ist Art. 16 DSG zu prüfen.

Der Standort ist damit ein wichtiges Kriterium, aber nicht das einzige. Auch ein Server in Zürich kann problematisch sein, wenn ein ausländischer Unterauftragsbearbeiter administrativen Zugriff hat oder Sicherungskopien unbemerkt in einem anderen Rechtsraum liegen.

Wann gilt zusätzlich die DSGVO bei EU-Bezug?

Die DSGVO gilt nicht automatisch, nur weil eine Schweizer NGO eine Website hat oder eine einzelne Spende aus der EU erhält. Relevant sind insbesondere eine Niederlassung in der EU sowie Tätigkeiten, die sich gezielt an Personen in der EU richten oder deren Verhalten dort beobachten. Dazu können je nach Ausgestaltung Kampagnen, Fundraising-Angebote, Tracking oder Profiling gehören; die räumliche Anwendbarkeit richtet sich nach Art. 3 DSGVO und ist für das konkrete Fundraising- und Tracking-Modell einzuordnen.

EU-Bezug bedeutet deshalb nicht einfach „EU-Adresse in der Datenbank“. Entscheidend ist, warum und wie die NGO Personen in der EU anspricht oder beobachtet. Ist die DSGVO anwendbar, kommen unter anderem die Anforderungen an Auftragsverarbeiter nach Art. 28 sowie an Drittlandübermittlungen nach Art. 44 bis 49 hinzu.

NGOs sollten den EU-Bezug dokumentieren statt pauschal anzunehmen oder auszuschliessen. Sinnvolle Fragen sind: Gibt es eine EU-Niederlassung? Werden Kampagnen gezielt in EU-Staaten ausgespielt? Werden dortige Website-Besucher für Fundraising-Zwecke profiliert? Welche Dienstleister erhalten dabei Daten?

Datenstandort Schweiz, EU oder USA: Was ist zulässig?

Die kurze Antwort lautet: Alle drei Standorte können rechtlich möglich sein, aber der Prüf- und Absicherungsaufwand unterscheidet sich deutlich.

Hosting in der Schweiz

Schweizer Hosting vereinfacht die Governance, wenn auch die Vertragspartei, der Betrieb, der Support und die Sicherungskopien in der Schweiz bleiben. Es reduziert internationale Datenflüsse und erleichtert es dem Vorstand, Zuständigkeiten zu erklären. Eine automatische DSG-Konformität entsteht dadurch nicht: Fehlende Zugriffskontrollen, unverschlüsselte Backups oder zu lange Aufbewahrung bleiben auch in einem Schweizer Rechenzentrum problematisch.

Hosting in der EU oder im EWR

Ein Standort in der EU oder im EWR kann für eine Schweizer NGO angemessen sein. Vor dem Abschluss ist zu prüfen, ob der konkrete Staat auf der aktuellen Staatenliste des Bundesrates mit angemessenem Datenschutzniveau (nach Art. 16 DSG) steht.

Zusätzlich zählen die Anbieterstruktur und tatsächlichen Datenflüsse. Ein Rechenzentrum in Frankfurt beseitigt das US-Risiko nicht, wenn der Vertrag mit einem US-Unternehmen besteht oder ein US-kontrollierter Support auf die Daten zugreifen kann.

Hosting in den USA oder bei einem US-Anbieter

US-Hosting ist nicht pauschal verboten. Die NGO muss aber klären, auf welcher Grundlage die Daten übermittelt werden. Je nach Anwendbarkeit und Anbieter können ein anerkannter Angemessenheitsrahmen, Standardvertragsklauseln und zusätzliche technische oder organisatorische Massnahmen relevant sein. Zertifizierungsstatus und Rechtslage können sich ändern und müssen für den konkreten Anbieter aktuell geprüft werden.

Ein formell zulässiger Transfer beantwortet zudem nicht jede Risikofrage. Vorstand und Geschäftsleitung müssen auch beurteilen, ob Zugriffe aus einem fremden Rechtsraum mit dem Schutzbedarf der Spender:innen, den Erwartungen der Organisation und vertraglichen Geheimhaltungspflichten vereinbar sind.

Was bedeutet der US CLOUD Act für Schweizer NGOs?

Der US CLOUD Act kann US-Anbieter verpflichten, Daten in ihrem Besitz, ihrer Obhut oder ihrer Kontrolle aufgrund einer gültigen US-Anordnung herauszugeben – auch wenn die Daten auf einem Server ausserhalb der USA gespeichert sind. Der physische Standort allein schliesst dieses Risiko deshalb nicht aus. Der CLOUD Act ist in den USA in 18 U.S.C. § 2713 kodifiziert; die konkrete Anwendbarkeit hängt von der Anbieterstruktur ab.

Der CLOUD Act ist kein pauschaler Echtzeitzugriff amerikanischer Behörden auf jede Cloud. Er schafft beziehungsweise präzisiert Rechtswege für behördliche Herausgabeverlangen. Ob eine Herausgabe zulässig, anfechtbar oder mit anderen Rechtsordnungen vereinbar ist, hängt vom Einzelfall ab.

Für die Risikoprüfung sind drei Fragen entscheidend:

1. Welche Gesellschaft ist Vertragspartnerin und wer kontrolliert sie?
2. Welche Gesellschaften können technisch auf Produktivdaten, Metadaten oder Backups zugreifen?
3. Hält der Anbieter die Schlüssel, mit denen er die Daten lesbar machen kann?

Eine starke Verschlüsselung mit Schlüsseln unter alleiniger Kontrolle der NGO kann den Inhalt schützen. Sie beseitigt aber nicht automatisch Metadaten, Verfügbarkeitsabhängigkeiten oder alle rechtlichen Herausgaberisiken. Für sensible Spender- und Falldaten ist die Vermeidung einer US-kontrollierten Kerninfrastruktur deshalb eine nachvollziehbare Risikostrategie, nicht bloss eine Standortpräferenz.

Was gehört in einen Vertrag zur Auftragsbearbeitung oder AVV?

Beim Hosting bearbeitet der Anbieter Personendaten im Auftrag der NGO. Die NGO bleibt für die rechtmässige Bearbeitung verantwortlich. Nach Art. 9 DSG darf sie eine Bearbeitung übertragen, wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht entgegensteht, der Anbieter nur im zulässigen Rahmen bearbeitet und die Datensicherheit gewährleistet ist. Der Beizug weiterer Auftragsbearbeiter braucht eine vorgängige Genehmigung.

Ein schriftlicher Auftragsbearbeitungsvertrag, oft AVV oder DPA genannt, ist deshalb auch im Schweizer Kontext die belastbare Praxis. Falls die DSGVO gilt, verlangt Art. 28 einen Vertrag oder ein anderes bindendes Rechtsinstrument mit festgelegten Inhalten.

AVV-Checkliste für NGOs

Der Vertrag sollte mindestens klären:

• Gegenstand, Zweck, Dauer und Weisungsbindung der Bearbeitung
• Datenarten und Kategorien betroffener Personen
• Vertraulichkeit sowie Rollen und Berechtigungen beim Anbieter
• technische und organisatorische Sicherheitsmassnahmen
• Datenstandorte für Produktivsysteme, Protokolle und Backups
• aktuelle Liste der Unterauftragsbearbeiter und Verfahren bei Änderungen
• Unterstützung bei Auskunftsbegehren, Sicherheitsvorfällen und Löschung
• Rückgabe, Export und nachweisbare Löschung am Vertragsende
• Kontroll-, Informations- und gegebenenfalls Auditrechte
• Mechanismen und Zusatzmassnahmen für internationale Datenübermittlungen

Ein AVV ist kein Gütesiegel. Stimmen Vertrag, Produktkonfiguration und tatsächlicher Betrieb nicht überein, bleibt die Dokumentation wertlos. Die NGO sollte deshalb auch technische Nachweise, Administrationsrechte und Löschprozesse prüfen.

Praktische Kriterien für die Anbieterwahl

Geschäftsleitung und Vorstand brauchen keine hundertseitige Cloud-Analyse. Sie sollten aber sieben Punkte schriftlich beantworten können:

1. Rechtsraum: Wer ist Vertragspartnerin, wo sitzt die Muttergesellschaft und welchem Recht untersteht sie?
2. Datenfluss: Wo liegen Produktivdaten, Backups, Protokolle und Supportkopien?
3. Zugriff: Wer hat administrativen Zugriff, aus welchen Ländern und mit welcher Protokollierung?
4. Unterauftragsbearbeiter: Welche Dritten sind beteiligt, wie werden Änderungen angekündigt und kann die NGO widersprechen?
5. Sicherheit: Gibt es Mehrfaktor-Authentisierung, rollenbasierte Rechte, Verschlüsselung, getestete Backups, Wiederherstellungspläne und zeitnahes Patch-Management?
6. Portabilität: Lassen sich Daten vollständig, in dokumentierten Formaten und ohne unverhältnismässige Hürden exportieren?
7. Ausstieg: Wie werden Daten migriert, Zugänge entzogen und Restkopien nach Vertragsende gelöscht?

Ein geeigneter Anbieter kann nicht nur sagen, wo der Hauptserver steht. Er kann den vollständigen Datenfluss, seine Unterauftragsbearbeiter, die Zugriffskontrollen und den Exit-Prozess belegen.

Wer diese Punkte nicht intern beurteilen kann, sollte sie im Rahmen einer unabhängigen IT- und Datenschutz-Bestandsaufnahme klären. Technische Umsetzung, Migration und laufender Betrieb gehören anschliessend in ein kontrolliertes Service-Modell.

Wie lösen Open Source und Schweizer Hosting das Problem?

Open Source und Schweizer Hosting lösen nicht jede Compliance-Frage. Zusammen können sie aber die Zahl schwer kontrollierbarer Abhängigkeiten deutlich verringern.

Digitale Souveränität bedeutet, dass eine NGO ihre Daten, Zugriffsrechte, Schlüssel, Exportwege und Anbieterwechsel praktisch kontrollieren kann. Dazu braucht sie mehr als eine Schweizer Flagge auf der Website eines Hosters.

Ein möglicher souveräner Aufbau kombiniert:

• Nextcloud für Dateien, Freigaben, Kalender und Zusammenarbeit
• OnlyOffice für die gemeinsame Bearbeitung von Dokumenten
• nowCRM für strukturierte Beziehungen und Organisationsprozesse
• Schweizer Hosting bei Infomaniak für den Betrieb im Schweizer Rechtsraum
• einen Schweizer Betriebspartner für Konfiguration, Updates, Backups, Monitoring und Support

Bei einem solchen Aufbau bleiben offene Datenformate und Exportwege erhalten. Die NGO kann den Betriebspartner wechseln oder die Anwendung auf eine andere geeignete Infrastruktur migrieren, ohne das gesamte Arbeitsmodell neu aufzubauen. Wie sich Nextcloud gegenüber einer US-Suite einordnet, zeigt der Schwesterartikel Nextcloud vs. Google Workspace für NPOs. Für den Wechselprozess hilft der Leitfaden Migration auf Schweizer Server für NGOs.

Auch hier gilt: Produktname und Land reichen nicht als Prüfung. Vor dem Einsatz sind die aktuelle Leistungsbeschreibung, Datenstandorte, Supportzugriffe und Unterauftragsbearbeiter des gewählten Infomaniak-Dienstes zu kontrollieren.

Fazit: Wo sollten NGOs Spenderdaten hosten?

Für viele Schweizer NGOs ist ein Schweizer Anbieter mit Schweizer Datenhaltung, transparenter Unterauftragskette und ohne US-kontrollierte Kerninfrastruktur die am einfachsten erklärbare Lösung. EU-Hosting kann ebenfalls sinnvoll sein. US-Clouds sind nicht automatisch verboten, verlangen aber eine sorgfältigere Transfer-, Vertrags- und Risikoprüfung.

Die richtige Entscheidung folgt dem Schutzbedarf der Daten, nicht dem Logo des Anbieters. Je sensibler die Spender- und Falldaten sind, desto wichtiger werden kontrollierte Schlüssel, kurze Datenflüsse, offene Exportformate und ein realistischer Ausstiegsplan.

FAQ – Häufige Fragen

Müssen Schweizer NGOs Spenderdaten zwingend in der Schweiz speichern?

Nein. Das DSG schreibt privaten NGOs grundsätzlich keinen Schweizer Serverstandort vor. Hosting im Ausland ist möglich, wenn Datenschutz, Datensicherheit, Auftragsbearbeitung und die Regeln zur Auslandbekanntgabe eingehalten werden. Schweizer Hosting kann die Prüfung und Kontrolle jedoch vereinfachen.

Darf eine NGO Spenderdaten in einer US-Cloud speichern?

Ja, ein pauschales Verbot gibt es nicht. Die NGO braucht aber einen tragfähigen Mechanismus für die Datenübermittlung, einen passenden Auftragsbearbeitungsvertrag und eine dokumentierte Risikoprüfung. Bei US-Anbietern ist zusätzlich zu beachten, dass der CLOUD Act trotz europäischem Serverstandort relevant sein kann.

Macht ein Serverstandort in der Schweiz automatisch DSG-konform?

Nein. Der Standort schützt nicht vor zu breiten Berechtigungen, fehlenden Backups, unsicheren Konten, unklaren Löschfristen oder ausländischen Unterauftragsbearbeitern. DSG-Konformität entsteht aus dem Zusammenspiel von Rechtsgrundlage, Transparenz, Vertrag, Technik und Betrieb.

Sind Spenderdaten besonders schützenswerte Personendaten?

Nicht immer. Name, Kontaktangaben und Spendenbetrag sind für sich allein normalerweise Personendaten, aber nicht automatisch besonders schützenswert. Der Kontext kann jedoch Religion, politische Ansichten, Gesundheit oder Hilfsbedürftigkeit erkennen lassen; dann ist ein höherer Schutz angezeigt.

Reicht EU-Hosting für die DSGVO aus?

Nein. Ein Standort im EU/EWR-Raum vermeidet zwar häufig eine Drittlandübermittlung nach DSGVO, ersetzt aber weder Art.-28-Vertrag noch Zugriffsschutz, Löschkonzept und Unterauftragskontrolle. Gehört der Anbieter zu einem US-Konzern, muss zudem die mögliche Reichweite von US-Recht geprüft werden.

Braucht eine Schweizer NGO einen AVV mit dem Hoster?

Ein schriftlicher AVV ist die belastbare Praxis, um Weisungen, Sicherheit, Unterauftragsbearbeiter, Löschung und Kontrollrechte festzuhalten. Art. 9 DSG regelt die Auftragsbearbeitung; gilt zusätzlich die DSGVO, macht Art. 28 detaillierte Vorgaben für das bindende Vertragsinstrument.

Kostenloser IT-Health-Check für eure NGO: Wir prüfen Datenflüsse, Anbieterstruktur, Zugriffe, Backups und Migrationsfähigkeit und zeigen, wo konkrete Risiken bestehen. Das ist eine technische Bestandsaufnahme und keine Rechtsberatung. IT-Health-Check anfragen.

Verwandte Artikel im Magazin:

• Nextcloud vs. Google Workspace für NPOs

Unsere Dienstleistungen: IT-Beratung und Consulting für NGOs · Alle Services im Überblick