Bekanntgabe von Personendaten ins Ausland – Prüfrahmen

Fassung go-live-2026-10-26 · IDS Business Live AG, Badenerstrasse 808, 8048 Zürich · gültig ab Veröffentlichung

Dieses Dokument ist keine rechtliche Beurteilung. Es ordnet die Datenflüsse und nennt je Anbieter die vertragliche Grundlage nach dem Stand der Faktenbasis vom 26.10.2026. Gesetzesverweise sind Prüfhinweise.

1. Rechtsrahmen (Prüfhinweise)

Schritt Frage Grundlage (Prüfhinweis)
1 Liegt eine Bekanntgabe ins Ausland vor (auch Fernzugriff, Support, Speicherung von Sicherungen)? DSG Art. 16
2 Hat der Bundesrat dem Empfängerstaat angemessenen Schutz zuerkannt? DSG Art. 16 Abs. 1; DSV Art. 8, Anhang 1
3 Falls nein: geeignete Garantien, insbesondere vom EDÖB anerkannte Standardvertragsklauseln (SCC der EU mit Schweizer Anpassungen) oder verbindliche unternehmensinterne Regeln DSG Art. 16 Abs. 2; DSV Art. 9–12
4 Falls keine Garantie: Ausnahme im Einzelfall (z. B. Einwilligung, Vertragsabwicklung)? Für systematische Übermittlungen in der Regel ungeeignet DSG Art. 17
5 Informationspflicht: Empfängerstaat und ggf. Garantie bzw. Ausnahme nennen DSG Art. 19 Abs. 4

Grundsatz: Infrastruktur und Datenhaltung in der Schweiz; internationale Flüsse werden je Anbieter ausgewiesen. Keine Aussage «Daten gelangen nie ins Ausland».

2. Datenflüsse je Anbieter

Anbieter Rolle Daten Empfängerstaat Grundlage Offen
Infomaniak Network SA (Hosting Anwendung und Website, Object Storage) Auftragsbearbeiter alle Schweiz (Public Cloud, Region dc4-a; Object Storage in derselben Region) keine Bekanntgabe ins Ausland –
Hostpoint AG (Transaktionsmails der Anwendung, Postfächer, Kontaktformular) Auftragsbearbeiter Mails an Nutzer und Interessenten, Kontaktanfragen Schweiz keine Bekanntgabe ins Ausland für den Versand; ADV Hostpoint Ziff. 6.1: nur Staaten mit angemessenem Schutz oder Garantien –
Anthropic, PBC (KI, primär; nur nach KI-Freigabe) Auftragsbearbeiter Operator-Kontext des Arbeitsbereichs; im Marketing Check öffentliche Website-Inhalte USA keine DPF-Zertifizierung (DPF-Liste geprüft am 26.10.2026, kein Treffer); Standardvertragsklauseln (Modul 2/3) mit Swiss Addendum im Data Processing Addendum vom 24.02.2025, durch die Commercial Terms (Ziff. C) einbezogen; kein Training auf Kundeninhalten (Commercial Terms Ziff. B) ;
OpenAI Ireland Ltd. (KI, manuelle Ersatzroute; nur nach KI-Freigabe) Auftragsbearbeiter wie Anthropic Irland (EWR, von der Schweiz als angemessen anerkannt); Weiterübermittlung in die USA keine DPF-Zertifizierung (DPF-Liste geprüft am 26.10.2026, kein Treffer); Vertragspartnerin für Kunden in der Schweiz ist OpenAI Ireland Ltd. (DPA gültig ab 01.01.2026); Weiterübermittlung in die USA auf Basis von Standardvertragsklauseln ;
Google LLC (PageSpeed Insights API; nur Marketing Check) Empfänger einer eigenen Bearbeitung der Anbieterin Adresse der vom Interessenten genannten Website USA –
Let's Encrypt Zertifizierungsstelle keine Kundendaten; Kontakt-E-Mail des Betreibers – keine Personendaten von Kunden –
Externer Alarmdienst – – – – –
Vom Kunden verbundene Plattformen (Google, Meta, HubSpot, Shopify …) Dritte des Kunden (keine Unterauftragsbearbeiter, siehe 05 §3) vom Kunden veranlasste Daten u. a. USA, Irland Verantwortung des Kunden siehe 05 §3

3. Vorgehen bis zur Aktivierung der KI-Anbieter

  1. KI-Funktionen bleiben ausgeschaltet, bis die Anbieterin sie freigibt.
  2. Vor der Freigabe: Transfer Impact Assessment für Anthropic und OpenAI erstellen und ablegen; Beleg der DPA-Annahme durch den Kontoinhaber ablegen.
  3. Die Datenschutzerklärungen (07, 08) nennen die USA bzw. Irland/USA als Empfängerstaaten und die Standardvertragsklauseln als Garantie.
  4. Die Umschaltung von Anthropic auf OpenAI erfolgt nur manuell durch eine Betreiberperson; eine automatische Umschaltung findet nicht statt.

4. DSGVO

Nicht aktiv; nur mit einer Marktfreigabe ausserhalb der Schweiz.