CLOUD Act und Datensouveränität: warum Data Residency in der Schweiz nicht genügt

Data Residency in der Schweiz legt fest, wo deine Daten liegen. Vor dem US CLOUD Act schützt das nicht, denn das Gesetz knüpft an der Kontrolle über die Daten an, nicht an deren Standort. Gehört der Betreiber einem US-Konzern, besteht die Herausgabepflicht unabhängig davon, wo die Server stehen. Die EU-Kommission hat diese Unterscheidung am 3. Juni 2026 in ein vierstufiges Prüfraster übersetzt, den Cloud and AI Development Act. Er ist noch kein Gesetz, zeigt aber genau, welche Nachweise regulierte Unternehmen künftig erbringen müssen.

Was der CLOUD Act regelt

Der Clarifying Lawful Overseas Use of Data Act von 2018 verpflichtet Anbieter unter US-Jurisdiktion, Daten herauszugeben, die sich in ihrem Besitz, Gewahrsam oder ihrer Kontrolle befinden. Massgeblich ist die Verfügungsgewalt. Eine europäische Tochtergesellschaft bleibt erfasst, soweit der Mutterkonzern Kontrolle ausübt. Solche Anordnungen tragen meist eine Geheimhaltungsauflage, die es dem Anbieter verbietet, den Kunden zu informieren.

Für Schweizer Unternehmen entsteht daraus ein Konflikt im eigenen Recht. Wer bei einer ausländischen Amtshandlung auf Schweizer Gebiet mitwirkt, berührt Artikel 271 StGB; wer Geschäftsgeheimnisse ins Ausland weitergibt, Artikel 273. Für Banken kommt das Bankkundengeheimnis nach Artikel 47 BankG dazu, für Gesundheitseinrichtungen das Berufsgeheimnis nach Artikel 321 StGB. Beaufsichtigte Institute müssen zusätzlich nachweisen, dass sie die Zugriffs-, Prüf- und Weisungsrechte aus dem FINMA-Rundschreiben zum Outsourcing einhalten.

Den Einzelfall beurteilt eine juristische Fachperson, nicht ein Blogbeitrag. Die Struktur bleibt aber immer dieselbe: Ein Anbieter unter zwei Rechtsordnungen muss im Ernstfall zwischen ihnen wählen.

Reicht Data Residency in der Schweiz?

Data Residency beantwortet, wo die Daten liegen. Offen bleiben drei Fragen, die für die Aufsicht zählen: Wer kontrolliert den Betreiber? Wer kann administrativ zugreifen? Wie schnell kommst du wieder heraus?

Die grossen Anbieter haben darauf reagiert. AWS hat seine European Sovereign Cloud im Januar 2026 mit der ersten Region in Brandenburg allgemein verfügbar gemacht, physisch und logisch von den übrigen Regionen getrennt. Microsoft bietet europäische Souveränitätskontrollen über die Sovereign Public Cloud inklusive Aufsicht über administrative Fernzugriffe, Google Cloud arbeitet mit europäischen Partnern wie S3NS und T-Systems.

Diese Konstruktionen lösen reale Probleme. Das Eigentum ändern sie nicht.

Was die vier CADA-Stufen verlangen

Der Cloud and AI Development Act, formal COM(2026) 502, richtet vier Unionszusicherungsstufen ein. Öffentliche Stellen beurteilen das Risiko eines Anwendungsfalls und ordnen ihn dann einer Stufe zu. Die Kriterien sind kumulativ.

Zwei Dinge daran sind wichtig. Level 1 beruht auf einer Selbstauskunft des Anbieters, erst ab Level 2 steht ein geprüfter Nachweis dahinter. Und die verbreitete Aussage, CADA schliesse amerikanische Anbieter aus, stimmt nicht: Auf Level 1 und Level 2 bleiben sie zugelassen.

Für Zusammenarbeitsplattformen ist ein Detail von Level 2 zentral. Die durch die Nutzung erzeugten Daten dürfen kein KI-System eines Drittstaatakteurs trainieren und die Union nicht verlassen. Damit wandert die Souveränitätsfrage von der Datenhaltung in die Modellpipeline.

Wo die Grenze für US-Anbieter verläuft

Der entscheidende Teil steht im Auditanhang. Stellt der Prüfer fest, dass ein Anbieter unter Drittstaatkontrolle steht, verlangt er vier zusätzliche Nachweise:

1. einen Beschluss der Kommission zum betreffenden Drittstaat
2. den Nachweis, dass der Anbieter rechtlich, technisch und operativ ausserstande ist, einem Zugriffsbegehren nachzukommen
3. den Nachweis, dass der Kunde über ein solches Begehren informiert wird, samt Bestätigung, dass es abgelehnt wurde
4. ein laufendes Register aller solcher Begehren

Für einen Anbieter unter US-Jurisdiktion ist dieses Bündel nicht erfüllbar. Der CLOUD Act verlangt Befolgung, nicht Ablehnung. Die Geheimhaltungsauflage verbietet die Information des Kunden. Und ein Register über solche Begehren widerspricht derselben Auflage.

Die Anforderung zielt auf Rechtsfähigkeit statt auf Technik. Frankreich verfolgt dieselbe Logik seit Jahren: SecNumCloud 3.2 verlangt Immunität gegenüber extraterritorialen Gesetzen und schliesst Betreiber in US-Eigentum unabhängig vom Serverstandort aus.

Der Kontrollbegriff ist dabei weit gefasst. Geprüft werden alle Anteilseigner bis zu den wirtschaftlich Berechtigten ab fünf Prozent, Vetorechte, Bestellung der Entscheidungsorgane sowie kommerzielle und finanzielle Abhängigkeiten. Ein Handelsregisterauszug genügt nicht.

Können Schweizer Anbieter die oberen Stufen erreichen?

Grundsätzlich ja, aber nicht automatisch. Artikel 18 erlaubt der Kommission, Drittstaaten als assoziiert anzuerkennen. Anbieter aus diesen Staaten dürfen dann gegen Level 3 auditiert werden. Verlangt werden unter anderem ein Angemessenheitsbeschluss nach DSGVO, keine staatlichen Zugriffsbefugnisse im Widerspruch zum EU-Recht und keine Befugnis, den Dienst zu stören oder Sanktionen durchzusetzen.

Für die USA scheitert das an den Zugriffs- und Sanktionsbefugnissen. Die Schweiz verfügt über einen Angemessenheitsbeschluss und erfüllt die übrigen Kriterien nach heutiger Rechtslage plausibel. Eine Anerkennung liegt aber nicht vor.

Unabhängig davon verlangen alle Stufen eine Niederlassung in der Union, Level 3 zusätzlich die Unionsbürgerschaft des Personals. Für Schweizer Kunden in der Schweiz bleibt deshalb das Schweizer Recht der Massstab. CADA zeigt vor allem, wohin sich dieser Massstab bewegt: weg vom Standort der Daten, hin zur Kontrolle über den Betreiber.

Für die Bundesverwaltung gilt dasselbe Prinzip bereits. Die Weisung W012 verpflichtet sie seit dem 1. Januar 2026, digitale Souveränität in neuen IKT-Vorhaben zu beurteilen und zu dokumentieren, verstanden als Kontroll- und Handlungsfähigkeit. Für dein Unternehmen ist sie nicht verbindlich, als Prüfraster gegenüber der internen Revision aber brauchbar.

Sieben Fragen, die du deinem Anbieter stellst

Frage 7 wird am häufigsten übersehen. Für die Kernanwendung ist meist dokumentiert, was für jede Erweiterung einzeln offen bleibt.

Wann Collabase als Schweizer Alternative passt

Collabase ist eine Schweizer B2B-Kollaborationsplattform. Docs deckt Wissensarbeit und Dokumentation ab, Projects das Projekt- und Portfoliomanagement, Registry die strukturierte Verwaltung von Assets und Referenzdaten. AI und Automation gehören zur Plattform. Die Daten- und Informationsbearbeitung erfolgt vollständig in der Schweiz, als Grundvoraussetzung statt als buchbare Option.

An den sieben Fragen gemessen: Wir unterstehen schweizerischer Kontrolle, womit der Normkonflikt entfällt. Betrieb und Support leisten wir aus der Schweiz. Die KI-Funktionen sind Teil derselben Architektur, weshalb Frage 4 nicht über eine Kette von Drittanbietern führt. Und weil wir den Funktionsumfang auf den Kern konzentrieren statt auf hunderte Marktplatz-Erweiterungen, bleibt Frage 7 beantwortbar.

Wo die Grenzen liegen: Wer EU-öffentliche Auftraggeber bedient, prüft die Unionsstufen gesondert, weil sie eine Niederlassung in der Union voraussetzen. Und für Softwareentwicklung mit Git-Workflows ist Collabase nicht die passende Antwort.

Häufige Fragen

Ist CADA bereits geltendes Recht?

Nein. Es ist ein Vorschlag der Kommission vom 3. Juni 2026 im laufenden Gesetzgebungsverfahren. Die Verordnung würde ein Jahr nach ihrem Inkrafttreten anwendbar. Die strengsten Stufen sind politisch umstritten und können sich noch ändern.

Schützt ein Rechenzentrum in der Schweiz vor dem CLOUD Act?

Nur wenn auch der Betreiber ausschliesslich schweizerischer Kontrolle untersteht. Der CLOUD Act knüpft an der Verfügungsgewalt über die Daten an.

Schliesst CADA amerikanische Anbieter aus Europa aus?

Nein. Auf Level 1 und Level 2 bleiben sie zugelassen, auf Level 2 unter erheblichen Nachweispflichten. Level 3 und Level 4 sind ihnen verschlossen.

Gilt CADA für private Unternehmen?

Vorerst sind Folgenbeurteilungen für Unternehmen aus den NIS2-Sektoren freiwillig. Die Kommission kann sie über delegierte Rechtsakte für Sektoren hoher Kritikalität verbindlich machen. Dazu zählen Energie, Gesundheit und Bankwesen.

Gilt die Weisung W012 für uns?

Verbindlich nur für die zentrale Bundesverwaltung und für Vorhaben ab dem 1. Januar 2026. Als Beurteilungsraster ist sie auch ausserhalb brauchbar.

Was als Nächstes zu tun ist

1. Bestandsaufnahme. Welche Dienste sind im Einsatz, wer betreibt sie, wem gehört der Betreiber, welche Erweiterungen laufen mit?
2. Prüffragen beantworten. Was der Anbieter nicht belegen kann, gehört als offener Punkt ins Protokoll.
3. Verträge nachziehen. Regeln eure Verträge das Vorgehen bei ausländischen Herausgabebegehren und die Information des Kunden?
4. KI-Funktionen einordnen. Welche Nutzungsdaten fliessen in Modelle, und wo laufen diese?
5. Vor der Migration entscheiden. Wer ohnehin vor einem Plattformwechsel steht, klärt die Souveränitätsfrage vorher. Das betrifft auch alle, die wegen des End of Life von Atlassian Data Center bis 2029 wechseln müssen. Nachträgliche Korrekturen sind der teuerste Weg.

Wenn du prüfen willst, wo eure Plattform bei diesen sieben Fragen steht, oder wenn ohnehin ein Wechsel ansteht: sprich uns an. Wir ordnen euren Status quo ein und zeigen dir, welche Schritte sich für euer Unternehmen konkret lohnen.

Quellen: Vorschlag für einen Cloud and AI Development Act, COM(2026) 502 final der Europäischen Kommission, Weisungen W012 für die digitale Souveränität in der Bundesverwaltung der Bundeskanzlei.