Webhosting Schweiz DSG-konform

Webhosting Schweiz DSG-konform, was du wirklich wissen musst

Ein Zahnarzt aus Bern hat mich letzten Monat angerufen. Seine Praxis-Website lief auf einem US-Server. Er wusste nicht mal, dass das seit September 2023 ein Problem ist. Patientendaten, Terminbuchungen, Kontaktformulare, alles gespeichert irgendwo in Virginia. Kein AVV, keine Datenschutzerklärung, nichts. So was sehe ich ständig.

Ich zeige dir, was das nDSG für dein Hosting konkret heisst, welche Schweizer Anbieter sauber aufgestellt sind und wo die Stolperfallen lauern. Kein Juristendeutsch, versprochen. Dafür Empfehlungen, die du morgen umsetzen kannst.

Das nDSG seit September 2023, was hat sich geändert?

Erstmal: In der Schweiz reden wir vom DSG beziehungsweise nDSG. Nicht von der DSGVO, die gilt in der EU. Klar, die beiden Gesetze ähneln sich, das nDSG wurde bewusst an die DSGVO angelehnt. Aber es gibt Unterschiede, und die sind für dich als Website-Betreiber durchaus relevant.

Was sich konkret geändert hat:

• Nur noch natürliche Personen sind geschützt. Juristische Personen fallen raus, anders als beim alten DSG.
• Informationspflicht bei jeder Datenbearbeitung. Du musst aktiv informieren, welche Daten du erhebst und warum.
• Privacy by Design und Privacy by Default sind jetzt Pflicht. Datenschutz muss von Anfang an eingebaut sein.
• Höhere Bussen von bis zu CHF 250'000 für verantwortliche Personen. Ja, Personen. Nicht Unternehmen. Das tut weh.
• Auftragsbearbeitung muss vertraglich geregelt werden. Dein Hoster bearbeitet Daten in deinem Auftrag, dafür brauchst du einen Vertrag.

Was bedeutet das für dein Hosting? Du trägst die Verantwortung dafür, dass die Personendaten deiner Website-Besucher geschützt sind. Und dein Hosting-Anbieter ist ein zentrales Glied in dieser Kette.

Serverstandort Schweiz, wichtig, aber kein Allheilmittel

Ich höre das ständig: "Mein Server steht in der Schweiz, also bin ich DSG-konform." Wäre schön, wenn es so einfach wäre. Der Serverstandort ist ein Faktor, aber halt bei weitem nicht der einzige.

Trotzdem vereinfacht ein Schweizer Serverstandort vieles enorm. Sobald Personendaten ins Ausland gehen, greifen die Bestimmungen zur grenzüberschreitenden Datenbekanntgabe. Du brauchst dann entweder ein Land mit angemessenem Datenschutzniveau (der Bundesrat führt eine Liste), Standardvertragsklauseln oder eine andere rechtliche Grundlage. Machbar, aber aufwändig.

Mit einem Schweizer Hoster und Servern in der Schweiz fällt dieser ganze Rattenschwanz weg. Daten bleiben im Land, fertig. Ich empfehle deshalb für die meisten KMU und Selbständigen klar: Hostet in der Schweiz. Nicht weil es zwingend nötig wäre, sondern weil es das Leben massiv vereinfacht.

Was viele vergessen: Auch bei einem Schweizer Hoster können Daten ins Ausland fliessen. Etwa wenn der Hoster Cloud-Dienste von AWS oder Google nutzt, wenn Backups auf ausländischen Servern landen oder wenn ein CDN im Spiel ist. Nachfragen lohnt sich.

Welche Länder haben ein angemessenes Datenschutzniveau?

Der Bundesrat hat eine Staatenliste veröffentlicht. EU- und EWR-Staaten stehen darauf, also wären Hetzner (Deutschland) oder OVH (Frankreich) grundsätzlich möglich. Du brauchst aber trotzdem einen Auftragsbearbeitungsvertrag und musst sicherstellen, dass keine Daten in Drittstaaten weitergeschoben werden. Bei US-Cloud-Diensten wird es heikel, Stichwort CLOUD Act.

Auftragsbearbeitungsvertrag (AVV), Pflicht, nicht Kür

Das nDSG schreibt vor: Wenn jemand in deinem Auftrag Personendaten bearbeitet, brauchst du einen Vertrag dafür. Dein Hoster speichert IP-Adressen, E-Mails, eventuell Kundendaten. Das ist Auftragsbearbeitung, also brauchst du einen AVV.

Die gute Nachricht: Die grossen Schweizer Hoster haben das kapiert. Die meisten bieten mittlerweile einen AVV an, teilweise direkt in den AGB integriert, teilweise als separates Dokument. Hier mein Überblick nach Jahren mit diesen Anbietern:

• Cyon: AVV als separates Dokument verfügbar, sehr transparent in Sachen Datenschutz. Vorbildlich.
• Hostpoint: AVV in die Vertragsunterlagen integriert. Sauber gelöst.
• Infomaniak: AVV vorhanden, dazu ISO 27001 und ISO 14001 zertifiziert. Sehr professionell.
• Metanet: AVV auf Anfrage erhältlich.
• Green.ch: Als Swisscom-Tochter gut aufgestellt, AVV vorhanden.
• Webland: AVV verfügbar.
• Novatrend: AVV vorhanden, transparent kommuniziert.

Wenn dein Hoster keinen AVV anbietet oder sich weigert, einen abzuschliessen: Finger weg. Ernsthaft. Das ist ein klares Warnsignal.

DSG-konforme Schweizer Hosting-Anbieter im Vergleich

Jetzt wird es konkret. Ich habe mir die wichtigsten Schweizer Anbieter angeschaut und bewerte sie nach Datenschutz-Kriterien. Alle Preise beziehen sich auf das günstigste Webhosting-Paket.

Cyon, ab CHF 14.90/Mt

Wenn mich jemand fragt, wo er mit möglichst wenig Datenschutz-Kopfschmerzen hosten soll, sage ich Cyon. Die Firma sitzt in Basel, die Server stehen in Basel, und sie machen Transparenz fast schon zur Obsession. Auf der Website findest du detaillierte Infos über Subunternehmer und Datenverarbeitungsorte. Der Support sitzt ebenfalls in Basel. Kein Callcenter irgendwo im Ausland.

CHF 14.90 pro Monat ist nicht das billigste Angebot, aber du bekommst dafür Qualität und Rechtskonformität aus einem Guss. Wer bei Datenschutz keine Kompromisse machen will, ist bei Cyon goldrichtig.

Hostpoint, ab CHF 15.90/Mt

Der grösste Schweizer Hoster mit über 200'000 Kunden. Eigenes Rechenzentrum in der Schweiz und ein Team, das weiss, was es tut. Hostpoint hat den AVV sauber in die Vertragsstruktur eingebaut. Die Datenschutzseite ist ausführlich und verständlich geschrieben.

Im Schweizer Vergleich liegen die Preise etwas höher. Dafür bekommst du ein rundes Gesamtpaket mit gutem Support. Für Unternehmen, die auf Nummer sicher gehen wollen, eine solide Wahl.

Infomaniak, ab CHF 10.91/Mt

Die Genfer machen seit Jahren vieles richtig. ISO 27001 zertifiziert, eigene Rechenzentren in der Schweiz, und sie positionieren sich aktiv als datenschutzfreundliche Alternative zu den US-Tech-Giganten. Infomaniak bietet sogar eigene Alternativen zu Google-Diensten an: kDrive, kMeet und so weiter.

Preislich mit CHF 10.91 pro Monat sehr fair. Das Kontrollpanel ist eigenentwickelt und braucht etwas Eingewöhnung, wenn du von cPanel oder Plesk kommst. Funktional aber alles da.

Metanet, ab CHF 12.90/Mt

Metanet betreibt ein eigenes Rechenzentrum in Zürich und ist seit über 20 Jahren am Markt. Beim Datenschutz gut aufgestellt, auch wenn sie weniger offensiv kommunizieren als Cyon oder Infomaniak.

Für CHF 12.90 im Monat ein ordentliches Paket. Wer einen zuverlässigen Schweizer Hoster mit Zürcher Rechenzentrum sucht, macht mit Metanet nichts falsch.

Green.ch, ab CHF 6.45/Mt

Green.ch gehört zur Swisscom-Gruppe. Schweizer Infrastruktur durch und durch, professionelles Datenschutz-Management und ein grosser Konzern im Rücken. Ab CHF 6.45 pro Monat ist das preislich wirklich attraktiv.

Die Kehrseite: Der Support ist nicht immer der schnellste, und das Produktportfolio fällt etwas weniger flexibel aus als bei spezialisierten Hostern. Für eine einfache Website oder einen Blog? Absolut ausreichend und DSG-konform.

Webland, ab CHF 6.95/Mt

Webland gehört zu den ältesten Schweizer Hostern. Die Website sieht etwas altbacken aus, ich weiss. Unter der Haube stimmt die Technik aber. Server in der Schweiz, Schweizer Firma, faire Preise. Für CHF 6.95 pro Monat ein echtes Schnäppchen im Schweizer Vergleich.

Datenschutztechnisch solide. Kein Schnickschnack, aber alles Nötige ist vorhanden.

Novatrend, ab CHF 10.00/Mt

Novatrend hostet in der Schweiz und legt Wert auf Datenschutz und Nachhaltigkeit. Ab CHF 10.00 pro Monat im Mittelfeld. Der Support ist persönlich und kompetent, ein klarer Vorteil gegenüber den ganz grossen Anbietern.

Ausländische Hoster, geht das überhaupt noch?

Kurze Antwort: Ja, aber mit deutlich mehr Aufwand.

Viele Schweizer Webentwickler und Agenturen nutzen Hetzner, OVH, DigitalOcean oder AWS. Ich verstehe warum, die Preise sind teilweise massiv günstiger. Ein vServer bei Hetzner kostet einen Bruchteil von dem, was Schweizer Anbieter verlangen.

Aber mit dem nDSG musst du folgendes beachten:

• Datenbekanntgabe ins Ausland: Du brauchst eine rechtliche Grundlage. Bei EU-Hostern ist das Datenschutzniveau angemessen, aber du musst es dokumentieren.
• AVV abschliessen: Hetzner bietet einen, OVH auch. Bei kleineren Anbietern kann das schwieriger werden.
• Subunternehmer prüfen: Wo landen deine Backups wirklich? Nutzt der Hoster US-Cloud-Dienste im Hintergrund?
• US-Anbieter: Hier wird es heikel. Der CLOUD Act ermöglicht US-Behörden Zugriff auf Daten, egal wo der Server steht. Das ist ein echtes Problem fürs nDSG. Ich rate von reinen US-Hostern ab, wenn du Personendaten verarbeitest.
• Dokumentation: Du musst nachweisen können, dass du dich mit dem Thema auseinandergesetzt hast. Eine Datenschutz-Folgenabschätzung kann nötig sein.

Mein Rat: Wenn du ein KMU bist, eine Arztpraxis, ein Anwaltsbüro oder sonst sensible Daten verarbeitest, nimm einen Schweizer Hoster. Der Mehrpreis ist überschaubar und du sparst dir Stunden an Datenschutz-Dokumentation. Für ein Hobbyprojekt oder einen Tech-Blog? Da kannst du ruhig bei Hetzner bleiben, solange du den AVV hast und weisst, was du tust.

Checkliste: Ist mein Hosting DSG-konform?

Hier meine persönliche Checkliste, die ich auch selbst verwende. Geh die Punkte durch. Wenn du überall ein Häkchen setzen kannst, bist du auf der sicheren Seite.

• Serverstandort bekannt? Weisst du, wo deine Daten physisch gespeichert werden?
• AVV vorhanden? Hast du einen Auftragsbearbeitungsvertrag mit deinem Hoster abgeschlossen?
• Subunternehmer geprüft? Weisst du, welche Drittanbieter dein Hoster einsetzt?
• SSL-Zertifikat aktiv? HTTPS ist Pflicht, ohne Verschlüsselung keine DSG-Konformität.
• Backup-Standort bekannt? Wo landen deine Backups? Auch in der Schweiz?
• Zugriffskontrolle eingerichtet? Wer hat Zugriff auf deine Hosting-Daten? Nur du oder auch Mitarbeiter?
• Datenschutzerklärung vorhanden? Auf deiner Website, aktuell und vollständig?
• Cookie-Consent eingerichtet? Nicht nur für die DSGVO, auch das nDSG verlangt Transparenz.
• E-Mail-Hosting geprüft? Oft vergessen: Auch E-Mails enthalten Personendaten.
• Löschkonzept vorhanden? Wie lange speicherst du Daten, und wann werden sie gelöscht?

Cookie-Banner, Datenschutzerklärung und Impressum

Kurzer Exkurs, weil ich ständig danach gefragt werde.

Cookie-Banner

Das nDSG schreibt keinen Cookie-Banner im Stil der DSGVO vor. Es gibt in der Schweiz keine explizite Cookie-Einwilligungspflicht. Aber, und das ist ein grosses Aber: Wenn du Tracking-Cookies einsetzt (Google Analytics, Facebook Pixel etc.), musst du darüber informieren. Und wenn deine Website auch EU-Besucher hat, gilt für die die DSGVO. Ein Cookie-Banner schadet also nie und ist in den meisten Fällen sinnvoll.

Meine Empfehlung: Setz einen ein. Lieber zu viel Transparenz als zu wenig. Tools wie Cookiebot oder Complianz erledigen das in fünf Minuten.

Datenschutzerklärung

Pflicht. Punkt. Jede Website braucht eine, die erklärt:

• Welche Daten erhoben werden
• Zu welchem Zweck
• Wer Zugriff hat (auch der Hoster!)
• Ob Daten ins Ausland übermittelt werden
• Welche Rechte die Betroffenen haben
• Kontaktdaten des Verantwortlichen

Es gibt gute Generatoren dafür, etwa von der Kanzlei Datenschutzpartner oder SwissAnwalt. Bitte aber nicht einfach eine deutsche DSGVO-Vorlage kopieren. Das nDSG hat eigene Anforderungen.

Impressumspflicht

Die Schweiz hat keine allgemeine Impressumspflicht wie Deutschland. Wenn du aber einen Online-Shop betreibst, greift das Fernabsatzrecht (OR Art. 3 UWG). Und auch ohne gesetzliche Pflicht: Ein Impressum schafft Vertrauen. Mach eins rein. Kostet nichts, bringt Glaubwürdigkeit.

Häufige Fehler, die ich in der Praxis sehe

Ich habe in über 30 Jahren ziemlich jeden Fehler gesehen, den man beim Thema DSG und Hosting machen kann. Hier die häufigsten:

• Google Fonts lokal einbinden vergessen. Wenn du Google Fonts über die Google-Server lädst, werden IP-Adressen an Google übermittelt. Lösung: Fonts herunterladen und lokal hosten. Zehn Minuten Arbeit, grosser Effekt.
• Google Analytics ohne Einwilligung. Auch in der Schweiz problematisch. Alternativen wie Matomo (selbst gehostet) oder Plausible sind datenschutzfreundlicher.
• Kontaktformular ohne Verschlüsselung. Kein SSL heisst Personendaten im Klartext. Das geht gar nicht.
• Newsletter-Tool im Ausland. Mailchimp sitzt in den USA. Denk mal drüber nach. Alternativen: Mailcoach (self-hosted) oder Schweizer Anbieter.
• Alte WordPress-Plugins. Manche Plugins senden Daten an externe Server. Prüfe regelmässig, welche Plugins aktiv sind und was sie tun.

Mein Fazit: Schweizer Hosting für Schweizer Websites

Ich sage nicht, dass du zwingend einen Schweizer Hoster brauchst. Ich sage: Es macht dein Leben deutlich einfacher. Der Preisunterschied zu einem deutschen Hoster beträgt vielleicht CHF 5-10 pro Monat. Dafür sparst du dir den Papierkram mit Datenübermittlung ins Ausland, hast einen deutschsprachigen Support in deiner Zeitzone und kannst deinen Kunden guten Gewissens sagen: "Eure Daten bleiben in der Schweiz."

Wenn Budget das Hauptkriterium ist, schau dir Green.ch ab CHF 6.45 oder Webland ab CHF 6.95 an. Beide DSG-konform und günstig. Wer mehr Leistung und erstklassigen Support will, greift zu Cyon oder Hostpoint. Und wer ISO-Zertifizierung und ein besonders datenschutzbewusstes Unternehmen sucht, landet bei Infomaniak.

Das nDSG ist kein Monster. Es verlangt im Grunde nur, was ohnehin selbstverständlich sein sollte: verantwortungsvoll mit Daten umgehen, transparent kommunizieren, die richtigen Partner wählen. Mit einem soliden Schweizer Hoster und einer sauberen Datenschutzerklärung bist du auf der sicheren Seite. Und der Zahnarzt aus Bern? Der hostet jetzt bei Cyon. Hat ihn eine Stunde gekostet, den Umzug. Schläft seitdem besser.

Alle Anbieter im Detail findest du in unserem grossen Webhosting-Vergleich Schweiz.

Häufige Fragen