Dossier
Der Fragebogen fragt, wo die Daten liegen, wer darauf zugreift, wie gesichert wird und was die Zertifizierung belegt. So antworten Sie, ohne etwas zu versprechen, was der Nachweis nicht trägt, und so stellen Sie die Wahl eines Schweizer Hosters dar.
Ein Sicherheitsfragebogen für Lieferanten stellt zum Hosting fast immer dieselben fünf Fragen: In welchem Land liegen die Daten, welche Unterauftragsverarbeiter haben Zugriff, wo und wie wird gesichert, welche Zertifizierung deckt die Infrastruktur ab, und auf welcher Rechtsgrundlage beruht die Verarbeitung. Der Einkäufer erwartet keinen Souveränitäts-Slogan, sondern eine datierte, benannte und überprüfbare Antwort.
Die Wahl eines Schweizer Hosters vereinfacht mehrere dieser Antworten, ersetzt sie aber nicht. Die Seite Souveränität beschreibt, was Certenor zusichert und was nicht; diese Seite nimmt die Sicht des Unternehmens ein, das den Fragebogen ausfüllen oder bewerten muss.
Für geteiltes Webhosting veröffentlichen Schweizer Anbieter ihre eigenen Angaben, zum Beispiel das Webhosting-Angebot von InfomaniakWerbelink, das weiter unten als Beispiel für die Prüfung mit dem Raster dargestellt wird, nicht als Empfehlung.
Eine Antwortformel und der beizulegende Nachweis für jede der fünf häufigsten Fragen.
| Frage im Fragebogen | Was zu antworten ist | Beizulegender Nachweis |
|---|---|---|
| Wo werden die Daten gehostet? | Das Land, das Rechenzentrum oder die Region und der Name des Hosters, wie der Vertrag sie vorsieht. "In der Schweiz" ohne Nennung des Anbieters genügt nicht. | Vertragsauszug oder Seite des Hosters, mit Abrufdatum. |
| Welche Unterauftragsverarbeiter haben Zugriff? | Die namentliche Liste: Hosting, Backup, Mail, Support, gegebenenfalls KI-Modelle, jeweils mit Verarbeitungsort. Nach dem nDSG (Art. 9) darf ein Auftragsbearbeiter die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen. | Aktuelles Register der Unterauftragsverarbeiter mit Datum der letzten Prüfung. |
| Wie und wo werden Backups erstellt? | Häufigkeit, Aufbewahrungsdauer, Ort (anderer Standort, gleiches Land oder nicht) und Wiederherstellungstest. Die Wiederherstellungsfunktion des Hosters nicht mit einem unabhängigen Backup verwechseln. | Beschreibung des Verfahrens und Datum des letzten Wiederherstellungstests. |
| Deckt eine ISO-27001-Zertifizierung das Hosting ab? | Ja oder nein, und für welchen Geltungsbereich. Eine Zertifizierung betrifft ein durch einen Geltungsbereich abgegrenztes Managementsystem: Sie garantiert nicht, dass jeder Dienst oder jede Massnahme darin enthalten ist. | Zertifikat des Hosters: ausstellende Stelle, Geltungsbereich, Anwendbarkeitserklärung falls weitergebbar, Gültigkeitsdatum. |
| Wie sind Übermittlungen ausserhalb der Schweiz geregelt? | Angeben, ob es welche gibt. Falls ja, legt das nDSG (Art. 16 und 17) die Bedingungen der Bekanntgabe ins Ausland fest: festgestelltes angemessenes Schutzniveau, geeignete Garantien oder eine Ausnahme. | Vertragsklauseln, anwendbarer Angemessenheitsbeschluss oder Vermerk "keine Übermittlung". |
Vier Argumente, jedes an eine Anforderung geknüpft, die der Einkäufer kennt. Keines ersetzt den Nachweis.
Der Verarbeitungsort steht im Vertrag und ist auf der Seite des Hosters prüfbar. Daten, die in der Schweiz bleiben, ersparen den Nachweis der Garantien für eine Bekanntgabe ins Ausland (Art. 16 und 17); Unterauftragsverarbeiter und Kopien müssen dennoch geprüft werden.
Art. 8 nDSG verlangt dem Risiko angemessene organisatorische und technische Massnahmen. Das Dossier beschreibt jene des Hosters und jene, die Sie darüber legen: Verschlüsselung, Zugriffe, Protokolle.
Art. 9 nDSG verlangt sicherzustellen, dass der Auftragsbearbeiter die Datensicherheit gewährleistet. Der Hostingvertrag, seine Anhänge und die Liste seiner eigenen Unterauftragsverarbeiter gehören ins Dossier.
Ein Vertrag nach Schweizer Recht mit Gerichtsstand in der Schweiz ist für einen Schweizer Einkäufer einfacher zu beurteilen. Die Rechtshilfe schliesst er nicht aus, siehe unten.
Ein Schweizer Unternehmen bleibt dem Schweizer Recht unterworfen: Das Gesetz kann es verpflichten, gehaltene Daten herauszugeben, und eine ausländische Behörde kann über die Rechtshilfe handeln, die von den Schweizer Behörden geprüft wird. Der reale Schutz hängt auch von der Architektur ab: Verschlüsselung mit Schlüsseln, die nur Sie halten, Datenminimierung, Kontrolle der Kopien. Halten Sie im Dossier daher fest, was die Wahl der Schweiz bringt und was nicht.
Der Text des Bundesgesetzes über den Datenschutz (nDSG, in Kraft seit dem 1. September 2023) ist auf Fedlex veröffentlicht. Hier verwendete Artikel: Art. 8 (Datensicherheit), Art. 9 (Bearbeitung durch Auftragsbearbeiter), Art. 16 (Bekanntgabe ins Ausland, Grundsätze) und Art. 17 (Ausnahmen).
Leitfäden und Stellungnahmen der Aufsichtsbehörde finden Sie auf der Website des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Für unsere eigenen Nachweise siehe die Seite nDSG und die Seite Fragebogen.
Analyse anfragen
Sagen Sie uns, wer ihn verlangt, bis wann, und welche brauchbaren Nachweise Sie bereits haben. Antwort innerhalb von zwei Arbeitstagen, auf Deutsch, Französisch oder Englisch.
Ein Fragebogen auf dem Tisch und eine kurze Frist? Der richtige Moment, uns zu schreiben.
Certenor schreiben