CLOUD Act: Warum Server in der Schweiz nicht reichen

«Unsere Daten liegen in der Schweiz.» Diesen Satz hören wir oft, wenn es um Datenschutz geht, und meistens ist er als Beruhigung gemeint. Der Standort ist auch nicht unwichtig. Er beantwortet aber nur einen Teil der Frage, wer im Ernstfall auf die Daten zugreifen kann.

Was der CLOUD Act regelt

Der Clarifying Lawful Overseas Use of Data Act ist ein US-Gesetz aus dem Jahr 2018. Er verpflichtet Anbieter, die US-Recht unterstehen, Daten auf behördliche Anordnung herauszugeben, sofern diese Daten in ihrem Besitz oder unter ihrer Kontrolle sind. Wo die Daten physisch gespeichert sind, spielt dabei keine Rolle.

Für die Praxis heisst das: Eine Schweizer Region eines US-Cloud-Anbieters ändert zwar den Speicherort, aber nicht das Recht, dem der Anbieter untersteht.

Die ganze Kette zählt

Eine ernsthafte Antwort braucht mehr als einen Blick auf den direkten Vertragspartner. Relevant ist der Anbieter selbst, sein Mutterkonzern und jeder Unterauftragnehmer, der Zugriff auf die Daten hat. Typischerweise ist das die Infrastruktur, auf der ein Dienst läuft. Ein europäischer Softwareanbieter, der seine Plattform bei einem US-Hyperscaler betreibt, bringt den US-Bezug über diesen Umweg wieder ins Spiel.

Bei europäischen Anbietern mit Tochtergesellschaften in den USA ist die Lage weniger eindeutig. Dort kommt es darauf an, ob die US-Gesellschaft auf die Daten zugreifen kann.

Eine Korrektur in eigener Sache

Im März haben wir in diesem Zusammenhang geschrieben, mit Odoo gebe es keinen CLOUD Act. Das war zu pauschal. Odoo SA ist ein belgisches Unternehmen und gehört keinem US-Konzern. Die Odoo-Cloud, also Odoo Online und Odoo.sh, läuft laut Odoos eigener Datenschutzerklärung aber unter anderem auf Google Cloud. Kundinnen und Kunden können zwar die Hosting-Region wählen, nicht aber, auf welcher Infrastruktur ihre Datenbank tatsächlich betrieben wird.

Für die Odoo-Cloud gilt deshalb dasselbe wie für jeden anderen Dienst: Der US-Bezug lässt sich nicht ausschliessen.

Wie ein souveränes Setup aussieht

Gegenüber den meisten SaaS-Lösungen hat Odoo hier einen Vorteil, der ins Gewicht fällt: Man kann es selbst betreiben, auch in der Enterprise-Edition. Um jeden US-Bezug auszuschliessen, hostet man Odoo bei einem Schweizer oder europäischen Anbieter, der keinem US-Konzern gehört.

Genau so setzen wir Odoo für unsere Kundinnen und Kunden auf, wenn Datensouveränität ein Thema ist: auf Servern in der Schweiz, bei einem Schweizer Anbieter ohne US-Konzern im Hintergrund. Die Odoo-Cloud bleibt selbstverständlich eine Option, solange man weiss, worauf man sich einlässt.

Zwei Punkte verdienen dabei einen zweiten Blick. Der erste ist das Rechenzentrum: Auch ein Schweizer Hoster steht oft in einem Rechenzentrum, das einem anderen Unternehmen gehört, und dessen Eigentümer gehört mit auf die Prüfliste. Der zweite sind die optionalen Zusatzdienste von Odoo, etwa die automatische Belegerkennung. Diese Dienste schicken Daten an Odoos eigene Cloud, auch wenn die Datenbank selbst gehostet ist. Man kann sie bewusst einsetzen oder abschalten, sollte aber wissen, dass es sie gibt.

Was das Schweizer Recht dazu sagt

Bevor das Ganze dramatischer klingt, als es ist, ein Blick auf die Rechtslage. Seit dem 15. September 2024 gilt das Swiss-US Data Privacy Framework. Personendaten dürfen seither ohne zusätzliche Garantien an US-Unternehmen übermittelt werden, die unter diesem Rahmen zertifiziert sind. Für ein Schweizer KMU ist der Einsatz einer US-Cloud damit in aller Regel rechtlich zulässig.

Das Framework ist allerdings kein Dauerzustand mit Garantie. Der Bundesrat überprüft den Entscheid regelmässig und kann ihn jederzeit widerrufen. Wer seine ganze Geschäftstätigkeit auf einer solchen Grundlage aufbaut, sollte das wissen.

Warum es trotzdem eine Rolle spielt

Bei Datensouveränität geht es deshalb um Kontrolle. Wer entscheidet im Ernstfall über eure Kunden-, Finanz- und Personaldaten: ihr selbst oder ein Anbieter, der einer fremden Rechtsordnung verpflichtet ist? Für manche Unternehmen ist das akzeptabel. Für andere wiegt es schwer, etwa wenn die eigene Kundschaft danach fragt oder sensible Daten im Spiel sind.

Beides ist eine legitime Entscheidung. Problematisch wird es nur, wenn sie unbewusst fällt, weil man sich auf den Serverstandort verlassen hat.

Was ihr euren Anbieter fragen solltet

Wem gehört das Unternehmen, bei dem eure Daten liegen, und hat es einen Mutterkonzern in den USA? Auf wessen Infrastruktur läuft der Dienst, und könnt ihr das beeinflussen? Welche Unterauftragnehmer haben Zugriff, und wo ist das dokumentiert? Und falls ihr wechseln wollt: Bekommt ihr eure Daten vollständig und in einem brauchbaren Format zurück?

Wer diese Fragen beantworten kann, entscheidet bewusst, ob mit oder ohne US-Bezug.