Lohndaten und CLOUD Act: was Schweizer Arbeitgeber und Softwareanbieter wissen müssen

Ein Server in der Schweiz reicht nicht aus, um Ihre Lohndaten dem Zugriff US-amerikanischer Behörden zu entziehen. Entscheidend ist die rechtliche Zugehörigkeit des Anbieters, der sie hostet. Untersteht dieser Anbieter oder seine Muttergesellschaft US-Recht, gilt der CLOUD Act, unabhängig vom Standort des Rechenzentrums.

Dabei ist die Lohnbuchhaltung wohl der sensibelste Datenbestand eines Unternehmens. Sie vereint für jede Mitarbeiterin und jeden Mitarbeiter Identität, AHV-Nummer, Lohn, Bankverbindung, krankheitsbedingte Absenzen und manchmal die Religionszugehörigkeit. Dieser Artikel zeigt, was Arbeitgeber, Treuhänder und Anbieter von Lohnsoftware in der Schweiz wissen müssen.

Der CLOUD Act in Kürze

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-Bundesgesetz vom März 2018. Er verpflichtet jeden Dienstleister, der US-Gerichtsbarkeit untersteht, Daten in seinem «Besitz, Gewahrsam oder unter seiner Kontrolle» herauszugeben, wenn eine US-Behörde dies im Rahmen einer Ermittlung verlangt, auch wenn diese Daten ausserhalb der USA gespeichert sind.

Drei Punkte sind festzuhalten:

• Massgebend ist die Kontrolle, nicht der Standort. Eine «Schweiz»-Region eines US-Hyperscalers bleibt betroffen, weil die Muttergesellschaft die Infrastruktur kontrolliert.
• Der Kunde wird nicht unbedingt informiert. Die Anfrage richtet sich an den Anbieter. Dieser kann sie anfechten, doch eine Geheimhaltungsanordnung kann ihm verbieten, seinen Kunden zu informieren.
• Er steht nicht allein. Section 702 des FISA erlaubt parallel eine nachrichtendienstliche Erhebung gegenüber Nicht-US-Personen, mit noch weniger Transparenz.

Die Schweiz hat kein CLOUD-Act-Exekutivabkommen mit den USA abgeschlossen. Der Mechanismus bleibt also einseitig: Eine US-Anfrage kann direkt mit Schweizer Recht kollidieren, und es liegt am Anbieter, danach an Ihnen, die Folgen zu tragen. Unser Leitfaden CLOUD Act und Schweizer Recht erläutert diesen Rechtskonflikt im Detail.

Warum die Lohnbuchhaltung ein Sonderfall ist

Eine Lohndatei enthält neben gewöhnlichen Personendaten mehrere Kategorien, die das revDSG als besonders schützenswerte Personendaten einstuft (Art. 5 Bst. c) und die einen erhöhten Schutz verlangen.

Hinzu kommen zwei Pflichten, die sich aus dem Arbeitsverhältnis ergeben. Art. 328b OR beschränkt die Bearbeitung auf die Daten, die für die Durchführung des Arbeitsvertrags nötig sind. Und Buchungsbelege sind 10 Jahre aufzubewahren (Art. 958f OR), was die Expositionsdauer entsprechend verlängert.

Schliesslich lässt sich die Verantwortung nicht delegieren. Wenn Sie die Lohnbuchhaltung einem Treuhänder oder einer SaaS-Software anvertrauen, bleiben Sie Verantwortlicher und müssen sicherstellen, dass Ihre Auftragsbearbeiter ausreichende Garantien bieten (Art. 9 revDSG).

Was das Schweizer Recht sagt

Das revDSG, in Kraft seit dem 1. September 2023, regelt jede Bekanntgabe von Daten ins Ausland (Art. 16 und 17). Ein Zugriff einer US-Behörde auf Daten, die ein US-Anbieter hostet, ist faktisch eine solche Bekanntgabe.

Seit dem 15. September 2024 erlaubt das Swiss-US Data Privacy Framework die Übermittlung von Daten an zertifizierte US-Unternehmen (Quelle). Es klärt die Frage der kommerziellen Übermittlung. Den CLOUD Act und FISA 702 hebt es nicht auf: Es ergänzt Schutzmechanismen und einen Rechtsweg über den EDÖB und ein US-amerikanisches Data Protection Review Court (Quelle).

Drei Grenzen sollten Sie im Auge behalten:

• Politische Fragilität. Seine beiden Vorgänger (Safe Harbor, Privacy Shield) sind nach Klagen in Europa gefallen. Ein Rahmen, der auf einer Executive Order des US-Präsidenten beruht, kann rasch geändert werden.
• Rechtsbehelf im Nachhinein. Der Rechtsweg greift nach dem Zugriff, nicht davor, und ohne dass die betroffene Person zwingend erfährt, dass ihre Daten eingesehen wurden.
• Branchenanforderungen. Manche Kunden (öffentlicher Sektor, Gesundheitswesen, FINMA-regulierte Finanzbranche) verlangen vertraglich ein Hosting ausserhalb jeder ausländischen Gerichtsbarkeit, unabhängig vom DPF.

In der Praxis macht das DPF die Nutzung einer US-Cloud rechtlich vertretbar. Es senkt das Risiko nicht auf null, und es liegt an Ihnen, es im Verzeichnis der Bearbeitungstätigkeiten und, bei besonders schützenswerten Daten, in einer Datenschutz-Folgenabschätzung (Art. 22 revDSG) zu dokumentieren.

Sechs Fragen an Ihren Lohnanbieter

Ob Sie eine SaaS-Software, einen Treuhänder oder Ihre eigene Infrastruktur nutzen: Diese Fragen genügen, um Ihre Exposition einzuordnen.

1. Wer hostet die Daten tatsächlich? Nicht nur das Land des Rechenzentrums, sondern die Gesellschaft, die die Infrastruktur betreibt, und ihre Muttergesellschaft.
2. Untersteht diese Gesellschaft oder einer ihrer Auftragsbearbeiter US-Recht? Verlangen Sie die vollständige Liste der Auftragsbearbeiter, einschliesslich Backup, E-Mail-Versand, Support und Monitoring.
3. Kann der Support aus dem Ausland auf die Daten zugreifen? Ein Fernzugriff aus einem Drittstaat ist ebenfalls eine Bekanntgabe ins Ausland.
4. Wer verwaltet die Verschlüsselungsschlüssel? Eine Verschlüsselung, deren Schlüssel der Anbieter verwaltet, schützt nicht vor einer Anfrage an diesen Anbieter.
5. Was sieht der Vertrag bei einer Anfrage einer ausländischen Behörde vor? Benachrichtigung, systematische Anfechtung, jährlicher Transparenzbericht.
6. Welche Zertifizierungen können Sie vorlegen? Mindestens ISO 27001, und einen aktuellen Auditbericht statt eines blossen Logos.

Lautet die Antwort auf Frage 2 oder 3 «ja», betrifft Sie der CLOUD Act. Das ist nicht zwingend ein Ausschlussgrund, muss aber in Ihrem Verzeichnis stehen und bewusst getragen werden.

Die konkreten Optionen

Eine allgemeingültige richtige Antwort gibt es nicht. Ein KMU, das seine Lohnbuchhaltung selbst führt, kann ein dokumentiertes Risiko vernünftigerweise akzeptieren. Ein Anbieter von Lohnsoftware oder ein Treuhänder, der Daten von Hunderten von Arbeitgebern bearbeitet, steht anders da: Seine Kunden werden die Frage früher oder später stellen, oft in einem Sicherheitsfragebogen oder einer Ausschreibung.

Zusammenfassung

Die Lohnbuchhaltung bündelt besonders schützenswerte Daten im Sinne des revDSG, die 10 Jahre aufbewahrt werden, und der Arbeitgeber bleibt auch bei Auslagerung verantwortlich. Der CLOUD Act knüpft an die Kontrolle über den Anbieter an, nicht an den Standort der Server. Das Swiss-US DPF macht Übermittlungen rechtmässig, ohne den möglichen Zugriff US-amerikanischer Behörden zu beseitigen.

Der erste Schritt ist einfach: wissen, wer Ihre Lohndaten hostet und unter welchem Recht. Alles Weitere ergibt sich daraus. Was Hikube dazu nachweisen kann, steht auf der Seite Sicherheit und Compliance. Sprechen Sie mit unserem Team.

Matthieu Robin ist CEO und Mitgründer von Hidora, einem Schweizer Cloud-Betreiber mit Sitz in Genf. Hidora betreibt Hikube, eine Cloud-Plattform, die ausschliesslich in der Schweiz gehostet wird und nicht dem CLOUD Act untersteht. Dieser Artikel dient der Information und stellt keine Rechtsberatung dar.

Quellen

• Swiss-US Data Privacy Framework, Überblick (Clym)
• revDSG-Compliance-Checkliste 2026 (Global Law Experts)
• Liste der DPF-zertifizierten Organisationen