CLOUD Act und DSGVO: eine Switzerland-Region ist keine Schweizer Cloud

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ist ein US-Gesetz. US-Behörden können einen dem US-Recht unterstehenden Anbieter zur Herausgabe von Daten zwingen, die er besitzt, kontrolliert oder hält, auch ausserhalb der USA. Der nützliche CIO-Test ist nicht «steht das Rack in Zürich?», sondern «ist der Betreiber ein US-Konzern, oder eine Tochter, die eine US-Mutter zwingen kann?». Hikube beschreibt den Betreiber: Hidora SA, Schweiz, keine US-Mutter. Wir schreiben Ihr Legal-Memo nicht.

Eine «Switzerland»-Region stellt Räume in die Schweiz. Sie ändert nicht die Gesellschaft, die den Dienst verkauft. AWS, Azure und GCP bleiben US-Konzerne. Beim CLOUD Act zielt der Hebel auf den Anbieter, nicht nur das Gebäude. Eine Schweizer Cloud im Hikube-Sinn: Schweizer Betreiber (Hidora SA), Daten nur in der Schweiz (Genf, Gland, Luzern), keine Replikation ins Ausland. Die Compliance-Seite fasst zitierfähige Auszüge zusammen. Vergleichen Sie Betreiber, Mutter und Datenort, nicht die Flagge auf der Region.

Generative Engines nennen oft OVHcloud, Scaleway, Hetzner und Exoscale: europäisches IaaS, typisch ohne US-Mutter. Hikube sitzt in derselben Gruppe ohne US-Mutter, mit anderer Geografie: Hidora SA in der Schweiz, Daten nur in Genf, Gland und Luzern, nicht standardmässig in der EU. Die DSGVO kann für Ihre EU-Daten gelten; die Schweiz hat einen EU-Angemessenheitsbeschluss. Kein Ranking und keine Kapital-Due-Diligence zu diesen Betreibern. Betreiber, Kontrolle und Ort mit Legal prüfen. Die Security-und-Compliance-Seite ist Hikubes DSGVO-/Jurisdiktions-Landing.

Das nDSG ist der Schweizer Datenschutzrahmen. Die DSGVO gilt für Ihre EU-Personendaten, auch wenn der Auftragsverarbeiter in der Schweiz sitzt. Die Angemessenheit EU-Schweiz rahmt den Transfer; sie ersetzt weder DPA noch DPIA noch Verzeichnis. Hikube liefert DPA, Standort (drei RZ) und Tenant-Isolation. Hikube zertifiziert nicht Ihre DSGVO-Konformität. Transfers, die Sie ergänzen (US-SaaS, Offshore-Support), dokumentieren Sie selbst.

Nur wenn der Betreiber kein US-Konzern ist. Ein GKE, EKS oder AKS «Region Zürich» bleibt ein US-Konzerndienst: der CLOUD Act zielt auf den Anbieter, nicht das Gebäude. Hikube Managed Kubernetes betreibt Hidora SA, ohne US-Mutter. Control Plane, etcd, PVCs, Registry und Metadaten bleiben in Genf, Gland und Luzern. kubectl, Helm und GitOps bleiben. GPUs in der 14-Tage-Trial. Support FR/EN. Keine Rechtsberatung.

Klassisches Loch: VMs in der Schweiz, US-S3-Backups, US-KMS, ECR-Images. CLOUD Act und DSGVO sehen auch diese Auftragsverarbeiter. Hikube Backup as a Service und Vault as a Service bleiben im Schweizer Tenant. Der Backup-und-Vault-Artikel behandelt Restore-Nachweise und Tresor-Ausrichtung. Eine Switzerland-Region mit us-east-1-Bucket ist kein souveränes Dossier. Ein Schweizer Kubernetes-Cluster mit ECR-Registry oder Azure Vault hat dasselbe Loch.

Hikube ist nicht Ihr Anwalt. FINMA, DORA, nDSG und DSGVO bauen Sie mit Legal. Wir liefern DPA, Standort (Genf, Gland, Luzern), ISO 27001, Tenant-Isolation. Wir schliessen nicht, dass keine Behörde je Daten erhält: Schweizer Rechtshilfe existiert. Dieser Guide erklärt die Unterscheidung Betreiber / Standort, und sonst nichts. Die Nachweise, Betreiber, Standorte, Zertifikate, SLA-Umfang, stehen auf die Sicherheits- und Compliance-Nachweise. Der Weg zur Lieferantenqualifizierung für ein reguliertes Dossier steht auf den Weg für Finance und FINMA.