Darf man Microsoft 365 oder Google Workspace mit dem neuen DSG nutzen?
Von Advisorn · aktualisiert am 25. Oktober 2026 · Art. 8, 9, 16, 19 DSG, Art. 28 und 44-46 DSGVO
Kurz gesagt
Ja. Ein Cloud-Dienst, der Daten im Auftrag des Unternehmens bearbeitet, ist ein Auftragsbearbeiter: Es braucht einen Vertrag nach Art. 9 DSG und, wenn die Daten ins Ausland gehen können, die Voraussetzungen von Art. 16 DSG, etwa die Zertifizierung des US-Unternehmens nach dem Swiss-U.S. Data Privacy Framework oder die Standardvertragsklauseln. Die grossen Anbieter bieten solche Verträge an; das Unternehmen muss sie prüfen, den Dienst konfigurieren und die Personen informieren.
Was zu prüfen ist
- der Auftragsbearbeitungsvertrag des Anbieters und seine Liste der Unterauftragsbearbeiter;
- wo die Daten gespeichert werden und von wo aus für den Support zugegriffen wird;
- für die USA, ob das Unternehmen, mit dem Sie den Vertrag haben, nach dem Data Privacy Framework auch für die Schweiz zertifiziert ist oder ob die Standardvertragsklauseln vorliegen;
- die Einstellungen: Zwei-Faktor-Authentifizierung, externe Freigaben, Diagnosedaten, Aufbewahrung;
- wer im Unternehmen Administrator ist und was er sehen kann.
Wenn Sie einem Berufsgeheimnis unterstehen
Arztpraxen, Anwaltskanzleien, Treuhandbüros und andere, die einem Berufsgeheimnis unterstehen, müssen zusätzlich prüfen, ob der Anbieter auf die Inhalte zugreifen kann und wie sie geschützt sind, etwa durch Verschlüsselung und Geheimhaltungsklauseln im Vertrag.
In den Dokumenten
Der Anbieter ist im Bearbeitungsverzeichnis bei den Empfängern aufzuführen, und die Staaten, in welche die Daten gehen, sind in der Datenschutzerklärung zu nennen (Art. 19 Abs. 4 DSG).
Verwandte Fragen
Passende Vorlagen
Allgemeine Informationen, keine Beratung zu Ihrem Fall: Für Ihren Fall gilt der Gesetzestext. Für eine Frage zu Ihrem Fall gibt es die Beratung von Advisorn.