OperativeOps in der DACH-Region

Die DACH-Region umfasst drei Länder, deren Datenschutzregime sich zwar auf gemeinsame Grundsätze stützen, in entscheidenden Punkten jedoch voneinander abweichen. Ein Überblick für Unternehmen, die grenzüberschreitend in der DACH-Region tätig sind:

Deutschland — DSGVO + BDSG: Deutschland wendet die DSGVO unmittelbar an und ergänzt sie durch das Bundesdatenschutzgesetz (BDSG). Das BDSG nutzt die Öffnungsklauseln der DSGVO: § 26 BDSG regelt den Beschäftigtendatenschutz detaillierter als das europäische Recht; § 38 BDSG schreibt eine DSB-Bestellpflicht ab 20 Personen vor, die ständig automatisiert personenbezogene Daten verarbeiten. Die Aufsicht liegt bei den Landesbehörden (etwa LfDI Baden-Württemberg, BayLfD) und dem BfDI für Bundesbehörden. Das Bußgeldregime entspricht der DSGVO: bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.

Österreich — DSG 2018 + DSG-Anpassungsgesetz: Österreich hat die DSGVO durch das Datenschutz-Anpassungsgesetz 2018 (DSG 2018) begleitet. Das österreichische Recht ist weitgehend DSGVO-konform; eine nationale DSB-Bestellpflicht mit konkreten Schwellenwerten wie in Deutschland (§ 38 BDSG) gibt es in Österreich nicht — Art. 37 DSGVO gilt unmittelbar. Die österreichische Datenschutzbehörde (DSB) in Wien ist die zuständige Aufsichtsbehörde. Im Finanzbereich kommen die Vorgaben der Finanzmarktaufsicht (FMA) hinzu. Das Bußgeldregime entspricht der DSGVO.

Schweiz — revDSG (revidiertes Bundesgesetz über den Datenschutz, engl. revFADP): Die Schweiz ist kein EU-Mitglied und kein EWR-Staat; ihr Datenschutzrecht entwickelt sich eigenständig. Das revidierte Datenschutzgesetz ist am 1. September 2023 in Kraft getreten und hat das DSG von 1992 abgelöst. Es bringt die Schweizer Standards näher an die DSGVO heran, unterscheidet sich jedoch in wesentlichen Punkten: Das revDSG schützt nur noch Daten natürlicher Personen — der frühere Schutz von Daten juristischer Personen ist entfallen; das Sanktionsregime richtet sich gegen natürliche Personen (Bussen bis CHF 250.000), nicht unmittelbar gegen Unternehmen; Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Verzeichnispflichten bestehen analog zu Art. 30 DSGVO (Art. 12 revDSG), mit Erleichterungen für kleinere Unternehmen mit geringem Risikoprofil. Eine allgemeine Pflicht zur Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters (Art. 10 revDSG) besteht nicht, die Benennung ist aber empfohlen. Der EDÖB kann Untersuchungen führen und Massnahmen verfügen.

Angemessenheitsentscheidung Schweiz ↔ EU: Die EU-Kommission hat die Schweiz als Drittland mit angemessenem Datenschutzniveau anerkannt. Datenübermittlungen aus der EU (inklusive DE und AT) in die Schweiz sind daher grundsätzlich ohne zusätzliche Garantien wie Standardvertragsklauseln (SCCs) oder verbindliche interne Datenschutzvorschriften (BCRs) möglich. Für besonders sensible Datenkategorien oder für FINMA-regulierte Einheiten können vertragliche oder organisatorische Zusatzmassnahmen gefordert sein — das ist im Einzelfall zu prüfen. Umgekehrt führt die Schweiz die EU-Staaten auf ihrer Liste der Staaten mit angemessenem Schutz. Angemessenheitsentscheidungen werden regelmäßig überprüft und können angepasst oder widerrufen werden; prüfen Sie den aktuellen Stand, bevor Sie sich darauf stützen.

Übermittlungen innerhalb der DACH-Region: Datenflüsse zwischen DE und AT unterliegen dem normalen DSGVO-Rahmen — beide Länder sind EWR-Mitglieder, zusätzliche Maßnahmen sind nicht erforderlich. Übermittlungen von DE oder AT in die Schweiz stützen sich auf die Angemessenheitsentscheidung, in umgekehrter Richtung auf die Schweizer Anerkennung der EU. Besonderheit bei Schweizer Tochtergesellschaften: Wenn ein deutsches oder österreichisches Unternehmen eine Schweizer Tochter betreibt und deren Mitarbeiterdaten zentral in DE/AT verarbeitet werden, können DSGVO und revDSG parallel anwendbar sein — je nachdem, wo verarbeitet wird und wer Verantwortlicher ist. Klären Sie diese Konstellation mit Ihrer Rechtsabteilung.

Sektorale Spezifika in der DACH-Region: In der Schweiz spielt die FINMA (Eidgenössische Finanzmarktaufsicht) eine bedeutende Rolle für Finanzdienstleister; ihre Vorgaben zu operationellen Risiken und Auslagerungen enthalten Anforderungen an Cloud-Dienste, die über das revDSG hinausgehen können. In Österreich bestehen vergleichbare Anforderungen der FMA, in Deutschland der BaFin (unter anderem MaRisk sowie die europäische DORA-Verordnung). Gesundheitsdaten unterliegen in allen drei Ländern besonderem Schutz; in Deutschland kommt für Cloud-Dienste im Gesundheitswesen § 393 SGB V mit seiner C5-Testatspflicht hinzu, in der Schweiz kantonales Recht sowie sektorale Vorgaben.

OperativeOps existiert ausschließlich als Software, die Sie selbst betreiben — on-premises, in Ihrer eigenen Cloud-Umgebung oder air-gapped. Es gibt kein gehostetes Angebot und keinen betreuten Betrieb, also auch keine Anbieterregion, zwischen der Sie wählen oder für die Sie eine Ausnahme beantragen müssten. Die Datenresidenz ist schlicht der Ort Ihrer Bereitstellung: Wer in Deutschland oder Österreich bereitstellt, verarbeitet im EWR; wer in der Schweiz bereitstellt, verarbeitet in der Schweiz. Für die grenzüberschreitende Frage bedeutet das, dass durch die Software von sich aus überhaupt keine Übermittlung entsteht — es gibt keinen zweiten Ort, an dem eine Kopie läge.

Für Schweizer Organisationen ist das die sauberste Ausgangslage: Eine Bereitstellung in der Schweiz lässt Personendaten die Landesgrenze gar nicht erst überschreiten, sodass sich die Frage nach der Angemessenheitsentscheidung für den Laufzeitbetrieb nicht stellt. Sie bleibt relevant für alles, was Sie ausdrücklich anbinden — eine Modell-API in der EU oder den USA, ein SaaS-Tool über MCP, ein Backup-Ziel im Ausland. Umgekehrt können deutsche und österreichische Konzerne ihre Schweizer Standorte auf einer gemeinsamen, im EWR betriebenen Bereitstellung bedienen und sich dafür auf die Angemessenheitsentscheidung stützen; welche Variante besser passt, entscheidet Ihre Konzernstruktur, nicht ein Anbieterangebot.

Für regulierte Sektoren ist die Auslagerungsfrage die eigentlich interessante. FINMA-Vorgaben zu Auslagerungen, BaFin-Anforderungen und FMA-Vorgaben knüpfen an die Auslagerung von Funktionen an einen Dienstleister an. Im Selbstbetrieb lagern Sie nichts an einen Betreiber aus: Sie beschaffen eine Softwarekomponente und betreiben sie in einer Umgebung, die Sie ohnehin verantworten. Prüfungs-, Weisungs- und Zugangsrechte, die ein Auslagerungsvertrag sonst absichern muss, bestehen gegenüber Ihrer eigenen Infrastruktur unmittelbar. Der Preis dafür ist ebenso eindeutig: Betrieb, Überwachung, Notfallvorsorge und Patching liegen vollständig bei Ihnen. Ob damit die Anforderungen Ihrer Aufsicht erfüllt sind, beurteilen Ihre Compliance-Funktion und Ihre Rechtsberatung — nicht diese Seite.