Backup Schweiz DSG: Warum Ihre Datensicherung eine Datenbearbeitung ist

Die Buchhaltung ist im Griff, der Kundenvertrag mit dem CRM-Anbieter liegt im Ordner, die Lohndaten sind verschlüsselt abgelegt. Und das Backup? Läuft einfach – jede Nacht, automatisch, im Hintergrund. Genau darin liegt das Problem: Weil ein Backup nie ausfällt und nie auffällt, stellt sich niemand die Frage, wo diese Kopie eigentlich landet und wer sie sehen könnte.

Viele Schweizer KMU sichern ihre Daten über günstige Cloud-Backup-Dienste. Das ist praktisch, schnell eingerichtet und funktioniert zuverlässig. Nur: In welchem Land die Kopie physisch liegt, wer den Rechenzentrumsbetreiber kontrolliert und welche Zugriffsmöglichkeiten Dritte theoretisch haben, wissen die wenigsten Verantwortlichen aus dem Stand heraus.

Warum das mehr ist als eine technische Frage

Sobald in Ihrem Backup Personendaten liegen – Kundenadressen, Mitarbeiterdossiers, Lohndaten, Bewerbungsunterlagen – ist diese Sicherung selbst eine Datenbearbeitung. Nicht nur die Nutzung der Daten im Tagesgeschäft zählt, auch das blosse Speichern einer Kopie fällt darunter. Das bedeutet: Standort der Daten, vertragliche Grundlage mit dem Anbieter und mögliche Zugriffsrechte sind Punkte, die grundsätzlich geklärt sein sollten – genau wie bei jeder anderen Datenbearbeitung in Ihrem Unternehmen auch.

Das ist keine abstrakte Formalie. Ein Backup enthält oft mehr Personendaten als die eigentliche Produktivumgebung: alte Versionen, bereits gelöschte Datensätze, Kopien aus mehreren Monaten oder Jahren. Wenn irgendwo im Unternehmen die vollständigste Sammlung an Personendaten liegt, dann meistens dort.

Der blinde Fleck in der Datenschutzprüfung

Wenn sich Unternehmen mit ihrem Datenschutz auseinandersetzen, schauen sie fast immer zuerst auf die Systeme, mit denen aktiv gearbeitet wird: die Kundendatenbank, das Personalsystem, die Website. Das Backup dieser Systeme gerät dabei leicht aus dem Blick – es läuft ja im Hintergrund, es fühlt sich nicht wie eine eigene Datenbearbeitung an. Genau das macht es zum blinden Fleck: Es wird selten aktiv geprüft, aber es ist oft die Stelle, an der die grösste Menge an Personendaten über die längste Zeit gespeichert ist.

Fragen, die sich in diesem Zusammenhang lohnen zu stellen:

• Wissen Sie, in welchem Land Ihre Backup-Kopien physisch liegen?
• Besteht mit dem Anbieter eine klare vertragliche Grundlage für die Auftragsbearbeitung?
• Wer könnte theoretisch auf die gespeicherten Daten zugreifen – auch beim Anbieter selbst?
• Wie lange werden alte Sicherungen aufbewahrt, und werden sie je gelöscht?

Die ehrliche Kernfrage lautet: Könnten Sie das heute, ohne lange nachzufragen, belegen?

Wie sich dieser blinde Fleck schliessen lässt

Hier ist Zurückhaltung angebracht: Wir sind kein Anwaltsbüro und geben keine Rechtsberatung. Ob und in welcher Form für Ihr Unternehmen konkreter Handlungsbedarf besteht, hängt von der Art Ihrer Daten, Ihrer Branche und Ihren vertraglichen Verpflichtungen ab. Diese Einschätzung gehört in die Hände einer Fachperson für Datenschutzrecht.

Was aber unabhängig davon sinnvoll ist: Schaffen Sie Klarheit über die technische Ausgangslage. Wissen, wo eine Kopie liegt, ist die Voraussetzung dafür, dass eine rechtliche Einschätzung überhaupt möglich ist. Ohne diese Grundlage bleibt jede Datenschutzprüfung unvollständig – das Backup wird schlicht nicht mitgedacht.

Was padcom liefert

Wir betreiben die Datensicherung unserer Kunden über drei Schweizer Rechenzentren – NTT, Digital Realty und Green. Ihre Backup-Kopien bleiben damit in der Schweiz und unterliegen Schweizer Recht. Das ersetzt keine juristische Prüfung Ihrer individuellen Situation, aber es schafft eine nachvollziehbare, dokumentierbare Grundlage: Sie wissen, wo Ihre Daten liegen, und können das auf Nachfrage – etwa im Rahmen einer internen Prüfung oder gegenüber einer Fachperson – auch belegen.

Backup & Datensicherheit ist bei uns einer von vier Bereichen im monatlichen Abo, ohne dass Sie eigene Hardware anschaffen müssen. Das gleiche Team begleitet Sie dabei über die gesamte Laufzeit – keine wechselnden Ansprechpartner, keine Blackbox.

Häufige Fragen

Ist ein Backup wirklich eine Datenbearbeitung?

Sobald in der Sicherung Personendaten enthalten sind, wird das Speichern dieser Kopie grundsätzlich gleich behandelt wie die Bearbeitung im produktiven System. Entscheidend ist nicht, ob mit den Daten aktiv gearbeitet wird, sondern dass sie vorhanden sind. Wie das in Ihrem konkreten Fall zu beurteilen ist, gehört zu einer Fachperson für Datenschutzrecht.

Wo müssen Backups von Schweizer Unternehmen liegen?

Eine allgemeine Pflicht, Daten ausschliesslich in der Schweiz zu speichern, gibt es nicht. Massgebend sind die Art der Daten, Ihre vertraglichen Verpflichtungen und Ihre Branche – in manchen Bereichen bestehen deutlich strengere Vorgaben. Sicher ist: Sie sollten wissen und belegen können, wo Ihre Kopien liegen.

Woran erkenne ich, ob mein aktueller Backup-Anbieter geeignet ist?

Drei Punkte geben Aufschluss: Nennt der Anbieter den physischen Standort der Daten schriftlich? Gibt es einen Vertrag zur Auftragsbearbeitung? Und ist geregelt, wie lange alte Sicherungen aufbewahrt und wann sie gelöscht werden? Bleibt eine dieser Fragen offen, lohnt sich ein genauerer Blick.

Wie lange sollen alte Sicherungen aufbewahrt werden?

Dafür gibt es keine pauschale Zahl. Aufbewahrungsfristen aus dem Geschäftsverkehr, betriebliche Anforderungen an die Wiederherstellung und der Grundsatz, Personendaten nicht länger als nötig zu speichern, wirken hier gegeneinander. Wichtig ist, dass die Aufbewahrungsdauer bewusst festgelegt ist und nicht einfach aus der Standardeinstellung des Anbieters stammt.

Wenn Sie sich nicht sicher sind, wo Ihre Backup-Kopien heute liegen oder wie die Situation in Ihrem Unternehmen konkret aussieht: Vereinbaren Sie ein kostenloses, unverbindliches Erstgespräch mit uns. Wir schauen uns Ihre aktuelle Backup-Situation gemeinsam an.

Autor: padcom News Team