Wo die Kundendaten liegen

Warum das kein Nebenthema ist

Die Daten, die in einer Planungssoftware zusammenkommen, sind Personendaten im Sinne des Gesetzes: Name und Adresse der Kundin, ihr Stromverbrauch, oft ein Lastprofil aus dem Zähler, Fotos des Gebäudes, gelegentlich Angaben zur Finanzierung. Das ist mehr, als ein Elektroplaner sonst über einen Haushalt weiss.

Solange dieses Material auf dem eigenen Gerät bleibt, ist der Betrieb allein verantwortlich. Sobald es in einem System eines Dritten verarbeitet wird — Browseranwendung, Cloud-Speicher, Auswertungsdienst —, kommt eine zweite Rolle dazu: die des Auftragsbearbeiters. Und damit kommen Pflichten, die man erfüllen kann, aber kennen muss.

Die Frage ist nicht, ob eine Cloud erlaubt ist. Sie ist erlaubt. Die Frage ist, ob Sie die drei Nachweise führen können, die das Gesetz dafür verlangt.

Die Schweizer Pflichten, in der Reihenfolge ihrer Schärfe

1. Die Übergabe an einen Auftragsbearbeiter (Art. 9 DSG)

Die Bearbeitung darf übertragen werden, wenn „die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte“ und keine Geheimhaltungspflicht entgegensteht. Absatz 2 fügt eine aktive Pflicht hinzu: „Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten.“ Und Absatz 3 begrenzt die Weitergabe: Der Auftragsbearbeiter darf „die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen“ (Art. 9 DSG, SR 235.1).

„Vergewissern“ heisst: hinschauen und das Ergebnis festhalten. Eine Datenschutzerklärung überflogen zu haben, ist keine Vergewisserung. Wer den Nachweis nicht führen kann, hat die Pflicht nicht erfüllt — auch wenn nie etwas passiert.

2. Das Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG, Art. 24 DSV)

Grundsätzlich führen Verantwortliche und Auftragsbearbeiter je ein Verzeichnis ihrer Bearbeitungstätigkeiten. Für kleine Betriebe gibt es eine Ausnahme, und sie ist enger, als sie klingt: Befreit sind Unternehmen, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen — „ausser eine der folgenden Voraussetzungen ist erfüllt: a. Es werden besonders schützenswerte Personendaten in grossem Umfang bearbeitet. b. Es wird ein Profiling mit hohem Risiko durchgeführt“ (Art. 24 DSV, SR 235.11). Für einen typischen Solarbetrieb greift die Ausnahme damit meist — aber der Nachweis, dass sie greift, ist wiederum eine Überlegung, die man einmal anstellt und aufschreibt.

3. Die Bekanntgabe ins Ausland (Art. 16 DSG, Anhang 1 DSV)

Personendaten dürfen ins Ausland, „wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates […] einen angemessenen Schutz gewährleistet“. Diese Feststellung steht in Anhang 1 der Datenschutzverordnung; dort sind der gesamte EWR-Raum, das Vereinigte Königreich, Israel, Neuseeland, Uruguay und weitere aufgeführt — Kanada wie die USA nur unter einer im Text genannten Bedingung. Liegt keine solche Feststellung vor, braucht es Garantien — in der Praxis Standarddatenschutzklauseln, die der EDÖB genehmigt, ausgestellt oder anerkannt hat.

Der Fall, den fast alle falsch erinnern, sind die Vereinigten Staaten. Sie stehen seit dem 15. September 2024 in Anhang 1 — aber mit einer Bedingung im Text: „Für Personendaten, die von Organisationen bearbeitet werden, die gemäss den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA zertifiziert sind, gilt ein angemessenes Schutzniveau als gewährleistet“ (Anhang 1 Ziff. 44 DSV, Fassung seit 15.9.2024 (AS 2024 435)). Die Angemessenheit hängt also nicht am Land, sondern am einzelnen Unternehmen. Das ist eine Prüfhandlung von zwei Minuten: den Anbieter im öffentlichen Verzeichnis des Data Privacy Framework nachschlagen — und das Ergebnis mit Datum notieren, denn eine Zertifizierung kann auslaufen.

Was passiert, wenn man es nicht tut

Das Schweizer Datenschutzrecht sanktioniert nicht das Unternehmen, sondern die handelnde Person. Artikel 61 DSG droht Busse „bis zu 250 000 Franken“ an — unter anderem dem, der „die Datenbearbeitung einem Auftragsbearbeiter übergeben, ohne dass die Voraussetzungen nach Artikel 9 Absätze 1 und 2 erfüllt sind“, oder die Mindestanforderungen an die Datensicherheit nicht einhält. Nur wenn eine Busse von höchstens 50 000 Franken in Betracht kommt und die Ermittlung der verantwortlichen Person unverhältnismässig wäre, kann die Behörde stattdessen den Geschäftsbetrieb zur Zahlung verpflichten (Art. 64 Abs. 2 DSG).

Zwei Einschränkungen gehören dazu, sonst wird aus dem Hinweis eine Drohung: Die Strafbarkeit setzt Vorsatz voraus, und die Verfolgung erfolgt auf Antrag. Fahrlässigkeit ist nicht erfasst. Das ist kein Freibrief — aber es erklärt, warum es hier nicht um Panik geht, sondern um drei Nachweise, die man einmal führt.

Deutschland und Österreich: dieselbe Frage, schärfere Form

Wer in der EU plant, arbeitet unter der Datenschutz-Grundverordnung. Zwei Unterschiede fallen im Alltag auf:

• Der Vertrag ist zwingend und inhaltlich vorgegeben. Artikel 28 Absatz 3 DSGVO verlangt einen Vertrag, der „Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen“ festlegt (Art. 28 Abs. 3 DSGVO). Ohne diesen Vertrag ist die Nutzung eines Cloud-Dienstes formal fehlerhaft, auch wenn technisch alles in Ordnung ist.
• Die Kleinbetriebs-Ausnahme greift kaum. Artikel 30 Absatz 5 DSGVO befreit Unternehmen unter 250 Mitarbeitern vom Verzeichnis — „es sei denn, die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich […]“. Kundendaten in der Planungssoftware sind der Normalfall des Geschäfts und damit nicht gelegentlich. Für einen Solarbetrieb in Deutschland oder Österreich ist das Verzeichnis deshalb in der Regel zu führen.

Die Prüfliste vor der Lizenz

Sieben Fragen, die jeder Anbieter beantworten können muss — auch wir. Wer bei einer davon ausweicht, hat die Antwort gegeben.

1. Wo werden Projekt- und Kundendaten gespeichert: auf dem Gerät, in einem Rechenzentrum, in welchem Land?
2. Wer kann darauf zugreifen — auch Beschäftigte des Anbieters zu Wartungszwecken, und wird dieser Zugriff protokolliert?
3. Gibt es einen Auftragsbearbeitungsvertrag, und welche Unterauftragnehmer sind darin namentlich genannt?
4. Werden Daten in Staaten übermittelt, für die keine Angemessenheit festgestellt ist? Bei US-Anbietern: Ist die konkrete Organisation im Data Privacy Framework zertifiziert?
5. Wie kommen die Daten wieder heraus — in welchem Format, wie vollständig — und was geschieht mit ihnen nach Vertragsende?
6. Wie und innert welcher Frist meldet der Anbieter eine Verletzung der Datensicherheit?
7. Was passiert bei Ausfall oder Zahlungsunfähigkeit des Anbieters mit laufenden Projekten?

Was daraus für die Wahl folgt — und was nicht

Zwei Missverständnisse halten sich hartnäckig, beide in dieselbe Richtung bequem:

„Lokal ist automatisch sicher.“ Nein. Das häufigste Datenleck in einem Kleinbetrieb ist ein unverschlüsseltes Notebook im Auto. Festplattenverschlüsselung, eine Sicherung, die nicht neben dem Gerät liegt, und Zugriffsschutz sind Pflicht, gleichgültig welche Software darauf läuft. Was lokale Verarbeitung ändert, ist etwas anderes: Wo kein Dritter bearbeitet, entfällt die Auftragsbearbeitung — und mit ihr die Vergewisserungspflicht, der Vertrag und die Auslandsfrage. Das ist keine höhere Sicherheit, sondern eine kürzere Pflichtenkette.

„Cloud ist automatisch heikel.“ Auch nein. Ein Anbieter mit ordentlichem Vertrag, benannten Unterauftragnehmern und einem Rechenzentrum in der Schweiz oder im EWR ist rechtlich unproblematisch — und oft besser gesichert als ein Bürorechner unter dem Schreibtisch.

Zu PV-Pro, damit die Prüfliste auch für uns beantwortet ist: Die Projekt- und Kundendaten liegen in einer Datenbank auf dem Gerät, auf dem die Anwendung läuft. Für Karten, Höhen-, Gebäude- und Wetterdaten werden Standortkoordinaten an die jeweiligen amtlichen und öffentlichen Dienste übermittelt — PVGIS, swisstopo beziehungsweise die Landesdienste in Deutschland und Österreich; ohne diese Abfragen gäbe es keine Einstrahlungsdaten und keine amtliche Geometrie. Für die Abonnementsprüfung besteht eine Verbindung zu unserem Lizenzserver. Welche Angaben dabei genau übertragen werden, steht in unserer Datenschutzerklärung — prüfen Sie sie dort, so wie Sie es bei jedem anderen Anbieter tun sollten.