Ja, aber zwei Bedingungen müssen gleichzeitig erfüllt sein — und die erste spricht nicht von den USA.
Die erste ist Art. 9 Abs. 1 Bst. b DSG: Eine Bearbeitung darf einem Dritten nur übertragen werden, wenn «keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet». Diese Frage kommt vor jeder Überlegung zum Land, und bei vielen Treuhandmandaten steht die Antwort im Mandat selbst.
Die zweite ist Art. 16 DSG: Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat einen angemessenen Schutz festgestellt hat. Für die USA hat er das getan — aber nur gegenüber zertifizierten Unternehmen im Datenschutzrahmen Schweiz–USA, seit dem 15. September 2024. Ist der Anbieter nicht zertifiziert, fehlt diese Grundlage, und es braucht eine Garantie nach Art. 16 Abs. 2 oder eine Ausnahme nach Art. 17.
Die Frage, die vor dem Land kommt
Der Reflex ist, nach dem Serverstandort zu fragen. Das Schweizer Recht ordnet anders. Art. 9 Abs. 1 DSG (SR 235.1) lautet wörtlich:
«Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn: a. die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte; und b. keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet.»
Zwei Wörter tragen die Last: gesetzlich oder vertraglich. Der Artikel unterscheidet nicht. Eine Vertraulichkeitsklausel im Mandat wiegt hier so schwer wie ein Gesetz.
Lädt eine Anwältin, ein Notar oder eine nach Obligationenrecht zur Verschwiegenheit verpflichtete Revisorin hoch, besteht die gesetzliche Pflicht, und sie hat einen Namen: Art. 321 StGB (SR 311.0), der — auf Antrag, mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe — bestraft, wer ein Geheimnis offenbart, «das ihnen infolge ihres Berufes anvertraut worden ist oder das sie in dessen Ausübung wahrgenommen haben». Die Liste in Art. 321 Ziff. 1 ist abschliessend: Geistliche, Rechtsanwälte, Verteidiger, Notare, Patentanwälte, nach Obligationenrecht zur Verschwiegenheit verpflichtete Revisoren und die Gesundheitsberufe.
Lädt eine Treuhandfirma im üblichen Sinn hoch — Buchhaltung, Steuererklärungen, Steuerberatung, Verwaltung —, muss man etwas sagen, das viele Verkaufsunterlagen vermeiden: Art. 321 StGB nennt sie nicht. Wer ihr erzählt, «das Berufsgeheimnis verpflichtet Sie zu On-Premise», schreibt ihr eine Strafnorm zu, die für sie nicht gilt.
Das ist kein Schlupfloch, sondern eine Verschiebung — und zwar zu ihr hin. Ausserhalb der Strafnorm bleibt die Treuhandfirma Verantwortliche im Sinne des DSG — wer «über den Zweck und die Mittel der Bearbeitung entscheidet» (Art. 5 Bst. j) —, und Art. 9 Abs. 2 verlangt, dass sie «sich insbesondere vergewissern [muss], dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten». Es bleibt ihr Mandat: Enthält es eine Vertraulichkeitsklausel, ist die Pflicht vertraglich, und Art. 9 macht keinen Rabatt. Und es bleibt Art. 162 StGB: bestraft wird, wer «ein Fabrikations- oder Geschäftsgeheimnis, das er infolge einer gesetzlichen oder vertraglichen Pflicht bewahren sollte, verrät» — und die Bücher eines Unternehmens sind der Ort, an dem Geschäftsgeheimnisse liegen.
Wo die Antwort steht. In zwei Verträgen: dem mit dem Kunden und dem mit dem Anbieter des Dienstes. Die Frage für das nächste Gespräch ist eine einzige: Erlaubt die Vertraulichkeitsklausel dieses Mandats, die Bearbeitung einem Dritten zu übertragen? Lautet die Antwort nein oder gibt es keine schriftliche Antwort, stellt sich die Frage nach den USA noch gar nicht.
Das Land: Art. 16, und warum die USA nur zur Hälfte dabei sind
Ist der erste Schritt geschafft, kommt der zweite. Art. 16 Abs. 1 DSG:
«Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.»
Für die USA gibt es diese Feststellung, und hier ändert sich die Antwort. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat sie am 15. August 2024 angekündigt:
«Dieser gewährleistet ab dem 15.09.2024 einen angemessenen Datenschutz beim Austausch von Personendaten zwischen der Schweiz und zertifizierten US-Unternehmen.»
— EDÖB, 15.08.2024
Zertifiziert. Nicht «amerikanisch»: zertifiziert im Datenschutzrahmen Schweiz–USA. Der angemessene Schutz ist keine Eigenschaft des Landes, sondern des Unternehmens, das sich eingetragen hat. Die Prüfung ist kurz — die Liste der zertifizierten Unternehmen ist öffentlich, man sucht den Namen des Anbieters —, mit zwei Vorbehalten:
- die Zertifizierung gilt pro juristische Person, und der Name im Vertrag ist nicht immer der, den man in der Liste sucht;
- die Zertifizierung kann entzogen werden oder auslaufen: Sie ist ein Zustand, kein Zeugnis.
Ist der Anbieter nicht zertifiziert, bleiben die Garantien nach Art. 16 Abs. 2: ein völkerrechtlicher Vertrag; Datenschutzklauseln in einem Vertrag, die dem EDÖB vorgängig mitgeteilt wurden; spezifische Garantien; Standarddatenschutzklauseln, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat; verbindliche unternehmensinterne Datenschutzvorschriften, vorgängig genehmigt. Das Wort, das wiederkehrt, ist vorgängig: Diese Wege geht man vor dem Hochladen, nicht danach.
Die Ausnahmen nach Art. 17 — und warum die Einwilligung enger ist, als sie scheint
Art. 17 Abs. 1 DSG nennt die Fälle, in denen abweichend von Art. 16 bekanntgegeben werden darf. Der erste ist der naheliegende: «a. Die betroffene Person hat ausdrücklich in die Bekanntgabe eingewilligt.» In einer Kanzlei engen ihn drei Dinge ein.
Wessen Einwilligung. In einer Bilanz stehen nicht nur die Daten des Kunden, sondern auch die seiner Mitarbeitenden, Lieferanten und Schuldner. Die Einwilligung der Person, die das Mandat unterschreibt, ist die einer betroffenen Person — nicht aller.
«Ausdrücklich». Eine Zeile am Ende der AGB ist kein Boden, auf dem man einen Prozess baut, der sich jahrelang jeden Tag wiederholt.
Die Einwilligung nach Art. 17 DSG ist nicht die nach Art. 321 StGB. Art. 321 Ziff. 2 sieht vor, dass der Täter nicht strafbar ist, «wenn er das Geheimnis auf Grund einer Einwilligung des Berechtigten oder einer auf Gesuch des Täters erteilten schriftlichen Bewilligung der vorgesetzten Behörde oder Aufsichtsbehörde offenbart hat». Für wer auf der Liste steht, sind Einwilligung in die Bekanntgabe und Einwilligung in die Offenbarung getrennt zu behandeln.
Die übrigen Buchstaben von Art. 17 Abs. 1 — Vertrag, überwiegendes öffentliches Interesse, Rechtsansprüche vor Gericht, Leben und körperliche Unversehrtheit, allgemein zugänglich gemachte Daten, öffentliche Register — sind für bestimmte Situationen geschrieben. Keiner davon für «einen Informatikdienst nutzen».
Was wir Ihnen nicht versprechen können
Wir sagen Ihnen nicht, die Cloud sei illegal. Sie ist es nicht: Beide Bedingungen dieser Seite lassen sich erfüllen, und viele Kanzleien erfüllen sie.
Wir sagen Ihnen nicht, eine Maschine im Büro löse alles von selbst. Eine lokale Maschine nimmt Art. 16 aus dem Spiel — es gibt keine Bekanntgabe ins Ausland — und vereinfacht Art. 9, weil es keinen externen Auftragsbearbeiter gibt. Von den übrigen DSG-Pflichten befreit sie nicht: Datensicherheit, Information, Verzeichnis der Bearbeitungstätigkeiten, Rechte der betroffenen Personen. Die bleiben alle, und sie bleiben Ihre.
Wir sagen Ihnen nicht, Art. 321 StGB verpflichte Sie, wenn Sie eine Treuhandfirma sind. Ihre Pflicht, wenn es eine gibt, steht im Mandat.
Wir sind nicht Ihre Rechtsberater. Diese Seite zitiert die Artikel, damit Sie sie mit Ihrer Anwältin oder Ihrem Revisor öffnen können. Sie ersetzt keine Beurteilung Ihres Falls.
Die Frage für heute
Öffnen Sie das Mandat Ihres grössten Kunden und suchen Sie die Vertraulichkeitsklausel. Erlaubt sie, die Bearbeitung einem Dritten zu übertragen? Diese Zeile entscheidet mehr als jeder Anbietervergleich.
Wenn die Antwort nein lautet — oder wenn Sie sie nicht bei jedem neuen Mandat suchen möchten: Mit AG Core arbeitet die künstliche Intelligenz auf einer Maschine in Ihrem Büro, die Bearbeitung verlässt die Kanzlei nicht, und die Frage nach den USA stellt sich nicht. Wir zeigen es Ihnen live, an Ihren Dokumenttypen.
Oder schreiben Sie uns auf WhatsApp +41 79 863 37 88 oder rufen Sie an: +41 91 814 86 00.
Quellen
DSG (SR 235.1), Art. 5, 9, 16, 17 — Fedlex, Stand 1. September 2023 ·
Strafgesetzbuch (SR 311.0), Art. 162 und 321 — Fedlex, Stand 1. Januar 2026 ·
EDÖB — Neuer Datenschutzrahmen zwischen der Schweiz und den USA, 15.08.2024
Alle Quellen am 31.10.2026 erneut geöffnet.