13.06.2022 - Aufgrund teilweise unterschiedlicher Rechtsauffassungen rät der EDÖB der Suva, die Auslagerung von Personendaten in eine vom US-amerikanischen Konzern Microsoft betriebene Cloud neu zu beurteilen.
Auslagerung von Personendaten durch die Suva in eine Microsoft Cloud
Die Suva hat dem EDÖB am 10. Dezember 2021 aus eigenem Antrieb eine mit «Risikobeurteilung Projekt Digital Workplace M365» betitelte Dokumentation zugestellt. In diesem Projekt geht es um die damals unmittelbar bevorgestandene Auslagerung von bis anhin «on premise» (d.h. auf eigener Infrastruktur) bearbeiteten Personendaten der Suva in ein vom US-amerikanischen Konzern Microsoft auf schweizerischem Territorium betriebenes Rechenzentrum.
Nach dem Studium der ihm freiwillig eingereichten Dokumentation begrüsst der Beauftragte, dass die Suva ihr Auslagerungsprojekt einer eigenverantwortlichen Datenschutz-Überprüfung unterzogen hat. Er rät der Suva, die Auslagerung zeitnah einer Neubeurteilung zu unterziehen.
Angesichts der weiten Verbreitung der Produkte und Leistungen der Firma Microsoft in der Privatwirtschaft und den öffentlichen Verwaltungen der Schweiz ist das Auslagerungsprojekt für eine breite Öffentlichkeit von Interesse, weshalb der Beauftragte seine summarische Stellungnahme zum Vorhaben publiziert.
Da in der Schweiz noch keine richterliche Rechtsprechung zur aufgeworfenen Auslagerungsproblematik besteht, publiziert der EDÖB mit Genehmigung der Suva auch deren Antwortschreiben, aus dem teilweise abweichende Auffassungen hervorgehen.
Je nach Entwicklung der Situation und Rechtslage behält sich der Beauftragte vor, in einem späteren Zeitpunkt von Amtes wegen aufsichtsrechtlich tätig zu werden.
Stellungnahme des EDÖB Risikobeurteilung Suva Projekt Digital Workplace M365 (PDF, 1 MB, 10.05.2023)
Antwort Suva zur Stellungnahme des EDÖB zum Projekt Digital Workplace M365 (PDF, 987 kB, 10.05.2023)
Letzte Änderung 21.11.2023