Gibt es in der Schweiz ein Vorratsdatenspeicherungsgesetz für Hosting-Provider?

Was müssen Telekom-Provider nach Schweizer Recht speichern?

Metadaten und Identifikationsdaten, 6 Monate lang. Das Überwachungsgesetz (SPTA) listet sechs Arten von Stellen auf, die mitwirken müssen. Telekommunikationsdienstleister tragen die schwersten Pflichten.

• Verkehrsmetadaten: Artikel 26 Absatz 5 verpflichtet sie, die "sekundären Telekommunikationsdaten" von Kommunikation 6 Monate lang zu speichern.
• Teilnehmerdaten: Artikel 21 verpflichtet sie, diese bei Vertragsbeginn zu erfassen und bis 6 Monate nach Vertragsende zu speichern.
• IP-Zuweisungen: Artikel 21 Absatz 3 der Verordnung ergänzt die eindeutige Zuweisung von IP-Adressen am Netzwerkzugangspunkt, 6 Monate lang gespeichert.
• Verschlüsselung: Artikel 26 Absatz 2 Buchstabe c verpflichtet sie, jede selbst angewandte Verschlüsselung zu entfernen. Eine Verschlüsselung, die ein Kunde anwendet, ist nicht ihre und muss nicht entfernt werden.

Das Fernmeldegesetz definiert einen Telekommunikationsdienst als die Übertragung von Informationen für Dritte mittels Telekommunikationstechnik (Artikel 3 Buchstabe b).

Ist ein Schweizer Hosting-Provider ein Telekom-Provider oder ein abgeleiteter Dienst?

Das hängt davon ab, was er bereitstellt. Das Gesetz definiert abgeleitete Kommunikationsdienste als Dienste, die auf Telekommunikationsdiensten basieren und eine einseitige oder Mehrweg-Kommunikation ermöglichen (Artikel 2 Buchstabe c). Für Hosting gibt es keine ausdrückliche Regel.

Das Eidgenössische Justiz- und Polizeidepartement hat seine eigene Auslegung in den Erläuterungsbericht vom 8. Januar 2025 aufgenommen, der für den Revisionsentwurf erstellt wurde:

• Online-Speicherung wie Cloud-Speicher und File-Hosting ist ein abgeleiteter Kommunikationsdienst.
• Ein Hosting-Provider, der dem Server auch Internetzugang bereitstellt, ist für diesen Zugang ein Telekom-Provider.
• Cloud-Computing ohne Internetzugang und ohne Kommunikationsdienst für Dritte ist weder das eine noch das andere.

Dieser Bericht erläutert einen Entwurf, nicht das geltende Recht. Nach dem Gesetz folgt die Speicherpflicht dem Netzdienst, nicht der Speicherung.

Was muss ein abgeleiteter Kommunikationsdienst herausgeben?

Was er bereits hat. Nach Artikel 27 des Gesetzes muss ein solcher Provider die Überwachung der Daten dulden, die ein Ziel durch ihn überträgt oder speichert. Er muss Zugang zu seinen Einrichtungen gewähren und die ihm verfügbaren Metadaten liefern.

Die Speicherpflicht entsteht erst mit einer Verfügung des Dienstes für den Post- und Fernmeldeverkehr (PTSS). Die Verordnung legt die Auslöser fest:

• Weitergehende Überwachungspflichten (Artikel 52): Anordnungen zu 10 Zielen in 12 Monaten oder CHF 100 Millionen Schweizer Umsatz zwei Jahre in Folge plus 5.000 Abonnenten.
• Weitergehende Informationspflichten (Artikel 22): 100 Informationsanfragen in 12 Monaten oder derselbe Umsatztest.

Ein Provider mit weitergehenden Überwachungspflichten muss IP- und NAT-Zuweisungsdaten 6 Monate lang speichern (Artikel 21 Absatz 6).

Ist das Schweizer Datenschutzgesetz ein Aufbewahrungsgesetz?

Nein. Das Schweizer Datenschutzgesetz, revidiert mit Wirkung vom 1. September 2023, regelt die Bearbeitung personenbezogener Daten. Suchergebnisse zur Schweizer Datenaufbewahrung antworten oft mit ihm.

Die Aufbewahrung für Strafuntersuchungen stammt aus dem Überwachungsgesetz und seiner Verordnung. Sie entscheiden, wer Metadaten aufbewahrt, wie lange und wer sie lesen darf.

Diese Seite fasst veröffentlichtes Schweizer Recht zusammen; sie ist keine Rechtsberatung.

Was ändert sich in der Revision 2025–2026?

Die Verordnung könnte ausgeweitet werden, doch nichts ist beschlossen. Der Bundesrat eröffnete am 29. Januar 2025 eine Vernehmlassung zu einer Teilrevision.

Am 11. Februar 2026 nahm er die Vernehmlassungsergebnisse zur Kenntnis. Eine externe Firma prüft die Kosten für die betroffenen Unternehmen. Eine zweite Vernehmlassung wird eröffnet, sobald ein finaler Entwurf vorliegt. Die Motionen 25.4206 und 25.4273 fordern den Bundesrat auf, die Entwürfe zu überarbeiten, und er schlug vor, beide anzunehmen.

Die Presseseite des Überwachungsdienstes, gelesen am 1. November 2026, kündigt noch keine zweite Vernehmlassung an. Umfang und Datum bleiben unklar.

Wie gelangen ausländische Polizeibehörden an Daten auf einem Schweizer Server?

Über Schweizer Behörden. Nach dem Rechtshilfegesetz (IRSG) setzen Schweizer Durchsuchungen oder Beschlagnahmen für einen ausländischen Fall eine Handlung voraus, die auch eine Schweizer Straftat ist (Artikel 64). Schweizer Recht regelt, wie sie durchgeführt werden.

Die Schweiz wendet die Budapest-Konvention über Cyberkriminalität seit dem 1. Januar 2012 an. Der vollständige Weg steht auf can police seize my server in another country.

Was speichert Ravenquay über einen Zürcher Server?

Nur Abrechnungs- und Serverdaten. Keine Logs: weder Verbindungs- noch Verkehrsdaten, keine IP-Adresse eines Besuchers oder Kunden und keine Spur, wie Sie die Seite gefunden haben – außer einem Empfehlungscode, falls Ihr Link einen enthielt. Wir speichern nur, was für die Abrechnung und den Betrieb Ihres Servers nötig ist: die Kontonummer und eine E-Mail, falls Sie eine angeben; jede Aufladung und Bestellung (Betrag, Coin, Netzwerk, Transaktions-ID, Datum); und pro Server Name, Tarif, Laufzeit, Standort, System, öffentlichen SSH-Schlüssel, IP-Adressen und Daten sowie das temporäre Root-Passwort, das wir setzen, wenn Sie keinen Schlüssel angegeben haben und das den Server nicht mehr öffnet, sobald Sie es ändern. Auf die Netzwerkausrüstung des Rechenzentrums haben wir keinen Einfluss. Daten geben wir nur heraus, wenn ein panamaisches Gericht es anordnet.

Ravenquay gehört der DomaineGoat LLC, einer in Panama eingetragenen Gesellschaft, die allein dem panamaischen Recht unterliegt. Das Rechenzentrum, das jeden Server beherbergt, unterliegt dem Recht seines eigenen Landes. In Zürich gilt Schweizer Recht für das Rechenzentrum und den Netzbetreiber, der den Traffic des Servers transportiert.

Ravenquay prüfte 34 Dedicated-Server-Hosts am 30 October 2026: 10 boten Maschinen in der Schweiz an, gegenüber 19 in den Niederlanden. Island wird mit der Schweiz verglichen unter Island oder Schweiz für datenschutzorientiertes Hosting. Die vollständige Ländertabelle steht unter welche europäischen Länder noch Vorratsdatengesetze haben.