GDPR-konformes Monitoring für Schweizer Unternehmen 2026

Schweizer Unternehmen, die 2026 ein Monitoring-Tool auswählen, stehen vor einer Frage, die deutsche und französische Teams so nicht haben: Welches Datenschutzrecht gilt eigentlich für uns — das Schweizer revDSG, die EU-DSGVO oder beide? Und ist ein EU-gehostetes Tool für eine Schweizer Firma überhaupt die richtige Wahl, oder müssen die Daten in der Schweiz bleiben?

Die kurze Antwort: Für die grosse Mehrheit der Schweizer Unternehmen ist EU-Hosting rechtlich genauso sauber wie Schweizer Hosting — die Schweiz und die EU erkennen ihr Datenschutzniveau gegenseitig als angemessen an. Die problematische Kategorie sind nicht EU-Tools, sondern US-Tools. Dieser Guide erklärt die Rechtslage mit Stand Juli 2026, zeigt, wo echte Schweizer Datenresidenz tatsächlich nötig ist, und vergleicht die relevanten Monitoring-Optionen.

Ein Wort zur Transparenz vorweg: FoundersDeck, der Anbieter hinter diesem Blog, ist in der EU gehostet (Nürnberg, Deutschland) — nicht in der Schweiz. Warum das für die meisten Schweizer Firmen kein Nachteil ist und wann doch, behandelt dieser Artikel offen.

Welches Recht gilt? revDSG, DSGVO — oder beide

Seit dem 1. September 2023 gilt in der Schweiz das totalrevidierte Datenschutzgesetz (revDSG bzw. nDSG). Es gilt für jede Datenbearbeitung durch Schweizer Unternehmen — ohne Übergangsfrist und ohne Bagatellschwelle.

Die DSGVO kommt für Schweizer Unternehmen zusätzlich zur Anwendung, wenn eine der beiden Bedingungen von Art. 3 Abs. 2 DSGVO erfüllt ist: Das Unternehmen richtet sein Angebot erkennbar auf Personen in der EU aus (etwa durch Euro-Preise, EU-Domains oder gezieltes EU-Marketing), oder es beobachtet das Verhalten von Personen in der EU. Für die meisten Schweizer SaaS-Firmen, Agenturen und E-Commerce-Anbieter mit EU-Kundschaft heisst das in der Praxis: beide Regime parallel.

Warum betrifft das ausgerechnet Monitoring? Weil Monitoring-Daten mehr Personendaten enthalten, als auf den ersten Blick sichtbar: Alert-E-Mail-Adressen und On-Call-Kontakte des Teams, Subscriber öffentlicher Status-Seiten, IP-Adressen von Status-Seiten-Besuchern, teils Nutzerkennungen in Incident-Meldungen. Der Monitoring-Anbieter ist damit Auftragsbearbeiter (Art. 9 DSG) beziehungsweise Auftragsverarbeiter (Art. 28 DSGVO) — mit allem, was dazugehört: Vertrag, Subunternehmerliste, Transfer-Prüfung.

Die Rechtslage 2026 in drei Punkten

Wer nur eines aus diesem Artikel mitnimmt, dann diese drei verifizierbaren Fakten:

1. Die EU stuft die Schweiz als angemessen ein. Der Angemessenheitsbeschluss besteht seit 2000; am 15. Januar 2024 hat die EU-Kommission nach ihrem ersten Review unter der DSGVO bestätigt, dass die Schweiz weiterhin ein angemessenes Schutzniveau bietet. Daten dürfen frei aus der EU in die Schweiz fliessen.
2. Die Schweiz stuft die EU als angemessen ein. Alle EU- und EWR-Staaten stehen auf der Staatenliste in Anhang 1 der Datenschutzverordnung (DSV, gestützt auf Art. 16 Abs. 1 DSG). Daten dürfen ohne zusätzliche Garantien aus der Schweiz in die EU fliessen — Hosting in Deutschland ist aus Schweizer Sicht rechtlich unkompliziert.
3. Für die USA gilt seit dem 15. September 2024 das Swiss-U.S. Data Privacy Framework — aber nur für zertifizierte US-Unternehmen, und es ändert nichts am US CLOUD Act.

Die Konsequenz für die Tool-Auswahl: Zwischen einem Schweizer und einem EU-Anbieter besteht aus revDSG-Sicht kein rechtlicher Unterschied beim Datentransfer. Die eigentliche Trennlinie verläuft zwischen EU/Schweiz auf der einen und US-Jurisdiktion auf der anderen Seite.

Warum EU-Hosting für Schweizer Unternehmen rechtlich sauber ist

Die Staatenliste macht den Fall einfach: Übermittelt eine Schweizer Firma Personendaten an einen Anbieter in Deutschland, Belgien oder Frankreich, ist das eine Bekanntgabe in einen Staat mit angemessenem Schutzniveau (Art. 16 Abs. 1 DSG in Verbindung mit Anhang 1 DSV). Es braucht keine Standardvertragsklauseln, keine Transfer-Folgenabschätzung und keine Einwilligung der betroffenen Personen für den Auslandsbezug.

Dazu kommt ein praktischer Vorteil für Schweizer Firmen mit EU-Kunden: Wer ohnehin unter die DSGVO fällt, muss seinen EU-Kunden gegenüber eine saubere Verarbeitungskette nachweisen. Ein Monitoring-Anbieter, der in der EU sitzt und hostet, fügt sich in diese Kette ein, ohne eine zusätzliche Drittland-Diskussion zu eröffnen — die Schweizer Firma selbst ist dank des EU-Angemessenheitsbeschlusses für die Schweiz das einzige „Drittland” in der Kette, und genau dieses ist von der EU abgesegnet.

Umgekehrt formuliert: Ein EU-gehostetes, EU-betriebenes Monitoring-Tool erfüllt beide Regime gleichzeitig — revDSG über die Staatenliste, DSGVO nativ. Das ist der Grund, warum dieser Guide EU-Anbieter nicht als Kompromiss, sondern als Standardempfehlung für Schweizer Teams behandelt.

Welche Anbieter tatsächlich EU-eingetragen sind und wo ihre Daten liegen, dokumentiert unsere EU-SaaS-Jurisdiktions-Datenbank — 57 Tools, verifiziert gegen Impressum, AGB und Datenschutzerklärung der Anbieter.

US-Tools aus Schweizer Sicht: DPF, CLOUD Act und die DSGVO-Falle

Seit dem 15. September 2024 ist die Lage für US-Tools formal entspannter: Der Bundesrat hat die USA — beschränkt auf Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind — in Anhang 1 der DSV aufgenommen. Die Übermittlung an zertifizierte US-Anbieter ist damit aus revDSG-Sicht ohne zusätzliche Garantien zulässig.

Fair ist: Ein Schweizer Unternehmen, das UptimeRobot, Pingdom oder BetterStack nutzt, handelt damit nicht automatisch rechtswidrig. Drei Einschränkungen bleiben aber bestehen:

1. Die Zertifizierung ist anbieterspezifisch. Das DPF gilt nur für Unternehmen, die aktiv zertifiziert sind und die Zertifizierung aufrechterhalten. Das muss pro Anbieter geprüft und dokumentiert werden — und entfällt, wenn der Anbieter aus dem Programm fällt.

2. Das DPF ändert nichts am CLOUD Act. Der US CLOUD Act verpflichtet US-eingetragene Unternehmen zur Herausgabe von Kundendaten an US-Behörden — unabhängig vom Serverstandort. Für Monitoring-Tools ist das besonders relevant, weil Monitor-URLs, Response-Zeiten und Incident-Historien die eigene Infrastruktur-Topologie und deren Schwachstellen offenlegen. Diese Metadaten bleiben bei einem US-Anbieter für US-Behörden erreichbar, DPF hin oder her.

3. Die DSGVO-Falle für EU-orientierte Schweizer Firmen. Wer parallel unter die DSGVO fällt, muss den US-Transfer auch nach EU-Recht rechtfertigen. Das EU-US-Pendant zum DPF existiert, steht aber seit seiner Einführung politisch und juristisch unter Beobachtung — die Vorgänger Safe Harbor und Privacy Shield wurden beide vom EuGH gekippt. Wer seine Compliance-Architektur nicht auf den Fortbestand eines angefochtenen Frameworks bauen will, wählt die Route, die ohne Framework auskommt: EU- oder Schweizer Anbieter.

Kurz: US-Tools sind für Schweizer Firmen ein „zulässig, aber mit Prüf- und Dokumentationsaufwand plus Restrisiko”. EU-Tools sind ein „zulässig, Punkt”.

Wann du echte Schweizer Datenresidenz brauchst

Ehrlichkeit in beide Richtungen: Es gibt Konstellationen, in denen EU-Hosting nicht reicht — sie betreffen aber eine Minderheit der Schweizer Unternehmen, und die Anforderung kommt dann nicht aus dem revDSG, sondern aus Branchen- oder Vertragsrecht:

• FINMA-beaufsichtigte Institute: Das Outsourcing-Rundschreiben FINMA-RS 2018/3 und das Bankkundengeheimnis (Art. 47 BankG) führen in der Praxis häufig dazu, dass Banken und Versicherer Schweizer Datenhaltung vertraglich fordern oder Auslandsbearbeitung nur unter strengen Zusatzauflagen zulassen — auch für scheinbar „technische” Daten.
• Öffentliche Organe: Kantonale Datenschutzgesetze enthalten teils eigene Vorgaben für die Bearbeitung im Ausland; Ausschreibungen der öffentlichen Hand verlangen nicht selten explizit Schweizer Datenstandort.
• Vertragliche Zusagen: Wer seinen eigenen Kunden „Daten bleiben in der Schweiz” versprochen hat, kann Monitoring-Metadaten schlecht nach Nürnberg geben.

Für diese Fälle ist der belastbarste Weg Self-Hosting auf Schweizer Infrastruktur: ein Open-Source-Tool wie Uptime Kuma auf einem Schweizer Provider (Infomaniak, Exoscale, cyon). Damit gibt es keinen Drittanbieter, keine Auftragsbearbeitung und keine Transferfrage — die Daten verlassen die eigene Schweizer Umgebung nie.

Ein Hinweis aus unserer Recherche: Es gibt Dienste, die mit „Swiss uptime monitoring” werben. Bei den von uns geprüften Angeboten (Stand Juli 2026, u. a. alptime.ch und swiss-monitor.ch) war auf den öffentlichen Seiten keine Betreibergesellschaft auffindbar — kein Impressum mit Rechtsform, Handelsregistereintrag oder verantwortlicher Person. Wende hier denselben Massstab an, den dieser Guide für alle Tools nutzt: Wer den Betreiber nicht verifizieren kann, kann auch die Datenhoheits-Zusage nicht verifizieren. Ein „Swiss”-Label im Namen ersetzt kein prüfbares Impressum.

Die Tools im Vergleich

Die Auswahlkriterien entsprechen unserem EU-Monitoring-Guide, ergänzt um die Schweizer Perspektive: Betreiber-Jurisdiktion (EU/Schweiz statt US), garantierte Datenresidenz statt „EU-Region verfügbar”, sofort verfügbarer AVV, transparente Subunternehmerliste — und die Frage, welche Reliability-Primitive (Uptime, Heartbeat, Status-Seite) abgedeckt sind.

1. FoundersDeck — EU-gehostete All-in-One-Plattform (Nürnberg)

FoundersDeck ist eine EU-First-Reliability-Plattform, entwickelt in Deutschland und ausschliesslich auf Netcup-Infrastruktur in Nürnberg gehostet. Für Schweizer Teams ist die Einordnung einfach: Deutschland steht auf der Staatenliste (Anhang 1 DSV), die Übermittlung ist ohne zusätzliche Garantien zulässig — und wer parallel unter die DSGVO fällt, bekommt die EU-Konformität gleich mit.

Was den Unterschied macht:

• Vier Primitive in einer Plattform: Uptime-Monitoring (HTTP, Ping, Keyword, 30-Sekunden-Intervalle), Heartbeat-/Cron-Monitoring, öffentliche Status-Seiten und Multi-Channel-Alerts — statt drei Tools mit drei Verträgen und drei Subunternehmerlisten
• Cookie-freie Status-Seiten — kein Consent-Banner nötig; relevant, weil jeder Status-Seiten-Besucher eine betroffene Person ist
• 100 % deutsche Infrastruktur — nicht „EU-Region verfügbar”, sondern ausschliesslich Deutschland, dokumentiert auf der Trust-Seite
• AVV als Sofort-Download — kein Vertriebsgespräch, direkt ablegbar im Verarbeitungsverzeichnis

Preis: Kostenloser Tarif (5 Monitore, 1 Status-Seite, E-Mail-Alerts), kostenpflichtige Tarife ab 9 €/Monat

Datenhoheit: EU (ausschliesslich Deutschland, Nürnberg) — nicht Schweiz; für FINMA-harte Residenz-Anforderungen daher nicht die richtige Wahl, für alle anderen Schweizer Teams die unkomplizierte

Ideal für: Schweizer Founder, SaaS-Teams und Agenturen mit EU-Kundschaft, die revDSG und DSGVO mit einem einzigen Anbieter abdecken wollen

2. Oh Dear — EU-Option für Laravel-/PHP-Teams

Oh Dear ist ein belgisches Monitoring-Tool des Teams hinter Spatie. Belgien steht auf der Schweizer Staatenliste, die Transferfrage stellt sich nicht. Stark bei erweiterten Checks: Broken Links, Mixed Content, Zertifikats-Monitoring, Scheduled Tasks.

Preis: Ab 13 €/Monat (kein kostenloser Tarif, 10 Tage Trial)

Datenhoheit: EU (Belgien)

Ideal für: PHP-/Laravel-Teams im Spatie-Ökosystem, die mehr als reines HTTP-Monitoring brauchen

3. Uptime Kuma auf Schweizer Infrastruktur — Self-Hosting für CH-Datenresidenz

Uptime Kuma ist das führende Open-Source-Monitoring-Tool zum Selbst-Hosten — kostenlos, 90+ Monitor-Typen, aktive Community. Auf einem Schweizer Provider betrieben (Infomaniak, Exoscale, cyon) ist es der einzige Weg in diesem Vergleich zu harter Schweizer Datenresidenz: kein Drittanbieter, keine Auftragsbearbeitung, keine Transferfrage.

Preis: Kostenlos (Software) + Schweizer Hosting-Kosten

Datenhoheit: Schweiz — wenn du es dort hostest

Vorbehalt: Du betreibst die Monitoring-Infrastruktur selbst — Updates, Verfügbarkeit des Monitors, Alert-Zustellung und Audit-Logs liegen in deiner Verantwortung. Und: Wer überwacht das Monitoring? Ein externer Heartbeat auf das selbst gehostete Kuma ist Pflicht.

Ideal für: FINMA-nahe Setups, öffentliche Auftraggeber mit CH-Standort-Pflicht, Teams mit Ops-Kapazität

4. Hyperping — API-Monitoring aus Frankreich

Hyperping ist ein französischer Anbieter mit Fokus auf API-Monitoring, synthetische Checks und schnelle Alarmierung. Frankreich steht auf der Staatenliste — aus Schweizer Sicht unkompliziert.

Preis: Kostenloser Einstieg, bezahlte Tarife ab ca. 24 $/Monat

Datenhoheit: EU (Frankreich)

Ideal für: API-lastige Produkte, die granulare Endpoint-Checks und schnelle Alerts brauchen

5. Healthchecks.io — Heartbeat-Monitoring aus Lettland

Healthchecks.io ist der Spezialist für Cron-Job- und Heartbeat-Überwachung, betrieben aus Lettland (EU). 20 Checks kostenlos, Open Source mit Self-Hosting-Option — auch auf Schweizer Infrastruktur.

Preis: 20 Heartbeat-Checks kostenlos, bezahlte Tarife darüber

Datenhoheit: EU (Lettland); self-hosted: frei wählbar

Ideal für: Teams, die ausschliesslich Cron-Jobs und Background-Worker überwachen — für Uptime und Status-Seiten braucht es ein zweites Tool

Entscheidungshilfe für Schweizer Teams

Schweizer SaaS-Firma mit EU-Kunden, ein Tool für alles? → FoundersDeck (revDSG + DSGVO mit einem Anbieter abgedeckt)

FINMA-reguliert oder vertraglich auf CH-Datenhaltung verpflichtet? → Uptime Kuma self-hosted auf Infomaniak/Exoscale — plus externer Heartbeat auf das Kuma selbst

Laravel-Shop mit Budget? → Oh Dear

Nur Cron-Jobs überwachen? → Healthchecks.io

US-Tool im Einsatz und (noch) kein Wechsel geplant? → DPF-Zertifizierung des Anbieters prüfen und dokumentieren, CLOUD-Act-Restrisiko bewerten — und bei der nächsten Vertragsrunde die EU-Alternative rechnen

Die Faustregel bleibt dieselbe wie im EU-Vergleich: Die Trennlinie ist nicht Schweiz vs. EU — beide Seiten erkennen sich gegenseitig als angemessen an. Die Trennlinie ist EU/Schweiz vs. US-Jurisdiktion. Wer sie einmal sauber zieht, hat die Transferfrage für revDSG und DSGVO gleichzeitig gelöst.

Häufig gestellte Fragen

Gilt die DSGVO (GDPR) für Schweizer Unternehmen?

Die Schweiz ist kein EU-Mitglied, daher gilt für Schweizer Unternehmen primär das revidierte Schweizer Datenschutzgesetz (revDSG, in Kraft seit 1. September 2023). Die DSGVO kommt aber über ihren extraterritorialen Anwendungsbereich (Art. 3 Abs. 2 DSGVO) zusätzlich zur Anwendung, sobald ein Schweizer Unternehmen sein Angebot erkennbar auf Personen in der EU ausrichtet oder deren Verhalten beobachtet. Für die meisten Schweizer SaaS-Firmen mit EU-Kunden bedeutet das in der Praxis: Beide Regime gelten parallel. Ein Monitoring-Setup, das die strengeren DSGVO-Anforderungen erfüllt, deckt die revDSG-Anforderungen in aller Regel mit ab.

Darf eine Schweizer Firma ihre Monitoring-Daten in der EU hosten?

Ja, ohne zusätzliche Garantien. Das revDSG erlaubt die Bekanntgabe von Personendaten ins Ausland, wenn der Bundesrat dem Zielstaat ein angemessenes Datenschutzniveau attestiert hat (Art. 16 Abs. 1 DSG). Alle EU- und EWR-Staaten stehen auf dieser Staatenliste in Anhang 1 der Datenschutzverordnung (DSV). Hosting in Deutschland — etwa in Nürnberg — ist aus Schweizer Sicht also rechtlich gleichwertig unkompliziert wie Hosting in der Schweiz selbst: kein Standardvertrag, keine Zusatzklauseln, keine Transfer-Folgenabschätzung nötig.

Was gilt für US-Monitoring-Tools nach dem Swiss-U.S. Data Privacy Framework?

Seit dem 15. September 2024 stuft der Bundesrat US-Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, als angemessen ein — die kommerzielle Übermittlung an solche Anbieter ist damit ohne zusätzliche Garantien zulässig. Drei Punkte bleiben: Erstens gilt das nur für zertifizierte Unternehmen, die Zertifizierung muss pro Anbieter geprüft werden. Zweitens ändert das DPF nichts am US CLOUD Act — US-Behörden können US-Anbieter weiterhin zur Herausgabe von Kundendaten verpflichten, egal wo die Server stehen. Drittens: Sobald die DSGVO parallel anwendbar ist (EU-Kunden), muss der Transfer auch nach EU-Recht sauber sein. Wer diese Prüfkaskade vermeiden will, wählt einen EU- oder Schweizer Anbieter.

Wann braucht ein Schweizer Unternehmen echte Schweizer Datenresidenz?

Für die meisten Schweizer Unternehmen ist EU-Hosting rechtlich ausreichend — die Staatenliste macht die EU zum unproblematischen Zielland. Strengere Anforderungen entstehen typischerweise aus Branchen- oder Vertragsrecht, nicht aus dem revDSG: FINMA-beaufsichtigte Institute unterliegen dem Outsourcing-Rundschreiben (FINMA-RS 2018/3) und dem Bankkundengeheimnis (Art. 47 BankG), was in der Praxis oft zu vertraglich geforderter Schweizer Datenhaltung führt. Öffentliche Organe unterliegen kantonalen Datenschutzgesetzen mit teils eigenen Vorgaben für die Bearbeitung im Ausland. Wer harte Schweizer Datenresidenz für Monitoring braucht, fährt am belastbarsten mit Self-Hosting (z. B. Uptime Kuma) auf Schweizer Infrastruktur wie Infomaniak oder Exoscale.

Was ist der Unterschied zwischen revDSG und DSGVO beim Monitoring?

Beide Gesetze schützen Personendaten, und Monitoring-Daten enthalten davon mehr, als viele Teams erwarten: Alert-E-Mail-Adressen und On-Call-Kontakte, Status-Page-Subscriber, IP-Adressen von Status-Seiten-Besuchern. Die praktischen Unterschiede: Die DSGVO verlangt Auftragsverarbeitungsverträge nach Art. 28 mit detaillierten Pflichtinhalten, das revDSG regelt die Auftragsbearbeitung in Art. 9 DSG schlanker. Die DSGVO droht Bussen bis 4 % des Weltumsatzes gegen Unternehmen an, das revDSG bis CHF 250’000 — gegen die verantwortliche natürliche Person. Für die Tool-Auswahl ist der Unterschied gering: Ein Anbieter mit EU-Datenresidenz, sofort verfügbarem AVV und transparenter Subunternehmerliste erfüllt die Anforderungen beider Regime.