Was DSGVO und revDSG fordern
Die EU-DSGVO und das revidierte Schweizer Datenschutzgesetz (revDSG, in Kraft seit 2023) regeln den Umgang mit personenbezogenen Daten. Für Remote-Wartung relevant sind:
- Verarbeitungsverzeichnis (Art. 30 DSGVO / Art. 12 revDSG): Du musst dokumentieren, wer wann auf welche Daten zugegriffen hat.
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO / Art. 9 revDSG): Wenn ein externer IT-Dienstleister auf personenbezogene Daten zugreift (auch nur «sehen» reicht), braucht's einen AVV.
- Datensicherheit (Art. 32 DSGVO / Art. 8 revDSG): Verschlüsselung, Zugriffskontrolle, Audit-Trail.
- Datenstandort: EU oder anerkannte Drittländer (Schweiz ist anerkannt).
Die häufigsten Stolperfallen
Fallback auf einen US-Cloud-Server. Du nutzt ein P2P-Tool, aber bei Symmetric NAT springt ein TURN-Relay ein — und der ist in den USA. Datenfluss durch US-Infrastruktur unterliegt dem CLOUD Act. Lösung: Tool wählen, das gar keinen Medien-Relay einsetzt — dann bleiben die Bildschirmdaten durchgehend auf dem direkten P2P-Pfad und verlassen ihn nie.
Kein AVV mit dem Tool-Anbieter. Wenn du als IT-Dienstleister Remote-Sessions auf Kunden-Geräten führst, bist du Auftragsverarbeiter für die Kundendaten. Der Tool-Anbieter ist Sub-Auftragsverarbeiter. Beide AVVs müssen vorliegen.
Kein Audit-Trail. Bei einem DSGVO-Audit musst du nachweisen können, wer wann welche Session geführt hat. Manche Tools loggen nur «Sessions diesen Monat: 47» — das ist zu wenig. Gefordert: pro Session der Techniker-Name, Zielgerät, Dauer, Datei-Übertragungen.
Session-Aufzeichnung ohne Einwilligung. Wenn du Sessions aufzeichnest (z.B. für Compliance), brauchst du die ausdrückliche Einwilligung des Endnutzers am Host-Gerät. Ohne Einwilligung: Verstoss.
Die Schweizer Vorteile
Wenn du als Schweizer IT-Dienstleister einen Schweizer Anbieter wählst:
- Kein CLOUD Act. Schweizer GmbHs ohne US-Mutter können nicht zur Datenherausgabe an US-Behörden gezwungen werden.
- Kürzere Rechtshilfe. Streitigkeiten bei einem Schweizer Anbieter werden vor einem Schweizer Gericht ausgetragen — keine Multi-Jurisdiktions-Komplexität.
- EDÖB als Anlaufstelle. Beschwerden gehen zum Eidgenössischen Datenschutzbeauftragten — pragmatisch und auf Schweizer Recht spezialisiert.
Praxis-Checkliste
Bevor du ein Remote-Tool für regulierte Kunden einsetzt:
- ✅ Datenstandort dokumentiert? Server in Schweiz oder EU.
- ✅ AVV vorhanden? Standard-AVV des Anbieters durchgelesen + abgespeichert.
- ✅ Verschlüsselung E2E? AES-256 oder vergleichbar, dokumentiert.
- ✅ Audit-Trail aktiviert? Per Session: wer/wann/was.
- ✅ Rollen + Berechtigungen? Nicht jeder Techniker auf alles. Prinzip der minimalen Berechtigung.
- ✅ Einwilligung für Aufzeichnung? Wenn Sessions aufgezeichnet werden.
- ✅ Tool-Anbieter ohne CLOUD-Act-Abhängigkeit? Bei sensiblen Daten (Gesundheit, Finanz, Anwalt) hart relevant.
- ✅ Tracking-Konfiguration explizit gesetzt? Kein anonymes «über alles erzählt der Anbieter alles seinem Marketing».
Wo WinDesk hier steht
WinDesk wurde explizit für den Schweizer Compliance-Kontext gebaut:
- Server in Schweiz und EU, kein US-Cloud-Hop
- Lightnet Multimedia GmbH ist Schweizer GmbH ohne US-Mutter — kein CLOUD Act
- AES-256-GCM E2E pro Session, ephemerer Schlüssel
- Protokoll per Default: Sitzungen, neue und aufgehobene Verknüpfungen sowie Rollenwechsel; den Sitzungsverlauf filterst du nach Host und Datum
- Vier Rollen: Inhaber, Administrator, Supporter, Nur Lesen
- Sitzungs-Aufzeichnung noch nicht verfügbar — auf der Roadmap (mit Einwilligungs-Workflow)
Sicherheits-Page mit Detail-Belegen. Bei AVV-Fragen: info@windesk.ch.