Newsletter-Software Schweiz: revDSG, US-Anbieter und Self-Hosting
Das revidierte Datenschutzgesetz gilt seit dem 1. September 2023. Die USA stehen seit September 2024 für zertifizierte Unternehmen auf der Schweizer Liste der Staaten mit angemessenem Datenschutz. Trotzdem fragen viele Schweizer Organisationen, ob ihre Newsletter-Liste bei einem US-Anbieter liegen soll. Diese Seite erklärt die Rechtslage, was die öffentliche Hand gerade tut und wie ein Newsletter-Stack auf Schweizer Servern aussehen kann.
Wir sind keine Anwälte und diese Seite ist keine Rechtsberatung. Für Ihre konkrete Situation fragen Sie Ihre Datenschutzberaterin oder eine auf Datenschutz spezialisierte Anwaltskanzlei. Stand: September 2026.
Für wen diese Seite gedacht ist
Für Schweizer KMU, Vereine, Stiftungen und Verwaltungen, die einen Newsletter versenden und wissen wollen, wo die Abonnentendaten liegen. Und für alle, die eine Newsletter-Software auf einem eigenen Server in der Schweiz betreiben wollen.
Das Wichtigste in Kürze
- • Das revidierte Datenschutzgesetz (revDSG) ist seit dem 1. September 2023 in Kraft, ohne Übergangsfrist. Zuständig auf Bundesebene ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).
- • Der Bundesrat hat am 14. August 2024 die USA für zertifizierte Unternehmen auf die Liste der Staaten mit angemessenem Datenschutz gesetzt (Swiss-US Data Privacy Framework), gültig ab 15. September 2024.
- • Die kantonalen Datenschutzbehörden (privatim) halten die Auslagerung besonders schützenswerter Daten öffentlicher Organe an internationale Cloud-Dienste in den meisten Fällen für unzulässig. Das ist eine Empfehlung, kein Verbot, und sie gilt für Behörden.
- • Wer eine Newsletter-Software selbst betreibt, kann die Datenbank bei einem Schweizer Hoster wie Infomaniak (Genf) oder Exoscale (Lausanne) halten. Der Versand läuft trotzdem über einen SMTP-Anbieter, und dessen Standort entscheidet mit.
Die Rechtslage in der Schweiz
Die Schweiz ist nicht in der EU, und die DSGVO gilt hier nicht direkt. Für Newsletter an Schweizer Empfänger ist das revDSG massgebend. Wer auch Empfänger in der EU hat, sollte prüfen lassen, ob zusätzlich die DSGVO greift.
revDSG und EDÖB
Das revidierte Datenschutzgesetz ist am 1. September 2023 in Kraft getreten. Der Bundesrat hatte das Datum am 31. August 2022 festgelegt. Eine Übergangsfrist gab es nicht.
Aufsichtsbehörde auf Bundesebene ist der EDÖB.
Das Swiss-US Data Privacy Framework
Am 14. August 2024 hat der Bundesrat die USA in Anhang 1 der Datenschutzverordnung aufgenommen, beschränkt auf Unternehmen, die sich unter dem Swiss-US DPF zertifiziert haben. Die Änderung gilt seit dem 15. September 2024. Die Beurteilung hat das Bundesamt für Justiz vorgenommen.
In der EU ist das entsprechende EU-US DPF vor Gericht: Das Rechtsmittel von Philippe Latombe (C-703/25 P) ist beim Gerichtshof der EU hängig. Dieses Verfahren betrifft den Beschluss der EU-Kommission. Die Schweizer Anerkennung ist ein eigener Entscheid des Bundesrats. Wie er auf ein Urteil in der EU reagieren würde, ist offen. Mehr dazu im Beitrag Was passiert, wenn das Data Privacy Framework fällt?
Praktisch heisst das: Ein Schweizer Unternehmen darf einen zertifizierten US-Anbieter nutzen. Mailchimp etwa ist über den DPF-Eintrag von Intuit auch unter dem Swiss-US DPF zertifiziert, und die Server stehen laut Mailchimp in den USA. Ob Sie das wollen, ist eine andere Frage als ob Sie es dürfen.
Was die öffentliche Hand tut
Für private Unternehmen sind diese Entwicklungen nicht verbindlich. Sie zeigen aber, wie Schweizer Behörden über US-Cloud-Dienste denken.
privatim, November 2025
privatim, die Vereinigung der kantonalen und kommunalen Datenschutzbehörden, hat am 18. November 2025 eine Resolution verabschiedet und am 24. November 2025 veröffentlicht. Danach ist die Auslagerung besonders schützenswerter oder einer gesetzlichen Geheimhaltungspflicht unterstehender Personendaten öffentlicher Organe an internationale SaaS-Anbieter (Microsoft 365 wird genannt) in den meisten Fällen nicht zulässig. Ausnahme: Die Behörde verschlüsselt die Daten selbst, und der Anbieter hat keinen Zugriff auf die Schlüssel. Die Resolution verweist auf den US CLOUD Act von 2018.
Die Resolution ist eine Empfehlung, kein Verbot. Der Kanton Schwyz etwa hat im April 2026 trotzdem beschlossen, seine Verwaltung schrittweise auf Microsoft 365 umzustellen.
Bundeskanzlei, 2. September 2026
Die Bundeskanzlei startet ein Programm für einen digital souveränen Arbeitsplatz auf Open-Source-Basis. Der Bundesrat wurde am 2. September 2026 darüber informiert, ebenso über die Ergebnisse der Machbarkeitsstudie «PoC BOSS» mit 172 Testpersonen. Rund 3000 Mitarbeitende in besonders kritischen Geschäftsprozessen sollen die Software ab Ende 2027 nutzen können. Die Bundeskanzlei rechnet für die erste Phase mit rund CHF 9 Millionen, finanziert aus Mitteln, die das Parlament für eine souveräne Schweizer Open-Source-Plattform für die Büroautomation beschlossen hat.
Die Software soll parallel zu Microsoft 365 laufen. Ein vollständiger Ausstieg ist nicht angekündigt, und die Medienmitteilung nennt kein konkretes Produkt.
Hosting in der Schweiz
Broadcast braucht einen frischen Ubuntu-Server (24.04 oder 26.04) mit mindestens 2 GB RAM und 40 GB Speicher. Empfohlen sind 4 GB RAM. Zwei Schweizer Anbieter, die sich anbieten, mit ihren Unterschieden.
Infomaniak
Genf, gegründet 1994
Schweizer Anbieter mit Mitarbeitenden in Genf und Winterthur. Die Mehrheit der Stimmrechte liegt nach Angaben des Unternehmens bei einer gemeinnützigen Stiftung. Die Rechenzentren stehen in der Schweiz.
VPS Lite ab CHF 2.70 pro Monat ohne MWST laut Produktseite, dann mit 1 vCPU, 2 GB RAM und 20 GB Speicher, bei 12 Monaten Laufzeit im Voraus bezahlt. Die Konfiguration mit 2 GB RAM und 40 GB Speicher, die Broadcast mindestens braucht, kostet CHF 5.40 pro Monat ohne MWST.
Exoscale
Lausanne, Zonen in Genf und Zürich
Exoscale ist eine Marke der Akenes SA in Lausanne. Zonen in der Schweiz: CH-GVA-2 (Genf) und CH-DK-2 (Zürich), dazu weitere in Deutschland, Österreich, Bulgarien und Kroatien.
Small (2 GB RAM) rund 17.03 pro Monat, derselbe Betrag in CHF, EUR oder USD, ohne MWST, laut Preisliste von Exoscale. Speicher kostet extra, rund 1.02 pro Monat für 10 GiB, für die 40 GB Mindestspeicher also rund 4.09.
Eigentümer bei Exoscale: Exoscale gehört zu A1 Digital und damit zur A1 Telekom Austria Group, die an der Wiener Börse notiert ist. Die A1 Group gehört laut Investorenangaben (Q1 2026) zu rund 61 % der mexikanischen América Móvil und zu rund 28 % der österreichischen Staatsholding ÖBAG. Die Server stehen in der Schweiz. Die Konzernmutter sitzt ausserhalb. Wer bei «souverän» auf den Eigentümer schaut, sollte das wissen.
Der Versand: SMTP-Anbieter in Europa
Auch wenn die Datenbank in Genf liegt: Jede E-Mail läuft über einen SMTP-Anbieter, und der bearbeitet Empfängeradressen als Auftragsbearbeiter. Broadcast arbeitet mit jedem SMTP-Anbieter. Diese Optionen haben Verarbeitung in Europa.
Amazon SES
Frankfurt, auch Zürich
In Frankfurt mit SMTP- und API-Endpunkt. In Zürich gibt es eine SES-Region, aber keinen SMTP-Endpunkt. Broadcast unterstützt SES auch über die API. Etwa $0.10 pro 1000 E-Mails. AWS hat eine US-Muttergesellschaft.
Mailgun EU
EU-Region
Nachrichten, Logs und Statistiken bleiben in der EU-Region. Kontodaten, Benutzer, API-Schlüssel und Domainnamen werden laut Mailgun weltweit repliziert. Betreiber ist die US-Firma Mailgun Technologies, Inc., die zum schwedischen Sinch-Konzern gehört. Damit fällt Mailgun unter den Cloud Act.
Mailjet
Paris, Hosting auf Google Cloud in der EU
Französischer Ursprung, heute «Mailjet by Sinch». Daten werden laut Mailjet in der EU gespeichert und bearbeitet, auf der Google Cloud Platform.
Brevo
Paris
Französisches Unternehmen (rechtlich noch Sendinblue SAS), Hosting bei OVH in Frankreich und Google Cloud in Belgien. Die Liste der Unterauftragsbearbeiter enthält auch US-Dienste wie Cloudflare.
Scaleway Transactional Email
Frankreich
Französischer Anbieter aus der iliad-Gruppe. Nur für Transaktionsmails wie Bestätigungen und Double-Opt-in-Mails: Newsletter und Werbemails erlaubt Scaleway darüber nicht. 300 E-Mails inklusive, danach €0.25 pro 1000.
Postmark
Nur USA
Gute Zustellbarkeit, aber keine EU-Region. Gehört seit 2022 ActiveCampaign. Wer die Daten in Europa halten will, wählt einen anderen Anbieter.
Einen SMTP-Anbieter mit Sitz und Verarbeitung in der Schweiz haben wir für diese Seite nicht geprüft. Wenn Sie einen nutzen, funktioniert er mit Broadcast wie jeder andere SMTP-Server.
Was Self-Hosting ändert und was nicht
Self-Hosting kann Datenübermittlungen ins Ausland für Empfängerdaten vermeiden, sofern Hoster, SMTP-Anbieter, Backups, Analytics, Support-Tools und Error-Tracking alle in der Schweiz oder der EU liegen. Mit einem Server in Genf und Versand über einen US-Anbieter haben Sie die Frage beim Versand weiterhin.
Was bleibt: Verträge mit Hoster und SMTP-Anbieter als Auftragsbearbeiter, eine Datenschutzerklärung, eine saubere Einwilligung der Empfänger, Abmeldung und Löschung sowie das Verzeichnis der Bearbeitungstätigkeiten, falls Sie eines führen müssen. Dazu der Betrieb: Updates, Backups und Zustellbarkeit liegen bei Ihnen. Broadcast sendet keine Nutzungstelemetrie, und die Update-Prüfung lässt sich abschalten.
Häufige Fragen
Ihre Liste auf Ihrem Server.
Broadcast macht Sie nicht automatisch datenschutzkonform. Es gibt Ihnen ein einfacheres Infrastrukturmodell: Ihre Liste, Ihr Server, Ihre Datenbank, Ihr gewählter SMTP-Anbieter.
Einmalige Lizenz, unbegrenzte Abonnenten, 30 Tage Geld-zurück-Garantie.
