Speichert oder bearbeitet ein Dienstleister Daten ausserhalb der Schweiz, gelten zusätzliche Regeln. Erlaubt ist das, wenn der Bundesrat dem betreffenden Staat einen angemessenen Datenschutz bescheinigt hat, oder sonst mit geeigneten Garantien, etwa vom EDÖB anerkannten Standarddatenschutzklauseln.¹¹ Solche Klauseln lösen aber nicht automatisch jedes Problem: Zu prüfen ist auch, ob das Recht des Empfängerstaates ihre Einhaltung tatsächlich zulässt; unter Umständen braucht es technische Zusatzmassnahmen wie eine Verschlüsselung, deren Schlüssel nur Ihre Organisation hat.¹⁸ Auch bei Verstössen gegen die Regeln zur Bekanntgabe ins Ausland droht bei Vorsatz eine Busse.¹²

«Cloud» bedeutet nicht automatisch «Ausland». Umgekehrt schliesst ein Serverstandort in der Schweiz nicht jedes Auslandsrisiko aus, etwa wenn ausländische Konzerngesellschaften, Supportstellen oder ausländische Behördenzugriffsrechte eine Rolle spielen.

Für Spitex-Organisationen, Heime und andere Einrichtungen mit kantonalem oder kommunalem Leistungsauftrag ist zusätzlich zu prüfen, ob kantonales Datenschutzrecht anwendbar ist. Das kann auch private Organisationen betreffen, soweit ihnen öffentliche Aufgaben übertragen wurden. Die Anforderungen an Cloud- und SaaS-Lösungen können dabei strenger sein als für rein private Unternehmen: Die Konferenz der schweizerischen Datenschutzbeauftragten (privatim) hält für öffentliche Organe fest, dass die Auslagerung besonders schützenswerter Daten an internationale Cloud-Anbieter in den meisten Fällen nur zulässig ist, wenn die Daten durch die Organisation selbst verschlüsselt werden.¹³