Status: Empfehlungsentwurf für ein neues Schweizer Gesetz — kein geltendes Recht. Der Entwurf richtet sich an die politische Debatte und an eine künftige Vernehmlassung; siehe Parlamentarischer Fahrplan.
Art. 4 Vorrang souveräner Anbieter; Art. 5 Verschlüsselung als Default; Art. 6 Datenminimierung; Art. 7 Transparenz und Auditpflicht; Art. 8 Verhältnismässigkeit. Diese Grundsätze sind die operative Brille, durch die jede Beschaffung und jede Datenverarbeitung im Geltungsbereich zu prüfen ist.
Art. 4 Vorrang souveräner Anbieter: Vor Beschaffung bei Anbietern mit US-/anderem extraterritorial-greifenden Rechtsbindung ist eine dokumentierte Souveränitäts-Alternativenprüfung durchzuführen.
Art. 5 Verschlüsselung als Default: Alle Schweizer Daten in fremden Cloud-Diensten müssen, soweit technisch praktikabel, mit kundenseitiger Schlüsselverwaltung verschlüsselt werden.
Art. 6 Datenminimierung: Bei Cloud-Workloads sind nur die für den Zweck nötigen Datenfelder hochzuladen; Metadaten lokal generieren.
Art. 7 Transparenz: Cloud-Anbieter müssen Behörden-Datenanfragen offenlegen, soweit Recht es zulässt; Schweizer Vertragspartner haften für die Weiterleitung.
Art. 8 Verhältnismässigkeit: Souveränitäts-Massnahmen müssen verhältnismässig sein — kein Pauschal-Verbot, aber dokumentierte Abwägung.
Die Grundsätze sind als Auslegungsrahmen formuliert. In Verbindung mit Art. 15-20 (Beschaffungsregeln) ergibt sich eine konkrete Pflicht.
Die Grundsätze bilden das normative Rückgrat. Sie sind allein nicht justiziabel, aber ein klares Auslegungssignal an Verwaltung, Gerichte und Beschaffungsstellen.
Diese Bestimmung ist Teil des BGDS-Empfehlungsentwurfs (Sektion 6) — kein geltendes Recht.