Erfahren Sie, wann die Schweiz Datentransfers in Drittstaaten erlaubt, welche Garantien nötig sind und wer für den Schutz der Personendaten verantwortlich...
Eine Übermittlung von Personendaten aus der Schweiz in ein Drittland ist grundsätzlich zulässig, wenn der Bundesrat dem Zielstaat ein angemessenes Datenschutzniveau bescheinigt hat. Fehlt dieser Entscheid, braucht es zusätzliche Garantien wie Standarddatenschutzklauseln, spezifische Vertragsklauseln, Binding Corporate Rules oder eine gesetzliche Ausnahme nach Art. 17 DSG. Die Verantwortung bleibt dabei immer beim exportierenden Unternehmen, der EDÖB prüft insbesondere neu formulierte Klauseln innerhalb von 90 Tagen.
Kurz gesagt: - Anerkannte Standarddatenschutzklauseln müssen nicht gemeldet werden; eigene Vertragsklauseln sind dagegen meldepflichtig und gelten nur für die konkret vereinbarte Beziehung zwischen Exporteur und Empfänger. - Der Exporteur muss staatliche Zugriffe, Verhältnismässigkeit, Rechtsweg und unabhängige Kontrolle im Zielland bewerten; nicht behebbare Mängel können die Übermittlung stoppen. - Einwilligung, Vertragsnotwendigkeit oder Rechtsansprüche können eine Übermittlung ohne Angemessenheitsbeschluss im Einzelfall erlauben, tragen aber keine systematischen oder dauerhaften Datenflüsse. - Vertragliche Garantien verhindern keinen staatlichen Zugriff im Zielland; bei besonders schützenswerten Daten kann deshalb der Verzicht auf dortige Verarbeitung nötig sein.
Inhaltsverzeichnis
- Gesetzliche Grundlagen: Art. 16 und 17 DSG und Anhang 1 DSV
- Absicherungsinstrumente bei fehlender Angemessenheit: SCC, Vertragsklauseln, BCR
- Verantwortung und Prüfpflichten: Vier Garantien, Verzeichnis und Protokollierung
- Praktische Checkliste: Schritte vor der Übermittlung in einen Drittstaat
- Warum sich juristische Begleitung bei komplexen Transfers lohnt
- Unser Angebot: Datenschutz-Check und Vertragsprüfung
- FAQ
- Quellen
Gesetzliche Grundlagen: Art. 16 und 17 DSG und Anhang 1 DSV
Das revidierte Datenschutzgesetz regelt die grenzüberschreitende Bekanntgabe von Personendaten in Art. 16 DSG. Kernidee: Der Bundesrat legt fest, welche Staaten ein Datenschutzniveau bieten, das dem schweizerischen entspricht. Diese Liste findet sich in Anhang 1 DSV und wird periodisch überprüft, denn ein Land kann sein Datenschutzrecht ändern, verschärfen oder abschwächen. Für die EU selbst besteht seit Jahren Klarheit in die andere Richtung: Die EU-Kommission hat am 15. Januar 2024 bestätigt, dass das Schweizer Datenschutzrecht weiterhin den Anforderungen der DSGVO genügt, ein Angemessenheitsbeschluss, der Schweizer Unternehmen den Datenverkehr mit der EU erheblich erleichtert.
Fehlt die Angemessenheit, bleibt der Weg über Art. 17 DSG offen. Dort sind die Ausnahmen abschliessend aufgezählt:
- Ausdrückliche Einwilligung der betroffenen Person in die konkrete Übermittlung.
- Unmittelbarer Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags.
- Geltendmachung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht oder Behörden.
- Überwiegendes öffentliches Interesse oder Schutz des Lebens der betroffenen Person.
Diese Ausnahmen gelten nur für den Einzelfall, nicht als generelle Rechtfertigung für systematische Datenflüsse.
Absicherungsinstrumente bei fehlender Angemessenheit: SCC, Vertragsklauseln, BCR
Ohne Angemessenheitsbeschluss braucht jede Übermittlung ein eigenes Sicherungsinstrument. Drei Varianten kommen in der Praxis am häufigsten vor:
- Standarddatenschutzklauseln (SCC): Der EDÖB hat die revidierten EU-Standardvertragsklauseln grundsätzlich anerkannt, bei neu formulierten oder angepassten Fassungen prüft die Behörde innerhalb von 90 Tagen, ob sie genehmigt werden. Sind die SCC bereits anerkannt, entfällt die Meldepflicht.
- Spezifische Datenschutzklauseln: Wer eigene Vertragsklauseln formuliert, statt auf anerkannte Muster zurückzugreifen, muss diese dem EDÖB melden. Sie gelten ausschliesslich für die konkret vereinbarte Beziehung zwischen Exporteur und Empfänger.
- Binding Corporate Rules (BCR) und völkerrechtliche Verträge: Für Konzerne mit wiederkehrenden konzerninternen Datenflüssen bieten BCR eine stabilere Grundlage als Einzelverträge, auch wenn ihre Einführung aufwendiger ist.
Bei gemischter Anwendbarkeit von DSG und DSGVO lohnt sich meist die Vereinbarung schweizerischen Rechts für die vertraglichen Ansprüche, soweit die gewählten SCC-Module diese Rechtswahl zulassen, da dies die Durchsetzung von Drittbegünstigtenrechten vereinfacht.
Profi-Tipp: Vertragliche Garantien wirken nicht gegen staatliche Zugriffsrechte im Zielstaat. Bei besonders schützenswerten Daten ist oft die organisatorische Entscheidung gegen eine Verarbeitung im Drittland die einzig tragfähige Lösung.
Verantwortung und Prüfpflichten: Vier Garantien, Verzeichnis und Protokollierung
Die Verantwortung für eine rechtmässige Übermittlung liegt beim Datenexporteur, unabhängig davon, welches Instrument gewählt wird. Der EDÖB-Leitfaden verlangt eine Einzelfallprüfung des Ziellands, die weit über einen Blick in Anhang 1 DSV hinausgeht:
- Prüfung der Gesetzeslage, der Behördenpraxis und der Unabhängigkeit der Gerichtsbarkeit im Zielstaat.
- Bewertung anhand der vier Garantien: Legalität staatlicher Zugriffe, Verhältnismässigkeit, Rechtsweg für Betroffene und unabhängige Kontrolle.
- Dokumentation im Datentransfer-Register inklusive Empfänger, Datenkategorien und gewähltem Instrument.
Zeigt die Prüfung Mängel, die sich nicht kompensieren lassen, kann die Übermittlung ausgesetzt oder beendet werden müssen, so hält der EDÖB fest, eine Konsequenz, die viele Unternehmen unterschätzen, wenn sie SCC lediglich unterschreiben und dann ablegen.
Zusätzlich greifen die Protokollierungspflichten nach Art. 4 DSV: Bei automatisierter Bearbeitung besonders schützenswerter oder risikoreicher Daten müssen Vorgänge wie Speichern, Verändern, Lesen und Bekanntgeben protokolliert werden, mit angemessener Aufbewahrungsfrist und getrennter, zugriffsbeschränkter Speicherung. Wer Daten an Übersetzungsdienstleister weitergibt, etwa für beglaubigte Übersetzungen im Auslandsbezug, sollte dieselbe Sorgfalt anwenden, UnaLingua erläutert die einschlägigen Pflichten beim Outsourcing solcher Leistungen.
Praktische Checkliste: Schritte vor der Übermittlung in einen Drittstaat
Eine strukturierte Vorgehensweise verhindert, dass eine Übermittlung erst im Nachhinein als unzulässig auffällt:
- Bestandsaufnahme: Welche Datenarten werden übermittelt, wer ist Empfänger, gibt es eine Subunternehmerkette und drohen Weiterleitungen an weitere Drittstaaten?
- Rechtsprüfung: Steht das Zielland in Anhang 1 DSV? Wenn nicht: Kommen SCC, spezifische Klauseln oder BCR infrage, oder greift eine Ausnahme nach Art. 17 DSG?
- Vertragliche Umsetzung: Anerkannte SCC verwenden oder eigene Klauseln formulieren und dem EDÖB melden, je nach gewähltem Weg.
- Technische Massnahmen: Verschlüsselung, eigene Schlüsselverwaltung (BYOK) oder eigene Verschlüsselungsinfrastruktur (BYOE) sowie Zugangskontrollen einrichten und dokumentieren.
- Monitoring: Periodische Überprüfung der Rechtslage im Zielstaat und klare Regeln, wann eine Übermittlung ausgesetzt oder beendet wird.
Profi-Tipp: Bei Cloud-Anbietern mit Bezug zu den USA oder anderen Drittstaaten lohnt sich ein konkretes Anfrageschreiben an den Anbieter zur Subunternehmerkette, bevor ein Vertrag unterschrieben wird.
Wer die Risiken vorab strukturiert einschätzen will, findet in unserem Beitrag zur Datenschutzfolgeabschätzung eine Vertiefung der Methodik, und Hintergründe zu den Pflichten aus der Gesetzesrevision liefert unser Artikel zum revidierten Datenschutzgesetz.
Warum sich juristische Begleitung bei komplexen Transfers lohnt
Sobald Daten gleichzeitig dem DSG und der DSGVO unterliegen, etwa weil ein Schweizer Unternehmen Kunden in der EU bedient und Dienstleister in den USA einsetzt, überschneiden sich zwei Regelwerke mit unterschiedlichen Fristen, Meldepflichten und Klauselvorgaben. Genau an diesem Punkt helfen wir Mandantinnen und Mandanten: Wir beraten direkt in fünf Sprachen, ohne dass Dolmetscher zwischengeschaltet werden müssen, was bei internationalen Vertragsketten Missverständnisse vermeidet. Unsere Erfahrung mit grenzüberschreitenden Mandaten, etwa im Kontext von Ukraine- und Russland-Bezügen mit eigenen Sanktionsregimen, zeigt, wie schnell sich scheinbar einfache Datenflüsse zu mehrschichtigen Compliance-Fragen entwickeln.
Ein Mandat lohnt sich besonders, wenn besonders schützenswerte Daten betroffen sind, wenn eine lange Subunternehmerkette über mehrere Staaten verläuft oder wenn Strafverfolgungsrisiken im Zielland bestehen. In solchen Fällen reicht eine Checkliste allein nicht aus, es braucht eine Einzelfallbewertung, die rechtliche und technische Aspekte verbindet.
— Bitblade
Unser Angebot: Datenschutz-Check und Vertragsprüfung
Wir begleiten Unternehmen bei genau den Schritten, die eine rechtmässige Übermittlung in Drittstaaten voraussetzt:
- Datenschutz-Check gemäss revidiertem DSG, inklusive Bewertung des Zielstaats und der vier Garantien.
- Prüfung und Formulierung von Standarddatenschutzklauseln oder spezifischen Vertragsklauseln.
- Unterstützung bei der Kommunikation mit dem EDÖB, etwa bei meldepflichtigen Klauseln.
Wir beraten in mehreren Sprachen und begleiten Mandate vom Erstgespräch bis zur vertraglichen Umsetzung. Einen Überblick über unsere Leistungen im Wirtschafts- und Vertragsrecht finden Sie auf unserer Services-Seite, ein Erstgespräch lässt sich direkt über unsere Pakete und Honorare buchen.
Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.
FAQ
Was bedeutet Angemessenheitsbeschluss für die Schweiz konkret?
Ein Angemessenheitsbeschluss bedeutet, dass der Bundesrat einem Staat ein Datenschutzniveau bescheinigt hat, das dem schweizerischen entspricht, sodass Daten ohne zusätzliche Garantien übermittelt werden dürfen. Die Liste dieser Staaten steht in Anhang 1 DSV und wird periodisch überprüft.
Wie lange prüft der EDÖB neue Standarddatenschutzklauseln?
Der EDÖB entscheidet über die Genehmigung neu formulierter Standarddatenschutzklauseln innerhalb von 90 Tagen. Bereits anerkannte SCC-Muster müssen hingegen nicht erneut gemeldet werden.
Welche Ausnahmen erlaubt Art. 17 DSG ohne Angemessenheitsbeschluss?
Art. 17 DSG lässt eine Übermittlung unter anderem bei ausdrücklicher Einwilligung, bei Vertragsnotwendigkeit oder zur Geltendmachung von Rechtsansprüchen zu. Diese Ausnahmen gelten nur für den konkreten Einzelfall, nicht als generelle Rechtsgrundlage für laufende Datenflüsse.
Welche Garantien prüft der EDÖB bei Datentransfers in Drittstaaten?
Der EDÖB-Leitfaden verlangt eine Bewertung anhand von vier Garantien: Legalität staatlicher Zugriffe, Verhältnismässigkeit, Rechtsweg für Betroffene und unabhängige Kontrolle. Fehlen diese Garantien im Zielstaat, kann die Übermittlung ausgesetzt oder beendet werden müssen.
Was kostet eine Erstberatung zum Datenschutz-Check?
Eine Erstberatung und Einschätzung ist bei uns ab 150 CHF pro Stunde buchbar. Für laufende Mandate mit regelmässigem Beratungsbedarf bieten wir zudem Retainer-Pakete an.
Quellen