Datenübermittlung ins Ausland

Ob Online-Shop, Cloud-Speicher oder Newsletter-Dienst: Viele Anbieter speichern Daten auf Servern im Ausland. Das DSG erlaubt dies, aber nur unter bestimmten Voraussetzungen.

Staaten mit angemessenem Schutz (Art. 16 Abs. 1)

Der Bundesrat legt fest, welche Staaten einen angemessenen Datenschutz bieten. Die Liste steht in Anhang 1 der Datenschutzverordnung (DSV) und umfasst unter anderem die Staaten der EU und des EWR sowie das Vereinigte Königreich. In diese Staaten dürfen Daten ohne zusätzliche Garantien übermittelt werden.

Für die USA gilt dies nur eingeschränkt: Erfasst sind Unternehmen, die nach dem Swiss-US Data Privacy Framework zertifiziert sind. Für alle anderen US-Empfänger braucht es zusätzliche Garantien.

Staaten ohne angemessenen Schutz (Art. 16 Abs. 2)

Fehlt ein Entscheid des Bundesrates, muss ein geeigneter Datenschutz auf andere Weise sichergestellt werden, namentlich durch:

• vom EDÖB genehmigte, ausgestellte oder anerkannte Standarddatenschutzklauseln,
• verbindliche unternehmensinterne Datenschutzvorschriften,
• vertragliche Datenschutzklauseln, die dem EDÖB vorgängig mitgeteilt wurden,
• einen völkerrechtlichen Vertrag.

Ausnahmen (Art. 17)

In Einzelfällen ist eine Übermittlung auch ohne diese Garantien zulässig, etwa wenn Sie ausdrücklich eingewilligt haben, wenn die Übermittlung unmittelbar mit einem Vertrag zusammenhängt – zum Beispiel bei einer Hotelbuchung im Ausland – oder wenn sie zur Durchsetzung von Rechtsansprüchen vor einem Gericht nötig ist.

Veröffentlichung im Internet (Art. 18)

Werden Daten zur Information der Öffentlichkeit allgemein zugänglich gemacht, etwa auf einer Website, gilt dies nicht als Bekanntgabe ins Ausland, auch wenn die Seite weltweit abrufbar ist.

Ihr Recht auf Transparenz

Unternehmen müssen Ihnen mitteilen, in welche Staaten Ihre Daten gehen und auf welche Garantien oder Ausnahmen sie sich stützen (Art. 19 Abs. 4). Diese Angaben stehen meist in der Datenschutzerklärung; Sie können sie aber auch mit einem Auskunftsgesuch verlangen (Art. 25 Abs. 2 Bst. g).

Wer Daten vorsätzlich ohne die nötigen Voraussetzungen ins Ausland übermittelt, kann auf Antrag mit Busse bestraft werden (Art. 61 Bst. a).

Und umgekehrt?

Die EU anerkennt die Schweiz ihrerseits als Staat mit angemessenem Datenschutzniveau. Unternehmen in der EU dürfen Personendaten deshalb ohne zusätzliche Garantien in die Schweiz übermitteln.

Zum Gesetzestext: Art. 16 DSG und Art. 17 DSG. Hinweise für Unternehmen: Für Unternehmen.