Personendaten, deren Bearbeitung im Inland problemlos ist, können – wenn sie ins Ausland bekannt gegeben werden – für die betroffenen Personen problematisch werden, da sie unter Umständen die Kontrolle über ihre eigenen Daten verlieren. Das Risiko, dass die Persönlichkeit verletzt wird, ist grösser und nur schwer einzuschätzen. Datenschutzrelevant bzw. –widrig sind zum Beispiel der Transfer von Flugpassagierdaten in die USA und die Bearbeitung von Personendaten im Rahmen von internationalen Zahlungsanweisungen. Der Inhaber einer Datensammlung ist daher verpflichtet, den Datenschutz auch dann zu gewährleisten, wenn er Daten ins Ausland übermittelt.

Die Bestimmungen zum Datentransfer ins Ausland wurden zum 01. Juli 2009 massgeblich geändert. Die Zulässigkeit eines Datentransfer ins Ausland bestimmt sich nach der gesetzlichen Regelung des Art. 8 DSG in Verbindung mit der DSV. Der geänderte Art. 8 DSG bezieht sich nicht mehr nur auf die Bekanntgabe von ganzen Datensammlungen ins Ausland, sondern allgemein auf Personendaten, so dass auch eine Bekanntgabe von einzelnen Personendaten den Voraussetzungen von Art. 8 DSG entsprechen muss. Ausserdem wurde die bisherige Meldepflicht zu Gunsten einer allgemeinen Sorgfaltspflicht der Inhaber der Datensammlungen ersatzlos gestrichen.

Die Zulässigkeit einer Datenübermittlung ins Ausland richtet sich nach dem jeweiligen Empfängerland:

• Eine Datenbekanntgabe in ein EU-/EWR-Land ist datenschutzrechtlich in der Regel zulässig. Es sind die allgemeinen Voraussetzungen für eine rechtmässige Datenbearbeitung zu beachten.
• Bei einer Datenbekanntgabe ausserhalb des EU-/EWR-Gebiets ist zunächst zu überprüfen, ob in dem Empfängerland ein angemessener Datenschutz gewährleistet wird. Hierzu konsultieren Sie bitte im Anhang 2 zur DSV die Liste der Staaten, die einen angemessenen Datenschutz aufweisen. Auch ein Datentransfer in ein Empfängerland mit angemessenem Datenschutz ist in der Regel zulässig. Es sind also keine besonderen zusätzlichen Bestimmungen zu beachten; es gelten die allgemeinen Voraussetzungen für eine rechtmässige Datenbearbeitung.
• Alle anderen Länder, also solche, die ausserhalb des europäischen Wirtschaftsraums liegen und in denen kein angemessener Datenschutz gewährleistet wird, gelten als so genannte Drittländer. Für eine Datenbekanntgabe in Drittländer gelten besondere Bestimmungen. In diesem Fall muss jeweils konkret geprüft werden, ob eine Datenbekanntgabe datenschutzrechtlich zulässig ist.

Für weitere Informationen oder Rückfragen stehen Ihnen die Mitarbeiter der Datenschutzstelle jederzeit gerne zur Verfügung.

Gesetzestext

DSG

Art. 8 DSG
Bekanntgabe ins Ausland

1) Personendaten dürfen nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Dies gilt nicht im Verhältnis zu EWR-Mitgliedstaaten.

2) Fehlt eine Gesetzgebung, die einen angemessenen Schutz gewährleistet, können Personendaten ins Ausland nur bekannt gegeben werden, wenn:
a) der für die Bearbeitung Verantwortliche hinreichende Garantien hinsichtlich des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten und der Ausübung damit verbundenen Rechte, insbesondere durch Vertragsklauseln, gewährleistet;
b) die betroffene Person im Einzelfall zugestimmt hat;
c) die Bearbeitung in unmittelbarem Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags steht und es sich um Personendaten des Vertragspartners handelt;
d) die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist;
e) die Bekanntgabe im Einzelfall erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen;
f) die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat; oder
g) die Bekanntgabe innerhalb derselben juristischen Person oder Gesellschaft oder zwischen juristischen Personen oder Gesellschaften, die einer einheitlichen Leitung unterstehen, stattfindet, sofern die Beteiligten einheitlichen Datenschutzregeln unterstehen, welche einen angemessenen Schutz gewährleisten.

3) Die Bekanntgabe von Daten nach Abs. 2 Bst. a und g bedarf einer Genehmigung der Regierung. Die Datenschutzstelle gibt vorgängig eine Empfehlung ab, ob die Garantien oder einheitlichen Datenschutzregelungen einen angemessenen Schutz gewährleisten. Die Regierung regelt das Nähere mit Verordnung.

4) Die Angemessenheit des Schutzniveaus wird unter Berücksichtigung aller Umstände beurteilt, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen von Bedeutung sind; insbesondere können die Art der Daten, die Zweckbestimmung, die Dauer der geplanten Verarbeitung, das Herkunfts- und Endbestimmungsland, die für den betreffenden Empfänger geltenden Rechtsnormen sowie die für ihn geltenden Standesregeln und Sicherheitsmassnahmen berücksichtigt werden.

5) Die Regierung bezeichnet aufgrund von Beschlüssen des Gemeinsamen EWR-Ausschusses die Nicht-EWR-Mitgliedstaaten, deren Datenschutzgesetzgebung ein angemessenes Schutzniveau aufweist, mit Verordnung.