DSV

Sind bestimmte Kriterien erfüllt, kann der Bundesrat beurteilen, dass ein Staat bzw. ein Gebiet, ein spezifischer Sektor in einem Staat oder ein internationales Organ einen angemessenen Schutz gewährleistet. Gemäss Artikel 7 Absatz 1 Buchstabe d der Organisationsverordnung vom 17. November 1999 für das Eidgenössische Justiz- und Polizeidepartement (OV-EJPD) fällt die Aufgabe, die Gewährleistung eines angemessenen Datenschutzes eines Staates, eines Gebietes, eines spezifischen Sektors in einem Staat oder eines internationalen Organs in die Zuständigkeit des Bundesamt für Justiz.

Gemäss Artikel 8 Absatz 1 DSV werden die Staaten, Gebiete, spezifischen Sektoren in einem Staat und internationalen Organe, deren Datenschutz als angemessen eingestuft wurde, im Anhang der Verordnung aufgeführt. Wie in der Botschaft erläutert, handelt es sich dabei um eine “Positiv-Liste”. Wenn ein Staat nicht enthalten ist, bedeutet dies nicht zwangsläufig, dass er keine Datenschutzgesetzgebung hat, die ein angemessener Datenschutz gewährleistet; vielmehr ist es denkbar, dass der Staat vom Bundesrat (noch) nicht beurteilt wurde. Nur Staaten, die in der Liste im Anhang aufgeführt werden, können daher als Staaten angesehen werden, die einen angemessenen Datenschutz gewährleisten. Dieses Vorgehen unterscheidet sich etwas vom Vorgehen des EDÖB. Der EDÖB hat nämlich bisher zu jedem Staat angegeben, ob dieser einen angemessenen Schutz, einen unter bestimmten Voraussetzungen angemessenen Schutz oder einen ungenügenden Schutz gewährleistet. Es ist auch darauf hinzuweisen, dass die Liste des EDÖB nicht verbindlich ist und insbesondere die Gerichte im Streitfall nicht bindet. Bevor die Faktoren, die der Bundesrat bei der Beurteilung berücksichtigen muss, im Einzelnen erörtert werden, sollte zunächst geklärt werden, was unter einem “Gebiet” oder einem “spezifischen Sektor in einem Staat” zu verstehen ist. Der Begriff “Gebiet” bezieht sich auf Fälle, in denen das Land nicht einer einzigen Gesetzgebung unterliegt. Dies betrifft namentlich der Fall von föderalen Staaten, nämlich wenn die Gesetzgebung des Zentralstaates nicht einen angemessenen Schutz gewährleistet, während ein Bundesstaat über eine angemessene Datenschutzgesetzgebung verfügt, das jedoch nur auf seinem eigenen Hoheitsgebiet gilt. Zum Begriff “spezifischer Sektor in einem Staat” kann beispielsweise die Liste des EDÖB angeführt werden, in der unter Kanada berücksichtigt wird, dass auf Grundlage eines spezifischen Datenschutzgesetzes für den privaten Bereich nur für diesen Bereich ein angemessenes Schutzniveau anerkannt werden kann. Bis im Juli 2020 galt dies aufgrund des Privacy Shield CH – US, der die freie Datenübermittlung nur an Unternehmen erlaubte, die sich zur Einhaltung der verbindlichen Grundsätze des Privacy Shield verpflichtet hatten, auch für die USA. Zu nennen sind weitere spezifische Sektoren wie der Finanz- oder Versicherungssektor oder die Datenbearbeitung durch Auftragsbearbeiter. Der Begriff des internationalen Organs wurde in der Botschaft zum Datenschutzgesetz präzisiert. Er bezieht sich auf “alle internationalen Institutionen, seien dies Organisationen oder Gerichte” (BBl 2017 6941, 7038) .

Beim Entscheid, ob ein Staat, ein Gebiet, ein spezifischer Sektor in einem Staat oder ein internationales Organ einen angemessenen Datenschutz gewährleistet, müssen unter anderem die folgenden Kriterien berücksichtigt werden (Art. 8 Abs. 2 DSV):

Die internationalen Verpflichtungen des betroffenen Staates oder des internationalen Organs, insbesondere im Bereich des Datenschutzes (Abs. 2 Bst. a): Angesprochen wird damit insbesondere das revidierte Übereinkommen SEV 108. Von Bedeutung sind aber nicht nur Abkommen im Bereich des Datenschutzes, weshalb der Ausdruck “insbesondere” verwendet wird (siehe ebenfalls die Erläuterung zu Bst. c). So können beispielswiese auch Abkommen zur Regelung des Informationsaustauschs beispielsweise spielen auch eine Rolle.

Die Rechtsstaatlichkeit und die Achtung der Menschenrechte (Abs. 2 Bst. b): In Buchstabe b wird der Begriff “Menschenrechte” verwendet, um die gleiche Terminologie wie in der EMRK und im UNO-Pakt II zu verwenden. Der Bundesrat verfügt über den nötigen Ermessensspielraum, um festzustellen, ob ein Staat einen angemessenen Datenschutz gewährleistet, auch wenn er sich nicht vollumfassend an die international anerkannten Menschenrechte hält. Wichtig ist dabei, dass der Schutz vor unverhältnismässigen Eingriffen in das Privatleben gewährleistet wird, auch wenn der Staat beispielsweise nicht in allen Punkten die Anforderungen der EMRK erfüllt.

Die geltende Gesetzgebung insbesondere zum Datenschutz sowie deren Umsetzung und die einschlägige Rechtsprechung (Abs. 2 Bst. c): Aufgrund des Ausdrucks “insbesondere” ist auch die sektorielle Gesetzgebung mitgemeint. Diese enthalten oft (direkte und/oder indirekte) Regelungen zum Datenschutz. Das gilt z.B. für Staaten, die kein Rahmengesetz zum Datenschutz haben, sondern einzig ein Zivilgesetzbuch. In einigen Fällen haben diese Staaten sektorielle Gesetze, die Datenschutzbestimmungen enthalten. Wichtig ist, dass die anwendbaren Gesetze auch gelten. Daher wird der Fokus auf die einschlägige allgemeine und besondere Gesetzgebung des Staates gerichtet, einschliesslich derjenigen zur öffentlichen Sicherheit, zur Verteidigung, zur nationalen Sicherheit, zum Strafrecht und zum Zugang der Behörden zu Personendaten.

Die wirksame Gewährleistung der Rechte der betroffenen Personen und des Rechtsschutzes (Abs. 2 Bst. d): Es geht nicht nur darum, zu überprüfen, ob die Rechte der betroffenen Personen in Rechtsgrundlagen enthalten sind, sondern auch darum, sicherzustellen, dass diese Rechte tatsächlich umgesetzt werden.

Das wirksame Funktionieren einer oder mehrerer unabhängiger Behörden, die im betroffenen Staat mit dem Datenschutz beauftragt sind oder denen ein internationales Organ untersteht und die über ausreichende Befugnisse und Kompetenzen verfügen. In diesem Sinne müssen die Mindestanforderungen des revidierten Übereinkommens SEV 108 erfüllt sein (Abs. 2 Bst. e).

Der dritte Absatz bestimmt, dass der EDÖB bei jeder Beurteilung der Angemessenheit konsultiert wird. Seine Stellungnahme ist für den Bundesrat nicht verbindlich, muss aber berücksichtigt werden, insbesondere im Rahmen der Ämterkonsultation. Der EDÖB kann seine Stellungnahme darüber hinaus veröffentlichen. Der Bundesrat kann auch eine Beurteilung des Schutzniveaus berücksichtigen, welche von einer ausländischen Behörde, die für den Datenschutz zuständig ist (und zu einem Staat mit einem angemessenen Schutzniveau gehört) oder von einem internationalen Organ vorgenommen wurde. Als internationales Organ im Sinne dieses Absatzes kann unter anderem der mit dem revidierten Übereinkommen SEV 108 eingesetzte Ausschuss der Vertragsparteien gelten. Auch Beurteilungen, welche die Europäische Kommission vorgenommen hat, können als Informationsquelle dienen.

Der vierte Absatz sieht vor, dass das Schutzniveau im betreffenden Staat oder im betreffenden Organ periodisch neu beurteilt wird.

Aufgrund der verschiedenen Stellungnahmen im Rahmen des Vernehmlassungsverfahrens sieht ein neuer Absatz 5 vor, dass die vom Bundesamt für Justiz durchgeführten Beurteilungen veröffentlicht werden. Der Begriff der Beurteilung umfasst sowohl die Beurteilung als auch die Neubeurteilung von Staaten, Gebieten, spezifischen Sektoren in einem Staat oder internationalen Organen, die bereits auf der Liste stehen und erneut beurteilt werden. In einer neuen Übergangsbestimmung (Art. 46 Abs. 2) wird klargestellt, dass die Beurteilungen, die vor dem Inkrafttreten der DSV durchgeführt wurden, nicht veröffentlicht werden.

Die Verordnung führt neu die Vornahme einer Interessensabwägung ein, die es ermöglicht, in dringlichen Fällen zu handeln, wenn darauf geschlossen werden kann, dass die Angemessenheit nicht mehr gewährleistet ist. Nach Absatz 6 wird Anhang 1 geändert, wenn festgestellt wird, dass das der Datenschutz in einem Staat, einem Gebiet, einem spezifischen Sektor in einem Staat oder einem internationalen Organ nicht mehr gewährleistet werden kann. Im Fall der USA hat beispielsweise das Urteil “Schrems II” des EuGH vom Juli 2020 den EDÖB dazu veranlasst, seine Einschätzung zu überdenken und seine Liste zu ändern. Wenn Informationen darauf schliessen lassen, dass ein betroffener Staat keinen angemessenen Datenschutz mehr gewährleistet (z. B. aufgrund einer Staatskrise), kann der Bundesrat die Liste dringlich ändern, ohne eine formelle und vollständige Prüfung durchgeführt zu haben. Denn nach Artikel 7 Absatz 3 PublG sind dringliche Veröffentlichungen möglich. Dies gilt allerdings nur bei einer Streichung aus der Liste. Bei einer Hinzufügung zur Liste muss dem Beurteilungsverfahren gefolgt werden (Abs. 1 und 2). Die Änderung hat keine Auswirkungen auf bereits erfolgte Datenbekanntgaben.