DSV

Nach Artikel 16 Absatz 2 nDSG dürfen Personendaten an einen Staat bekanntgegeben werden, der nicht in Anhang 1 der Verordnung aufgeführt ist – d. h. ohne dass der Bundesrat die Angemessenheit des Datenschutzes als angemessen anerkannt hat –, wenn ein geeigneter Datenschutz gewährleistet wird. Im privaten Sektor kann dieser durch eine Datenschutzklausel in einem Vertrag zwischen dem Verantwortlichen oder dem Auftragsbearbeiter und seiner Vertragspartnerin oder seinem Vertragspartner gewährleistet sein (Art. 16 Abs. 2 Bst. b nDSG), im öffentlichen Sektor durch spezifische Garantien, die das zuständige Bundesorgan erarbeitet hat (Art. 16 Abs. 2 Bst. c nDSG).

Anders als bei den übrigen in Absatz 2 von Artikel 16 nDSG genannten Instrumenten müssen die Verantwortlichen und die Auftragsbearbeiter diese Garantien nicht vom EDÖB genehmigen lassen, sondern ihm diese vor der Datenbekanntgabe ins Ausland nur mitteilen. Es besteht ein gewisses Risiko, dass die Verantwortlichen und die Auftragsbearbeiter das Schutzniveau, das mit diesen Garantien erreicht werden soll, unterschiedlich beurteilen, wobei dies für den privaten Sektor ebenso gilt wie für den öffentlichen Sektor.

Der Bundesrat erachtet es deshalb als angezeigt, bestimmte Datenschutzstandards festzulegen, und präzisiert in Artikel 9 Absatz 1 Art., was diese Datenschutzklauseln oder spezifischen Garantien mindestens regeln müssen.

Es handelt sich um folgende Punkte:

Die Anwendung der Grundsätze der Rechtmässigkeit, von Treu und Glauben, der Verhältnismässigkeit, der Transparenz, der Zweckbindung und der Richtigkeit (Bst. a).

Die Kategorien der bekanntgegebenen Personendaten und der betroffenen Personen (Bst. b).

Die Art und den Zweck der Bekanntgabe von Personendaten (Bst. c).

Gegebenenfalls die Namen der Staaten oder internationalen Organe, in die oder denen Personendaten bekanntgegeben werden, sowie die Anforderungen an die Bekanntgabe (Bst. d): Der Ausdruck “gegebenenfalls” bietet die Möglichkeit, sich an die Umstände eines Vertrags anzupassen. In bestimmten sehr eng gefassten Verträgen kommt dieser Buchstabe nicht in Betracht. Wenn z.B. im Rahmen des Vertrags keine Daten an ein internationales Organ bekanntgegeben werden, wäre ein solcher Hinweis natürlich überflüssig.

Die Anforderungen an die Aufbewahrung, die Löschung und Vernichtung von Personendaten (Bst. e).

Die Empfängerinnen und Empfänger oder die Kategorien der Empfängerinnen und Empfänger (Bst. f): Die Kategorien von Empfängerinnen und Empfängern können nützlich sein, wenn auch in der Angabe einer generischen Form, soweit dies erforderlich ist (z. B.: Vertreter und Vertreterinnen, Auftragsbearbeiter, Mitverantwortliche, behandelnde Ärztinnen und Ärzte, Gemeinden, externe Partnerorganisationen usw.).

Die Massnahmen zur Gewährleistung der Datensicherheit (Bst. g).

Die Pflicht, Verletzungen der Datensicherheit zu melden (Bst. h).

Falls die Empfängerinnen und Empfänger Verantwortliche sind: die Pflicht, die betroffenen Personen über die Bearbeitung zu informieren (Bst. i): Die Empfängerin oder der Empfänger als Auftragsbearbeiter kann nicht verantwortlich sein und dieser Pflicht nachkommen.

Die Rechte der betroffenen Person (Bst. j), insbesondere: das Auskunftsrecht und das Recht auf Datenherausgabe oder ‑übertragung (Ziff. 1), das Recht, der Datenbekanntgabe zu widersprechen (Ziff. 2), das Recht auf Berichtigung, Löschung oder Vernichtung ihrer Daten (Ziff. 3) und das Recht, eine unabhängige Behörde (Datenschutzbehörde oder Gericht) um Rechtsschutz zu ersuchen (Ziff. 4).

Alle diese Punkte entsprechen den Grundlagen des nDSG. In Absatz 2 wird ferner klargestellt, dass der Verantwortliche bei einer Bekanntgabe der Personendaten ins Ausland angemessene Massnahmen treffen muss, um sicherzustellen, dass die Empfängerin oder der Empfänger die Datenschutzklauseln in einem Vertrag oder die spezifischen Garantien einhält; der Auftragsbearbeiter muss dies im Fall von Datenschutzklauseln in einem Vertrag ebenfalls sicherstellen (die Auftragsbearbeitung ist auf die spezifischen Garantien nicht anwendbar). So kann mit diesem Absatz (der im Wesentlichen Art. 6 Abs. 2 und 4 VDSG übernimmt) sichergestellt werden, dass die Empfängerin oder der Empfänger der bekanntgegebenen Daten den in der Schweiz geltenden Datenschutzrahmen einhält.

Ein dritter Absatz übernimmt Artikel 6 Absatz 2 VDSG zur Informationspflicht des Verantwortlichen. Er wird nur redaktionell angepasst (z. B. wird in der französischen Version der Begriff “maître du fichier” ersetzt), indem der zweite Teilsatz in Artikel 6 Absatz 2 Buchstabe b VDSG gelöscht wird. Eine Bekanntgabe ins Ausland ist ohnehin nur zulässig, wenn die Datenschutzklauseln oder Garantien einen geeigneten Schutz gewährleisten, indem sie namentlich den Anforderungen von Artikel 9 Absatz 1 Art. gerecht werden. Es ist deshalb nicht notwendig, dies in Artikel 9 Absatz 3 Buchstabe b Art. nochmals zu erwähnen.