nDSG

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 13 E-DSG, welcher im revDSG als Art. 16 ausgestaltet ist.)

Diese Bestimmung entspricht den Anforderungen von Artikel 12 E‑SEV 108, wonach Daten grundsätzlich nur ins Ausland übermittelt werden dürfen, wenn ein angemessenes Datenschutzniveau besteht (Abs. 2). Artikel 12 Absatz 3 E‑SEV 108 definiert die Fälle, in denen diese Voraussetzung erfüllt ist. Durch die Regelung in Artikel 13 E‑DSG erfolgt auch eine Angleichung an das Recht der Europäischen Union (Art. 45 ff. der Verordnung [EU] 2016/679).

Die Bestimmungen zur Bekanntgabe von Personendaten ins Ausland sind unter Berücksichtigung der Ergebnisse des Vernehmlassungsverfahrens teilweise überarbeitet worden. Der Grundsatz, wonach Personendaten nicht ins Ausland bekannt gegeben werden dürfen, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, wird aufgehoben, da er in Bezug auf die Systematik der Regelung eine Rechtsunsicherheit schafft. Die Terminologie betreffend die Bekanntgabe von Personendaten ins Ausland auf der Grundlage geeigneter Garantien wird an jene der Verordnung (EU) 2016/679 angepasst. Die Ausnahmen im Zusammenhang mit der Bekanntgabe von Personendaten in einen Staat, dessen Gesetzgebung keinen angemessenen Datenschutz bietet, werden zudem leicht gelockert. Schliesslich werden lediglich die durch den E‑SEV 108 geforderten Pflichten zur Information des Beauftragten und zur Einholung seiner Genehmigung beibehalten.

Abs. 1 Feststellung per Entscheid des Bundesrats

Gemäss Absatz 1 dürfen Daten ins Ausland bekannt gegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet. Diese Bestimmung überträgt dem Bundesrat ausdrücklich die Zuständigkeit, die Angemessenheit der ausländischen Gesetzgebung im Bereich des Datenschutzes zu prüfen.

Die aktuelle Situation ist unbefriedigend, weil es dem Inhaber einer Datensammlung, der Daten bekannt geben will, obliegt zu prüfen, ob die Gesetzgebung des betreffenden Staates einen angemessenen Schutzgewährleistet. Gegebenenfalls hat er die Liste des Beauftragten mit den Staaten, die diese Anforderung erfüllen, beizuziehen (Art. 7VDSG). Um eine einheitliche Anwendung von Artikel 13 sicherzustellen, wird die Angemessenheit der ausländischen Gesetzgebung in Zukunft durch den Bundesrat geprüft. Bei seiner Prüfung muss der Bundesrat nicht nur untersuchen, ob der ausländische Staat über eine Gesetzgebung verfügt, die materiell den Anforderungen des E‑SEV 108 genügt, sondern auch wie diese Gesetzgebung angewendet wird. Der Bundesrat kann auch prüfen, ob der durch ein internationales Organ garantierte Datenschutz angemessen ist. Der Begriff “internationales Organ” bezieht sich auf alle internationalen Institutionen, seien dies Organisationen oder Gerichte.

Das Ergebnis dieser Prüfung wird in einer Verordnung des Bundesrates veröffentlicht, die in die Amtliche Sammlung aufgenommen wird. In der künftigen Verordnung wird präzisiert werden, dass der Bundesrat die Situation periodisch evaluieren und dass der Beauftragte auf seiner Website eine Liste der Staaten oder internationalen Organe veröffentlichen wird, die gemäss der Feststellung des Bundesrates einen angemessenen Datenschutz gewährleisten.

Die Verordnung ist als Positiv-Liste konzipiert und enthält eine Aufzählung jener Staaten, die über eine Gesetzgebung verfügen, aufgrund welcher ein angemessener Schutz sichergestellt ist. Wenn ein ausländischer Staat nicht in der Verordnung des Bundesrates enthalten ist, kann dies zwei Ursachen haben: Entweder wurde die Gesetzgebung des fraglichen Staates noch nicht geprüft oder der Bundesrat ist zum Schluss gekommen, dass die Gesetzgebung des Staates den Anforderungen der Gewährleistung eines angemessenen Schutzes nicht entspricht. Mit der Revision wird die Feststellung des Bundesrates für die Verantwortlichen, die eine Bekanntgabe von Daten ins Ausland vorsehen, ein gesetzlich verbindliches Kriterium, während die bisherige Liste des Beauftragten lediglich als Hilfsmittel gedacht war, das diesen zur Verfügung gestellt wurde. Diese Lösung dient der Rechtssicherheit.

Für seine Prüfung kann sich der Bundesrat auf die verfügbaren Quellen stützen, namentlich die Evaluationen, die im Rahmen des Übereinkommens SEV 108 oder durch die Europäische Union durchgeführt werden. Es wäre auch denkbar, mit ausländischen Behörden zusammenzuarbeiten und sich deren Evaluationsprozess anzuschliessen.

Wenn der Bundesrat feststellt, dass die Gesetzgebung eines Staates oder ein internationales Organ einen angemessenen Schutz gewährleistet, ist der freie Verkehr von Personendaten aus der Schweiz in diesen Staat oder zu diesem Organ sowohl durch private Verantwortliche als auch durch Bundesorgane zulässig.

Abs. 2 Kein Entscheid des Bundesrates

Liegt kein Entscheid des Bundesrates nach Absatz 1 vor, sieht Absatz 2 vor, dass Personendaten ins Ausland bekannt gegeben werden können, wenn ein geeigneter Datenschutz gewährleistet wird.

Nach Buchstabe a kann ein geeigneter Schutz durch einen völkerrechtlichen Vertrag gewährleistet werden. Unter “völkerrechtlicher Vertrag” ist nicht nur ein internationales Datenschutzübereinkommen wie das Übereinkommen SEV 108 und sein Zusatzprotokoll zu verstehen, dem der Empfängerstaat angehört und dessen Anforderungen von der Vertragspartei im innerstaatlichen Recht umgesetzt worden sind, sondern auch jedes andere internationale Abkommen, das einen Datenaustausch zwischen den Vertragsparteien vorsieht und materiell den Anforderungen des Übereinkommens SEV 108 entspricht. Dabei kann es sich auch um einen Staatsvertrag handeln, den der Bundesrat im Rahmen von Artikel 61 Buchstabe b E‑DSG abgeschlossen hat.

Absatz 2 Buchstaben b – d entspricht den Anforderungen von Artikel 12 Absatz 3 Buchstabe b E‑SEV 108. Dieser sieht vor, dass ein angemessenes Datenschutzniveau durch genehmigte Ad-hoc und standardisierte Garantien gewährleistet werden kann, die auf rechtlich bindenden und durchsetzbaren Instrumenten beruhen, welche durch die mit der Bekanntgabe und Weiterbearbeitung der Daten befassten Personen vereinbart und umgesetzt werden. In Artikel 46 der Verordnung (EU) 2016/679 und in Artikel 37 der Richtlinie (EU) 2016/680 sind entsprechende Regelungen vorgesehen.

Bst. b Datenschutzklauseln in einem Vertrag

Nach Absatz 2 Buchstabe b dürfen Personendaten ins Ausland bekannt gegeben werden, wenn der Verantwortliche und der Vertragspartner in ihrem Vertrag Datenschutzklauseln vereinbart haben. Der Begriff “Datenschutzklauseln” entspricht der Terminologie von Artikel 46 Absatz 3 Buchstabe a der Verordnung (EU) 2016/679. Die Klauseln müssen dem Beauftragten vorgängig mitgeteilt werden. Sobald der Verantwortliche dieser Pflicht nachgekommen ist, dürfen die Personendaten ins Ausland bekanntgegeben werden. Gegebenenfalls muss der Beauftragte eine Untersuchung eröffnen, um festzustellen, ob die Klauseln den Anforderungen genügen. Wie es heute bereits der Fall ist, ist es Sache des Verantwortlichen, nachzuweisen, dass er alle erforderlichen Massnahmen getroffen hat, um sich zu vergewissern, dass ein geeigneter Schutz besteht und dass der Empfänger die vertraglichen Datenschutzklauseln einhält. Im Gegensatz zu den Standarddatenschutzklauseln (siehe Bst. d) gelten die Datenschutzklauseln in einem Vertrag nur für die Bekanntgabe, die im entsprechenden Vertrag vorgesehen ist.

Bst. c Spezifische Garantien

Im öffentlichen Sektor kann ein Bundesorgan, das einem ausländischen Staat die Zusage für die Zusammenarbeit erteilt, die Zusage an spezifische Garantien für den Bereich des Datenschutzes knüpfen. Dabei kann es sich beispielsweise um entsprechende Vereinbarungen mit dem fraglichen ausländischen Staatsorgan handeln. Das Bundesorgan muss sie dem Beauftragten vorgängig mitteilen. Sobald der Verantwortliche dieser Pflicht nachgekommen ist, dürfen die Personendaten ins Ausland bekanntgegeben werden.

Bst. d Standarddatenschutzklauseln

Nach Absatz 2 Buchstabe d können Daten gestützt auf Standarddatenschutzklauseln ins Ausland bekannt gegeben werden. Die Bestimmung übernimmt die Terminologie von Artikel 46 Absatz 2 Buchstaben c und d der Verordnung (EU) 2016/679. Die Standardklauseln können von Privaten, interessierten Kreisen oder Bundesorganen erarbeitet oder vom Beauftragten ausgestellt oder anerkannt werden. Auch die Bundesorgane können auf diese Art von Garantien zurückgreifen. Der Begriff der “Standarddatenschutzklausel” betrifft beispielsweise standardisierte Vertragsklauseln, die in den Vertrag zwischen dem Verantwortlichen und dem Empfänger eingefügt werden. Es kann sich auch um einen von Privaten erarbeiteten Verhaltenskodex handeln, dem sich Privatpersonen freiwillig unterstellen können.

Im ersten Fall müssen die Standarddatenschutzklauseln vorgängig vom Beauftragten genehmigt werden. Diese Bedingung stellt gegenüber dem geltenden Recht, wonach der Beauftragte lediglich informiert werden muss (Art. 6 Abs. 3 DSG), eine Verschärfung dar. Sie entspricht der Anforderung von Artikel 12 Absatz 2 Buchstabe b E‑SEV 108. Der Verantwortliche darf gestützt auf die Standarddatenschutzklauseln keine Daten ins Ausland bekannt geben, bis er vom Beauftragten eine entsprechende beschwerdefähige Verfügung (Art. 5 VwVG) erhalten hat. Während der Dauer des Verfahrens kann er sich auf Artikel 13 Absatz 2 Buchstaben b oder c stützen. Die Frist, innerhalb der der Verantwortliche eine Verfügung erlassen muss, wird durch die Ordnungsfristenverordnung vom 25. Mai 2011 (OrFV) geregelt. Gemäss Artikel 4 OrFV hängt die Frist, innerhalb der eine Behörde ihren Entscheid fällt, von der Komplexität des Entscheids ab, wobei die maximale Frist drei Monate beträgt. Im zweiten Fall kann der Verantwortliche auch auf Standarddatenschutzklauseln zurückgreifen, die der Beauftrage ausgestellt oder anerkannt hat, beispielsweise Musterverträge.

Beschliesst ein Verantwortlicher, Daten gestützt auf Standarddatenschutzklauseln im Sinne von Absatz 2 Buchstabe d ins Ausland bekannt zu geben, wird vermutet, dass er alle notwendigen Massnahmen getroffen hat, um sich eines angemessenen Schutzes zu vergewissern. Allerdings befreit ihn diese Vermutung nicht von der Haftung für Nachteile, die sich aus einer Verletzung dieser Klauseln insbesondere durch den Empfänger der Daten ergeben können. In der künftigen Verordnung ist daher die Pflicht des Beauftragten vorzusehen, eine Liste der ausgestellten oder anerkannten Standarddatenschutzklauseln zu veröffentlichen, wie es im Übrigen im geltenden Recht vorgesehen ist (Art. 6 Abs. 3 VDSG).

Bst. e Verbindliche unternehmensinterne Datenschutzvorschriften

Nach Absatz 2 Buchstabe e kann die Bekanntgabe von Daten ins Ausland auch gestützt auf verbindliche unternehmensinterne Datenschutzvorschriften erfolgen, die vorgängig durch den Beauftragten oder durch eine ausländische Behörde, die für den Datenschutz zuständig ist, genehmigt wurden. Diese Bestimmung ersetzt Artikel 6 Absatz 2 Buchstabe g DSG. Absatz 2 Buchstabe e nähert sich dem Recht der Europäischen Union an, das in Artikel 47 der Verordnung (EU) 2016/679 vorsieht, dass Daten gestützt auf vorgängig von der Datenschutzaufsichtsbehörde genehmigte, verbindliche interne Datenschutzvorschriften zwischen den Mitgliedern einer Unternehmensgruppe übermittelt werden können. Die Genehmigung verbindlicher unternehmensinterner Vorschriften ist in Artikel 57 Absatz 1 Buchstabe s der Verordnung (EU) 2016/679 festgehalten. Absatz 2 Buchstabe e stellt insofern eine Verschärfung des geltenden Rechts dar, als die verbindlichen unternehmensinternen Datenschutzvorschriften neu genehmigt werden müssen. Der Verantwortliche darf gestützt auf die verbindlichen unternehmensinternen Datenschutzvorschriften keine Daten ins Ausland bekannt geben, bis er vom Beauftragten eine entsprechende beschwerdefähige Verfügung (Art. 5 VwVG) erhalten hat. Während der Dauer des Verfahrens kann er sich auf Artikel 13 Absatz 2 Buchstaben b oder c stützen.

Zur Berücksichtigung der Bedürfnisse von Unternehmensgruppen, die sich über mehrere Länder erstrecken, sieht Absatz 2 Buchstabe e vor, dass ein Unternehmen mit Sitz in der Schweiz, das zu einer solchen Gruppe gehört, auch verbindliche Datenschutzvorschriften befolgen kann, die durch eine ausländische Behörde genehmigt wurden, die für den Datenschutz zuständig ist und die einem Staat angehört, der einen angemessenen Schutz gewährleistet.

Die in Absatz 2 Buchstabe e erwähnten Instrumente müssen in dem Sinne “verbindlich” sein, als alle Gesellschaften, die zur selben Unternehmensgruppe gehören, die Vorschriften einzuhalten und anzuwenden haben. Diese Normen präzisieren mindestens die fragliche Datenbekanntgabe, die Kategorien bekannt gegebener Daten, den Zweck der Bearbeitung, die Kategorien betroffener Personen und die Empfängerstaaten. Ausserdem müssen die Normen die Rechte der betroffenen Personen regeln und auch Angaben über die Mechanismen enthalten, die innerhalb der Unternehmensgruppe eingerichtet worden sind, um ihre Einhaltung zu überprüfen. Gegebenenfalls kann der Bundesrat in der Ausführungsverordnung Kriterien definieren, welche die verbindlichen unternehmensinternen Vorschriften erfüllen müssen.

Abs. 3 Rechtsetzungsdelegation

In dieser Bestimmung wird der Bundesrat ermächtigt, andere geeignete Garantien nach Absatz 2 vorzusehen. Denn es ist nicht ausgeschlossen, dass andere Systeme entwickelt werden wie beispielsweise Selbstzertifizierungsregelungen gemäss dem Modell des Swiss-US Privacy Shield (siehe Art. 46 Abs. 2 Bst. f der Verordnung [EU] 2016/679).