Sobald ein Dienstleister im Ausland Daten speichert oder darauf zugreift, liegt eine Bekanntgabe ins Ausland vor. Das betrifft Cloud-Dienste ebenso wie Support aus einem anderen Land oder eine Konzerngesellschaft im Ausland.
Angemessener Schutz
Der Bundesrat legt fest, welche Staaten einen angemessenen Datenschutz gewährleisten; die Liste steht im Anhang der Datenschutzverordnung. Dazu gehören die Staaten des EWR und weitere Länder. Für die USA gilt die Angemessenheit nur für Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind.
Geeignete Garantien
Fehlt ein Angemessenheitsentscheid, ist die Bekanntgabe mit geeigneten Garantien zulässig, insbesondere mit Standarddatenschutzklauseln, die der EDÖB genehmigt, ausgestellt oder anerkannt hat, mit verbindlichen unternehmensinternen Datenschutzvorschriften, die der EDÖB genehmigt hat, oder mit spezifischen Garantien, die dem EDÖB vorgängig mitgeteilt wurden. Ob der Empfänger die Garantien im Zielland tatsächlich einhalten kann, prüft ein Transfer Impact Assessment.
Ausnahmen
Art. 17 DSG erlaubt eine Bekanntgabe ohne angemessenen Schutz und ohne Garantien in bestimmten Fällen, etwa mit ausdrücklicher Einwilligung der betroffenen Person, wenn die Bekanntgabe mit dem Abschluss oder der Abwicklung eines Vertrags mit ihr unmittelbar zusammenhängt, zur Durchsetzung von Rechtsansprüchen vor Gericht oder bei Daten, welche die Person allgemein zugänglich gemacht hat. Ausnahmen eignen sich für Einzelfälle, nicht für regelmässige Übermittlungen.
Informationspflicht
Wer Personendaten ins Ausland bekanntgibt, nennt in der Datenschutzerklärung die Staaten und gegebenenfalls die Garantien oder die angewendete Ausnahme. Die aktuelle Lage bei Übermittlungen in die USA beschreibt unser Beitrag zur Datenübermittlung in die USA.