Kaum ein Schweizer Unternehmen bearbeitet Personendaten ausschliesslich im Inland. Cloud-Dienste, E-Mail-Versand, Analytics, Support-Werkzeuge und KI-Anbieter haben Server, Mitarbeitende oder Unterauftragsbearbeiter im Ausland. Jede dieser Konstellationen kann eine Bekanntgabe ins Ausland sein. Dieser Beitrag beschreibt die Regeln nach Schweizer Datenschutzgesetz und DSGVO und wie man sie pragmatisch dokumentiert.
Der Schweizer Rahmen
Nach Art. 16 des revidierten DSG dürfen Personendaten ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass der betreffende Staat einen angemessenen Schutz gewährleistet. Die Liste steht in Anhang 1 der Datenschutzverordnung; dazu gehören die EU- und EWR-Staaten und weitere Staaten wie das Vereinigte Königreich. Fehlt eine solche Feststellung, braucht es geeignete Garantien, typischerweise Standardvertragsklauseln, oder eine der Ausnahmen nach Art. 17 DSG, etwa die ausdrückliche Einwilligung oder die Abwicklung eines Vertrags mit der betroffenen Person.
Die Schweiz aus Sicht der EU
Für die EU gilt die Schweiz seit Langem als Staat mit angemessenem Datenschutzniveau. Die Kommission hat diese Einschätzung in ihrer Überprüfung im Januar 2024 bestätigt. Daten aus der EU dürfen deshalb ohne zusätzliche Garantien an Schweizer Unternehmen übermittelt werden. Für Schweizer Anbieter mit EU-Kunden ist das ein echter Standortvorteil, solange sie die Daten nicht ihrerseits in Drittstaaten weitergeben, ohne das abzusichern.
Die USA
Seit dem 15. September 2024 dürfen Personendaten aus der Schweiz ohne zusätzliche Garantien an US-Unternehmen bekanntgegeben werden, die unter dem Swiss-US Data Privacy Framework zertifiziert sind. Für die EU gilt der EU-US-Rahmen seit Juli 2023. Entscheidend ist die Zertifizierung des konkreten Empfängers, für Daten aus der Schweiz ausdrücklich auch für den Swiss-US-Teil. Bei nicht zertifizierten US-Anbietern braucht es Standardvertragsklauseln und eine Prüfung, ob sie im konkreten Fall wirksam sind.
Standardvertragsklauseln richtig einsetzen
Der EDÖB hat die Standardvertragsklauseln der EU-Kommission von 2021 anerkannt, mit Anpassungen für das Schweizer Recht: Das DSG ist als massgebliches Recht zu berücksichtigen, und der EDÖB ist als Aufsichtsbehörde zu nennen. Wer Klauseln verwendet, sollte zudem prüfen, ob das Recht des Empfängerstaats ihre Einhaltung verhindert, etwa durch weitreichende behördliche Zugriffe, und gegebenenfalls zusätzliche Massnahmen wie Verschlüsselung vorsehen. Diese Prüfung gehört dokumentiert.
Unterauftragsbearbeiter nicht vergessen
Ein Schweizer oder europäischer Vertragspartner kann selbst Unterauftragsbearbeiter in Drittstaaten einsetzen, etwa für Support, Hosting-Komponenten oder KI-Funktionen. Auch das ist eine Bekanntgabe ins Ausland, für die der Verantwortliche die Grundlage kennen muss. Die Liste der Unterauftragsbearbeiter gehört deshalb zu jeder Anbieterprüfung, und Änderungen sollten vertraglich angekündigt werden.
Was in die Datenschutzerklärung gehört
Werden Personendaten ins Ausland bekanntgegeben, muss die Datenschutzerklärung die Staaten nennen und, wenn kein Angemessenheitsentscheid besteht, die Garantien oder die Ausnahme, auf die sich die Bekanntgabe stützt (Art. 19 Abs. 4 DSG). Formulierungen wie „weltweit“ genügen nicht. Wer sein Bearbeitungsverzeichnis sauber führt, kann diese Angaben direkt übernehmen.
Ein pragmatischer Ablauf
1. Alle Dienstleister und Werkzeuge mit Zugriff auf Personendaten erfassen, inklusive ihrer Unterauftragsbearbeiter.
2. Pro Dienstleister die Staaten festhalten, in denen Daten gespeichert oder abgerufen werden.
3. Pro Staat die Grundlage bestimmen: Angemessenheit, Data Privacy Framework mit Zertifizierungsnachweis, Standardvertragsklauseln mit Prüfung oder Ausnahme.
4. Verträge und Nachweise ablegen, die Datenschutzerklärung anpassen.
5. Bei Anbieterwechseln und neuen Werkzeugen den Ablauf wiederholen.
Datenresidenz als Entlastung
Je mehr Daten in der Schweiz oder der EU bei Anbietern ohne Drittstaatsbezug liegen, desto kürzer wird diese Liste. Für sensible Daten und Kunden mit hohen Anforderungen ist das oft der einfachste Weg. Die Abwägung beschreibt die Entscheidungshilfe Schweizer Hosting oder EU-Hosting; ein Praxisbeispiel ist das Supabase-Playbook zur Datenresidenz. Die Unterschiede zwischen DSG und DSGVO insgesamt beschreibt der Beitrag DSGVO vs. revDSG.