Fast jedes Schweizer Unternehmen übermittelt Personendaten in die USA: über E-Mail- und Kollaborationsdienste, CRM, Analyse-Werkzeuge, Support-Plattformen oder KI-Dienste. Das DSG erlaubt das, aber nur unter Bedingungen. Seit Juni 2026 ist zudem unsicherer geworden, wie lange die wichtigste dieser Bedingungen trägt. Dieser Beitrag ordnet ein, was gilt und wie man sich absichert. Er ersetzt keine rechtliche Beurteilung im Einzelfall.
Die Grundregel
Nach Art. 16 DSG dürfen Personendaten ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des Staates einen angemessenen Schutz gewährleistet. Die Liste dieser Staaten steht im Anhang der Datenschutzverordnung. Fehlt ein solcher Entscheid, braucht es geeignete Garantien, etwa vom EDÖB anerkannte Standardvertragsklauseln, oder eine der gesetzlichen Ausnahmen.
Die USA und das Swiss-U.S. Data Privacy Framework
Die USA gelten nicht generell als Staat mit angemessenem Schutz. Seit dem 15. September 2024 gilt aber das Swiss-U.S. Data Privacy Framework: Für US-Unternehmen, die sich unter den schweizerischen Bestimmungen des Rahmens zertifiziert haben, hat der Bundesrat die Angemessenheit festgestellt. Ob ein Anbieter zertifiziert ist, zeigt die öffentliche Data Privacy Framework List; entscheidend ist, dass die Zertifizierung ausdrücklich den Swiss-U.S.-Teil umfasst und die betreffenden Daten abdeckt.
Was sich 2026 geändert hat
Das schweizerische Framework ist eng an das EU-U.S. Data Privacy Framework angelehnt, und beide stützen sich auf dieselben amerikanischen Mechanismen, insbesondere die Aufsicht durch die Federal Trade Commission und das Data Protection Review Court. Das Gericht der EU hat das EU-Framework im September 2025 bestätigt; gegen das Urteil ist ein Rechtsmittel beim Gerichtshof der EU hängig. Am 29. Juni 2026 entschied der US Supreme Court im Fall Trump v. Slaughter, dass der Präsident Mitglieder der FTC ohne Grund entlassen kann. Datenschutzorganisationen sehen damit eine tragende Säule des Frameworks geschwächt und haben die EU-Kommission aufgefordert, es zurückzunehmen. Das Framework gilt weiter, aber die Wahrscheinlichkeit, dass es gerichtlich oder politisch fällt, ist gestiegen.
Was das für Schweizer Unternehmen heisst
Übermittlungen an zertifizierte Anbieter bleiben zulässig, solange der Bundesratsentscheid gilt. Wer aber ausschliesslich auf das Framework setzt, steht ohne Grundlage da, wenn es fällt, wie es beim Privacy Shield 2020 geschah. Vorsorge ist deshalb sinnvoll und meist mit wenig Aufwand verbunden.
Vorsorge in fünf Schritten
- Inventar: Welche Dienste übermitteln welche Personendaten in die USA? Die Antwort steht im Idealfall bereits im Bearbeitungsverzeichnis.
- Zertifizierung prüfen: Ist jeder US-Anbieter unter dem Swiss-U.S.-Teil zertifiziert, und deckt die Zertifizierung die betreffenden Daten ab?
- Rückfallebene vereinbaren: In den Verträgen zur Auftragsbearbeitung Standardvertragsklauseln als Alternative vorsehen, damit beim Wegfall des Frameworks sofort eine Grundlage besteht.
- Risiko senken: Verschlüsselung mit selbst verwalteten Schlüsseln, Datenminimierung und die Prüfung, welche Daten überhaupt in die USA müssen. Der Zugriff über den CLOUD Act bleibt unabhängig vom Framework ein Thema.
- Beobachten: Das Verfahren in der EU und allfällige Anpassungen des Bundesrates verfolgen und das Inventar jährlich aktualisieren.
Standardklauseln und Risikoabwägung
Wer statt auf das Framework auf Standardvertragsklauseln setzt, muss prüfen, ob der Empfänger sie im Zielland tatsächlich einhalten kann. Diese Prüfung, oft als Transfer Impact Assessment bezeichnet, betrachtet unter anderem die Zugriffsmöglichkeiten von Behörden und die ergriffenen Schutzmassnahmen. Sie ist mehr Aufwand als ein Blick auf die Zertifizierungsliste, aber sie macht die Übermittlung unabhängig vom politischen Schicksal eines Abkommens.
Einordnung
Für die meisten Unternehmen ist die Lage kein Grund für hektische Umstellungen, aber ein guter Anlass, die eigenen US-Übermittlungen zu kennen und abzusichern. Unterstützung bei Inventar, Verträgen und Prozessen bieten wir im Rahmen der DSG-Umsetzung für KMU an; die Stichtage weiterer Regelwerke zeigt die Seite Regulierungsfristen.