Die Übermittlung personenbezogener Daten in Länder ausserhalb des europäischen Wirtschaftsraums ist der Bereich des Datenschutzrechts mit der bewegtesten Geschichte. Zwei Angemessenheitsentscheidungen wurden vom Gerichtshof für ungültig erklärt, und die aktuelle Grundlage ist Gegenstand rechtlicher Auseinandersetzung.
Wer heute plant, sollte deshalb nicht auf Dauerhaftigkeit setzen, sondern auf Nachvollziehbarkeit.
Die Systematik
Eine Übermittlung in ein Drittland ist zulässig, wenn die Kommission für dieses Land ein angemessenes Schutzniveau festgestellt hat. Fehlt eine solche Feststellung, braucht es geeignete Garantien.
Die verbreitetste Garantie sind Standardvertragsklauseln. Daneben stehen verbindliche unternehmensinterne Datenschutzvorschriften und, für Einzelfälle, eng gefasste Ausnahmen.
Die Schweiz führt eine eigene Länderliste. Für Unternehmen, die beide Rechtsräume bedienen, ist damit je Übermittlung zweimal zu prüfen.
Was der Gerichtshof verlangt hat
Der zentrale Punkt der Rechtsprechung war, dass die vertragliche Garantie allein nicht genügt, wenn das Recht des Empfängerlandes Zugriffe erlaubt, die mit dem europäischen Schutzniveau nicht vereinbar sind.
Daraus folgt die Pflicht, im Einzelfall zu prüfen, ob im konkreten Empfängerland ein gleichwertiges Schutzniveau tatsächlich erreicht wird — und gegebenenfalls ergänzende Massnahmen zu ergreifen.
Diese Prüfung ist zu dokumentieren. Sie ist der Teil, der in der Praxis am häufigsten fehlt: Die Klauseln werden unterzeichnet, die Bewertung unterbleibt.
Was ergänzende Massnahmen sein können
Technische Massnahmen wirken am zuverlässigsten, weil sie unabhängig vom Recht des Empfängerlandes greifen. Verschlüsselung, bei der der Schlüssel im europäischen Raum verbleibt, ist der wirksamste Fall.
Organisatorische und vertragliche Massnahmen — etwa Zusagen zur Anfechtung behördlicher Anordnungen und zur Transparenz über Zugriffsersuchen — sind ergänzend sinnvoll, aber schwächer, weil sie das anwendbare Recht nicht ausser Kraft setzen.
Der ehrliche Befund lautet: Wo ein Dienstleister im Klartext auf Daten zugreifen muss, um seine Leistung zu erbringen, sind wirksame technische Massnahmen schwer zu konstruieren.
Die Frage, die vor allen anderen steht
Bevor über Garantien nachgedacht wird, lohnt die Frage, ob die Übermittlung überhaupt nötig ist. Für viele Dienste bestehen inzwischen Angebote mit Verarbeitung im europäischen Raum.
Eine Verarbeitung, die im europäischen Raum bleibt, erspart die gesamte Prüfkette. Das ist die wirksamste und am seltensten geprüfte Massnahme.
Wo ein Wechsel nicht möglich ist, lohnt zumindest die Prüfung, ob der Anbieter eine Konfiguration mit europäischer Verarbeitung anbietet — bei vielen grossen Anbietern ist das inzwischen der Fall, aber nicht standardmässig eingestellt.
Was konkret zu tun ist
Erstens: eine Liste aller Übermittlungen in Drittländer. Sie ergibt sich aus dem Verzeichnis und aus der Liste der Auftragsverarbeiter — einschliesslich der Unterauftragsverarbeiter, die häufig übersehen werden.
Zweitens: je Übermittlung die Grundlage bestimmen und, wo keine Angemessenheitsfeststellung besteht, die Prüfung des Empfängerlandes dokumentieren.
Drittens: prüfen, ob ergänzende Massnahmen möglich und angemessen sind, und die Entscheidung festhalten.
Viertens: einen Anlass für die Überprüfung festlegen. Angemessenheitsfeststellungen können angefochten und aufgehoben werden — wer das nicht beobachtet, arbeitet irgendwann ohne Grundlage.
Der realistische Umgang
Vollständige rechtliche Sicherheit ist in diesem Bereich derzeit nicht zu haben. Was erreichbar ist, ist eine dokumentierte, nachvollziehbare Abwägung, die zeigt, dass die Frage geprüft und verantwortet wurde.
Das ist im Prüffall deutlich mehr wert als eine unbegründete Annahme, alles sei in Ordnung — und es ist der einzige Zustand, der eine spätere Rechtsänderung überstehen kann.