Erläuternder Bericht

schlusses ist es Sache jedes Schengen-Staats, die Modalitäten für die Zustimmung festzulegen. Beabsichtigt eine Schweizer Behörde, an einen Drittstaat oder eine internationales Organ Daten zu übermitteln, die sie von einem Schengen-Staat erhalten hat, muss sie vorher dessen Zustimmung einholen. Absatz 2 sieht eine Ausnahme von der Verpflichtung vor, die vorgängige Zustimmung des Schengen-Staats, bei dem die Daten beschafft wurden, einzuholen. Gemäss Absatz 2 Buchstabe a dürfen Personendaten im Einzelfall bekanntgegeben werden, wenn die vorgängige Zustimmung des betreffenden Staats nicht rechtzeitig eingeholt werden kann und wenn die Bekanntgabe für die Abwehr einer unmittelbar drohenden, ernsthaften Gefahr für die öffentliche Sicherheit eines Staats oder zur Wahrung wesentlicher Interessen eines Schengen-Staats unerlässlich ist. Dies sind kumulative Voraussetzungen. Gemäss Erwägung 25 soll mit dieser Ausnahme nicht nur die öffentliche Sicherheit eines Schengen-Staats geschützt werden, sondern auch die eines Drittstaats. Die wesentlichen Interessen eines Schengen-Staats sind beispielsweise gefährdet, wenn die kritische Infrastruktur dieses Staats bedroht ist oder sein Finanzsystem erheblich gestört werden könnte. Werden Daten aufgrund von Absatz 2 bekanntgegeben, muss die zuständige Behörde den betreffenden Staat unverzüglich darüber informieren (Abs. 3).

Gemäss Absatz 1 Buchstabe d muss der Drittstaat oder das internationale Organ zudem ein angemessenes Schutzniveau für die Daten gewährleisten. Was die Kriterien anbelangt, die erfüllt sein müssen, damit das Schutzniveau als «angemessen» gilt, ergibt sich aus Artikel 13 Absatz 4 des Rahmenbeschlusses, dass die Angemessenheit unter Berücksichtigung aller Umstände zu beurteilen ist, die bei einer Datenübermittlung oder einer Kategorie von Datenübermittlungen eine Rolle spielen. Die zuständige Behörde muss insbesondere die Art der Daten, die Zweckbestimmung der geplanten Verarbeitung, den Herkunftsstaat und den Staat oder das internationale Organ, für welche die Daten am Ende bestimmt sind, die im betreffenden Drittstaat oder in dem betreffenden internationalen Organ geltenden allgemeinen oder sektoriellen Rechtsnormen sowie die dort geltenden Standesregeln und Sicherheitsmassnahmen berücksichtigen. Der Zweck des Abkommens, nämlich «einen hohen Schutz der Grundrechte und Grundfreiheiten natürlicher Personen und insbesondere ihres Rechts auf Privatsphäre (...) zu gewährleisten», ist das entscheidende materielle Kriterium. Das Schutzniveau im Drittland ist dann als angemessen anzusehen, wenn der betroffenen Person dort in Bezug auf die Bearbeitung ihrer Daten ein Schutz zuteil wird, der dem Kernbestand der Datenschutzprinzipien des Rahmenbeschlusses im Wesentlichen gerecht wird⁶⁰. Die zuständige Behörde muss somit im Einzelfall sämtliche Umstände prüfen, die bei der von ihr beabsichtigten Bekanntgabe der Daten eine Rolle spielen. Eine allgemeine Überprüfung des Schutzniveaus im betreffenden Drittstaat genügt nicht. Denn es ist möglich, dass ein Drittstaat in einem bestimmten Bereich oder für eine bestimmte Kategorie von Datenübermittlungen ein angemessenes Schutzniveau gewährleisen kann, nicht aber in anderen Bereichen.

Zwar findet sich in Art. 6 DSG der Ausdruck «angemessener Schutz», doch gilt diese Bestimmung nicht für hängige Verfahren der internationalen Rechtshilfe (Art. 2 Abs. 2 Bst. c DSG).

Für den Fall, dass der Drittstaat oder das internationale Organ kein angemessenes Schutzniveau gewährleistet, sieht Absatz 4 eine abschliessende Liste von Ausnahmen vor. Findet eine dieser Ausnahmen Anwendung, ist es der zuständigen Behörde nicht mehr verboten,