Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Absatz 3 Keine Entscheidung durch den Bundesrat

Liegt keine Entscheidung des Bundesrates nach Absatz 2 vor, sieht Absatz 3 Buchstaben a– d vor, dass Personendaten ins Ausland bekannt gegeben werden können, wenn ein

geeigneter Schutz besteht. Der VE-DSG folgt dem Beispiel der Europäischen Union und verwendet zwei verschiedene Begriffe in den Absätzen 2 und 3. Der Begriff des

«angemessenen» Schutzes bleibt der Qualifizierung einer ausländischen Gesetzgebung vorbehalten.

Nach Buchstabe a kann ein geeigneter Schutz durch einen völkerrechtlichen Vertrag

gewährleistet werden. Unter «völkerrechtlicher Vertrag» ist nicht nur ein internationales Datenschutzübereinkommen zu verstehen, dem der Empfängerstaat angehört, wie das Übereinkommen SEV 108 und sein Zusatzprotokoll, sondern auch jedes weitere

internationale Abkommen, das einen Datenaustausch zwischen den Vertragsparteien

vorsieht und materiell den Anforderungen des Übereinkommens SEV 108 entspricht. Dabei kann es sich auch um einen Staatsvertrag handeln, den der Bundesrat im Rahmen von Artikel 56 Buchstabe b VE-DSG abgeschlossen hat.

Absatz 3 Buchstaben b und c entsprechen den Anforderungen von Artikel 12 Absatz 3 Buchstabe b E-SEV 108. Dieser sieht vor, dass ein angemessenes Datenschutzniveau durch genehmigte Ad-hoc- und standardisierte Garantien gewährleistet werden kann, die auf rechtlich bindenden und durchsetzbaren Instrumenten beruhen, welche durch die mit der Bekanntgabe und Weiterbearbeitung der Daten befassten Personen vereinbart und

umgesetzt werden. In Artikel 46 der Verordnung (EU) 2016/679 und in Artikel 37 der

Richtlinie (EU) 2016/680 sind entsprechende Regelungen vorgesehen.

Absatz 3 Buchstabe b Spezifische Garantien

Nach Absatz 3 Buchstabe b können Daten ins Ausland bekannt gegeben werden, wenn Garantien vorgesehen sind, die im Einzelfall einen geeigneten Schutz gewährleisten und über die der Beauftragte vorgängig informiert worden ist. Hat der Beauftragte Einwände gegen die spezifischen Garantien, muss er den Verantwortlichen oder den

Auftragsbearbeiter innert dreissig Tagen seit Erhalt der Garantien informieren (Abs. 4).

Artikel 6 Absatz 5 VDSG sieht dasselbe vor. Bestehen keine Einwände oder ist die Frist abgelaufen, so ist der Verantwortliche berechtigt, Daten ins Ausland bekannt zu geben. Wie es heute bereits der Fall ist, ist es Sache des Verantwortlichen, nachzuweisen, dass er alle erforderlichen Massnahmen getroffen hat, um sich zu vergewissern, dass ein geeigneter Schutz besteht und dass der Empfänger die Garantien einhält. Auch haftet er nach wie vor für Nachteile, die sich aus einer Verletzung der Garantien ergeben können.

Entsprechend der verwendeten Terminologie bezieht sich der Begriff der «Garantien, die im Einzelfall einen angemessenen Schutz gewährleisten» auf die Bekanntgabe ins Ausland in «Einzelfällen» und nicht auf die Bekanntgabe in standardisierter Form. Im privaten Sektor kann es sich bei diesen Garantien um Vertragsklauseln handeln, die im Rahmen eines Vertrags zwischen dem Verantwortlichen und dem Empfänger vereinbart werden. Im

öffentlichen Sektor kann ein Bundesorgan, das einem ausländischen Staat die Zusage für die Zusammenarbeit erteilt, die Zusage an Bedingungen für den Bereich des Datenschutzes knüpfen. Im Gegensatz zu den standardisierten Garantien (siehe Bst. c) gelten die

Garantien, die im Einzelfall einen geeigneten Schutz gewährleisten, nur für die Bekanntgabe, die im entsprechenden Vertrag vorgesehen ist. Beabsichtigt der Verantwortliche, erneut Daten bekannt zu geben, so muss er grundsätzlich neue Garantien festlegen.

Absatz 3 Buchstabe c Standardisierte Garantien

Nach Absatz 3 Buchstabe c können Daten gestützt auf standardisierte Garantien ins Ausland bekannt gegeben werden. Diese Garantien können entweder von interessierten

Privatpersonen oder Kreisen erarbeitet (Ziff. 1) oder durch den Beauftragten ausgestellt oder anerkannt worden sein (Ziff. 2). Auch die Bundesorgane können auf diese Art von Garantien zurückgreifen. Der Begriff der «standardisierten Garantien» betrifft beispielsweise

standardisierte Vertragsklauseln, die in den Vertrag zwischen dem Verantwortlichen und dem Empfänger eingefügt werden. Es kann sich auch um einen von Privaten erarbeiteten Verhaltenskodex handeln, dem sich Privatpersonen freiwillig unterstellen können.