Erläuternder Bericht

Da die teilnehmenden Staaten unterschiedliche Anforderungen an den Schutz persönlicher Daten haben, sieht der Standard ausserdem vor, dass die Partnerstaaten die Einhaltung ihrer nationalen Datenschutzgesetze als zwingende Voraussetzung für die Umsetzung des AIA verlangen können. Dazu müssen sie diese Anforderungen dem Sekretariat des Koordinierungsorgans mitteilen. Bei der bilateralen Aktivierung des AIA verpflichten sich die Partnerstaaten, die in der Mitteilung des jeweiligen Staates genannten Datenschutzanforderungen zu erfüllen. Die vorgeschlagenen Staaten stehen nicht auf der vom Bundesrat erstellten Liste der Staaten, die ein angemessenes Datenschutzniveau im Sinne von Artikel 16 Absatz 1 des Datenschutzgesetzes (DSG)³⁷ bieten (Anhang 1 zur Datenschutzverordnung vom 31. August 2022; DSV³⁸). Folglich ist Artikel 16 Absatz 2 DSG (Grundsätze der Bekanntgabe von Personendaten ins Ausland) einzuhalten, um einen geeigneten Datenschutz zu gewährleisten. Dies hat gestützt auf Artikel 16 DSG dadurch zu geschehen, dass entweder der Bundesrat die Angemessenheit des Datenschutzes feststellt oder mit einem zusätzlichen völkerrechtlichen Vertrag ein geeigneter Datenschutz im bilateralen Verhältnis realisiert wird. Die AIA-Vereinbarung sieht einen Mechanismus vor, der einem Datenschutzabkommen im Sinne von Artikel 6 AIAG gleichkommt, mit dem ein angemessenes Datenschutzniveau im Sinne von Artikel 16 Absatz 2 Buchstabe a DSG garantiert wird (inhaltlich kann Art. 9 DSV analog herangezogen werden). Dies gilt namentlich auch im Verhältnis zu den Staaten, die über kein spezifisches Datenschutzgesetz verfügen, aber in den Steuerabkommen einer Vertraulichkeitsklausel nach dem Musterabkommen der OECD zugestimmt haben. Unbesehen davon ist Artikel 16 Absatz 2 DSG stets einzuhalten.

Zu diesem Zweck hat die Schweiz im Rahmen des Verfahrens gemäss Abschnitt 7 Absatz 1 Buchstabe d der AIA-Vereinbarung Finanzkonten eine Notifikation zum Datenschutz an das Sekretariat des Koordinierungsgremium übermittelt. In dieser Notifikation³⁹ sind die einschlägigen datenschutzrechtlichen Vorgaben festgehalten, so etwa das Recht der betroffenen Personen auf Auskunft über ihre Daten, auf Berichtigung oder Löschung ihrer Daten oder auf eine gerichtliche Überprüfung. Nimmt ein Staat die Schweiz in seine Liste der AIA-Partnerstaaten auf, verpflichtet er sich gestützt auf die AIA-Vereinbarung in verbindlicher Weise, im bilateralen Verhältnis die in der Notifikation bekanntgegebenen schweizerischen Datenschutzvorgaben einzuhalten. Die Prüfung, ob die Partnerstaaten diese Datenschutzgrundsätze einhalten, stellt primär auf Hinweise von betroffenen Personen oder auf Negativmeldungen beim Sekretariat des Koordinierungsgremiums ab. Sollte sich aufgrund solcher Meldungen und entsprechender Nachforschungen bestätigen, dass ein Partnerstaat die datenschutzrechtlichen Vorgaben systematisch verletzt, kann der AIA suspendiert werden.

³⁷SR 235.1

³⁸SR 235.11

39 AS 2017 3533