AS 2008 731

Zusatzprotokoll zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Aufsichtsbehörden und grenzüberschreitende Datenübermittlung

Übersetzung1

Abgeschlossen in Strassburg am 8. November 2001 Von der Bundesversammlung genehmigt am 24. März 20062 Ratifikationsurkunde von der Schweiz hinterlegt am 20. Dezember 2007 Inkrafttreten für die Schweiz am 1. April 2008

Präambel Die Vertragsparteien dieses Zusatzprotokolls zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten, das am 28. Januar 19813 in Strassburg zur Unterzeichnung aufgelegt wurde (im Folgenden «das Übereinkommen»), in der Überzeugung, dass Aufsichtsbehörden, die Ihre Aufgaben in vollständiger Unabhängigkeit wahrnehmen, ein Bestandteil eines wirksamen Schutzes des Men- schen bei der Verarbeitung personenbezogener Daten sind; in Anbetracht der Bedeutung, die der Informationsübermittlung zwischen den Völ- kern zukommt; in der Erwägung, dass es angesichts des zunehmenden grenzüberschreitenden Aus- tausches personenbezogener Daten erforderlich ist, im Zusammenhang mit einem solchen Austausch personenbezogener Daten den wirksamen Schutz der Menschen- rechte und grundlegenden Freiheiten und insbesondere des Rechtes auf Schutz der Privatsphäre zu gewährleisten, sind wie folgt übereingekommen:

Art. 1 Aufsichtsbehörden 1. Jede Vertragspartei sieht mindestens eine Behörde vor, die dafür zuständig ist, die Einhaltung jener innerstaatlichen Rechtsvorschriften zu gewährleisten, durch die die in Kapitel II und III des Übereinkommens bzw. in diesem Protokoll festgelegten Grundsätze umgesetzt werden.

2. a. Zu diesem Zweck sind die besagten Behörden insbesondere befugt, Ermitt-

lungen durchzuführen und einzuschreiten sowie Klagen anzustrengen bzw. den zuständigen Justizbehörden Verstösse gegen innerstaatliche Rechtsvor-

SR 0.235.11

1 Übersetzung des französischen Originaltextes (RO 2008 731).

2 AS 2008 729 3 SR 0.235.1

2002-2762 731

Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. AS 2008

schriften, die der Umsetzung der Grundsätze gemäss Absatz 1 Artikel 1 die- ses Protokolls dienen, zur Kenntnis zu bringen. b. Jede Aufsichtsbehörde hört innerhalb ihres Zuständigkeitsbereiches die Beschwerden von Personen in Bezug auf den Schutz ihrer Rechte und grundlegenden Freiheiten hinsichtlich der Verarbeitung personenbezogener Daten an.

3. Die Aufsichtsbehörden sind bei der Wahrnehmung ihrer Aufgaben völlig unab-

hängig.

4. Entscheidungen der Aufsichtsbehörden, die zu Beschwerden Anlass geben,

können vor Gericht angefochten werden.

5. In Übereinstimmung mit den Bestimmungen gemäss Kapitel IV und vorbehält-

lich der Bestimmungen gemäss Artikel 13 des Übereinkommens arbeiten die Auf- sichtsbehörden in dem zur Wahrnehmung ihrer Aufgaben erforderlichen Masse zusammen, indem sie insbesondere alle sachdienlichen Informationen miteinander austauschen.

Art. 2 Grenzüberschreitende Übermittlung personenbezogener Daten an Empfänger, die nicht der Rechtshoheit einer Vertragspartei unterliegen

1. Jede Vertragspartei stellt sicher, dass personenbezogene Daten nur dann an

Empfänger, die der Rechtshoheit eines Staates, bzw. einer Organisation unterliegen, der bzw. die nicht Vertragspartei des Übereinkommens ist, übermittelt werden, wenn dieser Staat bzw. diese Organisation einen angemessenen Schutz für die beabsich- tigte Datenübermittlung gewährleistet.

2. Abweichend von den Bestimmungen gemäss Absatz 1 des Artikels 2 dieses

Protokolls kann jede Vertragspartei die Übermittlung personenbezogener Daten zulassen: a. sofern dies im innerstaatlichen Recht vorgesehen ist: – um bestimmten Interessen des Betroffenen, bzw. – legitimen überwiegenden Interessen, insbesondere wichtigen öffentli- chen Interessen, Rechnung zu tragen; oder b. sofern Sicherheitsvorkehrungen, die sich insbesondere aus vertraglichen Klauseln ergeben können, von dem für die Übermittlung Verantwortlichen getroffen werden und diese nach Auffassung der zuständigen Behörde und in Übereinstimmung mit dem innerstaatlichen Recht angemessen sind.

Art. 3 Schlussbestimmungen 1. Die Vertragsparteien betrachten die Bestimmungen gemäss Artikel 1 und 2 dieses Protokolls als Zusatzartikel des Übereinkommens, und sämtliche Bestimmungen des Übereinkommens gelten entsprechend.

Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. AS 2008

2. Dieses Protokoll liegt für alle Signatarstaaten des Übereinkommens zur Unter-

zeichnung auf. Nachdem die Europäischen Gemeinschaften dem Übereinkommen unter den darin vorgesehenen Bedingungen beigetreten sind, können sie dieses Protokoll unterzeichnen. Dieses Protokoll bedarf der Ratifikation, Annahme oder Genehmigung. Kein Unterzeichner dieses Protokolls darf es ratifizieren, annehmen oder genehmigen, sofern er nicht zuvor oder gleichzeitig das Übereinkommen ratifi- ziert, angenommen oder genehmigt hat bzw. ihm beigetreten ist. Ratifikations-, Annahme- bzw. Genehmigungsurkunden zu diesem Protokoll werden beim General- sekretär des Europarats hinterlegt. 3. a. Dieses Protokoll tritt am ersten Tag des Monats in Kraft, der auf eine Frist von drei Monaten nach dem Tag folgt, an dem fünf der Unterzeichner sich gemäss den Bestimmungen des Absatzes 2 des Artikels 3 als an das Proto- koll gebunden erklärt haben. b. Für jeden Unterzeichner dieses Protokolls, der sich zu einem späteren Zeit- punkt als an das Protokoll gebunden erklärt, tritt das Protokoll am ersten Tag des Monats in Kraft, der auf eine Frist von drei Monaten, gerechnet vom Tag der Hinterlegung der Ratifikations-, Annahme- bzw. Genehmigungsurkunde folgt. 4. a. Nach Inkrafttreten dieses Protokolls kann jeder Staat, der dem Übereinkom- men beigetreten ist, auch dem Protokoll beitreten. b. Der Beitritt erfolgt durch Hinterlegung einer Beitrittsurkunde beim General- sekretär des Europarats, wobei die Beitrittsurkunde am ersten Tag des Monats wirksam wird, der auf eine Frist von drei Monaten, gerechnet vom Tag ihrer Hinterlegung, folgt. 5. a. Jede Vertragspartei kann dieses Protokoll jederzeit durch eine an den Gene- ralsekretär des Europarats gerichtete Notifikation kündigen. b. Die Kündigung wird am ersten Tag des Monats wirksam, der auf den Ablauf einer Frist von drei Monaten, gerechnet vom Tag des Eingangs der Notifika- tion beim Generalsekretär, folgt. 6. Der Generalsekretär des Europarats notifiziert den Mitgliedstaaten des Europa- rats, den Europäischen Gemeinschaften und jedem anderen Staat, der diesem Proto- koll beigetreten ist: a. jede Unterzeichnung; b. jede Hinterlegung einer Ratifikations-, Annahme- oder Genehmigungs- urkunde; c. jeden Zeitpunkt des Inkrafttretens dieses Protokolls gemäss Artikel 3; d. jede andere Handlung, Notifikation oder Mitteilung im Zusammenhang mit diesem Protokoll.

Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. AS 2008

Zu Urkund dessen haben die hierzu gehörig befugten Unterzeichner dieses Protokoll unterschrieben.

Geschehen zu Strassburg am 8. November 2001, in englischer und französischer Sprache, wobei jeder Wortlaut gleichermassen verbindlich ist, in einer Urschrift, die im Archiv des Europarats hinterlegt wird. Der Generalsekretär des Europarats über- mittelt allen Mitgliedstaaten des Europarats, den Europäischen Gemeinschaften und allen zum Beitritt zum Übereinkommen eingeladenen Staaten beglaubigte Abschrif- ten.

(Es folgen die Unterschriften)

Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. AS 2008

Geltungsbereich am 7. März 2008 Vertragsstaaten Ratifikation Inkrafttreten

Albanien 14. Februar 2005 1. Juni 2005 Bosnien und Herzegowina 31. März 2006 1. Juli 2006 Deutschland* 12. März 2003 1. Juli 2004 Frankreich 22. Mai 2007 1. September 2007 Kroatien 21. Juni 2005 1. Oktober 2005 Lettland 21. November 2007 1. März 2008 Litauen 2. März 2004 1. Juli 2004 Luxemburg 23. Januar 2007 1. Mai 2007 Niederlandea 8. September 2004 1. Januar 2005 Polen 12. Juli 2005 1. November 2005 Portugal 11. Januar 2007 1. Mai 2007 Rumänien 15. Februar 2006 1. Juni 2006 Schweden 8. November 2001 1. Juli 2004 Schweiz 20. Dezember 2007 1. April 2008 Slowakei 24. Juli 2002 1. Juli 2004 Tschechische Republik 24. September 2003 1. Juli 2004 Ungarn 4. Mai 2005 1. September 2005 Zypern 17. März 2004 1. Juli 2004 * Vorbehalte und Erklärungen Die Vorbehalte und Erklärungen werden in der AS nicht veröffentlicht. Die französischen und englischen Texte können auf der Internet-Seite des Europarates: http://conventions.coe.int eingesehen oder bei der Direktion für Völkerrecht, Sektion Staatsverträge, 3003 Bern, bezogen werden. a Für das Königreich in Europa.

Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. AS 2008