Source

Anleitung für die Prüfung der Zulässigkeit von Datenübermittlungen mit Auslandbezug

Anleitung für die Prüfung der Zulässigkeit von Datenübermittlungen mit Auslandbezug (nach Art. 16 Abs. 2 lit. b und d DSG) (veröffentlicht Juni 2021; angepasst an das revidierte DSG Mai 2023)

1 Zweck der Anleitung

Die vorliegende Anleitung soll Datenbearbeitern die Prüfung der Zulässigkeit von Datenübermittlungen von personenbezogenen Daten ins Ausland erleichtern. Anhand eines Schemas erläutert diese Anleitung den Anwendungsfall des Datentransfers ins Ausland nach Art. 16 Abs. 2 lit. b DSG, wenn dort eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet, und dieser Mangel durch Datenschutzklauseln in einem Vertrag oder Standarddatenschutzklauseln kompensiert werden muss (vgl. auch Art. 9 Abs. 3 der Verordnung zum Bundesgesetz über den Datenschutz DSV, vom 31. August 2022 , SR. 235.11). Auf die Voraussetzungen nach lit. a, c und e und Art. 17 wird in dieser Anleitung nicht eingegangen.

SR 235.1 Bundesgesetz vom 25. September 2020 über den Datenschutz (DSG), Art. 16 Abs. 1, Abs. 2 Bst. b und d

Abschnitt: Bekanntgabe von Personendaten ins Ausland Art. 16 Grundsätze

1 Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.

2 Liegt kein Entscheid des Bundesrates nach Absatz 1 vor, so dürfen Personendaten ins Ausland bekanntgegeben

werden, wenn ein geeigneter Datenschutz gewährleistet wird durch: […] b. Datenschutzklauseln in einem Vertrag zwischen dem Verantwortlichen oder dem Auftragsbearbeiter und seiner Vertragspartnerin oder seinem Vertragspartner, die dem EDÖB vorgängig mitgeteilt wurden; […] d. Standarddatenschutzklauseln, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat; […]

SR 235.11 Verordnung vom 31. August 2022 zum Bundesgesetz über den Datenschutz (DSV), Art. 9 Art. 9 Datenschutzklauseln und spezifische Garantien

1 Die Datenschutzklauseln in einem Vertrag nach Artikel 16 Absatz 2 Buchstabe b DSG und die spezifischen Garantien nach Artikel 16 Absatz 2 Buchstabe c DSG müssen mindestens die folgenden Punkte enthalten: a. die Anwendung der Grundsätze der Rechtmässigkeit, von Treu und Glauben, der Verhältnismässigkeit, der Transparenz, der Zweckbindung und der Richtigkeit; b. die Kategorien der bekanntgegebenen Personendaten sowie der betroffenen Personen; c. die Art und den Zweck der Bekanntgabe von Personendaten; d. gegebenenfalls die Namen der Staaten oder internationalen Organe, in die oder denen Personendaten bekanntgegeben werden, sowie die Anforderungen an die Bekanntgabe; e. die Anforderungen an die Aufbewahrung, die Löschung und die Vernichtung von Personendaten; f. die Empfängerinnen und Empfänger oder die Kategorien der Empfängerinnen und Empfänger; g. die Massnahmen zur Gewährleistung der Datensicherheit; h. die Pflicht, Verletzungen der Datensicherheit zu melden; i. falls die Empfängerinnen und Empfänger Verantwortliche sind: die Pflicht, die betroffenen Personen über die Bearbeitung zu informieren; j. die Rechte der betroffenen Person, insbesondere:

das Auskunftsrecht und das Recht auf Datenherausgabe oder -übertragung,

das Recht, der Datenbekanntgabe zu widersprechen,

das Recht auf Berichtigung, Löschung oder Vernichtung ihrer Daten,

das Recht, eine unabhängige Behörde um Rechtsschutz zu ersuchen.

2 Der Verantwortliche und im Fall von Datenschutzklauseln in einem Vertrag der Auftragsbearbeiter müssen angemessene Massnahmen treffen, um sicherzustellen, dass die Empfängerin oder der Empfänger diese Klauseln oder die spezifischen Garantien einhält.

3 Wurde der EDÖB über die Datenschutzklauseln in einem Vertrag oder die spezifischen Garantien informiert, so gilt

die Informationspflicht für alle weiteren Bekanntgaben als erfüllt, die: a. unter denselben Datenschutzklauseln oder Garantien erfolgen, sofern die Kategorien der Empfängerinnen und Empfänger, der Zweck der Bearbeitung und die Datenkategorien im Wesentlichen unverändert bleiben; oder b. innerhalb derselben juristischen Person oder Gesellschaft oder zwischen Unternehmen, die zum selben Konzern gehören, stattfinden.

2 Ablaufschema

3 Erläuterungen

[N01] Überprüfung des Datenschutzniveaus im Drittland Der verantwortliche Datenexporteur muss sicherstellen, dass bei der Bearbeitung der Daten in den Zielländern ein angemessenes Datenschutzniveau gewährleistet ist (Art. 16 DSG). Wenn die Daten in ein EU/EWR Land transferiert werden, kann von einem angemessenen Datenschutzniveau ausgegangen werden, wenn ein Weiterexport in ein Drittland ausgeschlossen ist. Es ist zu beachten, dass ein Auftragsdatenbearbeiter bzw. –prozessor in einem Land mit angemessenem Datenschutzniveau unter Umständen einem Gesetz oder anderen zwingenden Vorgaben eines Drittlandes unterstehen kann, das diesen zur Bekanntgabe der Daten an die Behörden eines Drittlandes verpflichtet und diese Bekanntgaben z.B. intransparent oder nicht justiziabel sind (vgl. dazu im Einzelnen die Garantien in N05). In diesem Fall ist nach N03 zu verfahren (Bsp.: Server in der Schweiz, EU oder dem EWR eines Unternehmens, welches direkt oder indirekt einer staatlichen Rechtsordnung eines Staates ohne angemessenem Datenschutzniveau untersteht).

[N02] Angemessenheit (Art. 16 Abs. 1 DSG)

Exportstaat figuriert im Anhang 1 DSV Wenn der Inhaber von Datensammlungen Daten in einen Staat, ein Gebiet oder einen spezifischen Sektor in einem Staat übermittelt, der in Anhang 1 DSV als ein solcher mit angemessenem Datenschutzniveau aufgeführt wird, gilt er als gutgläubig gemäss Art. 3 Abs. 1 ZGB. Allerdings handelt es sich um eine widerlegbare Vermutung. Der Inhaber der Datensammlung kann sich dann nicht auf seinen guten Glauben berufen, wenn er z.B. Kenntnis hat, dass in seinem spezifischen Fall das angemessene Datenschutzniveau in einem bestimmten Land dennoch nicht gewährleistet ist (Art. 3 Abs. 2 ZGB). Der Datenexporteuer bleibt in jedem Fall für den Datenexport verantwortlich und muss sich periodisch darüber informieren, ob die Angemessenheit nach wie vor gilt und dass nicht andere Gründe (z.B. aufgrund von Hinweisen aus der Praxis oder den Medien) gegen eine sichere Bearbeitung der Personendaten im entsprechenden Zielland sprechen.

[N03] Kein angemessener Schutz oder Anzeichen, dass keine datenschutzkonforme Datenübertragung möglich ist (Art. 16 Abs. 2 lit. b und d DSG) Fehlt der Staat resp. das Gebiet oder der spezifische Sektor in einem Staat im Anhang 1 DSV oder bestehen trotz Vorhandenseins im Anhang 1 DSV konkrete Hinweise, wonach mit Blick auf den beabsichtigten Export nicht von einem angemessenen Datenschutzniveau ausgegangen werden kann, muss der Datenexporteur den Datenschutz mit Datenschutzklauseln in einem Vertrag zwischen dem Verantwortlichen oder dem Auftragsbearbeiter und seiner Vertragspartnerin oder seinem Vertragspartner, die dem EDÖB vorgängig mitgeteilt wurden oder durch Standarddatenschutzklauseln, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat, sicherstellen.

[N04] Detaillierte Erfassung des Datentransfers Eine detaillierte Erfassung des Datentransfers durch den Datenexporteur, z.B. mittels eines Verzeichnisses, ist die sachdienliche Basis für die Einschätzung des beabsichtigten Datenexports. Es ist unter anderem Folgendes zu klären:

  • Weisen die zu exportierenden Daten einen Personenbezug auf?

  • Sind Personen bestimmt oder bestimmbar?

  • Was ist der Zweck der Datenbekanntgabe?

  • Welche Kategorien von Personendaten werden übermittelt?

  • Gibt es weitere Auftrags- und Unterauftragsbearbeiter und befinden sich diese in Drittländern?

  • Werden die Personendaten von Unternehmen bearbeitet, welche Rechtsordnungen in Drittländern unterstehen (z.B. US-amerikanische Cloudanbieter mit Servern in CH/EU/EWR).

  • Werden die Daten innerhalb des Drittlandes oder in ein weiteres Drittland weiterübermittelt oder gibt es Hinweise, dass es dazu kommen könnte?

[N05] Vier Garantien Mit Blick auf behördliche Zugriffe im Drittland (z.B. zwecks nationaler Sicherheit oder Strafverfolgung) und der Rechte der Betroffenen hat der Datenexporteur zu prüfen, ob diese mit dem schweizerischen Datenschutzrecht und den schweizerischen Verfassungsgrundsätzen vereinbar sind. Er muss entsprechende Abklärungen selbst vornehmen und darf sich dabei nicht nur auf die Aussagen des Datenimporteurs verlassen. Dies kann er durch Konsultation von Literatur und Rechtsprechung oder das Einholen von unabhängigen Rechtsgutachten machen.

Folgende schweizerische Grundrechtsgarantien müssen im Drittland analog gewährleistet sein und es gilt zu prüfen, welche Mängel im Drittland vorliegen:

Legalitätsprinzip: Klare, präzise und zugängliche Regeln (Art. 5 und Art. 164 BV) Hinreichend bestimmte und klare Rechtsgrundlage betreffend Zwecke sowie Verfahren und materiellrechtlicher Voraussetzungen des behördlichen Datenzugriffs und den Befugnissen der Behörden.

Verhältnismässigkeit der Befugnisse und Massnahmen im Hinblick auf die verfolgten Regelungsziele (Art. 5 Abs. 2 BV und Art. 6 Abs. 2 DSG) Die Befugnisse und Massnahmen der Behörden müssen geeignet und erforderlich sein, um die gesetzlichen Zwecke der behördlichen Zugriffe zu erfüllen. Zudem müssen sie für die Betroffenen zumutbar sein.

Dem Einzelnen müssen wirksame Rechtsmittel zur Verfügung stehen (Art. 13 Abs. 2 BV zur Durchsetzung von Art. 32 DSG sowie Art. 8 und 13 EMRK) Betroffene in der Schweiz müssen einen wirksamen gesetzlich verankerten Rechtsbehelf für die Durchsetzung ihrer Rechte zum Schutz der Privatsphäre und informationellen Selbstbestimmung (z.B. Auskunft-, Berichtigungs- und Löschungsrecht) haben.

Rechtsweggarantie und Zugang zu einem unabhängigen und unparteiischen Gericht (Art. 29 ff. BV und Art. 32 DSG, sowie Art. 6 Abs. 1 EMRK) Eingriffe in die Privatsphäre und informationelle Selbstbestimmung müssen einem wirksamen, unabhängigen und unparteiischen Kontrollsystem unterliegen (Gericht oder andere unabhängige Stelle, z. B. Verwaltungsbehörde oder parlamentarisches Gremium). Neben vorheriger (gerichtlichen) Genehmigung von Überwachungsmassnahmen (Schutz vor Willkür) muss auch die tatsächliche Funktionsweise des Überwachungssystems überprüft werden können.

Hinweis Anwendungsfall USA Bestehen Anhaltspunkte, dass Personendaten in den USA direkt oder indirekt bearbeitet werden bzw. bearbeitet werden könnten, insbesondere bei Nutzung von Clouddiensten, kann der Fragebogen im Anhang für weitere Abklärungen verwendet werden [«Datenschutzanfrage an Dienstleister/Anbieter mit möglichen direkten oder indirekten US-Beziehungen (mit Einbezug deren Subunternehmer unter weiteren Sub-Sub-Unternehmer und weiteren Dienstleistern/Anbietern)»].

[N06] Analyse Es ist eine Analyse des Datentransfers im Einzelfall und in Bezug auf das gewählte Instrument wie SCC sowie die rechtlichen Umstände im Drittland vorzunehmen. Der verantwortliche Datenexporteur muss bei der Erfassung und Analyse des Datentransfers alle nötigen Abklärungen vornehmen (z.B. Einholen von unabhängigen Rechtsgutachten). In die Prüfung ist u.a. Folgendes miteinzubeziehen:

  • Geltende Rechtsvorschriften im Zielland

  • Praxis der Verwaltungsbehörden und Gerichtsbehörden

  • Rechtsprechung

  • Subjektive Faktoren wie z.B. die Wahrscheinlichkeit eines Zugriffs können im Regelfall nicht berücksichtigt werden.

[N07] Garantien gewährleistet: SCC Wenn die vier Garantien (vgl. N5) gewährleistet sind, kann mit standardmässigen SCC ein angemessenes Datenschutzniveau erreicht werden. Es bleibt dann lediglich noch bei der individuellen Umsetzung der SCC zu berücksichtigen, ob sich eventuell weitere vertragliche Massnahmen zum individuellen Schutz (nicht gegen staatliche Zugriffe) aufdrängen. Solche Regelungen können z.B. folgende Bereiche miteinbeziehen:

  • Betroffenenrechte stärken (z.B. Auskunftsrecht)

  • Regelung von technischen Massnahmen als Bedingung für Datenübermittlungen vorsehen

  • Befugnis des Datenexporteurs stärken, indem der Datenimporteur verpflichtet wird, sich bei den Datenbearbeitungssystemen Inspektionen zu unterziehen und Rechenschaft abzulegen

  • Klauseln vorsehen die bei Bedarf schnelles Verfahren der Datensicherung ermöglichen und vorsehen.

[N08] Garantien nicht gewährleistet: SCC und zwingend zusätzliche Massnahmen

Wenn die in N05 erwähnten Garantien im Drittland nicht umfassend gewährleistet sind, sind vorab in jedem Fall zusätzliche Massnahmen zu prüfen, die als „Ersatz“ für die fehlenden vier Garantien dienen. Zusätzliche vertragliche Massnahmen (zwischen dem Datenexporteur und dem Datenimporteur) sind kaum möglich, weil sie drittstaatliche Behörden nicht binden können und dadurch behördliche Zugriffe nicht verhindern können. Beispielsweise sind auch Schadenersatzregelungen, die Zusicherung der Ergreifung von Rechtsbehelfen und Ausschöpfung von Rechtsmitteln gegen behördliche Anordnungen oder Transparenzberichte sind insbesondere dann ungenügend, wenn rechtliche Vorgaben im Drittstaat vorgehen bzw. diese vertraglichen Massnahmen durchkreuzen. Die zusätzlichen technischen und organisatorischen Massnahmen müssen dergestalt sein, dass die Behördenzugriffe auf die übermittelten Personendaten im Zielland faktisch verhindert werden. Bei der Datenhaltung im Sinne eines reinen Cloud-Betriebs durch Dienstleister eines Staates ohne angemessenes Schutzniveau wäre z.B. eine Verschlüsselung denkbar, welche nach den Prinzipien BYOK («bring your own key») und zusätzlich BYOE («bring your own encryption») umgesetzt ist, so dass in der Cloud keine Klardaten vorliegen resp. in der Cloud keine Entschlüsselung und Verschlüsselung erfolgt. Bei über die reine Datenhaltung hinausgehenden Dienstleistungen im Zielland gestaltet sich der Einsatz solcher technischen Massnahmen indessen als anspruchsvoll. Ergibt die Prüfung, dass das Fehlen einer oder mehrerer der vier Garantien gemäss N05 nicht durch zusätzliche Massnahmen ausgleichbar ist, muss nach N10 verfahren werden.

[N09] Übertragung der Daten Nach Umsetzung der nötigen zusätzlichen Massnahmen muss der verantwortliche Datenexporteur regelmässig die sachlichen und rechtlichen Voraussetzungen überprüfen. Kommt er zum Schluss, dass die Datenschutzkonformität nicht mehr gegeben ist, ist nach N10 zu verfahren.

[N10] Aussetzung bzw. Beendigung der Datenbekanntgabe ins Ausland Wenn mit zusätzlichen Massnahmen die festgestellten Mängel bezüglich der Erfüllung der vier Garantien nicht kompensiert werden können und damit keine hinreichende Garantie nach Art. 16 Abs. 2 lit. b oder d DSG erreicht wird, ist der Datentransfer ins Ausland umgehend auszusetzen bzw. zu beendigen.

Anhang 1 Datenschutzanfrage an Dienstleister/Anbieter mit möglichen direkten oder indirekten US- Beziehungen (mit Einbezug deren Subunternehmer unter weiteren Sub-Sub-unternehmer und weiteren Dienstleistern/Anbietern)

Dienstleister/Anbieter inkl. alle nachfolgenden Subunternehmer und beigezogene Dienstleister/Anbieter (auch von Software-Komponenten) nachfolgend «SIE»

Angesichts des Urteils des Gerichtshofs der Europäischen Union in der Rechtssache C-311/18, insbesondere jedoch nicht abschliessend der Absätze 138 bis 145, bitten wir dringend um Klärung der folgenden Fragen:

1 Direkte Anwendung von 50 U.S.C. § 1881a (= FISA 702)

1.1 Fallen SIE oder eine andere relevante US-Einheit (für die Verarbeitung Verantwortlicher oder

Auftragsverarbeiter), die personenbezogene Daten, die an SIE übermittelt werden, verarbeitet oder Zugang zu diesen Daten hat, unter eine der folgenden Definitionen in 50 U.S.C. § 1881(b)(4), die SIE oder die andere(n) Stelle(n) direkt unter 50 U.S.C. § 1881a (= FISA 702) fallen lassen könnte(n)?

☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

1.2 Insbesondere,

A. Sind SIE oder eine andere relevante US-Einheit ein Telekommunikationsunternehmen,

wie dieser Begriff in Abschnitt 153 von Titel 47 U.S.C. definiert ist?

☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

B. Sind SIE oder eine andere relevante US-Einheit ein Anbieter von elektronischen Kommunikationsdiensten, wie dieser Begriff in Abschnitt 2510 von Titel 18 U.S.C. definiert ist? ☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

C. Sind SIE oder eine andere relevante US-Einheit ein Anbieter eines Ferncomputerdienstes, wie dieser Begriff in Abschnitt 2711 von Titel 18 U.S.C. definiert ist? ☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

1 Der vorliegende Fragebogen wurde auf der Grundlage des Fragebogens von www.noyb.eu an die

Schweiz angepasst und weiterentwickelt.

D. Sind SIE oder eine andere relevante US-Einheit ein anderer Anbieter von Kommunikationsdiensten, der Zugang zu drahtgebundener oder elektronischer Kommunikation hat, entweder wenn diese Kommunikation übertragen wird oder wenn diese Kommunikation gespeichert wird? ☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

E. Sind SIE oder eine andere relevante US-Einheit ein leitender Angestellter, Angestellter oder Vertreter einer Einheit, die unter die obigen Buchstaben (A), (B), (C), oder (D) fällt? ☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

2.1 Werden SIE von einer US-Muttergesellschaft oder einem US-Aktionär kontrolliert, oder haben SIE eine andere relevante Verbindung zu den USA, die das US-Recht indirekt gegen SIE durchsetzbar machen könnte?

☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

2.2 Wenn ja, sind SIE nach EU-Recht, nationalem Recht, Gesellschaftsrecht und internationalem Privatrecht verpflichtet, Anordnungen, Ersuchen oder Direktiven von US-Einrichtungen zu ignorieren, die von Ihnen verlangen würden, personenbezogene Daten, die SIE verarbeiten, der US-Regierung gemäss 50 U.S.C. § 1881a (= FSIA 702) oder EO 12.333 offenzulegen, und sind SIE in der Lage, einen solchen Zugriff faktisch zu sperren?

☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

Bitte geben SIE an, auf welche rechtlichen und/oder technischen Schutzmassnahmen SIE sich berufen:

3 Verarbeitung unter EO 12.333

Arbeiten SIE oder eine andere relevante US-Einheit (für die Verarbeitung Verantwortlicher oder Auftragsverarbeiter), die personenbezogene Daten verarbeitet, die von uns an SIE übermittelt werden, in irgendeiner Hinsicht mit den US-Behörden zusammen, die die Überwachung der Kommunikation gemäss EO 12.333 durchführen, sollte dies obligatorisch oder freiwillig sein?

☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

4 Andere anwendbare Gesetze

Unterliegen SIE oder eine andere relevante US-Einheit (für die Verarbeitung Verantwortlicher oder Auftragsverarbeiter), die personenbezogene Daten verarbeitet, die von uns an SIE übermittelt werden, einem anderen Gesetz, das als Beeinträchtigung des Schutzes personenbezogener Daten nach der DSGVO (Artikel 44 DSGVO) oder von schweizerischem Recht angesehen werden könnte?

☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

wenn ja, geben SIE bitte diese Gesetze an:

5 Massnahmen gegen massenhafte und unterschiedslose Verarbeitung im Transitverkehr (FISA 702 und EO 12.333)

Weil auch der Gerichtshof im obengenannten Urteil die Notwendigkeit betont hat, sicherzustellen, dass personenbezogene Daten im Transit nicht der Massenüberwachung unterliegen, bitten wir um folgende Klarstellungen:

A. Haben SIE geeignete technische und organisatorische Massnahmen (siehe Artikel 32 DSGVO) für jeden Schritt der Verarbeitungsvorgänge getroffen, die sicherstellen, dass eine massenhafte und unterschiedslose Verarbeitung personenbezogener Daten durch oder im Auftrag von Behörden im Transitverkehr (z.B. im Rahmen des "Upstream"-Programms in den USA) unmöglich gemacht wird? ☐ Ja ☐ Nein ☐ Wir sind gesetzlich verpflichtet, diese Frage nicht zu beantworten

B. Wenn ja, geben SIE bitte an, welche technischen und organisatorischen Massnahmen (einschliesslich Verschlüsselung) getroffen wurden, damit weder inhaltliche noch Metadaten von hochentwickelten staatlichen Akteuren mit direktem Zugang zum Internet- Backbone, zu Switches, Hubs, Kabeln und Ähnlichem verarbeitet werden können:

6 Beantwortung der oben gestellten Fragen

Wir bitten Sie, diese Fragen ohne unnötige Verzögerung zu beantworten, jedoch nicht später als fünf Arbeitstage ab Zugang dieses Fragebogens.

[Ort und Datum] [Firma]

[rechtsgültige Unterzeichnung]