Datenweitergabe an ausländische Behörden

Im Alltag von Unternehmen kann es vorkommen, dass sich ausländische Behörden an in der Schweiz ansässige Unternehmen wenden, um Personendaten zu erfragen. Dabei ist es von Bedeutung, ob sich ein ausländischer Staat direkt an das Unternehmen wendet oder dies über ein Rechtshilfeverfahren macht.

Dürfen Informationen im Rahmen eines Rechtshilfeverfahrens an die ausländische Behörde weitergegeben werden?

Nein. Innerhalb der Schweiz dürfen grundsätzlich nur Schweizer Behörden tätig werden. Die hoheitliche Intervention einer ausländischen Behörde würde als eine Einmischung in die inneren Angelegenheiten der Schweiz angesehen werden und ist mit der Souveränität der Schweiz nicht vereinbar. Aus diesem Grund können ausländische Behörden innerhalb der Schweiz z.B. keine Akten herausverlangen. Muss eine ausländische Behörde in der Schweiz ermitteln, ersucht sie die Schweizerischen Justizbehörden, dies stellvertretend für sie zu tun. Die Schweiz leistet Rechtshilfe, indem sie auf ihrem Gebiet die gewünschten Amtshandlungen vornimmt und deren Ergebnis dem ersuchenden Staat für ein bestimmtes Verfahren übermittelt.

In einem solchen Fall kommen Sie als Unternehmen in der Schweiz also nicht unmittelbar mit der ausländischen Behörde in Kontakt, sondern nur mittelbar über eine Schweizer Behörde, welche die Amtshandlungen auf dem Rechtshilfeweg stellvertretend durchführt und dann selbständig die Informationen und Beweise an die ausländische Behörde weitergibt. Da es sich hierbei um ein Rechtshilfeverfahren handelt, ist gemäss Art. 2 Abs. 2 lit. c DSG das Bundesgesetz über den Datenschutz nicht anwendbar, und den Aufforderungen der Schweizer Behörden ist grundsätzlich entsprechend Folge zu leisten.

Dürfen Informationen ausserhalb eines Rechtshilfeverfahrens an die ausländische Behörde weitergegeben werden?

Wendet sich die ausländische Behörde direkt an ein Schweizer Unternehmen, geschieht dies ausserhalb eines hängigen Verfahrens. Daher ist das Bundesgesetz über den Datenschutz anwendbar, und die ausländische Behörde wird grundsätzlich als „Dritter" qualifiziert. Das Schweizer Unternehmen darf daher Personendaten nur dann an die ausländische Behörde weitergeben, wenn es dabei keine Datenschutzbestimmungen verletzt. Es muss also bei jedem Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere beim Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten (Legaldefinition der Datenbearbeitung gemäss Art. 3 lit. e DSG), die Grundsätze der Datenbearbeitung einhalten.

Dies bedeutet, dass Sie als Schweizer Unternehmen vor einem Transfer von Personendaten an eine ausländische Behörde prüfen müssen, ob die Voraussetzungen gemäss DSG  gegeben sind und der Datentransfer gemäss Schweizer Recht die Persönlichkeit der betroffenen Person nicht widerrechtlich verletzt. Andernfalls ist der Datentransfer an die ausländische Behörde nicht möglich und Sie und/oder Ihr Auftraggeber könnten zivilrechtlich und unter gewissen Voraussetzungen auch strafrechtlich belangt werden. Bei der Beurteilung, ob ein Datentransfer ins Ausland gemäss Datenschutzgesetz möglich ist, muss der Sachverhalt insgesamt geprüft werden.

Was muss ich als Outsourcingpartner berücksichtigen, wenn der Auftraggeber mich anweist, Personendaten an eine ausländische Behörde weiterzugeben?

Da es für Sie bzw. Ihr Unternehmen als Auftragnehmer oft schwierig sein wird, zu beurteilen, ob ein Datentransfer ins Ausland gemäss Datenschutzgesetz zulässig ist, sollten Sie sich vorgängig vom Auftraggeber bestätigen lassen, dass er alle datenschutzrechtlichen Voraussetzungen erfüllt. Sollten Sie dennoch im Einzelfall Zweifel an der Zulässigkeit eines Transfers haben, können Sie die Mitarbeit verweigern.