Datenübermittlungen ins Ausland

Gleichwertiger Datenschutz und die Bedeutung von vertraglichen Vereinbarungen bei Datenübermittlungen ins Ausland Grundsätzlich sind Übermittlungen von Personendaten ins Ausland nur gestattet, wenn die Persönlichkeit der betroffenen Personen nicht schwerwiegend gefährdet wird. Das Datenschutzgesetz führt lediglich ein Element auf - das Fehlen gleichwertiger Datenschutzbestimmungen - welches die Persönlichkeit der betroffenen Personen schwerwiegend gefährden kann.

Während des letzten Kalenderjahres haben wir mehrere Anfragen zur Problematik von Datenübermittlungen ins Ausland erhalten. Missverstanden wurde vor allem die Relation zwischen der Gleichwertigkeit der Datenschutzbestimmungen im Empfängerland und dem Erfordernis einer vertraglichen Vereinbarung mit dem Empfänger der Daten. Gemäss Art. 6 DSG darf eine Übermittlung von Personendaten ins Ausland die Persönlichkeit der betroffenen Personen nicht schwerwiegend gefährden. Der Gesetzgeber hat lediglich ein Beispiel in Art. 6 DSG aufgeführt, nämlich das Fehlen von gleichwertigen Datenschutzbestimmungen im Empfängerland. Es darf jedoch nicht generell angenommen werden, dass die Existenz von gleichwertigen Datenschutzbestimmungen im Empfängerland jede Persönlichkeitsverletzung ausschliesst und dass der Übermittler demzufolge nichts zu unternehmen hat, um seiner primären Verantwortung gegenüber den betroffenen Personen gerecht zu werden. Denn auch wenn gleichwertige Datenschutzbestimmungen im Empfängerland bestehen, kann eine Persönlichkeitsverletzung nicht ausgeschlossen werden, insbesondere dann, wenn im Empfängerland die Menschenrechte verletzt werden oder unstabile polit-soziale Verhältnisse das Risiko einer Persönlichkeitsverletzung erhöhen. Abgesehen davon, ist es durchaus möglich, dass aufgrund der internen Organisation der Gesellschaft des Empfängers eine datenschutzwidrige Bearbeitung der Daten nicht auszuschliessen ist. Deshalb ist es empfehlenswert, unabhängig davon, ob ein gleichwertiger Datenschutz gewährt wird, soweit aber Unklarheit über den Persönlichkeitsschutz besteht (wenn beispielsweise der Zweck der Datenbearbeitung unklar oder mehrdeutig ist), mit dem Datenempfänger eine Vereinbarung oder einen Vertrag abzuschliessen. Die Persönlichkeit der Betroffenen wird so effektiver geschützt, und der Übermittler wird seiner primären Verantwortung gerecht.
Ein solcher Vertrag oder eine solche Vereinbarung kann sich auf die Modellklauseln des Mustervertrags für die Sicherstellung eines gleichwertigen Datenschutzes des Europarats abstützen. Im Vertrag sind jedoch mindestens folgende Elemente festzuhalten:

  • Die übermittelten Personendaten dürfen nur zum vereinbarten Zweck verwendet werden
  • Die Gewährung der Rechte der betroffenen Personen, insbesondere des Auskunfts- und Berichtigungsrechts
  • Die Verweigerung der Weitergabe der Daten an Dritte
  • Die Gewährleistung der Datensicherheit entsprechend der Sensibilität der Daten
  • Die Statuierung einer Konventionalstrafe oder einer Schadensersatzpflicht für den Fall, dass der Empfänger seinen Verpflichtungen nicht nachkommt.

In diesem Zusammenhang ist auch die Kenntnisnahme oder das Erfordernis der Registrierung einer Übermittlung ins Ausland gemäss Art. 6 Abs. 2 DSG nicht in direkte Verbindung zur vertraglichen Vereinbarung zu bringen. Die Kenntnisnahme der betroffenen Personen oder die Registrierung der Datensammlung gemäss Art. 6 Abs. 2 DSG gewähren nicht die Rechtmässigkeit der beabsichtigten Übermittlung ins Ausland. Der Inhaber der Datensammlung wird demzufolge nicht von seiner Verantwortung, für die Einhaltung des Datenschutzes zu sorgen, befreit. Unabhängig davon hat er zu prüfen, ob ein Vertrag für die rechtmässige Bearbeitung der Daten notwendig ist.

[juli 1998]

https://www.edoeb.admin.ch/content/edoeb/de/home/dokumentation/taetigkeitsberichte/aeltere-berichte/5--taetigkeitsbericht-1997-1998/datenuebermittlungen-ins-ausland.html