Grundsatz: kein vorgeschriebener Speicherort
Das seit 1. September 2023 geltende Datenschutzgesetz regelt nicht den Speicherort, sondern die Bekanntgabe ins Ausland. Zulässig ist sie ohne Weiteres in Staaten, deren Schutz der Bundesrat als angemessen anerkannt hat, darunter EU- und EWR-Staaten sowie das Vereinigte Königreich.
Für die Vereinigten Staaten gilt die Angemessenheit nur für Organisationen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Ohne Angemessenheitsentscheid braucht es geeignete Garantien, etwa vom EDÖB anerkannte Standarddatenschutzklauseln oder genehmigte verbindliche unternehmensinterne Datenschutzvorschriften.
Datenschutzgesetz (DSG), insbesondere Art. 2, 6, 9, 16, 17, 19, 24 und 61 · Datenschutzverordnung (DSV), Art. 8, 18 und Anhang 1
Ausnahmen und Unterschiede zur DSGVO
Ausnahmsweise ist eine Bekanntgabe auch zulässig bei ausdrücklicher Einwilligung, im unmittelbaren Zusammenhang mit einem Vertrag mit der betroffenen Person, zur Durchsetzung von Rechtsansprüchen vor ausländischen Behörden oder zum Schutz von Leben und Gesundheit. Betroffene sind über Zielstaat und Garantien zu informieren.
Das DSG folgt der DSGVO in vielem, ist aber eigenständig: Massgebend sind die Länderliste des Bundesrats und die Anerkennung durch den EDÖB. Datensicherheitsverletzungen mit voraussichtlich hohem Risiko sind dem EDÖB so rasch als möglich zu melden; eine starre 72-Stunden-Frist kennt das DSG nicht.
Datenschutzgesetz (DSG), insbesondere Art. 2, 6, 9, 16, 17, 19, 24 und 61
Sonderregeln, Strafen und Praxis
Strengere Vorgaben können sich aus Spezialgesetzen, Berufsgeheimnissen, kantonalem Recht für öffentliche Organe oder Verträgen ergeben. Ein Auftragsbearbeiter darf nur eingesetzt werden, wenn keine Geheimhaltungspflicht entgegensteht und die Datensicherheit gewährleistet ist.
Wer vorsätzlich unzulässig Daten ins Ausland bekanntgibt oder einen Auftragsbearbeiter ohne die gesetzlichen Voraussetzungen einsetzt, riskiert auf Antrag eine Busse bis 250 000 Franken. Praktisch sind Datenflüsse zu inventarisieren, Verträge und Garantien zu dokumentieren und die Datenschutzerklärung anzupassen.
Datenschutzgesetz (DSG), insbesondere Art. 2, 6, 9, 16, 17, 19, 24 und 61
Quellen
Mit Omnilex recherchiert und für diesen Beitrag aufbereitet. Allgemeine Information zum Schweizer Recht. Die Beurteilung eines konkreten Falls hängt von den tatsächlichen Umständen und dem anwendbaren Recht ab.