Personendaten ins Ausland übermitteln: Cloud- und US-Dienste nach Schweizer DSG

Eine Cloud-Region in der Schweiz oder EU bedeutet nicht automatisch, dass alle Personendaten dort bleiben. Entscheidend sind auch Supportzugriffe, Backups, Unterauftragnehmer und Weiterleitungen. Das Schweizer Datenschutzgesetz (DSG) gibt dafür eine klare Prüfreihenfolge vor.

Wann liegt eine Bekanntgabe ins Ausland vor?

Das DSG versteht unter Bekanntgeben auch das Zugänglichmachen von Personendaten. Ein Auslandtransfer liegt deshalb nicht nur vor, wenn eine Datei bewusst an eine ausländische Gesellschaft gesendet wird. Auch Speicherung auf einem ausländischen Server, Fernzugriff durch ein Supportteam oder Zugriffsmöglichkeiten von Unterauftragnehmern können relevant sein.

Prüfen Sie, welche Gesellschaft Vertragspartnerin ist, wo Administration, Support und Backups stattfinden und aus welchen Staaten Mitarbeitende zugreifen können. Die vom Anbieter beworbene Speicherregion beantwortet diese Fragen nicht abschliessend.

Vor dem Transfer den Datenfluss erfassen

Erstellen Sie für jeden Cloud- oder SaaS-Dienst eine Transferübersicht mit folgenden Angaben:

• exportierendes Unternehmen und genaue Empfängerin;
• Rollen als Verantwortlicher oder Auftragsbearbeiter;
• Datenkategorien, betroffene Personen, Zweck und Dauer;
• Speicher-, Support-, Backup- und Unterauftragnehmerstaaten;
• Weiterübermittlungen und technische Schutzmassnahmen.

Besondere Sorgfalt ist bei Gesundheitsdaten, Finanzinformationen, Personaldossiers, grossen Datenmengen oder umfangreichem Profiling nötig. Die allgemeinen Pflichten erläutert der Beitrag Neues Datenschutzgesetz der Schweiz.

Die Prüfreihenfolge nach Art. 16 und 17 DSG

1. Besteht ein angemessenes Datenschutzniveau?

Der Bundesrat führt in Anhang 1 der Datenschutzverordnung eine Staatenliste. Ist der Empfängerstaat dort als angemessen aufgeführt, braucht es grundsätzlich keine zusätzliche Transfergarantie nach Art. 16 Abs. 2 DSG. Zweckbindung, Verhältnismässigkeit, Datensicherheit, Auftragsbearbeitung und Transparenz gelten weiterhin. Zu den angemessenen Staaten gehören die EU- und EWR-Staaten. Prüfen Sie stets die aktuelle Liste.

2. Fehlt die Angemessenheit, sind geeignete Garantien nötig

Für Staaten ohne Angemessenheitsbeschluss nennt Art. 16 Abs. 2 DSG mehrere Instrumente. Praktisch wichtig sind vom EDÖB anerkannte Standarddatenschutzklauseln, verbindliche unternehmensinterne Datenschutzvorschriften und spezifische Datenschutzklauseln in einem Vertrag.

Die EU-Standardvertragsklauseln von 2021 werden vom EDÖB anerkannt, müssen aber passend ausgewählt, ausgefüllt und nötigenfalls für das Schweizer Recht ergänzt werden. Zuständigkeit des EDÖB, Verweise auf das DSG und Rechte von Personen in der Schweiz sind korrekt abzubilden. Anerkannte Standardklauseln müssen dem EDÖB nicht gemeldet werden; individuell formulierte Datenschutzklauseln sind vorgängig mitzuteilen.

3. Ausnahmen sind keine Standardlösung

Art. 17 DSG erlaubt Transfers in bestimmten Einzelfällen, etwa aufgrund ausdrücklicher Einwilligung, zur unmittelbaren Vertragsabwicklung, zur Durchsetzung von Rechtsansprüchen oder zum Schutz von Leben und körperlicher Unversehrtheit. Diese Ausnahmen sind eng und fallbezogen auszulegen. Für den dauerhaften Einsatz eines gewöhnlichen Cloud-Dienstes sind sie meist keine tragfähige Grundlage.

Was gilt für US-Anbieter?

Seit dem 15. September 2024 besteht das Swiss-U.S. Data Privacy Framework (DPF). Es begründet ein angemessenes Datenschutzniveau ausschliesslich für US-Unternehmen, die nach diesem Rahmen zertifiziert sind. Die USA als Ganzes gelten dadurch nicht pauschal als angemessen.

Prüfen Sie in der offiziellen DPF-Liste die genaue juristische Person, den aktiven Status und ob die Zertifizierung das Swiss-U.S. DPF sowie die betreffende Dienstleistung umfasst. Markenname, Konzernzugehörigkeit oder eine Teilnahme nur am EU-U.S. DPF reichen nicht. Dokumentieren Sie Datum und Ergebnis.

Ist die konkrete Empfängerin wirksam erfasst, braucht es für diesen Transfer keine zusätzliche Garantie. Auftragsbearbeitungsvertrag, Sicherheit und Information bleiben nötig. Läuft die Zertifizierung aus oder empfängt eine andere Gesellschaft die Daten, benötigen Sie eine andere Grundlage, etwa korrekt ergänzte Standarddatenschutzklauseln.

Wann reichen Standardklauseln nicht aus?

Bei einem Staat ohne angemessenes Niveau müssen Sie prüfen, ob dessen Recht und Praxis dem Empfänger erlauben, die Garantien einzuhalten. Bestehen unverhältnismässige Behördenzugriffe, können zusätzliche Massnahmen nötig sein: Datenminimierung, starke Pseudonymisierung, Zugriffsbeschränkung, Protokollierung oder Verschlüsselung.

Verschlüsselung schützt nur wirksam, wenn der Empfänger keinen Zugriff auf die benötigten Schlüssel oder Klardaten hat. Muss der Anbieter die Daten im Klartext bearbeiten, genügt gewöhnliche Transport- oder Speicherverschlüsselung nicht automatisch. Lassen sich Schutzlücken nicht ausgleichen, ist der Transfer auszusetzen oder ein anderer Dienst zu wählen. Prüfen Sie die Voraussetzungen regelmässig erneut.

Vertrag und Datenschutzerklärung aktualisieren

Bei einer Auftragsbearbeitung darf der Anbieter die Daten grundsätzlich nur so bearbeiten, wie Sie es selbst dürften, und muss angemessene Sicherheit gewährleisten. Regeln Sie Weisungen, Vertraulichkeit, Unterauftragnehmer, Löschung, Rückgabe, Vorfälle und Kontrollmöglichkeiten.

Nach Art. 19 Abs. 4 DSG sind betroffene Personen über den Empfängerstaat oder das internationale Organ sowie gegebenenfalls die Garantien oder eine Ausnahme zu informieren. «Daten können weltweit bearbeitet werden» ist häufig zu unbestimmt. Nennen Sie tatsächliche Staaten oder nachvollziehbare Kategorien und die Schutzinstrumente. Der Beitrag zum Datenschutzerklärungs-Generator zeigt, warum der veröffentlichte Text die realen Dienste abbilden muss.

Wo ein Verzeichnis der Bearbeitungstätigkeiten geführt werden muss, gehören auch Empfängerstaaten und Garantien hinein. Selbst bei einer Ausnahme von der Verzeichnispflicht ist ein internes Transferregister praktisch sinnvoll.

Prüfliste für neue Cloud-Dienste

• Welche juristische Person erhält die Daten oder kann darauf zugreifen?
• Welche Staaten sind für Hosting, Support und Unterauftragnehmer beteiligt?
• Besteht eine aktuelle Angemessenheit oder DPF-Zertifizierung?
• Sind die richtigen Klauseln und Schweizer Ergänzungen vereinbart?
• Wurde die Rechtslage des Empfängerstaates beurteilt?
• Stimmen Vertrag, internes Verzeichnis und Datenschutzerklärung überein?

Dieser Beitrag bietet Orientierung und keine Garantie für die Zulässigkeit eines bestimmten Anbieters. Entscheidend sind Datenfluss, Vertragsparteien und aktuelle Rechtslage.

Weiterführende Ratgeber

• Auftragsbearbeitung nach Schweizer DSG: Hosting, SaaS und Agenturen
• Google Analytics 4 in der Schweiz datenschutzkonform einsetzen
• DSGVO in der Schweiz: Wann gilt sie für Schweizer Websites?