In diesem Punkt ändert sich nicht viel im Unterschied zum alten Datenschutzgesetz. Als Unternehmen bist du jedoch neu nicht mehr in der Verantwortung, zu beurteilen, ob der Datenschutz in einem Drittstaat angemessen erfolgt oder nicht. Neu fällt es in den Aufgabenbereich des Bundesrats, zu bestimmen, welche Länder ein angemessenes Datenschutzniveau aufweisen. Die Übermittlung von Personendaten in Länder auf dieser Liste ist ohne Weiteres erlaubt.
Nach schweizerischer Gesetzgebung genügt es, dass Personendaten übermittelt oder zugänglich gemacht werden. Nicht vorausgesetzt wird jedoch – wie gemäss DSGVO –, dass die Daten zum Zweck der Weiterbearbeitung ins Ausland übermittelt werden. Das bedeutet, dass jede Weitergabe von Personendaten ins Ausland vorgängig geprüft werden sollte, auch wenn im Ausland keine Weiterbearbeitung stattfindet.
Gibt es Ausnahmen?
Möchtest du Personendaten in einen Staat übermitteln, der nicht auf der Liste des Bundesrates steht, sieht das Gesetz verschiedene Möglichkeiten vor, wie trotzdem ein geeigneter Datenschutz gewährleistet werden kann. Dies können beispielsweise verbindliche, unternehmensinterne Vorschriften sein, Standarddatenschutzklauseln oder Verträge, die allerdings vorgängig dem EDÖB zur Kenntnisnahme oder Genehmigung vorgelegt werden müssen.
Das Gesetz sieht noch weitere Ausnahmen vor, wie die explizite Einwilligung der Betroffenen. Sind Personen einverstanden, dass ihre Daten ins Ausland übermittelt werden, solltest du die Einwilligung schriftlich festhalten.