{
    "topic_key": "ch-data-cross-border-transfers",
    "language": "de",
    "slug": "personendaten-ins-ausland-bekanntgeben",
    "title": "Personendaten ins Ausland bekanntgeben",
    "domain": "data-protection",
    "jurisdiction_level": "federal",
    "cantons": [],
    "municipalities": [],
    "legal_status": "in_force",
    "legislative_stage": "not_applicable",
    "authority_level": "A",
    "description": "Wann Personendaten ins Ausland bekanntgegeben werden dürfen: Anhang 1 DSV, Garantien nach Art. 16 DSG, die engen Ausnahmen und die Strafdrohung.",
    "summary": "Personendaten dürfen nach Art. 16 Abs. 1 DSG ins Ausland bekanntgegeben werden, wenn der Bundesrat einen angemessenen Schutz festgestellt hat; die Liste dazu ist Anhang 1 der Datenschutzverordnung. Fehlt ein solcher Entscheid, braucht es eine geeignete Garantie nach Art. 16 Abs. 2 DSG, etwa vom EDÖB vorgängig genehmigte Standarddatenschutzklauseln oder dem EDÖB vorgängig mitgeteilte Vertragsklauseln. Die sechs Ausnahmen nach Art. 17 DSG sind eng gefasst und mehrfach kumulativ; sie tragen den Einzelfall, nicht einen dauerhaften Datenfluss. Bei Kanada und den Vereinigten Staaten gilt die Angemessenheit nur eingeschränkt. Eine vorsätzliche Bekanntgabe unter Verstoss gegen Art. 16 DSG ohne Ausnahme nach Art. 17 DSG wird nach Art. 61 Bst. a DSG auf Antrag mit Busse bis zu 250 000 Franken bestraft.",
    "body_md": "## Was «Bekanntgabe ins Ausland» bedeutet\n\nBekanntgeben heisst nach Art. 5 Bst. e DSG das Übermitteln oder Zugänglichmachen von Personendaten. Für die Auslandbekanntgabe kommt es damit nicht darauf an, ob Daten körperlich verschoben werden. Es genügt, dass eine Empfängerin oder ein Empfänger im Ausland Zugriff erhält. Wer eine Kundendatenbank bei einem Anbieter mit Servern im Ausland betreibt, wer den Support einer Konzerngesellschaft in einem Drittstaat auf Personalakten zugreifen lässt oder wer ein ausländisches Analysewerkzeug in seine Website einbindet, gibt Personendaten ins Ausland bekannt — auch ohne Vertrag über eine Datenübermittlung.\n\nPersonendaten sind nach Art. 5 Bst. a DSG alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen. Daten juristischer Personen fallen nicht darunter; das revidierte DSG hat sie aus dem Schutzbereich entfernt.\n\nDie Regeln von Art. 16–18 DSG treten neben die allgemeinen Bearbeitungsgrundsätze, sie ersetzen sie nicht. Eine Bekanntgabe ins Ausland muss zusätzlich rechtmässig, verhältnismässig, zweckgebunden und für die betroffene Person erkennbar sein. Umgekehrt macht eine zulässige Bearbeitung in der Schweiz die Auslandbekanntgabe nicht automatisch zulässig: Es sind zwei Prüfungen, nicht eine.\n\n## Grundregel: Der Bundesrat entscheidet über die Angemessenheit\n\nArt. 16 Abs. 1 DSG erlaubt die Bekanntgabe ins Ausland, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet. Diese Feststellung trifft nicht der Verantwortliche und nicht sein Rechtsdienst, sondern der Bundesrat. Sie ist in Anhang 1 der Datenschutzverordnung (DSV) abgebildet, auf den Art. 8 Abs. 1 DSV verweist.\n\nAnhang 1 DSV führt auf, für welche Staaten, Gebiete, spezifischen Sektoren in einem Staat und internationalen Organe der Bundesrat diese Feststellung getroffen hat. Erfasst sind neben den EU- und EWR-Staaten unter anderem Andorra, Argentinien, Israel, Monaco, Neuseeland, Uruguay und das Vereinigte Königreich sowie Gebiete wie Gibraltar, Guernsey, Jersey, die Isle of Man und die Färöer. Einzelne Einträge stehen nicht unbedingt: Bei Kanada und den Vereinigten Staaten gilt der angemessene Schutz nur unter den im Anhang näher bezeichneten Voraussetzungen — bei Kanada abhängig vom anwendbaren Bundes- oder Provinzgesetz, bei den Vereinigten Staaten nur für Organisationen, die nach dem Datenschutzrahmen zwischen der Schweiz und den USA zertifiziert sind. Wer sich auf einen solchen Eintrag stützt, muss die Voraussetzung im Einzelfall prüfen und nicht bloss den Staat auf der Liste suchen. Weil der Bundesrat den Anhang nach Art. 8 Abs. 6 DSV ändert, sobald eine Neubeurteilung ergibt, dass kein angemessener Schutz mehr gewährleistet ist, ist vor einer Bekanntgabe stets die im Zeitpunkt der Bekanntgabe geltende Fassung des Anhangs zu konsultieren; eine anderswo wiedergegebene Aufzählung ersetzt diesen Blick nicht.\n\nZwei Einträge sind ausdrücklich eingeschränkt, und diese Einschränkungen sind der praktisch häufigste Stolperstein:\n\nBei **Kanada** gilt ein angemessener Schutz nur, wenn im konkreten Fall das kanadische Bundesgesetz über den Schutz personenbezogener Daten und elektronischer Dokumente vom 13. April 2000 oder das Gesetz einer Provinz zur Anwendung gelangt, das diesem Bundesgesetz weitgehend entspricht. Anhang 1 DSV nennt Québec, British Columbia und Alberta als Provinzen mit einem weitgehend entsprechenden Gesetz; Ontario, New Brunswick, Neufundland und Labrador sowie Neuschottland haben ein solches Gesetz nur im Bereich der Gesundheitsdaten erlassen.\n\nBei den **Vereinigten Staaten** gilt der angemessene Schutz nicht für das Land, sondern nur für Personendaten, die von Organisationen bearbeitet werden, welche nach den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA zertifiziert sind. Eine Bekanntgabe an ein nicht zertifiziertes US-Unternehmen ist keine Bekanntgabe nach Art. 16 Abs. 1 DSG. Sie braucht eine Garantie nach Art. 16 Abs. 2 DSG oder eine Ausnahme nach Art. 17 DSG. Wer die Zertifizierung des Empfängers nicht prüft und nicht überwacht, stützt seine Bekanntgabe auf eine Grundlage, die möglicherweise nicht besteht.\n\nDie Angemessenheit wird nach Art. 8 Abs. 4 DSV periodisch neu beurteilt; der EDÖB wird nach Art. 8 Abs. 3 DSV bei jeder Beurteilung konsultiert. Zeigt eine Neubeurteilung oder zeigen andere Informationen, dass kein angemessener Schutz mehr gewährleistet ist, wird Anhang 1 geändert. Art. 8 Abs. 6 DSV hält dabei ausdrücklich fest, dass eine solche Änderung keine Auswirkungen auf die bereits erfolgten Datenbekanntgaben hat. Für laufende Bekanntgaben bedeutet das gleichwohl: Die Grundlage entfällt ab der Änderung, und der Verantwortliche muss umstellen.\n\n## Ohne Angemessenheitsbeschluss: geeignete Garantien\n\nLiegt kein Entscheid des Bundesrates vor, so dürfen Personendaten nach Art. 16 Abs. 2 DSG ins Ausland bekanntgegeben werden, wenn ein geeigneter Datenschutz gewährleistet wird durch:\n\n- einen völkerrechtlichen Vertrag (Bst. a);\n- Datenschutzklauseln in einem Vertrag zwischen dem Verantwortlichen oder dem Auftragsbearbeiter und seiner Vertragspartnerin oder seinem Vertragspartner, **die dem EDÖB vorgängig mitgeteilt wurden** (Bst. b);\n- spezifische Garantien, die das zuständige Bundesorgan erarbeitet und dem EDÖB **vorgängig mitgeteilt** hat (Bst. c);\n- Standarddatenschutzklauseln, die der EDÖB **vorgängig genehmigt, ausgestellt oder anerkannt** hat (Bst. d);\n- verbindliche unternehmensinterne Datenschutzvorschriften, die **vorgängig** vom EDÖB oder von einer für den Datenschutz zuständigen Behörde eines Staates, der einen angemessenen Schutz gewährleistet, **genehmigt** wurden (Bst. e).\n\nDas Wort «vorgängig» steht in vier dieser fünf Buchstaben und ist keine Formalie. Individuelle Datenschutzklauseln nach Bst. b tragen die Bekanntgabe erst, wenn die Mitteilung an den EDÖB erfolgt ist — nicht erst dann, wenn er reagiert hat, aber vor der Bekanntgabe. Standarddatenschutzklauseln nach Bst. d tragen sie nur, wenn sie der EDÖB genehmigt, ausgestellt oder anerkannt hat; nach Art. 10 Abs. 2 DSV veröffentlicht er eine Liste dieser Klauseln und teilt das Ergebnis seiner Prüfung innerhalb von 90 Tagen mit. Standardvertragsklauseln der Europäischen Kommission genügen nicht schon deshalb, weil sie in der EU anerkannt sind.\n\nArt. 9 Abs. 1 DSV listet den Mindestinhalt von Datenschutzklauseln und spezifischen Garantien auf: die Anwendung der Bearbeitungsgrundsätze, die Kategorien der Daten und der betroffenen Personen, Art und Zweck der Bekanntgabe, gegebenenfalls die Empfängerstaaten, die Anforderungen an Aufbewahrung, Löschung und Vernichtung, die Empfängerinnen und Empfänger, die Massnahmen zur Datensicherheit, die Meldepflicht bei Verletzungen der Datensicherheit, bei Empfängern als Verantwortlichen die Informationspflicht sowie die Rechte der betroffenen Person. Nach Art. 9 Abs. 2 und Art. 10 Abs. 1 DSV muss der Verantwortliche zudem angemessene Massnahmen treffen, um sicherzustellen, dass der Empfänger die Klauseln tatsächlich einhält. Ein unterzeichnetes Papier ohne jede Kontrolle erfüllt diese Pflicht nicht.\n\nVerbindliche unternehmensinterne Datenschutzvorschriften gelten nach Art. 11 Abs. 1 DSV für alle Unternehmen desselben Konzerns und müssen mindestens die Punkte nach Art. 9 Abs. 1 DSV sowie Angaben zur Organisation und zu den Kontaktdaten des Konzerns und zu den intern getroffenen Massnahmen enthalten. Der EDÖB teilt das Prüfungsergebnis nach Art. 11 Abs. 3 DSV innerhalb von 90 Tagen mit.\n\nArt. 16 Abs. 3 DSG erlaubt dem Bundesrat, weitere geeignete Garantien vorzusehen. Davon hat er in Art. 12 DSV Gebrauch gemacht: Personendaten dürfen ins Ausland bekanntgegeben werden, wenn ein Verhaltenskodex oder eine Zertifizierung einen geeigneten Datenschutz gewährleistet. Der Verhaltenskodex muss dem EDÖB vorgängig zur Genehmigung unterbreitet werden, und der Kodex oder die Zertifizierung muss mit einer verbindlichen und durchsetzbaren Verpflichtung des Verantwortlichen oder Auftragsbearbeiters im Drittstaat verbunden werden, die darin enthaltenen Massnahmen anzuwenden.\n\n## Die Ausnahmen nach Art. 17 DSG sind eng\n\nArt. 17 Abs. 1 DSG erlaubt die Bekanntgabe abweichend von Art. 16 Abs. 1 und 2 DSG in sechs Fällen. Diese Ausnahmen sind für den Einzelfall gedacht, nicht als Ersatz für eine Garantie bei dauerhaften Datenflüssen. Ihre Voraussetzungen sind eng gefasst, und mehrere sind kumulativ:\n\n**Bst. a — Einwilligung.** Die betroffene Person muss **ausdrücklich** in die Bekanntgabe eingewilligt haben. Eine stillschweigende Einwilligung genügt nicht, und eine Einwilligung in die Bearbeitung an sich deckt die Auslandbekanntgabe nicht ohne weiteres ab.\n\n**Bst. b — Vertrag.** Die Bekanntgabe muss in **unmittelbarem Zusammenhang** mit dem Abschluss oder der Abwicklung eines Vertrags stehen, und zwar entweder eines Vertrags zwischen dem Verantwortlichen und der betroffenen Person (Ziff. 1) oder eines Vertrags zwischen dem Verantwortlichen und seiner Vertragspartnerin oder seinem Vertragspartner **im Interesse der betroffenen Person** (Ziff. 2). Ein bloss nützlicher oder betrieblich bequemer Zusammenhang reicht nicht.\n\n**Bst. c — öffentliches Interesse und Rechtsansprüche.** Die Bekanntgabe muss **notwendig** sein für die Wahrung eines **überwiegenden** öffentlichen Interesses (Ziff. 1) oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor einem Gericht oder einer anderen zuständigen ausländischen Behörde (Ziff. 2).\n\n**Bst. d — Leben und körperliche Unversehrtheit.** Hier sind zwei Voraussetzungen zu erfüllen: Die Bekanntgabe muss notwendig sein, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen, **und** es darf nicht möglich sein, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen. Ist die Einwilligung erreichbar, greift die Ausnahme nicht.\n\n**Bst. e — allgemein zugänglich gemachte Daten.** Auch hier sind zwei Voraussetzungen kumulativ: Die betroffene Person muss die Daten allgemein zugänglich gemacht haben **und** eine Bearbeitung nicht ausdrücklich untersagt haben. Dass Daten im Internet auffindbar sind, genügt für sich allein nicht — entscheidend ist, dass die betroffene Person selbst sie allgemein zugänglich gemacht hat.\n\n**Bst. f — gesetzlich vorgesehene Register.** Die Daten müssen aus einem gesetzlich vorgesehenen Register stammen, das öffentlich oder Personen mit einem schutzwürdigen Interesse zugänglich ist, und zwar nur, **soweit im Einzelfall die gesetzlichen Voraussetzungen der Einsichtnahme erfüllt sind**.\n\nNach Art. 17 Abs. 2 DSG informiert der Verantwortliche oder der Auftragsbearbeiter den EDÖB **auf Anfrage** über Bekanntgaben nach Abs. 1 Bst. b Ziff. 2, Bst. c und Bst. d. Es besteht insoweit keine Meldepflicht von Amtes wegen, wohl aber eine Auskunftspflicht — und damit faktisch eine Dokumentationslast.\n\n## Was keine Bekanntgabe ins Ausland ist\n\nArt. 18 DSG enthält eine wichtige Klarstellung: Werden Personendaten zur Information der Öffentlichkeit mittels automatisierter Informations- und Kommunikationsdienste allgemein zugänglich gemacht, so gilt dies nicht als Bekanntgabe ins Ausland, auch wenn die Daten vom Ausland aus zugänglich sind. Eine öffentliche Website, die Informationen für die Allgemeinheit bereitstellt, löst die Anforderungen von Art. 16 und 17 DSG also nicht allein deshalb aus, weil sie weltweit aufgerufen werden kann. Die Bestimmung erfasst die Veröffentlichung zur Information der Öffentlichkeit; sie deckt nicht den gezielten Datenfluss an einen bestimmten Empfänger im Ausland ab.\n\n## Transparenz und Dokumentation\n\nDie Auslandbekanntgabe zieht zwei Pflichten nach sich, die in der Praxis oft übersehen werden.\n\nNach Art. 19 Abs. 4 DSG teilt der Verantwortliche der betroffenen Person bei der Beschaffung auch den Staat oder das internationale Organ mit, in den oder dem die Daten bekanntgegeben werden, und gegebenenfalls die Garantien nach Art. 16 Abs. 2 DSG oder die Anwendung einer Ausnahme nach Art. 17 DSG. Eine Datenschutzerklärung, die bloss von «Partnern im Ausland» spricht, genügt dem nicht: Verlangt sind der Staat beziehungsweise das internationale Organ und die Rechtsgrundlage der Bekanntgabe. Nach Art. 13 DSV ist diese Information in präziser, transparenter, verständlicher und leicht zugänglicher Form mitzuteilen.\n\nNach Art. 12 Abs. 2 Bst. g DSG enthält das Verzeichnis der Bearbeitungstätigkeiten, falls Daten ins Ausland bekanntgegeben werden, die Angabe des Staates sowie die Garantien nach Art. 16 Abs. 2 DSG. Für Auftragsbearbeiter gilt dies nach Art. 12 Abs. 3 DSG entsprechend. Art. 12 Abs. 5 DSG beauftragt den Bundesrat, Ausnahmen für Unternehmen mit weniger als 250 Mitarbeiterinnen und Mitarbeitern vorzusehen, deren Datenbearbeitung ein geringes Risiko von Persönlichkeitsverletzungen mit sich bringt. Diese Schwelle betrifft nur die Verzeichnispflicht — sie befreit nicht von Art. 16 und 17 DSG.\n\n## Auftragsbearbeitung im Ausland\n\nWird die Bearbeitung einem Auftragsbearbeiter im Ausland übertragen, sind beide Regelwerke zu beachten. Nach Art. 9 Abs. 1 DSG ist die Übertragung zulässig, wenn die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet. Der Verantwortliche muss sich nach Art. 9 Abs. 2 DSG insbesondere vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Nach Art. 9 Abs. 3 DSG darf der Auftragsbearbeiter die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen — was bei Cloud-Diensten mit Subunternehmern im Ausland regelmässig zu prüfen ist. Zusätzlich braucht die Bekanntgabe an diesen Auftragsbearbeiter eine Grundlage nach Art. 16 oder 17 DSG.\n\n## Sanktion\n\nArt. 61 Bst. a DSG stellt die rechtswidrige Auslandbekanntgabe unter Strafe: Mit Busse bis zu 250 000 Franken werden **private Personen auf Antrag** bestraft, die **vorsätzlich** unter Verstoss gegen Art. 16 Abs. 1 und 2 DSG und ohne dass die Voraussetzungen nach Art. 17 DSG erfüllt sind, Personendaten ins Ausland bekanntgeben. Drei Merkmale sind hervorzuheben: Die Strafe richtet sich gegen private Personen, also grundsätzlich gegen die verantwortliche natürliche Person und nicht gegen das Unternehmen; sie setzt Vorsatz voraus, Fahrlässigkeit genügt nicht; und sie wird nur auf Antrag verfolgt. Wer die Informationspflicht nach Art. 19 DSG vorsätzlich verletzt, kann zudem nach Art. 60 DSG mit Busse bis zu 250 000 Franken bestraft werden.\n\n## Vorgehen in der Praxis\n\nEine Prüfung in vier Schritten führt zum Ergebnis. Erstens: Liegt überhaupt eine Bekanntgabe ins Ausland vor, oder greift Art. 18 DSG? Zweitens: Steht der Empfängerstaat — und bei Kanada und den Vereinigten Staaten der konkrete Empfänger im Rahmen der dortigen Einschränkung — in Anhang 1 DSV? Drittens: Wenn nicht, welche Garantie nach Art. 16 Abs. 2 DSG oder Art. 12 DSV lässt sich stützen, und ist die dort verlangte vorgängige Mitteilung oder Genehmigung tatsächlich erfolgt? Viertens: Wenn keine Garantie vorliegt, ist eine Ausnahme nach Art. 17 DSG mit allen ihren Voraussetzungen erfüllt — wobei eine Ausnahme keinen dauerhaften Datenfluss trägt. Jede Antwort gehört in das Verzeichnis der Bearbeitungstätigkeiten und in die Datenschutzerklärung.",
    "facts": [
        {
            "point": "Grundregel",
            "value": "Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_16"
        },
        {
            "point": "Wo die Länderliste steht",
            "value": "Die Staaten, Gebiete, spezifischen Sektoren in einem Staat und internationalen Organe mit einem angemessenen Datenschutz werden in Anhang 1 DSV aufgeführt (Art. 8 Abs. 1 DSV). Massgebend ist die im Zeitpunkt der Bekanntgabe geltende Fassung des Anhangs; einzelne Einträge gelten nur unter den dort bezeichneten Voraussetzungen.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#annex_1"
        },
        {
            "point": "Vereinigte Staaten nur sektoriell",
            "value": "Für die Vereinigten Staaten gilt der angemessene Schutz nur für Personendaten, die von Organisationen bearbeitet werden, die gemäss den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA zertifiziert sind.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_8"
        },
        {
            "point": "Kanada nur bedingt",
            "value": "Bei Kanada gilt ein angemessener Schutz nur, wenn das kanadische Bundesgesetz vom 13. April 2000 über den Schutz personenbezogener Daten und elektronischer Dokumente oder das weitgehend entsprechende Gesetz einer Provinz zur Anwendung gelangt.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_8"
        },
        {
            "point": "Garantien ohne Angemessenheitsbeschluss",
            "value": "Ohne Entscheid des Bundesrates ist die Bekanntgabe zulässig bei völkerrechtlichem Vertrag, dem EDÖB vorgängig mitgeteilten Datenschutzklauseln, vorgängig mitgeteilten spezifischen Garantien, vom EDÖB vorgängig genehmigten Standarddatenschutzklauseln oder vorgängig genehmigten unternehmensinternen Vorschriften.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_16"
        },
        {
            "point": "«Vorgängig» ist Voraussetzung",
            "value": "Individuelle Datenschutzklauseln müssen dem EDÖB vorgängig mitgeteilt, Standarddatenschutzklauseln von ihm vorgängig genehmigt, ausgestellt oder anerkannt und unternehmensinterne Vorschriften vorgängig genehmigt worden sein.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_16"
        },
        {
            "point": "Frist des EDÖB",
            "value": "Der EDÖB veröffentlicht eine Liste der von ihm genehmigten, ausgestellten oder anerkannten Standarddatenschutzklauseln und teilt das Prüfungsergebnis innerhalb von 90 Tagen mit.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_10"
        },
        {
            "point": "Mindestinhalt der Klauseln",
            "value": "Datenschutzklauseln und spezifische Garantien müssen mindestens die in Art. 9 Abs. 1 DSV aufgeführten Punkte enthalten, darunter Datensicherheit, Meldepflicht bei Verletzungen der Datensicherheit und die Rechte der betroffenen Person.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_9"
        },
        {
            "point": "Ausnahme Einwilligung",
            "value": "Die Bekanntgabe ohne Garantie ist unter anderem zulässig, wenn die betroffene Person ausdrücklich in die Bekanntgabe eingewilligt hat; eine stillschweigende Einwilligung genügt nicht.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_17"
        },
        {
            "point": "Ausnahme Notfall ist kumulativ",
            "value": "Die Bekanntgabe zum Schutz von Leben oder körperlicher Unversehrtheit setzt zusätzlich voraus, dass es nicht möglich ist, innerhalb einer angemessenen Frist die Einwilligung der betroffenen Person einzuholen.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_17"
        },
        {
            "point": "Keine Bekanntgabe ins Ausland",
            "value": "Werden Personendaten zur Information der Öffentlichkeit mittels automatisierter Informations- und Kommunikationsdienste allgemein zugänglich gemacht, gilt dies nicht als Bekanntgabe ins Ausland, auch wenn die Daten vom Ausland aus zugänglich sind.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_18"
        },
        {
            "point": "Sanktion",
            "value": "Mit Busse bis zu 250 000 Franken werden private Personen auf Antrag bestraft, die vorsätzlich unter Verstoss gegen Art. 16 Abs. 1 und 2 DSG und ohne Erfüllung der Voraussetzungen nach Art. 17 DSG Personendaten ins Ausland bekanntgeben.",
            "source_url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_61"
        }
    ],
    "sources": [
        {
            "title": "DSG Art. 16 – Grundsätze der Bekanntgabe ins Ausland",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_16",
            "authority": "A"
        },
        {
            "title": "DSG Art. 17 – Ausnahmen",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_17",
            "authority": "A"
        },
        {
            "title": "DSG Art. 18 – Veröffentlichung von Personendaten in elektronischer Form",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_18",
            "authority": "A"
        },
        {
            "title": "DSG Art. 19 – Informationspflicht bei der Beschaffung",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_19",
            "authority": "A"
        },
        {
            "title": "DSG Art. 5 – Begriffe",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_5",
            "authority": "A"
        },
        {
            "title": "DSG Art. 9 – Bearbeitung durch Auftragsbearbeiter",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_9",
            "authority": "A"
        },
        {
            "title": "DSG Art. 12 – Verzeichnis der Bearbeitungstätigkeiten",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_12",
            "authority": "A"
        },
        {
            "title": "DSG Art. 60 – Verletzung von Informations-, Auskunfts- und Mitwirkungspflichten",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_60",
            "authority": "A"
        },
        {
            "title": "DSG Art. 61 – Verletzung von Sorgfaltspflichten",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/491/de#art_61",
            "authority": "A"
        },
        {
            "title": "DSV Art. 8 – Beurteilung der Angemessenheit des Datenschutzes",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_8",
            "authority": "A"
        },
        {
            "title": "DSV Anhang 1 – Staaten, Gebiete, spezifische Sektoren und internationale Organe mit angemessenem Datenschutz",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#annex_1",
            "authority": "A"
        },
        {
            "title": "DSV Art. 9 – Datenschutzklauseln und spezifische Garantien (Vertrag)",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_9",
            "authority": "A"
        },
        {
            "title": "DSV Art. 10 – Standarddatenschutzklauseln",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_10",
            "authority": "A"
        },
        {
            "title": "DSV Art. 11 – Verbindliche unternehmensinterne Datenschutzvorschriften",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_11",
            "authority": "A"
        },
        {
            "title": "DSV Art. 12 – Verhaltenskodizes und Zertifizierungen",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_12",
            "authority": "A"
        },
        {
            "title": "DSV Art. 13 – Modalitäten der Informationspflicht",
            "url": "https://www.fedlex.admin.ch/eli/cc/2022/568/de#art_13",
            "authority": "A"
        }
    ],
    "faq": [
        {
            "question": "Darf ich Personendaten in die EU übermitteln?",
            "answer": "Ja, sofern der betreffende EU-Staat in Anhang 1 DSV aufgeführt ist — was für die EU- und EWR-Staaten zutrifft. Dann trägt bereits Art. 16 Abs. 1 DSG die Bekanntgabe, und es braucht keine zusätzliche Garantie nach Art. 16 Abs. 2 DSG. Die allgemeinen Bearbeitungsgrundsätze sowie die Informationspflicht nach Art. 19 Abs. 4 DSG und der Eintrag im Verzeichnis nach Art. 12 Abs. 2 Bst. g DSG bleiben gleichwohl zu beachten."
        },
        {
            "question": "Genügen die Standardvertragsklauseln der EU für die Schweiz?",
            "answer": "Nicht allein deshalb, weil sie in der EU anerkannt sind. Art. 16 Abs. 2 Bst. d DSG verlangt Standarddatenschutzklauseln, die der EDÖB vorgängig genehmigt, ausgestellt oder anerkannt hat. Der EDÖB veröffentlicht nach Art. 10 Abs. 2 DSV eine Liste dieser Klauseln. Wer sich auf individuell ausgehandelte Klauseln stützt, muss diese dem EDÖB nach Art. 16 Abs. 2 Bst. b DSG vorgängig mitteilen."
        },
        {
            "question": "Was gilt für einen Cloud-Anbieter mit Servern in den USA?",
            "answer": "Entscheidend ist, ob der konkrete Anbieter gemäss den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA zertifiziert ist. Nur dann greift der Eintrag in Anhang 1 DSV. Ist er es nicht, braucht die Bekanntgabe eine Garantie nach Art. 16 Abs. 2 DSG oder eine Ausnahme nach Art. 17 DSG. Zusätzlich sind die Anforderungen an die Auftragsbearbeitung nach Art. 9 DSG zu erfüllen."
        },
        {
            "question": "Reicht die Einwilligung der Kundin als Grundlage für laufende Übermittlungen?",
            "answer": "Die Ausnahme nach Art. 17 Abs. 1 Bst. a DSG verlangt eine ausdrückliche Einwilligung in die Bekanntgabe. Sie ist auf den Einzelfall zugeschnitten und trägt einen dauerhaften, systematischen Datenfluss in der Regel nicht. Für laufende Bekanntgaben ist eine Garantie nach Art. 16 Abs. 2 DSG oder Art. 12 DSV der tragfähigere Weg."
        },
        {
            "question": "Ist meine Website eine Bekanntgabe ins Ausland, weil sie weltweit aufrufbar ist?",
            "answer": "Nein. Nach Art. 18 DSG gilt das allgemeine Zugänglichmachen von Personendaten zur Information der Öffentlichkeit mittels automatisierter Informations- und Kommunikationsdienste nicht als Bekanntgabe ins Ausland, auch wenn die Daten vom Ausland aus zugänglich sind. Anders verhält es sich beim gezielten Datenfluss an einen bestimmten Empfänger im Ausland, etwa an ein eingebundenes Analysewerkzeug."
        },
        {
            "question": "Muss ich den Empfängerstaat in der Datenschutzerklärung nennen?",
            "answer": "Ja. Nach Art. 19 Abs. 4 DSG teilt der Verantwortliche der betroffenen Person den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Art. 16 Abs. 2 DSG oder die Anwendung einer Ausnahme nach Art. 17 DSG mit. Ein Hinweis auf «Partner im Ausland» genügt nicht. Die Information ist nach Art. 13 DSV präzise, transparent, verständlich und leicht zugänglich zu erteilen."
        },
        {
            "question": "Was droht bei einer unzulässigen Bekanntgabe?",
            "answer": "Art. 61 Bst. a DSG sieht eine Busse bis zu 250 000 Franken vor. Sie trifft private Personen, setzt Vorsatz voraus und wird nur auf Antrag verfolgt. Fahrlässigkeit ist nicht erfasst. Wer zudem vorsätzlich die Informationspflicht nach Art. 19 DSG verletzt, kann nach Art. 60 DSG mit Busse bis zu 250 000 Franken bestraft werden."
        },
        {
            "question": "Gilt die Befreiung für Unternehmen unter 250 Mitarbeitenden auch hier?",
            "answer": "Nein. Art. 12 Abs. 5 DSG beauftragt den Bundesrat, Ausnahmen von der Pflicht zum Verzeichnis der Bearbeitungstätigkeiten für Unternehmen mit weniger als 250 Mitarbeiterinnen und Mitarbeitern und geringem Risiko vorzusehen. Diese Schwelle betrifft nur die Verzeichnispflicht. Von den Anforderungen der Art. 16 und 17 DSG an die Auslandbekanntgabe befreit sie nicht."
        }
    ],
    "tags": [],
    "valid_from": "2025-12-01",
    "valid_to": null,
    "last_revision": "2026-09-22",
    "last_verification": "2026-09-23",
    "factcheck_status": "ok",
    "version": 1,
    "url": "https://nexvyra.ch/de/fakt/personendaten-ins-ausland-bekanntgeben",
    "translations": {
        "de": {
            "language": "de",
            "slug": "personendaten-ins-ausland-bekanntgeben",
            "title": "Personendaten ins Ausland bekanntgeben",
            "published": 1,
            "factcheck_status": "ok"
        },
        "fr": {
            "language": "fr",
            "slug": "communiquer-donnees-personnelles-etranger",
            "title": "Communiquer des données à l\u0027étranger",
            "published": 1,
            "factcheck_status": "ok"
        },
        "it": {
            "language": "it",
            "slug": "comunicare-dati-personali-estero",
            "title": "Comunicare dati personali all\u0027estero",
            "published": 1,
            "factcheck_status": "ok"
        }
    }
}