Am 08.09.2020 hat der Eidgenössische Datenschutz- und Öffentlichkeitbeauftragte (EDÖB) die USA mit dem Swiss-US-Privacy Shield von der Staatenliste mit angemessenem Datenschutz gestrichen.

Der Swiss-US-Privacy Shield bot Schweizer und US Amerikanischen Unternehmen die Möglichkeit bei der Übermittlung von Personendaten aus der Schweiz in die USA die schweizerischen Datenschutzbestimmungen einzuhalten oder Daten in der Schweiz zugänglich zu machen, um den transatlantischen Handel zu unterstützen. Am 12. April 2017 gab das US Department of Homeland Security (DHS) bekannt, dass der neu eingeführte Swiss-US Privacy Shield nun die Selbstzertifizierung akzeptiert. Die Zertifizierung wurde auf der Website von Privacy Shield von den US Citizenship and Immigration Services (USCIS) in Washington D.C. und dem Federal Bureau of Investigation (FBI) veröffentlicht. Das vom US-Heimatschutzministerium und dem FBI in den USA eingesetzte Swiss-US Privacy Shield-System ersetzte die Schweizer Safe Harbor-Selbsterklärung.In seiner Mitteilung vom Dienstag, 08.09.2020 meldet der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB)[1], dass der Verweis für die USA in der Staatenliste[2], einen «angemessenen Datenschutz unter bestimmten Bedingungen» zu haben – nämlich mit dem Swiss-US-Privacy Shield – angepasst wurde.[3]

Auflistung der nationalen Datenschutzniveaus

Die Liste diente bisher als Instrument für Schweizer Datenexporteure und lieferte den Behörden eine allgemeine Einschätzung des Datenschutzniveaus in den aufgelisteten Ländern. Die Liste hat keinen verbindlichen Charakter und ist widerlegbar. Die Liste entbindet die Datenexporteure nicht von ihrer Verpflichtung, das mutmassliche Schutzniveau in Frage zu stellen, wenn es Hinweise auf Datenschutzrisiken im konkreten Fall gibt, und gegebenenfalls Schutzmassnahmen nach Art. 6 Abs. 2 DSG anzuwenden – oder gar von einem Datenexport ganz abzusehen.[4]

Evaluationskriterien

Der EDÖB nahm bezüglich der Liste jeweils folgende Betrachtungen vor:

  • Wie die Gesetzgebung und ihre praktische Anwendung in den einzelnen Ländern und von Wissenschaft und Gerichten bewertet wird;
  • Welche Konventionen, Veröffentlichungen, offizielle Erklärungen und Entscheidungen in- und ausländischer Institutionen und Behörden über die Gleichwertigkeit oder Angemessenheit des von anderen Ländern oder internationalen Organisationen gewährten Datenschutzniveaus getroffen wurden.

Gültig, aber unwirksam

Das Swiss-US Privacy Shield entstand im Rahmen eines Briefwechsels zwischen der Schweiz und den Vereinigten Staaten. Damit handelt es sich um eine Form eines völkerrechtlichen Vertrages. Ein solcher Vertrag kann nur nach völkerrechtlichen Grundsätzen gekündigt werden. In der Schweiz ist die Kündigung eines völkerrechtlichen Vertrags gemäss Art. 24 ParlG einem parlamentarischen Genehmigungsbeschluss unterstellt und wird anschliessend durch den Bundesrat ausgesprochen.

[1] https://www.edoeb.admin.ch/edoeb/de/home/aktuell/medien/medienmitteilungen.msg-id-80318.html

[2] https://www.newsd.admin.ch/newsd/message/attachments/62783.pdf.

[3] Federal Act of 19 June 1992 on Data Protection (SR 235.1, FADP), https://www.admin.ch/opc/de/classified-compilation/19920153/index.html

[4] https://www.newsd.admin.ch/newsd/message/attachments/62791.pdf,, para. 1.Die Schweiz gehört zusammen mit den Ländern der Europäischen Union (EU), des Europäischen Wirtschaftsraums (EWR) und einigen nichteuropäischen Staaten zu einer Gruppe von Staaten, die gegenseitig von einem gleichwertigen und angemessenen Datenschutzniveau im Sinne von Art. 6 Abs. 1 DSG ausgehen. Dies bedeutet, dass die Übermittlung von Personendaten zwischen der Schweiz und anderen Staaten der Gruppe in der Regel ohne zusätzliche besondere Schutzmassnahmen, wie auch bei der Datenübermittlung im Inland, im Sinne von Artikel 6 Absatz 1 DSG möglich ist.

Wenn diese Gruppe von Ländern die Angemessenheit des Datenschutzniveaus eines anderen Landes beurteilt, besteht zwischen diesen Ländern die gemeinsame Erwartung, dass die Liste der Länder eine Art aktualisiert wird, dass das als gegenseitig angemessen erachtete Schutzniveau jederzeit und in jedem Land eingehalten wird. Ein gegenseitiger Koordinationsbedarf ergibt sich insbesondere dann, wenn die Angemessenheit eines Drittlandes neu bewertet wurde, wie dies derzeit in den EU/EWR-Mitgliedstaaten4 nach dem jüngsten Urteil des Gerichtshofs der Europäischen Union (EuGH) in Bezug auf die USA der Fall ist.[1]

Damit trägt die Schweiz den Entwicklungen in der EU Rechnung.

[1] EUGH, Entscheid vom 16. Juli 2020 im Fall C-311/18, CRi 2020, 109 – Schrems II.