Der EDÖB hat mit Datum von 27. August 2021 die revidierten Standardvertragsklauseln (SCC) grundsätzlich anerkannt (vgl. Mitteilung; kein Permalink). Die neuen SCC erlauben die Bekanntgabe von Personendaten in Staaten ohne angemessenen Schutz allerdings nur, “sofern die für eine Verwendung unter Schweizer Datenschutzrecht notwendigen Anpassungen und Ergänzungen vorgenommen werden”. Was damit konkret gemeint ist, ergibt sich aus einem Arbeitspapier des EDÖB mit gleichem Datum (PDF).
Ausgangspunkt des EDÖB ist die Tatsache, dass der Exporteur bei einer Bekanntgabe ins Ausland zugleich dem DSG und der DSGVO unterstehen kann. In letzterem Fall kann der Exporteur die SCC selbst nicht ändern, muss aber dennoch sicherstellen, dass die schweizerischen Belange berücksichtigt werden. Der EDÖB unterscheidet daher folgende Konstellationen:
- Die Bekanntgabe auf Basis der neuen SCC untersteht nur dem DSG. Hier müsse der Exporteur den EDÖB als zuständige Aufsichtsbehörde bezeichnen. Zudem müsse er in einem Anhang zu den SCC vorsehen, dass der Begriff “Mitgliedstaat” in den SCC die Schweiz (mit-)meine, dass Verweisungen auf die DSGVO als Verweisungen auf das DSG zu verstehen sind und dass die neuen SCC bis zum Inkrafttreten des revDSG auch juristische Personen schützen (m.E. fraglich, weil das das Recht des Empfängerstaats solche Daten durchaus “angemessen” schützen kann, wenn auch nicht unbedingt durch das lokale Datenschutzrecht). Ansonsten ist der Exporteur aber relativ frei, und er kann die SCC insbesondere auch dem schweizerischen Recht und der Zuständigkeit schweizerischer Gerichte unterstellen, was die DSGVO bei den neuen SCC nicht zulässt.
- Die Bekanntgabe untersteht sowohl dem DSG als auch der DSGVO. Hier hat der Exporteur zwei Möglichkeiten: Er kann separate SCC vorsehen für das DSG und für die DSGVO (d.h. er kann vorsehen, dass für die Exporte nach dem DSG eine andere Regelung gilt als für jene nach der DSGVO). Oder er sieht vor, dass die DSGVO für die Bekanntgabe insgesamt gilt – das ist zulässig, weil die DSGVO angemessenen Schutz vermittelt. Aber auch dann kann der Exporteur die Anforderungen des DSG nicht ignorieren. Er müsse in einem Anhang vielmehr auch in diesem Fall vorsehen, dass der EDÖB parallel zur zuständigen EWR-Behörde zuständig ist, dass die Schweiz ebenfalls als Mitgliedstaat i.S.d. SCC zu betrachten ist und dass die SCC vorläufig auch für Daten juristischer Personen gelten.
Die vom EDÖB verlangten Anhänge entsprechen mehr oder weniger dem, was schweizerische Exporteure heute oft schon als Anpassungen der “alten” SCC vereinbart haben, m.E. allerdings auf freiwilliger Basis.
Zu ergänzen ist, dass der EDÖB jeweils – wie die SCC – von “Mitgliedstaaten” spricht; richtigerweise sind neben den Mitgliedstaaten der EU aber auch die EWR-Staaten eingeschlossen, zumal die DSGVO im EWR unmittelbar gilt und auch die Verweisungen auf die Mitgliedstaaten in der DSGVO daher auch die anderen EWR-Staaten meinen müssen. Die Parteien können im Geltungsbereich der DSGVO daher auch die Zuständigkeit eines Liechtensteiner Gerichts wählen und die SCC dem liechtensteinischen Recht unterstellen.
Die alten Standardvertragsklauseln, das TBDFA (Swiss Transborder Data Flow Agreement) und der Mustervertrag des Europarats können noch bis zum 27. September 2021 verwendet und dem EDÖB gemeldet werden. Danach sind sie nicht mehr anerkannt. Sie dürfen aber während einer Übergangsfrist bis zum 31. Dezember 2022 in Gebrauch bleiben, sofern sich die “Datenbearbeitung” (wohl: die Bekanntgabe) und der Vertrag in der Zwischenzeit nicht wesentlich ändern. Danach müssen die Exporteure aber auf die neuen SCC umgestellt haben (soweit sie kein anderes Transfer Tool verwenden wollen). Ein neues TBDFA existiert bis jetzt nicht, ist aber in Arbeit.