- Swiss‑US Data Privacy Framework-Zertifizierung wird allgemein als ausreichendes Datenschutzniveau für Bund, Kantone und Gemeinden anerkannt, rechtliche Verantwortung der Behörden bleibt jedoch bestehen.
- Vor Übermittlung an US‑Organisationen: Zertifikatsstatus verifizieren, Widerrufsmöglichkeit beachten und verbindliche Ausstiegsszenarien sowie Standardvertragsklauseln vereinbaren.
privatim, die Konferenz der schweizerischen Datenschutzbeauftragten, hat Empfehlungen zur „Übermittlung von Personendaten an Organisationen in den USA auf der Grundlage des Swiss-US Data Privacy Framework“ veröffentlicht (PDF).
Die Empfehlungen beginnen mit der Feststellung, dass zertifizierte Organisationen „ein angemessenes Datenschutzniveau haben“. Das trifft für den Bund nach Art. 16 Abs. 1 DSG und Art. 8 Abs. 1 DSV zu. Die Kantone verweisen häufig auf die Angemessenheitsbeschlüsse des Bundesrats (so etwa Basel-Stadt: § 23 Abs. 1 lit. a IDG und § 11 Abs. 1 IDV; Zürich: § 19 lit. a IDG und § 22 Abs. 1 IDV).
Entsprechend gilt eine Zertifizierung nach dem CH-US DPF (DPF) in der Regel auch nach den kantonalen Datenschutzrechten als ausreichend:
Für öffentliche Organe der Kantone und Gemeinden ist die Bescheinigung [eines angemessenen Datenschutzes für zertifizierte Firmen nach dem Swiss‑U.S. DPF ] nicht immer direkt rechtlich verbindlich, gilt aber im allgemeinen als genügende Grundlage für die Anerkennung eines angemessenen Datenschutzniveaus für Bekanntgaben sowie als ein mögliches Kriterium für die Datenschutz-Folgenabschätzung für grenzüberschreitende Auslagerungen von Datenbearbeitungen. Indessen bleiben öffentliche Organe von Kantonen und Gemeinden rechtlich für die entsprechende Risikoeinschätzung im Einzelfall verantwortlich.
Dass der DPF auf tönernen Füssen steht, ist allerdings unstrittig, insbesondere aufgrund der Schwächung des amerikanischen PCLOB (Privacy and Civil Liberties Oversight Board) und der beim EuG hängigen Prüfung der Angemessenheit des EU-US DPF (Fall Latombe v Commission, Rs. T‑553/23).
privatim gibt deshalb drei Empfehlungen für die Auslagerung von Daten an zertifizierte Organisationen:
- Verifizieren: Zum Zeitpunkt einer geplanten Übermittlung von Personendaten an eine private Organisation in den USA ist die Rechtslage im Bereich des Swiss-US DPF zu verifizieren (https://www.dataprivacyframework.gov/list);
- Gütigkeit Zertifikat: Es ist zu beachten, dass der Widerruf oder die Nichterneuerung des Zertifikats durch die Datenempfängerin jederzeit möglich ist;
- Ausstiegsszenario: Bei einer Auslagerung der Bearbeitung von Personendaten an eine nach Swiss‑U.S. DPF zertifizierte Organisation sind Ausstiegsszenarien zu planen.
Diese Empfehlungen sind in der Sache sicher richtig, und sie decken sich mit dem, was auch privaten Unternehmen bein Export in die USA zu raten ist. Sinnvoll ist bspw. die Vereinbarung der Standardvertragsklauseln mit dem US-Importeur (mit den Anpassungen an die Schweiz, die der EDÖB verlangt hat), mit direkter Geltung oder mit Geltung unter der Bedingung, dass der DPF für den Export an den Importeur nicht mehr wirksam sein sollte.