Personendaten ins Ausland übermitteln: Check nach Land, revDSG und DSGVO

Was das Gesetz sagt

Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates einen angemessenen Schutz gewährleistet (Art. 16 Abs. 1 DSG, Anhang 1 DSV); für die DSGVO entscheidet die Europäische Kommission (Art. 45 DSGVO). In die übrigen Staaten braucht es geeignete Garantien, wie die vom EDÖB anerkannten Standardvertragsklauseln (Art. 16 Abs. 2 DSG, Art. 46 DSGVO).

In jedem Fall sind die Empfängerstaaten in der Datenschutzerklärung (Art. 19 Abs. 4 DSG) und, falls Sie eines führen, im Verzeichnis anzugeben; und ein Anbieter darf Daten für Sie nur bearbeiten, wenn Sie ihn durch Vertrag damit beauftragen (Art. 9 DSG).

Die Ausnahmen im Einzelfall

• die ausdrückliche Einwilligung der betroffenen Person;
• eine Bearbeitung in unmittelbarem Zusammenhang mit einem Vertrag mit der betroffenen Person;
• die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht;
• weitere Fälle nach Art. 17 DSG und Art. 49 DSGVO, die für einen täglich genutzten Anbieter nicht genügen.

Verwandte Fragen

• Darf ich Anbieter mit Servern in den USA oder in der EU nutzen?
• Was sind Standardvertragsklauseln, und wann braucht es sie?
• Darf man Microsoft 365 oder Google Workspace mit dem neuen DSG nutzen?
• Darf man Personendaten in ChatGPT oder andere KI-Tools eingeben?

Nützliche Vorlagen

• Vorlage Beurteilung einer Bekanntgabe von Daten ins Ausland (TIA)
• Vorlage Auftragsbearbeitungsvertrag (Art. 9 DSG, Art. 28 DSGVO)