Nachschlagen
Staaten mit angemessenem Datenschutz nach DSG und DSGVO
In diese Staaten dürfen Personendaten ohne weitere Garantien bekanntgegeben werden. Die Schweizer und die europäische Liste decken sich nicht: Hier stehen sie nebeneinander, mit den Quellen und dem Datum der letzten Prüfung.
Kurz gesagt
Nach DSG angemessen sind die Staaten in Anhang 1 DSV: alle Staaten der EU und des EWR, das Vereinigte Königreich, Israel, Argentinien und einige weitere, dazu die nach dem Swiss-U.S. Data Privacy Framework zertifizierten US-Unternehmen und zum Teil Kanada (Art. 16 Abs. 1 DSG). Nach DSGVO gelten die Angemessenheitsbeschlüsse der Europäischen Kommission (Art. 45 DSGVO), darunter die Schweiz. Für die übrigen Staaten braucht es Garantien, meist die Standardvertragsklauseln.
| Staat | DSG (Schweiz) | DSGVO (EU) |
|---|---|---|
| Andorra | Angemessen | Angemessen |
| Argentinien | Angemessen | Angemessen |
| Belgien | Angemessen | Geltungsgebiet des Gesetzes |
| Brasilien | Garantien nötig | Angemessen |
| Bulgarien | Angemessen | Geltungsgebiet des Gesetzes |
| Dänemark | Angemessen | Geltungsgebiet des Gesetzes |
| Deutschland | Angemessen | Geltungsgebiet des Gesetzes |
| Estland | Angemessen | Geltungsgebiet des Gesetzes |
| Färöer | Angemessen | Angemessen |
| Finnland | Angemessen | Geltungsgebiet des Gesetzes |
| Frankreich | Angemessen | Geltungsgebiet des Gesetzes |
| Gibraltar | Angemessen | Garantien nötig |
| Griechenland | Angemessen | Geltungsgebiet des Gesetzes |
| Guernsey | Angemessen | Angemessen |
| Irland | Angemessen | Geltungsgebiet des Gesetzes |
| Island | Angemessen | Geltungsgebiet des Gesetzes |
| Isle of Man | Angemessen | Angemessen |
| Israel | Angemessen | Angemessen |
| Italien | Angemessen | Geltungsgebiet des Gesetzes |
| Japan | Garantien nötig | Angemessen |
| Jersey | Angemessen | Angemessen |
| KanadaNur Empfänger, für die das Bundesgesetz über den Datenschutz im privaten Sektor (PIPEDA) oder ein vergleichbares Gesetz einer Provinz gilt. | Nur für bestimmte Empfänger | Nur für bestimmte Empfänger |
| Kroatien | Angemessen | Geltungsgebiet des Gesetzes |
| Lettland | Angemessen | Geltungsgebiet des Gesetzes |
| Liechtenstein | Angemessen | Geltungsgebiet des Gesetzes |
| Litauen | Angemessen | Geltungsgebiet des Gesetzes |
| Luxemburg | Angemessen | Geltungsgebiet des Gesetzes |
| Malta | Angemessen | Geltungsgebiet des Gesetzes |
| Monaco | Angemessen | Garantien nötig |
| Neuseeland | Angemessen | Angemessen |
| Niederlande | Angemessen | Geltungsgebiet des Gesetzes |
| Norwegen | Angemessen | Geltungsgebiet des Gesetzes |
| Österreich | Angemessen | Geltungsgebiet des Gesetzes |
| Polen | Angemessen | Geltungsgebiet des Gesetzes |
| Portugal | Angemessen | Geltungsgebiet des Gesetzes |
| Rumänien | Angemessen | Geltungsgebiet des Gesetzes |
| Schweden | Angemessen | Geltungsgebiet des Gesetzes |
| Schweiz | Geltungsgebiet des Gesetzes | Angemessen |
| Slowakei | Angemessen | Geltungsgebiet des Gesetzes |
| Slowenien | Angemessen | Geltungsgebiet des Gesetzes |
| Spanien | Angemessen | Geltungsgebiet des Gesetzes |
| Südkorea | Garantien nötig | Angemessen |
| Tschechien | Angemessen | Geltungsgebiet des Gesetzes |
| Ungarn | Angemessen | Geltungsgebiet des Gesetzes |
| Uruguay | Angemessen | Angemessen |
| Vereinigte StaatenNur die nach dem Data Privacy Framework zertifizierten Unternehmen (für die Schweiz: auch nach dem Rahmen Schweiz-USA). | Nur für bestimmte Empfänger | Nur für bestimmte Empfänger |
| Vereinigtes Königreich | Angemessen | Angemessen |
| Zypern | Angemessen | Geltungsgebiet des Gesetzes |
Alle übrigen Staaten: Nach beiden Gesetzen braucht es geeignete Garantien.
Was «angemessen» bedeutet
Der Bundesrat für das DSG und die Europäische Kommission für die DSGVO beurteilen die Gesetzgebung eines Staates. Halten sie sie für angemessen, dürfen die Daten in diesen Staat gehen, als blieben sie in der Schweiz oder in der EU. Alle übrigen Pflichten bleiben: ein Vertrag mit dem Anbieter, die Datensicherheit und die Nennung der Staaten in der Datenschutzerklärung.
Die USA
Die USA sind nur für die nach dem Data Privacy Framework zertifizierten Unternehmen angemessen: für die Schweiz seit dem 15. September 2024, für die EU seit dem 10. Juli 2023. Ist das Unternehmen, mit dem Sie einen Vertrag haben, nicht zertifiziert, oder nicht für die Schweiz, braucht es Garantien wie die Standardvertragsklauseln. Die Liste der zertifizierten Unternehmen steht auf der Website des Data Privacy Framework.
Wenn der Staat nicht auf der Liste steht
- die vom EDÖB anerkannten Standardvertragsklauseln, meist jene der Europäischen Kommission mit den Anpassungen für die Schweiz (Art. 16 Abs. 2 lit. d DSG);
- verbindliche unternehmensinterne Datenschutzvorschriften innerhalb eines Konzerns (Art. 16 Abs. 2 lit. e DSG);
- im Einzelfall die Ausnahmen von Art. 17 DSG, etwa die ausdrückliche Einwilligung oder die Abwicklung eines Vertrags mit der Person: Für einen täglich genutzten Anbieter genügen sie nicht.
Quellen
- Anhang 1 der Datenschutzverordnung (DSV), Fassung vom 15. September 2024
- Angemessenheitsbeschlüsse der Europäischen Kommission, der jüngste vom 26. Januar 2026 (Brasilien)
Listen geprüft am 25. Oktober 2026. Sie ändern sich: Prüfen Sie für einen wichtigen Entscheid die Quelle.
Mehr dazu
- Darf ich Anbieter mit Servern in den USA oder in der EU nutzen?
- Was sind Standardvertragsklauseln, und wann braucht es sie?
- Darf man Microsoft 365 oder Google Workspace mit dem neuen DSG nutzen?
- Braucht es einen Vertrag mit Anbietern, die Daten für uns bearbeiten?
- Vorlage: Beurteilung der Bekanntgabe ins Ausland
Allgemeine Informationen, keine Beratung zu Ihrem Fall. EasyDSG zeigt diesen Stand für jeden Anbieter Ihrer Liste.