Datenstandort Schweiz

Swiss-U.S. Data Privacy Framework: Was es für US-Tools bedeutet

Für: Datenschutzverantwortliche, KMU-Inhaber und IT-Verantwortliche, die US-Software einsetzen oder evaluieren.

Kurz erklärt

Seit dem 15. September 2024 anerkennt der Bundesrat für US-Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, einen angemessenen Datenschutz. Personendaten dürfen an diese Unternehmen ohne zusätzliche Garantien wie Standardvertragsklauseln bekanntgegeben werden. Entscheidend ist die Zertifizierung des konkreten Anbieters – sie lässt sich in der offiziellen Liste des US-Handelsministeriums prüfen.

Viele Werkzeuge im Projektalltag stammen von US-Anbietern. Lange war jeder Datentransfer in die USA mit Zusatzverträgen und Risikoabwägungen verbunden. Das Swiss-U.S. Data Privacy Framework vereinfacht das für zertifizierte Unternehmen – aber nicht für alle, und nicht ohne Prüfung.

Rechtliche Grundlage

Nach Art. 16 DSG dürfen Personendaten ins Ausland bekanntgegeben werden, wenn der Bundesrat dem Staat einen angemessenen Schutz attestiert hat. Am 14. August 2024 hat der Bundesrat die USA für Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, in die Liste der Staaten mit angemessenem Datenschutz aufgenommen (Anhang 1 der Datenschutzverordnung). Der Entscheid gilt seit dem 15. September 2024.

So prüfen Sie einen Anbieter

Die Erleichterung gilt nur für zertifizierte Unternehmen:

Anbieter in der offiziellen Data-Privacy-Framework-Liste suchen und prüfen, ob er für den Swiss-U.S.-Teil zertifiziert ist
Prüfen, ob die Zertifizierung die betroffenen Daten umfasst (z. B. HR-Daten separat)
Auftragsbearbeitungsvertrag trotzdem abschliessen – die Zertifizierung ersetzt ihn nicht
Unterauftragsbearbeiter des Anbieters prüfen, auch in Drittstaaten
Zertifizierungsstatus periodisch kontrollieren

Grenzen und Ausblick

Das Framework regelt die Rechtmässigkeit der Bekanntgabe, nicht die übrigen Pflichten: Zweckbindung, Datensicherheit, Informationspflicht und Auftragsbearbeitung gelten weiterhin. Für Berufsgeheimnisträger bleibt zusätzlich zu prüfen, ob ein Anbieter als Hilfsperson eingebunden werden kann. Und wie beim europäischen Vorgänger ist nicht ausgeschlossen, dass das Framework gerichtlich überprüft wird – wer langfristig plant, behält Alternativen im Blick.

Häufige Fragen

Brauche ich mit dem DPF noch Standardvertragsklauseln?

Für zertifizierte US-Unternehmen nicht für die Bekanntgabe selbst. Für nicht zertifizierte Anbieter bleiben Standardvertragsklauseln oder andere geeignete Garantien nötig.

Gilt das DPF für alle US-Anbieter?

Nein, nur für Unternehmen, die sich unter dem Swiss-U.S. Data Privacy Framework beim US-Handelsministerium zertifiziert haben.

Welche US-Anbieter nutzt Flenio?

Flenio führt alle Empfänger mit Zweck, Standort und Grundlage in einer öffentlichen Subprozessorliste. Die Kernspeicherung erfolgt in Zürich; Anfragen an die KI-Funktionen gehen an Anthropic (USA) und lassen sich pro Workspace abschalten.