Datentransfer-Regulierung: Auswirkungen auf Schweizer und US-amerikanische Unternehmen

Schweizer und US-amerikanische Unternehmen m�ssen sich durch komplexe Datentransfer-Regulierung navigieren, die von der EU-DSGVO (GDPR), dem revidierten Schweizer revDSG (FADP) und dem EU-US Data Privacy Framework gepr�gt ist. Grenz�berschreitende Lieferantenbeziehungen erfordern heute robuste vertragliche Schutzma�nahmen, Anbieter-Due-Diligence und die Einhaltung von Angemessenheitsbeschl�ssen. Nicht-Compliance birgt Risiken wie Durchsetzungsma�nahmen und Reputationssch�den. Der Eidgen�ssische Datenschutz- und �ffentlichkeitsbeauftragte (ED�B/FDPIC) betont, dass Unternehmen jeden Drittanbieter-Datenfluss anhand sich entwickelnder internationaler Standards bewerten m�ssen (ED�B, 2024).

Zusammenfassung: Wichtige Erkenntnisse f�r vielbesch�ftigte Leser

• Die Schweiz folgt einem einheitlichen Ansatz unter dem Bundesgesetz �ber den Datenschutz (revDSG/FADP), �hnlich der EU-DSGVO (GDPR).
• Den USA fehlt ein einheitliches Bundesgesetz; stattdessen gelten sektorspezifische Regeln und neue nationalssicherheitsgetriebene Einschr�nkungen.
• Schweizer Unternehmen m�ssen die Compliance bei internationalen Transfers bewerten � auf Basis von Angemessenheitsbeschl�ssen oder rechtlichen Schutzma�nahmen.
• Das Swiss-U.S. Data Privacy Framework (DPF), wirksam ab September 2024, vereinfacht Transfers an zertifizierte US-Unternehmen.
• Neue US-Regulierung (2024�2025) schr�nkt Transfers sensibler personenbezogener Daten in �L�nder von Besorgnis� ein und beeinflusst Gesch�ftsabl�ufe.
• Third-Party Risk Management (TPRM) und Cybersicherheit sind f�r Schweizer und US-amerikanische Unternehmen mit globalen Datentransfers entscheidend.
• Die Zukunft der Datentransfers bleibt unsicher, mit wachsenden Trends zur Datenlokalisierung und sich entwickelnder Regulierung.

Einleitung

Datentransfer-Regulierung pr�gt zunehmend globale Gesch�ftsstrategien � besonders f�r Unternehmen in der Schweiz und den USA. Angesichts steigender Cybersicherheitsbedrohungen, Datenschutzbedenken und staatlicher Eingriffe m�ssen Unternehmen ein zunehmend komplexes regulatorisches Umfeld navigieren.

Die Schweiz verf�gt �ber ein strukturiertes, GDPR-inspiriertes Datenschutzgesetz (revDSG/FADP) mit klaren Leitlinien f�r internationale Datentransfers. Die USA hingegen operieren in einem fragmentierten Rechtssystem mit einer Mischung aus Bundes-, Landes- und branchenspezifischen Vorschriften.

J�ngste Entwicklungen � einschlie�lich des Swiss-U.S. Data Privacy Framework und neuer US-Beschr�nkungen f�r Transfers in �L�nder von Besorgnis� � haben Unternehmen mit grenz�berschreitenden Daten erheblich beeinflusst. Dieser Artikel erl�utert diese Regulierung, ihre Auswirkungen auf Unternehmen und welche Compliance-Strategien Organisationen verfolgen sollten.

Der einheitliche Schweizer Ansatz: Bundesgesetz �ber den Datenschutz (revDSG/FADP)

Das revidierte Schweizer Bundesgesetz �ber den Datenschutz (revDSG/FADP), wirksam seit 1. September 2023, sch�tzt personenbezogene Daten und orientiert sich an internationalen Best Practices, insbesondere der EU-DSGVO (GDPR). (Weitere Informationen zum revDSG finden Sie unter https://www.dlapiperdataprotection.com/)

Kernmerkmale des revDSG

• Gilt f�r personenbezogene Daten nat�rlicher Personen (nicht juristischer Personen).
• Gew�hrt betroffenen Personen erweiterte Rechte, einschlie�lich Auskunfts- und Berichtigungsanspr�chen.
• Schreibt Meldungen bei Datenschutzverletzungen vor und verlangt zeitnahe Meldung von Vorf�llen.

Das revDSG stellt sicher, dass Schweizer Unternehmen bei der �bermittlung personenbezogener Daten ins Ausland strenge Compliance-Regeln einhalten � was Komplexit�t schafft, aber auch mehr Vertrauen in den Datenschutz f�rdert.

Schweizer Datentransfer-Regeln: Compliance und Herausforderungen

Schweizer Unternehmen m�ssen bei der internationalen �bermittlung personenbezogener Daten strenge Regeln einhalten. Das Gesetz unterteilt L�nder in zwei Kategorien:

1. Angemessene L�nder: Der Schweizer Bundesrat f�hrt eine Liste von L�ndern mit gleichwertigen Datenschutzstandards. Dazu geh�ren alle EWR-Staaten, das Vereinigte K�nigreich und � seit September 2024 � die USA (f�r zertifizierte Unternehmen unter dem DPF).
2. Nicht angemessene L�nder: Transfers in diese L�nder erfordern zus�tzliche Schutzma�nahmen wie Standardvertragsklauseln (SCCs) oder verbindliche interne Datenschutzvorschriften (BCRs).

Herausforderungen f�r Schweizer Unternehmen

• Bewertung der Compliance im Zielland und Implementierung von Schutzma�nahmen bei Bedarf.
• Sicherstellung vertraglicher Verpflichtungen f�r Drittanbieter, die personenbezogene Daten verarbeiten.
• Management von Remote-Access-Risiken, da der Zugriff auf Schweizer Daten aus dem Ausland unter dem revDSG als Transfer gilt.

Supplier Shields Managed Services k�nnen Schweizer Unternehmen bei der Due-Diligence zu Ziell�ndern, der Erstellung wirksamer Vertr�ge mit Drittanbietern und der Einhaltung nationaler und internationaler Vorschriften unterst�tzen.

Das Swiss-U.S. Data Privacy Framework (DPF)

Um Datentransfers zu vereinfachen, haben die Schweiz und die USA im September 2024 das Swiss-U.S. Data Privacy Framework etabliert. Diese Vereinbarung spiegelt das EU-U.S. Data Privacy Framework und bietet ein strukturiertes System f�r Unternehmen.

Zentrale Vorteile f�r Schweizer Unternehmen

• Transfers an zertifizierte US-Unternehmen sind rechtlich anerkannt � ohne komplexe Angemessenheitspr�fungen.
• Unternehmen erhalten strukturierte Rechtsbehelfe, sodass betroffene Personen in der Schweiz bei Missbrauch Abhilfe erhalten.
• Reduziert den administrativen Aufwand f�r Schweizer Firmen, die mit US-amerikanischen Unternehmen zusammenarbeiten.

Schweizer Unternehmen m�ssen dennoch pr�fen, ob ihre US-Partner DPF-zertifiziert sind und die sich entwickelnden Schweizer und EU-Datenschutzanforderungen einhalten. Supplier Shields Cloud-Plattform kann die technische Seite vereinfachen, indem sie Datentransfer-Bewertungen automatisiert und grenz�berschreitende Datenfl�sse �berwacht.

Die komplexe Datenschutzlandschaft der USA

Anders als die Schweiz verf�gen die USA �ber kein einheitliches bundesweites Datenschutzgesetz. Unternehmen m�ssen stattdessen ein Flickenteppich aus Regulierung navigieren, darunter:

• Branchenspezifische Gesetze wie HIPAA (Gesundheitswesen) und GLBA (Finanzwesen).
• Landes-Datenschutzgesetze wie Kaliforniens CCPA, Virginias CDPA und Colorados Privacy Act.
• Neue Bundesregeln mit Fokus auf Nationalssicherheit und ausl�ndische Datentransfers.

Die fragmentierte Natur der Datenschutzgesetze in den USA macht Compliance f�r multinationale Unternehmen besonders anspruchsvoll.

Neue US-Beschr�nkungen f�r Datentransfers in �L�nder von Besorgnis�

2024 und 2025 f�hrte die US-Regierung weitreichende Beschr�nkungen f�r internationale Datentransfers ein:

• Executive Order 14117 (Februar 2024): Verbietet die �bermittlung sensibler US-personenbezogener Daten in �L�nder von Besorgnis� aus Gr�nden der Nationalssicherheit.
• DOJ Final Rule (Dezember 2024): Setzt strenge Regeln f�r sensible Datentypen um, einschlie�lich Finanz-, Biometrie- und Geolokationsdaten.

Auswirkungen auf US-Unternehmen

• Einschr�nkung von Gesch�ftspartnerschaften mit Organisationen in eingeschr�nkten L�ndern (z. B. China, Russland).
• Zus�tzliche Compliance-Anforderungen f�r Unternehmen mit ausl�ndischen Tochtergesellschaften.
• Drang zur Datenlokalisierung mit steigenden Infrastrukturkosten.

Vergleich der Datentransfer-Regulierung in der Schweiz und den USA

Die Schweiz bietet Klarheit, w�hrend US-Unternehmen sich an sich entwickelnde sicherheitsgetriebene Regulierung anpassen m�ssen.

Der Aufstieg von Third-Party Risk Management (TPRM) in der Dat-Compliance

Angesichts zunehmender Regulierung m�ssen Unternehmen sicherstellen, dass Drittanbieter Datenschutzgesetze einhalten.

Zentrale TPRM-�berlegungen

• Regelm��ige Anbieter-Audits zur Einhaltung von revDSG, GDPR und US-Gesetzen.
• Vertr�ge mit Drittanbietern mit Datenschutzklauseln.
• Echtzeit-Monitoring zur Verhinderung unautorisierter Datentransfers.

Ob Sie Ihre Lieferkette implementieren, verbessern oder Transparenz schaffen wollen � wir bei Supplier Shield helfen Ihnen. Kontaktieren Sie uns.

Cybersicherheitsaspekte bei grenz�berschreitenden Datentransfers

Angesichts wachsender Cyberbedrohungen m�ssen Unternehmen die Datensicherheit bei Transfers erh�hen.

Wesentliche Cybersicherheitsma�nahmen

• End-to-End-Verschl�sselung f�r Daten in Bewegung.
• Zugangskontrolle und Multi-Faktor-Authentifizierung f�r kritische Systeme.
• Kontinuierliches Monitoring und Incident-Response-Pl�ne bei Datenschutzverletzungen.

Zukunftstrends: Wohin entwickeln sich Datentransfer-Gesetze?

• Schweiz: Das revDSG bleibt stabil, EU-getriebene �nderungen sind jedoch m�glich.
• USA: Die laufende Debatte �ber ein bundesweites Datenschutzgesetz k�nnte weitere regulatorische Verschiebungen bringen.
• Global: Datenlokalisierung und Souver�nit�tsgesetze k�nnten zunehmen und internationale Gesch�ftsstrategien beeinflussen.

Was Unternehmen jetzt tun m�ssen

• Schweizer Unternehmen sollten sich an revDSG-Regeln halten und das Swiss-U.S. Data Privacy Framework nutzen.
• US-Unternehmen m�ssen Branchenregulierung und neue nationalssicherheitsgetriebene Beschr�nkungen einhalten.
• Alle Unternehmen m�ssen TPRM und Cybersicherheit priorisieren, um regulatorische Strafen und Datenpannen zu vermeiden.

W�hrend sich die regulatorische Landschaft entwickelt, m�ssen Unternehmen informiert, anpassungsf�hig und proaktiv bleiben, um Datentransfer-Compliance ohne St�rung globaler Abl�ufe sicherzustellen. Mit der Expertise von Supplier Shield in Dat-Compliance, Risikomanagement und sicheren Cloud-L�sungen k�nnen Unternehmen die Komplexit�t globaler Datentransfers vereinfachen und sich vor regulatorischen Herausforderungen sch�tzen.

FAQs

1. Was ist der Hauptunterschied zwischen dem Schweizer revDSG und der EU-DSGVO (GDPR)?

?Das revDSG in der Schweiz orientiert sich an der EU-DSGVO (GDPR), weist aber einige Unterschiede auf:

• Das revDSG gilt nur f�r nat�rliche Personen, w�hrend die GDPR auch juristische Personen erfasst.
• Das revDSG hat keine �bergangsfrist � Unternehmen mussten ab dem Inkrafttreten am 1. September 2023 sofort compliant sein.
• Schweizer Unternehmen m�ssen Datenschutz bei Remote-Zugriff aus dem Ausland sicherstellen, der unter dem revDSG als Datentransfer gilt.

Trotz dieser Unterschiede ist das revDSG eng an die GDPR angelehnt, was die Zusammenarbeit Schweizer Unternehmen mit EU-Partnern erleichtert.

2. Wie hilft das Swiss-U.S. Data Privacy Framework Unternehmen?

?Das Swiss-U.S. Data Privacy Framework (DPF), wirksam ab 15. September 2024, vereinfacht Datentransfers zwischen der Schweiz und den USA.

• Es erlaubt zertifizierten US-Unternehmen, Schweizer personenbezogene Daten ohne zus�tzliche rechtliche Schutzma�nahmen (z. B. Standardvertragsklauseln) zu empfangen.
• Schweizer Unternehmen profitieren von Rechtsbehelfen, wenn zertifizierte US-Unternehmen gegen die Framework-Bedingungen versto�en.
• Es reduziert die Compliance-Last f�r Schweizer Firmen im Gesch�ft mit US-amerikanischen Partnern.

Schweizer Unternehmen m�ssen dennoch best�tigen, dass ihre US-Partner ordnungsgem�� unter dem Framework zertifiziert sind.

3. Was sind die neuen US-Beschr�nkungen f�r Datentransfers?

?2024 und 2025 f�hrte die US-Regierung bedeutende neue Regeln f�r Datentransfers ein:

• Executive Order 14117 (28. Februar 2024): Verbietet die �bermittlung sensibler US-personenbezogener Daten (z. B. Finanz-, Biometrie-, Gesundheitsdaten) in �L�nder von Besorgnis� (wie China und Russland) aus nationalssicherheitlichen Gr�nden.
• DOJ Final Rule (27. Dezember 2024): Setzt die Executive Order um und erweitert die Definition sensibler Daten um anonymisierte oder verschl�sselte Informationen.

Diese Regeln bedeuten, dass US-Unternehmen genau �berwachen m�ssen, wohin Daten �bermittelt werden und wer darauf zugreift � besonders bei risikoreichen Datentypen.

4. Wie k�nnen Unternehmen Drittanbieter-Datenrisiken managen?

?Third-Party Risk Management (TPRM) ist f�r Schweizer und US-Unternehmen mit personenbezogenen Daten unerl�sslich. Best Practices umfassen:

• Anbieter-Audits: Regelm��ige Bewertungen, ob Drittanbieter relevante Vorschriften (revDSG, GDPR, CCPA usw.) einhalten.
• Vertragliche Schutzma�nahmen: Datenschutzklauseln in Anbietervertr�gen, einschlie�lich Sicherheitsprotokollen und Haftungsbedingungen.
• Datenzugriffsbeschr�nkungen: Anbieterzugriff auf sensible Daten auf das f�r den Betrieb Notwendige beschr�nken.
• Kontinuierliches Monitoring: Automatisierte Tools zur �berwachung von Datentransfers und Erkennung potenzieller Sicherheitsverletzungen in Echtzeit.

5. Wird die USA ein einheitliches bundesweites Datenschutzgesetz einf�hren?

?In den USA gibt es laufende Diskussionen �ber ein umfassendes Bundes-Datenschutzgesetz, doch bisher wurde keine Gesetzgebung verabschiedet.

• Stand M�rz 2025 haben 20 Bundesstaaten eigene Datenschutzgesetze erlassen � ein komplexes regulatorisches Umfeld.
• Bundesinitiativen wie der American Data Privacy Protection Act (ADPPA) sind an Uneinigkeit �ber Staatsvorbehalt und Durchsetzungsbefugnisse gescheitert.
• Steigende Bedenken zu Nationalssicherheit und ausl�ndischem Datenzugriff k�nnten jedoch Bem�hungen um Bundesregulierung in naher Zukunft beschleunigen.

Derzeit m�ssen US-Unternehmen Compliance mit einer Mischung aus Landesgesetzen, Branchenregulierung und Nationalssicherheitsregeln managen.

?