Wenn der Strafregisterauszug aus dem Ausland kommt: Validato erklärt Art. 16 nDSG für Background Checks

Das Grundprinzip: Der Bundesrat führt in Anhang 1 der Datenschutzverordnung (DSV) eine Liste von Staaten mit einem aus Schweizer Sicht angemessenen Datenschutzniveau. Dazu gehören praktisch der gesamte EWR – also die EU plus Norwegen, Island und Liechtenstein – sowie einzelne weitere Staaten wie Kanada, Israel oder Neuseeland. Für einen Background Check bei einer Kandidatin aus Polen, Deutschland oder Frankreich ist der Datentransfer damit unproblematisch, solange Zweckbindung, Verhältnismässigkeit und Transparenz eingehalten werden. Komplizierter wird es bei Ländern ohne anerkanntes Schutzniveau, etwa Teilen Asiens, Südamerikas oder Russlands – ein in der Praxis häufiger Fehler ist laut Validato die formlose Beauftragung einer lokalen Auskunftsstelle per E-Mail, ohne die nötigen vertraglichen Absicherungen zu prüfen.

Für solche Drittstaaten verpflichten Standardvertragsklauseln (SCC) den ausländischen Empfänger vertraglich, Daten nach Schweizer Standards zu schützen; die Schweiz erkennt dabei grundsätzlich die SCC der Europäischen Kommission an, ergänzt um ein „Swiss Finish" mit vom EDÖB anerkannten Anpassungen. Seit dem „Schrems II"-Urteil reicht eine unterschriebene SCC jedoch nicht mehr automatisch aus: Ein Transfer Impact Assessment (TIA) muss zusätzlich dokumentieren, ob das Recht im Empfängerland die Einhaltung der SCC faktisch verunmöglicht, etwa durch einen unverhältnismässigen behördlichen Zugriff auf Daten. „Viele Unternehmen unterschreiben eine Standardvertragsklausel und glauben, das Thema sei erledigt. Ohne eine dokumentierte Prüfung des lokalen Rechts im Zielland ist das im Auditfall aber nur die halbe Miete", meint André Naef, CEO von Validato.

Ein Sonderfall ist die USA: Mit dem US Data Privacy Framework (DPF) hat der Bundesrat entsprechend zertifizierte US-Unternehmen wieder auf die Liste der Staaten mit angemessenem Schutzniveau gesetzt. Entscheidend ist laut Validato die Prüfung im Einzelfall, ob der konkrete US-Partner – etwa der beauftragte Screening-Provider oder die kontaktierte Universität – tatsächlich auf der DPF-Liste registriert ist. Ist dies nicht der Fall, gilt für diesen Partner wieder die volle SCC- und TIA-Pflicht wie bei jedem anderen Drittstaat, ungeachtet des allgemeinen DPF-Status der USA.

Für den Screening-Alltag empfiehlt Validato ein dreistufiges Vorgehen: die Staatenliste in Anhang 1 DSV prüfen, für alle übrigen Länder ein SCC-Standardtemplate einsetzen und ein Transfer Impact Assessment dort dokumentieren, wo es nötig ist – im Idealfall über einen Screening-Partner, der diese Risikoprüfung standardisiert übernimmt und bei hohem internationalen Volumen den Datenfluss zentral über eine Plattform steuert statt Einzelfälle von Hand zu prüfen. Art. 16 nDSG verbietet den internationalen Datenaustausch damit nicht, sondern professionalisiert ihn, so Validato.