REP27 · Schweiz
Artikel 27 DSGVO · Schweiz
Die Schweiz ist von Mitgliedstaaten umgeben, hat eine Angemessenheitsentscheidung und verfügt über ein modernes Datenschutzgesetz. All diese drei Fakten lassen Schweizer Unternehmen annehmen, dass die europäische Frage geklärt ist. Das ist sie nicht: Geografie, Angemessenheit und nationale Compliance lösen jeweils etwas anderes als Artikel 27, der nur fragt, ob jemand innerhalb der Union kontaktiert werden kann.
Die Kommission erkannte die Schweiz als angemessen schützend an, und diese Anerkennung wurde aufrechterhalten, nachdem das nFADP in Kraft trat. Diese Entscheidung regelt die Übertragungen.
Artikel 27 regelt die Kontaktierbarkeit. Er erfordert eine schriftliche Benennung einer im Unionsgebiet ansässigen Stelle, sodass eine betroffene Person in Lissabon und die Behörde in Lissabon beide eine Adresse haben, an die sie schreiben können. Keine Angemessenheitsentscheidung schafft diese Adresse, weshalb Japan, Kanada, das Vereinigte Königreich und die Schweiz — alle angemessen — alle im Anwendungsbereich sind.
Das typische Schweizer Profil ist eine Uhren- oder Luxusmarke, die über die Grenze versendet, ein Fintech mit europäischen Nutzern, ein pharmazeutischer oder Medizintechnik-Lieferant mit EU-klinischen Partnern oder eine Privatbank, deren Website in ganz Europa gelesen wird.
| Land | Status | Artikel 27 Vertreter |
|---|---|---|
| Deutschland, Frankreich, Italien, Österreich | EU-Mitgliedstaat | Nicht erforderlich |
| Norwegen, Island, Liechtenstein | EWR — DSGVO gilt direkt | Nicht erforderlich |
| Schweiz | Außerhalb der EU und des EWR, angemessen | Erforderlich |
| Vereinigtes Königreich | Außerhalb der EU, angemessen | Erforderlich |
Liechtenstein ist der lehrreiche Fall: ein kleinerer Nachbar, ebenfalls außerhalb der EU, aber innerhalb des EWR — und daher ausgenommen, wo die Schweiz es nicht ist.
Liechtenstein ist die klarste Illustration dafür, warum Geografie dies nicht entscheidet. Es ist kleiner als die meisten Schweizer Kantone, ist kein EU-Mitgliedstaat, teilt eine Währung und ein Zollgebiet mit der Schweiz, und dennoch benötigen seine Unternehmen keinen Vertreter nach Artikel 27 — weil es dem Europäischen Wirtschaftsraum beigetreten ist, und die DSGVO dort direkt gilt.
Die Schweiz hat bilaterale Abkommen anstelle einer EWR-Mitgliedschaft ausgehandelt, und der Datenschutz war nie Teil dieses Pakets. Das Ergebnis ist, dass zwei benachbarte Länder, die eng miteinander integriert sind, auf gegenüberliegenden Seiten von Artikel 3(2) stehen. Ein Unternehmen in Vaduz, das Daten von Personen in Deutschland verarbeitet, befindet sich im eigenen Hoheitsgebiet der DSGVO; ein Unternehmen zwanzig Kilometer entfernt in Buchs ist ein Drittlandsverantwortlicher.
Die praktische Konsequenz für Schweizer Gruppen mit einer Liechtensteiner Einheit ist es wert, sorgfältig überprüft zu werden: Wenn die EWR-Einheit die Verarbeitung tatsächlich durchführt, kann es eine Niederlassung im Datenschutzbereich der Union geben und keine Benennung ist erforderlich. Wenn es sich um eine Holding-Hülle handelt, gibt es das nicht, und die Schweizer Muttergesellschaft fällt eindeutig in den Anwendungsbereich.
Angemessenheit bedeutet, dass personenbezogene Daten ohne Standardvertragsklauseln von der Union in die Schweiz fließen können. Es sagt nichts darüber aus, ob eine Person in Spanien oder Polen Sie kontaktieren kann. Artikel 27 betrifft die Kontaktierbarkeit und gilt für jedes Unternehmen, das außerhalb der Union ansässig ist, unabhängig von der Angemessenheit.
Nein. Norwegen, Island und Liechtenstein sind im EWR und wenden die DSGVO direkt an, sodass ihre Unternehmen keinen Vertreter benötigen. Die Schweiz ist sowohl außerhalb der EU als auch des EWR, weshalb Schweizer Unternehmen in genau der gleichen Position sind wie japanische oder kanadische.
Nein. Das nFADP ist Schweizer Recht, das vom Bundesbeauftragten für Datenschutz und Informationsfreiheit überwacht wird. Die DSGVO ist EU-Recht, das von siebenundzwanzig anderen Behörden überwacht wird. Compliance-Programme, die für das eine erstellt wurden, entlasten das andere nicht.
Die Sprache allein ist nicht entscheidend, wenn sie auch Ihre Landessprache ist. Entscheidend ist, ob das Angebot an Personen in der Union gerichtet ist: Euro-Preise, Versandoptionen zu EU-Adressen, EU-zielgerichtete Werbung oder Analytik-Profiling europäischer Besucher.
Nur wenn er eine Niederlassung in einem Mitgliedstaat hat. Eine Kanzlei mit Sitz in Zürich oder Genf kann nicht nach Artikel 27 benannt werden, da der Vertreter dort ansässig sein muss, wo die betroffenen Personen sind.
Das nFADP hat eigene Regeln für ausländische Verantwortliche mit einem Schweizer Bezug. Es ist eine separate Verpflichtung mit einem separaten Ansprechpartner, und es interagiert nicht mit Ihrer Benennung nach Artikel 27.
Nur wenn Sie auch Personen im Vereinigten Königreich ansprechen. Seit 2021 ist das ein drittes Regime mit einem eigenen Regulierer, das eine eigene Benennung erfordert.
Wir lesen Ihre öffentliche Datenschutzerklärung und sagen Ihnen in zehn Sekunden, ob ein Vertreter benannt ist.
Führen Sie die kostenlose Überprüfung durch Preise anzeigen