Datenübermittlung ins Ausland

1. Zweck dieses Dokuments

Werden Personendaten aus der Schweiz ins Ausland bekanntgegeben, gelten Art. 16 DSG und Art. 17 DSG. Beim Betrieb von mybusyness finden Bekanntgaben ins Ausland statt. Dieses Dokument zeigt offen, welche Daten an wen, zu welchem Zweck und auf welcher Grundlage gehen.

Die Kundendaten der Region Schweiz werden auf Servern in der Schweiz gespeichert und gesichert und verlassen die Schweiz nicht; die einzigen Ausnahmen sind in D-08 abschliessend aufgeführt. Diese Ausnahmen sind die in Abschnitt 4 aufgeführten Übermittlungen; es gibt keine weiteren.

2. Begriffe (einmalig)

1. Bekanntgabe ins Ausland: Übermitteln von Personendaten an eine Person oder einen Server ausserhalb der Schweiz oder Zugänglichmachen aus dem Ausland.
2. Angemessener Schutz: Ein Datenschutzniveau im Empfängerstaat, das der Bundesrat als angemessen festgestellt hat (Art. 16 Abs. 1 DSG; DSV).
3. Geeignete Garantien: Vertragliche Garantien, wenn kein angemessener Schutz festgestellt ist, insbesondere Standardvertragsklauseln (Art. 16 Abs. 2 DSG).
4. Maskierung: Ersetzen von Identifikationsdaten durch Platzhalter wie [AHV-001] vor dem externen Aufruf.

3. Rechtsrahmen

Stufe 1 — Angemessener Schutz (Art. 16 Abs. 1 DSG). Hat der Bundesrat für einen Staat einen angemessenen Schutz festgestellt, ist die Bekanntgabe dorthin zulässig.

Stufe 2 — Geeignete Garantien (Art. 16 Abs. 2 DSG). Fehlt ein angemessener Schutz, dürfen Personendaten bekanntgegeben werden, wenn geeignete Garantien bestehen, insbesondere Standardvertragsklauseln gemäss Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021, vom EDÖB anerkannt.

Stufe 3 — Ausnahmen (Art. 17 DSG). Ohne angemessenen Schutz und ohne Garantien ist eine Bekanntgabe nur in den gesetzlichen Ausnahmefällen zulässig, darunter die ausdrückliche Einwilligung der betroffenen Person.

Soweit Personen in der EU angesprochen werden, gelten für Übermittlungen in Drittländer zusätzlich die Regeln von Kapitel V DSGVO (Art. 44–49).

Einordnung: Die Übermittlung an Cloud-Sprachmodelle ist fortlaufend; massgebend sind deshalb die Standardvertragsklauseln (Stufe 2). Die Übermittlung durch Mess-Cookies beruht auf der Einwilligung der Besucherin bzw. des Besuchers und findet ohne Einwilligung gar nicht statt.

4. Inventar der Übermittlungen

4.1 Cloud-Sprachmodelle

RISIKOMINDERNDE MASSNAHMEN (im Code gemessen):

1. Maskierung vor dem Aufruf: türkische Identifikationsnummer, AHV-Nummer, BSN und IBAN mit Prüfziffernkontrolle; dazu Telefon, E-Mail, Steuernummer, Kartennummer und schlüsselähnliche Zeichenfolgen.
2. Klassifizierung D0–D5 und Weiterleitung; D5 geht an kein Modell.
3. Die Zuordnungstabelle wird verschlüsselt gespeichert und nach 24 Stunden vernichtet; sie verlässt das System nie.
4. Eine Aufgabe für ein lokales Modell erzeugt ohne lokales Modell einen sichtbaren Fehler; kein stiller Wechsel in die Cloud.
5. Ein grosser Teil der Arbeit des Produkts nutzt kein Modell; dabei findet keine Übermittlung statt.
6. Bei der Datenübernahme per Excel oder CSV verlässt keine einzige Zeile das System.

EHRLICHE GRENZE: Die Maskierung entfernt Identifikationsdaten, anonymisiert aber keinen freien Text. Ein Vertragsabsatz oder eine Korrespondenz kann nach der Maskierung weiterhin Personendaten enthalten und über den Zusammenhang eine Person bestimmbar machen. Diese Übermittlung wird deshalb als Bekanntgabe von Personendaten behandelt.

4.2 Website-Server in der Türkei

4.3 Google Analytics

4.4 E-Mail-Versand

4.5 Betrieb und Wartung aus der Türkei

4.6 Vom Kunden verbundene Dienste

5. Kontrollliste vor jeder Übermittlung

Bevor eine Übermittlung beginnt, muss Folgendes erfüllt sein:

6. Änderungen

6.1. Neue Empfänger, ein Wechsel des Empfängers oder zusätzliche Datenkategorien erfordern eine Aktualisierung dieses Dokuments.

6.2. Bei einer Aktualisierung wird die Versionsnummer erhöht, die Datenschutzhinweise werden angepasst und — falls nötig — neue Standardvertragsklauseln abgeschlossen.

6.3. An Empfänger, die nicht in diesem Inventar stehen, werden keine Personendaten bekanntgegeben.

7. Ihre Rechte

Auch zu Bekanntgaben ins Ausland stehen Ihnen die Rechte nach dem DSG zu, insbesondere Auskunft über die Empfängerstaaten und die Garantien (Art. 25 DSG). Anfragen richten Sie mit D-13 · Formular für Anfragen betroffener Personen oder per E-Mail an sales@mybusyness.com; Auskunft erteilen wir innert 30 Tagen.

Beruht eine Übermittlung auf Ihrer Einwilligung, können Sie diese jederzeit widerrufen; ab dem Widerruf endet die Übermittlung.

Dieses Dokument beschreibt das im Code gemessene Verhalten von mybusyness. Keine Rechtsberatung.