Zutritt per App und der Anbieter im Ausland

In der Schweiz

Das schweizerische Datenschutzrecht knüpft an eine Grenze an und nicht an die Technik. Art. 16 Abs. 1 des Datenschutzgesetzes (SR 235.1, Stand 7. Juli 2025) lautet: «Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.» Wo diese Feststellung nachzulesen ist, sagt Art. 8 Abs. 1 der Datenschutzverordnung (SR 235.11, Stand 1. Dezember 2025): «Die Staaten, Gebiete, spezifischen Sektoren in einem Staat und internationalen Organe mit einem angemessenen Datenschutz werden in Anhang 1 aufgeführt.» Der Anhang trägt die Überschrift «Staaten, Gebiete, spezifische Sektoren in einem Staat und internationale Organe mit einem angemessenen Datenschutz» und führt 44 nummerierte Einträge, vom Eintrag mit der Nummer 1, Deutschland, bis zum Eintrag mit der Nummer 44, den Vereinigten Staaten. Beide Erlasstexte wurden dafür am 4. September 2026 aus dem Fedlex-Filestore geladen und im Volltext gelesen. Ein Betrieb, der ein System über eine Anwendung im Netz verwalten lässt, gibt Personendaten seiner Mitarbeitenden oder seiner Mieterschaft an deren Betreiber bekannt, sobald dieser sie im Ausland bearbeitet. Ob das zulässig ist, hängt an drei nacheinander zu prüfenden Stufen und nicht an einer Zusicherung im Verkaufsgespräch.

Drei Stufen, und unter der dritten hört es auf

Die erste Stufe ist die Staatenliste. Steht der Empfängerstaat in Anhang 1 DSV, ist die Bekanntgabe nach Art. 16 Abs. 1 DSG zulässig, ohne dass etwas Weiteres zu vereinbaren wäre. Sie ist die einzige Stufe ohne Vertragsarbeit.

Die zweite Stufe greift, wenn der Staat fehlt. Art. 16 Abs. 2 DSG zählt dann fünf Garantien auf, vom völkerrechtlichen Vertrag bis zu verbindlichen unternehmensinternen Datenschutzvorschriften. Drei davon setzen eine vorgängige Mitteilung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten oder seine Genehmigung voraus.

Die dritte Stufe ist Art. 17 Abs. 1 DSG mit sechs Ausnahmen, von der ausdrücklichen Einwilligung bis zum gesetzlich vorgesehenen Register. Nach Abs. 2 informiert der Verantwortliche den Beauftragten auf Anfrage über drei davon.

Die Staatenliste ist eine Liste und kein Grundsatz

Anhang 1 DSV ist keine Formel, sondern eine Aufzählung, die der Bundesrat ändert. Art. 8 Abs. 6 DSV sagt das ausdrücklich: «Wenn die Beurteilung nach Absatz 4 oder andere Informationen zeigen, dass kein angemessener Datenschutz mehr gewährleistet ist, wird Anhang 1 geändert; dies hat keine Auswirkungen auf die bereits erfolgten Datenbekanntgaben.» Die Zugehörigkeit eines Staates zu dieser Liste ist ein Zustand auf Zeit.

Dass das keine theoretische Warnung ist, zeigt der Anhang an sich selbst. Die Fassung mit Stand 1. Januar 2024 endete bei Eintrag 43; die geltende führt als 44. Eintrag die Vereinigten Staaten, eingefügt durch eine Verordnungsänderung vom 14. August 2024, in Kraft seit 15. September 2024.

Zwei der 44 Einträge stehen nicht unbedingt da. Bei Kanada hängt die Angemessenheit daran, welches Gesetz auf die konkrete Bearbeitung anwendbar ist. Bei den Vereinigten Staaten beginnt der Bedingungstext mit den Worten «Für Personendaten, die von Organisationen bearbeitet werden, die gemäss den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA» zertifiziert sind. Ein Anbieter aus einem dieser beiden Staaten steht also nicht schon deshalb auf der Liste, weil sein Land darauf steht.

Die Einträge tragen ein, zwei oder drei Sternchen. Die Kennzeichnung sagt nicht, wie gut der Schutz ist, sondern ob die Beurteilung auch die Bekanntgabe nach der Richtlinie (EU) 2016/680 umfasst, also den Bereich der Strafverfolgungsbehörden. Eine Rangfolge ist sie nicht.

Was in den beiden Erlassen nicht steht

Weder das Gesetz noch die Verordnung nennt einen Serverstandort, ein Rechenzentrum oder eine Cloud. Beide knüpfen allein an die Bekanntgabe an, und Art. 5 Bst. e DSG umschreibt diese als «das Übermitteln oder Zugänglichmachen von Personendaten». Der Befund gilt im Umfang von zwei vollständigen Erlasstexten und nicht darüber hinaus. Gelesen wurden am 4. September 2026 das Datenschutzgesetz in der Fassung Stand 7. Juli 2025 und die Datenschutzverordnung in der Fassung Stand 1. Dezember 2025, ohne die Auszeichnung des Fedlex-Volltexts gezählt 66 120 und 40 509 Zeichen, und Anhang 1 der Verordnung führte damals 44 Einträge.

Damit verschiebt sich die Frage. Massgebend ist nicht, wo die Anlage hängt, sondern wer von wo aus auf ihre Daten zugreift. Ein Gerät im Treppenhaus, dessen Verwaltungsoberfläche von einem Rechner im Ausland bedient wird, gibt die Daten dorthin bekannt, auch wenn kein Datenträger die Grenze überquert.

Der Vertrag mit dem Anbieter, und was er enthalten muss

Fehlt der Staat auf der Liste, führt der übliche Weg über Vertragsklauseln. Ihren Mindestinhalt regelt die Verordnung und nicht das Gesetz: Art. 9 Abs. 1 DSV führt dafür einen Katalog von zehn Punkten. Buchstabe d verlangt darin «gegebenenfalls die Namen der Staaten oder internationalen Organe, in die oder denen Personendaten bekanntgegeben werden, sowie die Anforderungen an die Bekanntgabe». Der Staat wird damit zum Vertragsinhalt und nicht zu einer Angabe im Datenblatt.

Daneben stehen die Standarddatenschutzklauseln nach Art. 16 Abs. 2 Bst. d DSG. Art. 10 Abs. 2 DSV bestimmt: «Der EDÖB veröffentlicht eine Liste von Standarddatenschutzklauseln, die er genehmigt, ausgestellt oder anerkannt hat.» Der Beauftragte hat mit einem Dokument vom 12. Februar 2025 die Standarddatenschutzklauseln der Europäischen Union und des Europarates anerkannt und weist die Liste dieser Klauseln in seiner Infothek nach.

Auf derselben Seite steht ein Satz zur Reihenfolge, der im Erlasstext so nicht vorkommt: «Es dürfen keine Daten ins Ausland bekanntgegeben werden, bis der EDÖB seinen Entscheid zu den Klauseln gefällt hat, ausser der Transfer kann sich auf einen anderen Rechtsgrund stützen.»

Die eine Ausnahme, die im Verhältnis zum Kunden greift

Unter den sechs Ausnahmen von Art. 17 Abs. 1 DSG ist eine für Zutrittsanwendungen einschlägiger als die übrigen. Buchstabe b lässt die Bekanntgabe zu, wenn sie «in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags» steht, und Ziffer 1 nennt den Vertrag «zwischen dem Verantwortlichen und der betroffenen Person».

Das passt auf die Person, die selbst abschliesst, etwa die Mieterin mit einer Anwendung für ihre eigene Wohnungstür. Auf die Belegschaft eines Betriebs passt es nicht ohne Weiteres, denn dort schliesst der Arbeitgeber den Vertrag. Für sie käme Ziffer 2 in Betracht, die den Vertrag «im Interesse der betroffenen Person» verlangt, und ob eine Zutrittsanlage darin steht, ist eine Auslegungsfrage.

Zwei Pflichten, die an derselben Angabe hängen

Art. 19 Abs. 4 DSG verlangt eine zusätzliche Information: «Werden die Personendaten ins Ausland bekanntgegeben, so teilt er der betroffenen Person auch den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 mit.» Ohne Kenntnis des Staates lässt sich diese Pflicht nicht erfüllen.

Als Nebenbemerkung gehört dieselbe Angabe ins Verzeichnis der Bearbeitungstätigkeiten. Art. 12 Abs. 2 Bst. g DSG verlangt dort «falls die Daten ins Ausland bekanntgegeben werden, die Angabe des Staates sowie die Garantien nach Artikel 16 Absatz 2». Diese Achse trägt weniger weit, als sie klingt: Art. 24 DSV befreit Unternehmen mit weniger als 250 Mitarbeitenden vom Verzeichnis, soweit keine der beiden Rückausnahmen greift, die der Eintrag zur Zutrittskontrolle und zum Datenschutz ausführt. Buchstabe g greift also nur, wo ohnehin ein Verzeichnis geführt wird.

Art. 16 und Art. 17 DSG kennen keine solche Schwelle; sie gelten unabhängig von der Zahl der Mitarbeitenden. Der kleine Betrieb, der vom Verzeichnis befreit ist, ist von der Prüfung der Auslandbekanntgabe nicht befreit.

Warum eine bestehende Anlage nicht einfach weiterläuft

Das Gesetz kennt eine Übergangsbestimmung, die weiter gelesen wird, als sie reicht. Art. 69 DSG lautet: «Die Artikel 7, 22 und 23 sind nicht anwendbar auf Datenbearbeitungen, die vor Inkrafttreten dieses Gesetzes begonnen wurden, wenn der Bearbeitungszweck unverändert bleibt und keine neuen Daten beschafft werden.» Das Gesetz ist am 1. September 2023 in Kraft getreten.

Genannt sind drei Artikel: der Datenschutz durch Technik, die Datenschutz-Folgenabschätzung und die Konsultation des Beauftragten. Art. 16 und Art. 17 stehen nicht in dieser Aufzählung. Eine Anlage, die seit Jahren läuft und deren Daten ein Anbieter im Ausland bearbeitet, geniesst für die Auslandbekanntgabe also keinen Bestandesschutz.

Für die drei genannten Artikel endet der Schutz zudem, sobald sich der Zweck ändert oder neue Daten beschafft werden. Eine Erweiterung um weitere Türen oder der Wechsel von der Karte auf eine Anwendung im Mobiltelefon sind solche Vorgänge.

Was passiert, wenn niemand geprüft hat

Art. 61 Bst. a DSG stellt es unter Strafe, «unter Verstoss gegen Artikel 16 Absätze 1 und 2 und ohne dass die Voraussetzungen nach Artikel 17 erfüllt sind, Personendaten ins Ausland bekanntgeben». Die Norm richtet sich nach ihrem Wortlaut an private Personen, setzt Vorsatz voraus und wird auf Antrag verfolgt. Der Bussrahmen und die Frage, wann an die Stelle der handelnden Person der Geschäftsbetrieb tritt, stehen im Eintrag zur Zutrittskontrolle und zum Datenschutz, dort zum benachbarten Buchstaben c.

Ob im Einzelfall Vorsatz vorliegt und wer als Täter in Betracht kommt, ist damit nicht beantwortet. Für die Beurteilung des eigenen Falls sind eine Rechtsberatung oder die zuständige Schlichtungsstelle da und nicht ein Lexikoneintrag.

Was sich vor der Unterschrift klären lässt

Aus den beiden Erlassen ergeben sich Fragen, die sich schriftlich beantworten lassen, bevor eine Anlage bestellt ist. Sie ersetzen keine Rechtsberatung und beurteilen kein Produkt.

• In welchem Staat die Daten bearbeitet werden und ob er in Anhang 1 DSV steht (Art. 16 Abs. 1 DSG).
• Bei einem Staat mit Bedingungstext, ob der Anbieter die Bedingung erfüllt und dies nachweist.
• Falls der Staat nicht aufgeführt ist, auf welche der fünf Garantien nach Art. 16 Abs. 2 DSG sich der Anbieter stützt.
• Ob die Vertragsklauseln die zehn Punkte von Art. 9 Abs. 1 DSV abdecken, insbesondere die Nennung der Staaten nach Buchstabe d.
• Ob die Information nach Art. 19 Abs. 4 DSG vorbereitet ist, die den Staat nennt.

Die Frage steht vor der Technik

Eine Zutrittsanlage wird nach Türen, Zonen und Medien ausgewählt, und das ist richtig so. Die datenschutzrechtliche Prüfung hängt daneben an einer Angabe, die kein Zylinder hergibt. Die Antwort auf die Frage, welches Recht für die eigene Anlage gilt, beginnt deshalb bei dem Staat, in dem ihre Daten liegen.