Datenschutz im internationalen Kontext: Was Unternehmen in der Schweiz wissen sollten

In einer zunehmend digitalisierten Arbeitswelt gewinnt Datenschutz immer mehr an Bedeutung – insbesondere dann, wenn Mitarbeitende nicht mehr vom Firmenstandort aus arbeiten, sondern temporär aus dem Ausland tätig sind. Für Unternehmen, die Workations ermöglichen oder Remote-Arbeit über Ländergrenzen hinweg zulassen, stellt sich die Frage: Wie sicher sind Unternehmensdaten, wenn Mitarbeitende aus dem Ausland darauf zugreifen?

Schweiz: Datenschutz auf hohem Niveau

Die Schweiz gilt international als Vorreiter in puncto Datenschutz. Mit dem revidierten Datenschutzgesetz (revDSG), das am 1. September 2023 in Kraft trat, wurden die Anforderungen an Unternehmen weiter verschärft – unter anderem durch neue Informationspflichten, das Recht auf Datenportabilität und klare Vorgaben für Datenbearbeitungsverträge. Der Schweizer Datenschutz orientiert sich dabei stark an der EU-Datenschutz-Grundverordnung (DSGVO), was für Unternehmen mit internationalen Verflechtungen eine gewisse Kompatibilität schafft.

Herausforderungen bei Workations und Remote Work

Sobald Mitarbeitende im Ausland arbeiten – sei es temporär im Rahmen einer Workation oder dauerhaft – stellt sich die Frage, ob der Datenschutz im Zielland auf einem vergleichbaren Niveau liegt. Denn der Zugriff auf Unternehmensdaten von einem Drittland aus kann datenschutzrechtlich problematisch sein.

Insbesondere bei Ländern ausserhalb der EU und des EWR (sog. Drittländer) braucht es zusätzliche Schutzmassnahmen, etwa:

• Standardvertragsklauseln (SCC) bei Datenübertragungen

• Technische Sicherheitsmassnahmen (z. B. VPN, Zwei-Faktor-Authentifizierung)

• Klare Richtlinien für Datenzugriff und -speicherung

Wie andere Länder mit Datenschutz umgehen

Ein kurzer Überblick zeigt: Während die EU mit der DSGVO einen einheitlichen, strengen Standard vorgibt, variiert das Schutzniveau in anderen Ländern stark:

• USA: Die USA verfügen über keinen einheitlichen Datenschutzrahmen auf Bundesebene. Stattdessen gelten sektorspezifische Regelungen wie der Health Insurance Portability and Accountability Act (HIPAA) für das Gesundheitswesen oder FERPA im Bildungsbereich. Einzelne Bundesstaaten, allen voran Kalifornien mit dem Consumer Privacy Act (CCPA), verfolgen inzwischen strengere Datenschutzvorgaben, die sich teilweise an der DSGVO orientieren. Der CLOUD Act sorgt für Unsicherheit, da US-Behörden potenziell Zugriff auf Daten von US-Unternehmen haben – auch wenn sie in Europa gespeichert sind.

• Europäische Union: In der Europäischen Union regelt die Datenschutz-Grundverordnung (DSGVO) den Umgang mit personenbezogenen Daten und setzt dabei hohe Standards. Unternehmen, die innerhalb der EU tätig sind, müssen diese Vorgaben einhalten – was zu einer weitgehenden Harmonisierung mit den deutschen Datenschutzanforderungen führt.

• Australien & Kanada: Beide Länder haben sektorielle Datenschutzregelungen, gelten aber in der EU als Länder mit angemessenem Schutzniveau.

• Asien & Lateinamerika: Datenschutzbestimmungen existieren vielerorts, sind aber oft lückenhaft oder schwer durchsetzbar.

• China: China hat in den letzten Jahren ein umfassenderes Datenschutzregime eingeführt. Das Cybersecurity Law sowie das 2021 in Kraft getretene Personal Information Protection Law (PIPL) regulieren die Erhebung, Verarbeitung und Weitergabe personenbezogener Daten. Diese Gesetze gelten explizit auch für ausländische Unternehmen, sofern sie Dienstleistungen in China anbieten oder Daten chinesischer Bürger verarbeiten.

Was bedeutet das für Schweizer Unternehmen?

Für Unternehmen mit mobilen Mitarbeitenden heisst das: Datenschutz muss aktiv gemanagt werden. Es reicht nicht, sich nur auf technische Tools zu verlassen. Vielmehr braucht es klare Prozesse und Richtlinien:

1. Risikoabwägung bei jedem Workation-Ziel: Ist das Land datenschutzrechtlich sicher?

2. Einholen von Einwilligungen: Mitarbeitende sollten transparent informiert werden.

3. Vertragliche Absicherung: Bei Datenzugriff aus Drittländern braucht es spezifische Klauseln.

4. Nutzung datenschutzkonformer Tools: Schweizer Anbieter oder solche mit Hosting in der EU sind oft vorzuziehen.

Fazit Datenschutz bei Workations: Verantwortung beginnt im Unternehmen

Workations und internationale Remote-Arbeit bieten viele Vorteile, bergen aber auch datenschutzrechtliche Risiken. Wer als Schweizer Arbeitgeber auf Nummer sicher gehen will, sollte frühzeitig klären, wie der Datenzugriff aus dem Ausland geregelt ist, und sich bei Bedarf rechtlich beraten lassen.

Bei Vamoz unterstützen wir Unternehmen nicht nur bei der operativen Umsetzung von Workations, sondern helfen auch dabei, datenschutzkonforme Prozesse zu etablieren – für sichere, flexible und rechtskonforme Arbeitsmodelle.