Wenn der Strafregisterauszug aus dem Ausland kommt: Validato erklärt Art. 16 nDSG für Background Checks
Validato zeigt, wann ein Datentransfer bei internationalen Screenings unproblematisch ist, wann Standardvertragsklauseln nötig sind und wie ein Transfer Impact Assessment Schweizer Unternehmen vor Bussgeldern schützt.
Zürich, 09.09.2026 (PresseBox) - Ein Strafregisterauszug aus Frankreich, eine Bonitätsauskunft aus Deutschland, ein Referenzanruf in Italien: Jeder internationale Background Check bewegt Personendaten über Landesgrenzen – und fällt damit laut Validato, Schweizer Anbieter für Background-Checks und Human Risk Management, unter Art. 16 nDSG. Die Vorschrift betrifft nicht nur den offensichtlichen Fall einer beauftragten Auslandsagentur, sondern jede Registerabfrage, jeden Referenzanruf und jede Dokumentenprüfung im Ausland – unabhängig davon, ob der Kandidat der Prüfung zugestimmt hat. Die Einwilligung deckt laut Validato die Verhältnismässigkeit des Checks ab, nicht die Zulässigkeit des Datentransfers selbst.
Das Grundprinzip: Der Bundesrat führt in Anhang 1 der Datenschutzverordnung (DSV) eine Liste von Staaten mit einem aus Schweizer Sicht angemessenen Datenschutzniveau. Dazu gehören praktisch der gesamte EWR – also die EU plus Norwegen, Island und Liechtenstein – sowie einzelne weitere Staaten wie Kanada, Israel oder Neuseeland. Für einen Background Check bei einer Kandidatin aus Polen, Deutschland oder Frankreich ist der Datentransfer damit unproblematisch, solange Zweckbindung, Verhältnismässigkeit und Transparenz eingehalten werden. Komplizierter wird es bei Ländern ohne anerkanntes Schutzniveau, etwa Teilen Asiens, Südamerikas oder Russlands – ein in der Praxis häufiger Fehler ist laut Validato die formlose Beauftragung einer lokalen Auskunftsstelle per E-Mail, ohne die nötigen vertraglichen Absicherungen zu prüfen.
Für solche Drittstaaten verpflichten Standardvertragsklauseln (SCC) den ausländischen Empfänger vertraglich, Daten nach Schweizer Standards zu schützen; die Schweiz erkennt dabei grundsätzlich die SCC der Europäischen Kommission an, ergänzt um ein „Swiss Finish" mit vom EDÖB anerkannten Anpassungen. Seit dem „Schrems II"-Urteil reicht eine unterschriebene SCC jedoch nicht mehr automatisch aus: Ein Transfer Impact Assessment (TIA) muss zusätzlich dokumentieren, ob das Recht im Empfängerland die Einhaltung der SCC faktisch verunmöglicht, etwa durch einen unverhältnismässigen behördlichen Zugriff auf Daten. „Viele Unternehmen unterschreiben eine Standardvertragsklausel und glauben, das Thema sei erledigt. Ohne eine dokumentierte Prüfung des lokalen Rechts im Zielland ist das im Auditfall aber nur die halbe Miete", meint André Naef, CEO von Validato.
Ein Sonderfall ist die USA: Mit dem US Data Privacy Framework (DPF) hat der Bundesrat entsprechend zertifizierte US-Unternehmen wieder auf die Liste der Staaten mit angemessenem Schutzniveau gesetzt. Entscheidend ist laut Validato die Prüfung im Einzelfall, ob der konkrete US-Partner – etwa der beauftragte Screening-Provider oder die kontaktierte Universität – tatsächlich auf der DPF-Liste registriert ist. Ist dies nicht der Fall, gilt für diesen Partner wieder die volle SCC- und TIA-Pflicht wie bei jedem anderen Drittstaat, ungeachtet des allgemeinen DPF-Status der USA.
Für den Screening-Alltag empfiehlt Validato ein dreistufiges Vorgehen: die Staatenliste in Anhang 1 DSV prüfen, für alle übrigen Länder ein SCC-Standardtemplate einsetzen und ein Transfer Impact Assessment dort dokumentieren, wo es nötig ist – im Idealfall über einen Screening-Partner, der diese Risikoprüfung standardisiert übernimmt und bei hohem internationalen Volumen den Datenfluss zentral über eine Plattform steuert statt Einzelfälle von Hand zu prüfen. Art. 16 nDSG verbietet den internationalen Datenaustausch damit nicht, sondern professionalisiert ihn, so Validato.
