1 Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staates oder das internationale Organ einen angemessenen Schutz gewährleistet.

2 Liegt kein Entscheid des Bundesrates nach Absatz 1 vor, so dürfen Personendaten ins Ausland bekanntgegeben werden, wenn ein geeigneter Datenschutz gewährleistet wird durch:

1. einen völkerrechtlichen Vertrag;
2. Datenschutzklauseln in einem Vertrag zwischen dem Verantwortlichen oder dem Auftragsbearbeiter und seiner Vertragspartnerin oder seinem Vertragspartner, die dem EDöB vorgängig mitgeteilt wurden;
3. spezifische Garantien, die das zuständige Bundesorgan erarbeitet und dem EDöB vorgängig mitgeteilt hat;
4. Standarddatenschutzklauseln, die der EDöB vorgängig genehmigt, ausgestellt oder anerkannt hat; oder
5. verbindliche unternehmensinterne Datenschutzvorschriften, die vorgängig vom EDöB oder von einer für den Datenschutz zuständigen Behörde eines Staates, der einen angemessenen Schutz gewährleistet, genehmigt wurden.

3 Der Bundesrat kann andere geeignete Garantien im Sinne von Absatz 2 vorsehen.