Bei der Übermittlung der Daten ins Ausland hat die VE einen angemessenen Schutz dieser Daten sicherzustellen. Dabei bedeutet die «Gewährleistung eines angemessenen Schutzes durch die Gesetzgebung des betreffenden Staates oder das internationale Organ» (Art. 16 Abs. 1 revDSG/Art. 8 revDSV), dass Personendaten ins Ausland nur dann bekannt gegeben werden dürfen, wenn der betreffende Staat einen angemessenen Datenschutz gewährleistet. Die Staaten, Gebiete, spezifischen Sektoren in einem Staat und internationalen Organe mit einem angemessenen Datenschutz werden in Anhang 1 der revDSV aufgeführt (Art. 8 Abs. 1 revDSV). Die Angemessenheit des Datenschutzes wird periodisch neu beurteilt (Art. 8 Abs. 4 revDSV). Die Beurteilungen werden veröffentlicht (Art. 8 Abs. 5 revDSV). Wenn die Beurteilung nach Art. 8 Abs. 4 revDSV oder andere Informationen zeigen, dass kein angemessener Datenschutz mehr gewährleistet ist, wird Anhang 1 geändert; dies hat keine Auswirkungen auf die bereits erfolgten Datenbekanntgaben (Art. 8 Abs. 6 revDSV).

Bei Drittländern ohne gleichwertiges Datenschutzniveau hat die VE zusätzliche Abklärungen/Absicherungen vorzunehmen. Falls sich der Staat nicht auf der Länderliste gemäss Anhang 1 revDSV befindet, muss ein geeigneter Datenschutz anders gewährleistet werden, beispielsweise mittels der Verwendung von Standardvertragsklauseln (Art. 9-12 revDSV).

England befindet sich im Anhang 1 der revDSV unter den «Staaten, Gebieten, spezifischen Sektoren in einem Staat und internationalen Organen mit einem angemessenen Datenschutz» (39 Vereinigtes Königreich**; 15 Gibraltar**; 17 Guernsey**; 19 Isle of Man**; 25 Jersey***). Bei der Beurteilung, ob ein Staat, ein Gebiet, ein spezifischer Sektor in einem Staat oder ein internationales Organ einen angemessenen Datenschutz gewährleistet, werden u.a. die internationalen Verpflichtungen des Staates oder internationalen Organs, hier also des Vereinigten Königreichs und seiner weiteren Gebiete (Gibraltar, Guernsey, Isle of Man, Jersey), insbesondere im Bereich des Datenschutzes berücksichtigt (Art. 8 Abs. 2 lit. a revDSV).

Da das Vereinigte Königreich nicht mehr Mitglied der Europäischen Union (EU) ist, stützt sich der Bundesrat betreffend das Datenschutzniveau des Vereinigten Königreichs in der revDSV auf den Angemessenheitsbeschluss der Europäischen Kommission («EU-Kommission») gemäss Art. 45 Abs. 3 DSGVO vom 28. Juni 2021 ab. Der Angemessenheitsbeschluss hat eine Verfallsklausel, durch die seine Geltungsdauer auf vier Jahre beschränkt ist, in denen die EU-Kommission die Rechtslage und mögliche Abweichungen hinsichtlich des Datenschutzniveaus beobachten will.

Mit Ausnahme von Jersey wird der Datenschutz des Vereinigten Königreichs durch die EU-Kommission als mit der EU-DSGVO gleichwertig und somit angemessen anerkannt. Auf diese Anerkennung baut der Bundesrat auf: Der Datenschutz des Vereinigten Königreichs inkl. Gibraltar, Guernsey, Isle of Man und Jersey wird als mit dem revDSG gleichwertig und somit angemessen anerkannt.