Bericht VDSG

Art. 5 Abs. 1 E-VDSG verlangt, dass der Inhaber der Datensammlung den Beauftragten soweit möglich vor der Bekanntgabe der Daten informiert. Der Artikel setzt keine genaue Frist, sondern räumt dem Inhaber der Datensammlung eine gewisse Flexibilität ein. Falls er nicht in der Lage ist, den Beauftragten vor der Bekanntgabe der Daten zu informieren, holt er dies möglichst bald nach. Die Information besteht darin, dass dem Beauftragten ein Exemplar oder eine Kopie der mit dem Empfänger vereinbarten Garantien oder der in der betroffenen Gesellschaft (bzw. in den betroffenen Gesellschaften) geltenden Datenschutzregeln übermittelt wird. Aus der Botschaft (BBl 2003 2130) geht hervor, dass das Verfahren der Information möglichst einfach ausgestaltet werden soll; zu denken ist insbesondere an eine Information des Datenschutzbeauftragten über Internet. Der Datenschutzbeauftragte prüft, ob die angegebenen Garantien oder Schutzregeln ein angemessenes Schutzniveau entsprechend den Anforderungen des Übereinkommens STE 108 gewährleisten. Trifft dies nicht zu, so wendet er sich innerhalb einer angemessenen Frist an den Inhaber der Datensammlung und erlässt gegebenenfalls eine Empfehlung gemäss Art. 29 DSG. Falls der Datenschutzbeauftragte nicht reagiert, geht der Inhaber von Datensammlungen davon aus, dass die Garantien und Datenschutzregeln den Anforderungen gemäss Art. 6 des revidierten DSG genügen.

Wie aus der Botschaft hervorgeht (BBl 2003 2130), bedeutet die in Art. 6 Abs. 3 des revidierten DSG verankerte Informationspflicht keineswegs, dass der Inhaber der Datensammlung den Datenschutzbeauftragten über jede Einzelübermittlung informieren muss. Art. 5 Abs. 2 Bst. a E-VDSG präzisiert zu diesem Punkt ausdrücklich, dass die Informationspflicht für alle Bekanntgaben gilt, die unter denselben Garantien erfolgen, soweit die Kategorien der Empfänger, der Zweck der Bearbeitung und die Datenkategorien unverändert bleiben. Die Datenschutzregeln innerhalb derselben juristischen Person oder Gesellschaft oder zwischen juristischen Personen oder Gesellschaften, die einer einheitlichen Leitung unterstehen, gelten für alle Bekanntgaben unter diesen, unabhängig von der Kategorie und vom Zweck der übermittelten Daten. Die Informationspflicht gilt demnach global für alle diese Bekanntgaben, sofern die Datenschutzregeln unverändert bleiben (Art. 5 Abs. 2 Bst. b E-VDSG).

Abs. 3 dieses Artikels sieht eine erleichterte Informationspflicht vor, wenn der Inhaber von Datensammlungen Modellverträge verwendet, die vom Beauftragten erstellt oder anerkannt wurden, wie beispielsweise die Modellklauseln des Standardvertrags des Europarates. Der Inhaber der Datensammlung muss den Beauftragten lediglich in allgemeiner Art und Weise darüber informieren, dass er für Datenbekanntgaben in ausländische Staaten, die nicht über eine Gesetzgebung verfügen, die einen angemessenen Schutz bietet, generell die vom Beauftragten anerkannten Modellverträge verwendet (oder gegebenenfalls, dass er mit bestimmten Ausnahmen diese Modellverträge verwendet). Hernach ist eine besondere Meldung einzelner Bekanntgaben bzw. Kategorien von Bekanntgaben (vgl. Abs. 2 der vorliegenden Bestimmung) nicht mehr erforderlich. Sollte der Inhaber der Datensammlung in der Folge in einzelnen Fällen indessen dennoch andere Garantien anwenden, so muss er den Beauftragten darüber ordentlich informieren.

Der zweite Satz von Abs. 3 schreibt dem Beauftragten vor, eine Liste der von ihm erstellten und anerkannten Modellverträge zu veröffentlichen.

Gemäss der Botschaft (BBl 2003 2129) haftet der Inhaber von Datensammlungen, der Personendaten ins Ausland übermittelt, für Nachteile, die sich aus einer Verletzung seiner Sorgfaltspflicht ergeben könnten. Er hat insbesondere nachzuweisen, dass er alle erforderlichen Massnahmen getroffen hat, um ein angemessenes