Bericht VDSG

2.4.3 Bearbeitungsreglement (Art. 11)

Der Verweis auf Art. 11 Abs. 1 E-VDSG wird geändert, nachdem Art. 11 Abs. 3 DSG durch Art. 11a Abs. 3 des revidierten DSG ersetzt wurde.

Gemäss Abs. 2 wird das Bearbeitungsreglement regelmässig aktualisiert und kann vom Beauftragten oder vom Datenschutzverantwortlichen eingesehen werden. Diese Änderung entspricht Art. 21 Abs. 3 VDSG, welcher eine analoge Bestimmung für die Bundesorgane vorsieht.

2.5 Datenschutzberater (5. Abschnitt)

2.5.1 Bezeichnung und Mitteilung an den Beauftragten (Art. 12a)

Laut Art. 11a Abs. 5 Bst. e des revidierten DSG muss der Inhaber von Datensammlungen seine Sammlung nicht anmelden, wenn er einen Datenschutzverantwortlichen bezeichnet hat, der unabhängig die betriebsinterne Einhaltung der Datenschutzvorschriften überwacht und Verzeichnisse der Datensammlungen führt. Gemäss der Botschaft (BBl 2003 2138) kann der Bundesrat vorsehen, dass die Befreiung von der Meldepflicht nur erfolgt, wenn die Einsetzung des Datenschutzverantwortlichen dem eidgenössischen Datenschutzbeauftragten mitgeteilt wird.

Die Bezeichnung „Datenschutzverantwortlicher“ in der deutschen – sowie „responsabile della protezione dei dati“ in der italienischen – Fassung von Art. 11a Abs. 5 Bst. e revDSG bedeutet nicht, dass diese Person die Alleinverantwortung für die Einhaltung des Datenschutzes trägt. Wie nachstehend noch detaillierter dargelegt wird, hat sie lediglich eine beratende – und kontrollierende – Funktion. Die Verantwortung liegt vielmehr in erster Linie bei den Stellen, die als Inhaber einer Datensammlung – und damit als Verantwortliche für die mit den betreffenden Personendaten vorgenommenen Bearbeitungen – gelten müssen. Richtiger ist denn auch die französische Bezeichnung in der erwähnten Bestimmung: „Conseiller à la protection des données“. Daher wird in Abs. 1 (wie auch im Abschnittstitel) die Funktionsbezeichnung „betrieblicher Datenschutzberater“ (italienisch „consulente per la protezione dei dati“) eingeführt.

Zur Umsetzung dieser Bestimmung sieht Art. 12a Abs. 1 E-VDSG vor, dass der Inhaber der Datensammlung, der von seiner Pflicht zur Anmeldung der Datensammlungen befreit werden will, einen Datenschutzberater bestimmt, der die Anforderungen erfüllt, die in den vorliegenden Art. 12a bis c aufgestellt werden. Der Eidg. Datenschutz- und Öffentlichkeitsbeauftragte ist sodann darüber zu informieren.

Der Inhaber der Datensammlungen kann nach Abs. 2 einen Mitarbeiter mit der Funktion des betrieblichen Datenschutzberaters betrauen. Die Angliederung der Funktion innerhalb der Hierarchie eines Unternehmens ist nicht entscheidend. Zur Gewährleistung der Unabhängigkeit sollte die mit der Funktion betraute Person allerdings direkt der Geschäftsleitung des Inhabers der Datensammlungen unterstellt sein. Datenschutzberater kann auch ein Dritter sein. Mit dieser Lösung wird der im DSG geforderte Grundsatz der Unabhängigkeit besser gewährleistet.

Der Grundsatz der Unabhängigkeit des Datenschutzberaters wird in Art. 12a, Abs. 2,

1. Satz, konkretisitert. Der Inhaber der Datensammlung muss nach dieser Bestim-