Bericht VDSG

mung eine Person bezeichnen, die keine anderen Tätigkeiten ausübt, die mit den Aufgaben, die er für den Inhaber der Datensammlung leistet, in Konflikt geraten könnten. Dies könnte etwa dann der Fall sein, wenn der Datenschutzberater Direktionsmitglied ist, wenn er Funktionen in Bereichen wie Personalführung, Informationssystemverwaltung oder Informationstechnologien ausübt oder wenn er zu einer Dienststelle gehört, die Bearbeitungen von besonders schützenswerten Daten durchführt. Dagegen ist die Kumulierung des Amtes als Datenschutzberater mit dem Amt als Informatiksicherheitsbeauftragter oder als Leiter der Rechtsabteilung grundsätzlich durchaus vereinbar.

Der Grundsatz der Unabhängigkeit muss nicht nur vom Inhaber der Datensammlung, sondern auch vom Datenschutzberater selbst befolgt werden. Er wird duch die vorliegende Bestimmung dazu verpflichtet, auf jede Tätigkeit zu verzichten, die mit den Aufgaben, die er für den Inhaber der Datensammlung erfüllt, in einen Konflikt geraten könnte.

Der Datenschutzberater muss weiter über die erforderliche Fachkenntnis verfügen, um seine Aufgaben effizient zu erfüllen (Abs. 2, 2. Satz). Seine Kentnisse müssen die Datenschutzgesetzgebung, technische Standards, die Organisation des Inhabers der Datensammlung sowie die Einzelheiten der durch diesen veranlassten Bearbeitungen von Personendaten umfassen.

Beim betrieblichen Datenschutzbeauftragten handelt es sich primär um eine Funktion. Somit ist – namentlich im Hinblick auf die Erfüllung der Anforderungen hinsichtlich der Fachkenntnisse – auch denkbar, dass faktisch nicht eine Einzelperson, sondern ein Team diese Funktion ausfüllt, z.B. eine Datenschutzfachperson gemeinsam mit einem Spezialisten oder einer Spezialistin für Informatiksicherheit. Die Gesamtverantwortung für die Aufgabenerfüllung muss indessen klar zugeordnet sein.

Art. 12a überlässt es dem Inhaber von Datensammlungen, sich auf die in Art. 11a Abs. 5 Bst. e DSG vorgesehene Ausnahme zu berufen. Falls er dies tut, muss er den Beauftragten darüber informieren, dass er einen Datenschutzberater eingesetzt hat. Die Verordnung sieht keine Verpflichtung vor, dem Beauftragten die Identität der Person mitzuteilen, die mit der fraglichen Funktion betraut wurde. Es wäre indessen wünschenswert, wenn er auch diesbezüglich informiert würde. Das Verfahren zur Information des Beauftragten soll so einfach wie möglich ausgestaltet werden; zu denken ist insbesondere an eine Information über Internet. Ist diese Information erfolgt, so ist in der Folge der Inhaber der Datensammlungen von der Anmeldepflicht befreit.

Falls dagegen der eingesetzte Datenschutzberater das Unabhängigkeitserfordernis gemäss DSG nicht erfüllt oder falls der Inhaber der Datensammlung darauf verzichtet, die in Art. 11a Abs. 5 Buchst e DSG verankerte Ausnahme geltend zu machen, bleibt er der Anmeldepflicht unterstellt.

2.5.2 Aufgaben und Stellung des Datenschutzberaters (Art. 12b)

Gemäss Art. 11a Abs. 6, 2. Satz, präzisiert der Bundesrat die Stellung und die Aufgaben der Datenschutzverantwortlichen. Zur Konkretisierung dieser Bestimmung regelt Art. 12b Abs. 1 E-VDSG dessen wichtigste Aufgaben.

Nach Bst. a muss der Datenschutzberater die Bearbeitung von Personendaten prüfen und dem Inhaber der Datensammlung Korrekturmassnahmen empfehlen, wenn