Bericht VDSG

er feststellt, dass Vorschriften über den Datenschutz verletzt wurden. Der Inhaber der Datensammlung darf gegen den Datenschutzberater keinesfalls Massnahmen mit Sanktionscharakter ergreifen, wenn dieser seine Aufgabe erfüllt.

Die Aufgabe nach Bst. a zieht keine Haftung des Datenschutzberaters nach sich, wenn der Inhaber der Datensammlung die Datenschutzgesetzgebung verletzt. Der Inhaber der Datensammlung ist insbesondere gegenüber der betroffenen Person allein verantwortlich.

Nach Bst. b ist der Datenschutzberater damit beauftragt, eine Liste der Datensammlungen des Inhabers der Datensammlungen zu führen, die vom Beauftragten oder anderen Personen, die ein entsprechendes Gesuch stellen, eingesehen werden kann. Diese Liste gewährleistet die Transparenz der nicht mehr meldepflichtigen Datensammlungen gegenüber den betroffenen Personen und gegenüber dem Beauftragten. Nur die Datensammlungen nach Art. 11a Abs. 3 DSG müssen auf dieser Liste figurieren. Sie kann vom Beauftragten oder jeder Person, die ein diesbezügliches Gesuch stellt, eingesehen werden.

Der Datenschutzberater muss die zur Erfüllung seiner Aufgaben notwendigen Massnahmen ergreifen. Die Verordnung erwähnt diese nicht ausdrücklich. Er muss namentlich das Personal des Inhabers der Datensammlung beraten und ausbilden, indem er z.B. Richtlinien oder Weisungen erlässt. Er begutachtet alle Projekte und Massnahmen, welche den Datenschutz betreffen; daraus folgt, dass der Inhaber der Datensammlung ihn jeweils konsultieren muss, bevor eine neue Datenbearbeitung begonnen wird. Er berichtet dem Inhaber der Datensammlung regelmässig über seine Aktivitäten.

Art. 12b Abs. 2 des Entwurfs verankert der Grundsatz der Unabhängigkeit des Datenschutzberaters (Art. 11a Abs. 5 Bst. e revDSG). Laut der Botschaft (BBl 2003 2138) darf er gegenüber denjenigen Stellen oder Organisationseinheiten, die selbst unmittelbar für die Bearbeitung von Personendaten verantwortlich sind, nicht weisungsgebunden oder hierarchisch untergeordnet sein.

Gemäss Bst. a unterliegt der Datenschutzberater bezüglich der fachlichen Ausübung seiner Funktion keinen Weisungen. Gemäss dieser Bestimmung soll der Inhaber der Datensammlung nicht in die Erfüllung der Aufgaben, die dem Datenschutzberater übertragen sind, eingreifen. Die Garantie der Unabhängigkeit spielt eine wesentliche Rolle: Es ist nicht auszuschliessen, dass der Datenschutzberater in Interessenkonflikte gerät, besonders wenn er z.B. die Rechtmässigkeit der Bearbeitungen von Daten über die Mitarbeiter des Inhabers der Datensammlungen zu beurteilen hat und organisatorische oder technische Lösungen empfehlen muss, welche bei der Direktion bzw. den betroffenen Dienststellen nicht unbedingt auf Zustimmung stossen.

Der Datenschutzberater ist ausserdem mit den erforderlichen Ressourcen auszustatten, damit er seine Aufgaben unabhängig erfüllen kann. Dazu gehören insbesondere Personal, Infrastruktur und weitere unverzichtbare Ausstattungen (Bst. c).

Der Datenschutzberater hat im Übrigen Zugang zu allen Datensammlungen und Datenbearbeitungen sowie zu allen Informationen, die er zur Erfüllung seiner Aufgabe benötigt (Bst. c). Ausserdem muss er den Inhaber der Datensammlung und seine Mitarbeiter befragen können.