Ergebnisbericht

innert der der Beauftragte die vertraglichen Garantien oder die konzerninternen Datenschutzregeln überprüfen muss bzw. nach deren Ablauf diese von Gesetzes wegen als akzeptiert gelten, wenn er nicht interveniert (Datenschutzforum, swico). Die Regelung, dass die Informationspflicht als erfüllt gilt, wenn vom Beauftragten erstellte oder anerkannte Modellverträge verwendet werden und der Beauftragte in allgemeiner Form über diese Tatsache informiert wird, wurde in zwei Stellungnahmen ausdrücklich begrüsst (FER, Bär&Karrer). Eine Organisation war der Meinung, der Beauftragte solle nicht nur bei der Erarbeitung von Modellverträgen und Standardvertragsklausels tätig werden bzw. mitwirken, sondern auch bei der Erarbeitung von Modellen für konzerninterne Datenschutzregeln (swico).

3.1.4 Betrieblicher Datenschutzberater (Art. 12a und 12b)

Die Artikel 12a und 12b stellen Regeln für das von Art. 11a Abs. 5 Bst. e revDSG neu vorgesehene Instrument des betrieblichen Datenschutzberaters auf.

Die vorgesehene Regelung wurde dem Grundsatz nach nicht bestritten. Es erfolgte indessen eine Anzahl von Detailbemerkungen. So sprachen sich namentlich vier Organisationen sowie ein Privater betreffend die deutsche Fassung dagegen aus, von "Datenschutzberater" zu sprechen und sprechen sich für ein Festhalten am in Art. 11a DSG verwendeten Begriff "Datenschutzverantwortlicher" aus (privatim, RVK, Datenschutzforum, SVV, Belser). Eine Organisation hat sich dagegen für die Verwendung des Begriffs des "Datenschutzberaters" ausgesprochen (swico).

Drei Organisationen (swissbanking, swico, SVV) sowie ein Privater (Bär&Karrer) haben sich auch gegen das in Art. 12b Abs. 1 Bst. b vorgesehene Recht jeder Person ausgesprochen, auf ein entsprechendes Gesuch hin Einsicht in die vom Datenschutzberater zu führende Liste der Datensammlungen nach Art. 11a Abs. 3 DSG nehmen zu können. Sie verlangten Streichung (SVV) oder Beschränkung des Zugangsrechts auf betroffene Personen (Bär&Karrer) bzw. den Beauftragten (swissbanking, swico, Eventualantrag SVV).

3.2 Entwurf zu einer Verordnung über die Datenschutzzertifizierungen

Eine Bundesbehörde (EKK) und 3 Organisationen (acsi, kf, SDV) stimmen dem Entwurf ausdrücklich zu. 5 Organisationen äussern sich skeptisch (CP, FER, CVAM, IVSK, swico), wobei eine davon der Datenschutzzertifizierung von Produkten ausdrücklich zustimmt (swico). Eine Behörde (SAS) und 3 Organisationen (Datenschutzforum, privatim, SGS) sprechen sich gegen den Entwurf aus. Die übrigen Stellungnahmen äussern sich nicht zum Entwurf in seiner Gesamtheit.

Ausdrücklich begrüsst wird in mehreren Stellungnahmen der Verzicht auf ein offizielles Datenschutz-Qualitätszeichen (EKK, acsi, CP, CVAM, FER, kf, Belser).

Die skeptischen Stellungnahmen argumentieren vor allem, die Vorlage sei schwer verständlich und sehr technisch formuliert (CP, CVAM). Die FER ist der Ansicht, die vorgesehenen Voraussetzungen für eine Zertifizierung bedeuteten einen administrativen Aufwand, der, im Vergleich zum damit verbundenen Vorteil, kaum verhältnismässig sei (ähnlich auch swico). Auch die IVSK fragt sich, worin der Mehrwert der Zertifizierung liegen könnte.

Die Ablehnung wird wie folgt begründet: Für die SAS ist nicht akzeptabel, dass die Vorlage kein offizielles Datenschutz-Qualitätszeichen (DSQ) vorsieht (auch der