Ergebnisbericht

Eine Organisation (privatim) ist der Auffassung, dass es nicht nötig ist, in Abs. 4 vorzusehen, dass der Inhaber der Datensammlung angemessene Massnahmen ergreifen muss, um sicherzustellen, dass der Empfänger die Garantien und die Datenschutzregeln beachtet. Die Daten dürften ohnehin nur dann ins Ausland bekanntgegeben werden, wenn ihr Schutz gewärleistet sei. Bär&Karrer stellt sich die Frage, ob die Bestimmung nicht die Kompetenz des Bundesrates zur Regelung der Einzelheiten der Informationspflicht überschreitet und hält weiter fest, der Inhalt von Abs. 4 entspreche nicht dem Titel des Art. 5.

4.3.2 Liste der Staaten mit angemessener Datenschutzgesetzgebung (Art. 7)

Privatim und swissbanking sind der Auffassung, dass die Liste des Beauftragten betreffend die Staaten, die über eine Gesetzgebung verfügen, die ein angemessenes Datenschutzniveau verfügen, verbindlichen Charakter haben müsse. Für privatim muss der Beauftragte ausdrücklich zur Publikation dieser Liste verpflichtet werden.

4.4 Allgemeine technische und organisatorische Massnahmen (Art. 8 Abs. 1, erster Satz und Abs. 4)

Die angehörten Kreise haben zu der vorliegenden Bestimmung keine Bemerkungen vorgebracht.

Eine Organisation (swico) schlägt im vorliegenden Zusammenhang eine Änderung bei Art. 4 Abs. 1 Bst. d vor (vgl. Ziff. 4.2.2).

4.5 Bearbeitungsreglement (Art. 11)

Eine Organisation (Datenschutzforum) begrüsst die Tatsache, dass der Inhalt des Reglements genauer umschrieben wird.

Bär&Karrer schlägt vor, nicht nur auf Art. 11a Abs. 3, sondern auch auf dessen Abs. 5 zu verweisen. Weiter wird davon ausgegangen, dass der Inhaber der Datensammlung nur dann verpflichtet werden sollte, ein Bearbeitungsreglement zu erstellen, wenn der Grundsatz der Transparenz dies verlangt. Es wird daher folgende Änderung vorgeschlagen: "Soweit es der Grundsatz der Transparenz erforderlich macht, erstellt der Inhaber einer meldepflichtigen automatisierten Datensammlung (Art. 11a Abs. 3 und 5 DSG) ein Bearbeitungsreglement, das insbesonsere (…)". Es wird schliesslich vorgeschlagen, "automatisierte Datensammlung" durch "Datensammlung" zu ersetzen.

Gemäss Privatim ist ein Bearbeitungsreglement für alle Datensammlungen nach Art. 11a Abs. 3 DSG zu erstellen. Das Kriterium der Meldeflicht sei aus datenschutzrechtlicher Sicht nicht entscheidend. Würde ein Unternehmen über einen Datenschutzverantwortlichen verfügen, so gäbe es gerade keine Meldepflicht, weshalb ihm auch kein Bearbeitungsreglement zur Verfügung zu stellen wäre.

Um den Rahmenbedingungen der KMU besser Rechnung zu tragen, schlägt eine Organisation (SDV) vor, in Abs. 1 zu präzisieren, dass das Reglement namentlich die "funktionelle Unabhängigkeit der Personen garantiert, die die Funktionen des Datenschutzbeauftragten wahrnehmen".

Belser ist der Ansicht, dass Abs. 2, 2. Satz, gestrichen werden kann, da die entsprechende Verpflichtung bereits in Art. 12b Abs. 2 Bst. c des Entwurfs vorgesehen sei.