Vorlage

Anhang: Leitfaden für die Umsetzung der DSMS-Richtlinien

(Vorabversion 0.9 vom 30.10.2007)

1. Rechtmässigkeit (Art. 4 Abs. 1 DSG)

Ziel des Grundsatzes: sicherstellen, dass die Bearbeitung der Personendaten in einer

rechtmässigen Art und Weise erfolgt.

1.1 Rechtfertigungsgründe (Art. 13 DSG)

Massnahme

Private Personen brauchen für das „Bearbeiten“ (Art. 3 Bst. e DSG) von „Personendaten“ (Art. 3 Bst. a DSG) einen Rechtfertigungsgrund, mit anderen Worten die Einwilligung der „betroffenen Person“ (Art. 3 Bst. b DSG), ein überwiegendes privates oder öffentliches Interesse oder eine gesetzliche Grundlage.

Umsetzung (Art. 4 Abs. 5 DSG)

Die Einwilligung der „betroffenen Person“ muss nach angemessener Information freiwillig erfolgen. Bei der Bearbeitung von „besonders schützenswerten Personendaten“ (Art. 3 Bst. c DSG) oder „Persönlichkeitsprofilen“ (Art. 3 Bst. d DSG) muss die Einwilligung zudem ausdrücklich erfolgen. Mit anderen Worten handelt es sich darum zu überprüfen, dass keinerlei direkter oder indirekter Zwang resp. Druck vorliegt, und dass die gegebene

Information relevant ist. Die Einwilligung ist ausdrücklich, wenn die „betroffene Person“ das gelieferte Dokument eigenhändig oder elektronisch unterschrieben hat.

Im Einzelfall muss überprüft werden, ob das private oder öffentliche Interesse tatsächlich überwiegt, oder ob eine gesetzliche Grundlage vorliegt. Als gesetzliche Grundlage kann es sich um eine solche auf Bundesebene (formelles Gesetz oder Verordnung oder andere) oder auf kantonaler Ebene handeln. Ausländische gesetzliche Vorschriften stellen hingegen grundsätzlich keinen gesetzlichen Rechtfertigungsgrund im Sinne dieser Bestimmung dar. Der Rechtfertigungsgrund gilt nur für den gesetzlich vorgesehen Zweck.

1.2 Gesetzliche Grundlage (Art. 17, 19 und 20 DSG)

Massnahme

Bundesorgane brauchen für die Bearbeitung von Personendaten eine gesetzliche Grundlage; bei der Bearbeitung von besonders schützenswerten Personendaten sowie von

Persönlichkeitsprofilen ein Gesetz im formellen Sinn (Art 3 Bst. j DSG), das die Bearbeitung ausdrücklich vorsieht.

Umsetzung

Prüfen, welches Bundesorgan für die Bearbeitung der Personendaten verantwortlich ist, sowie das Vorhandensein einer gesetzlichen Grundlage prüfen, darüber hinaus, bei besonders schützenswerten Personendaten oder Persönlichkeitsprofilen prüfen, ob es sich um ein „formelles Gesetz“ handelt.

Prüfen, ob die gesetzliche Grundlage alle notwendigen Elemente enthält.

Werden Personendaten durch ein Abrufverfahren zugänglich gemacht, ist zu überprüfen, dass dies ausdrücklich vorgesehen ist. Bei besonders schützenswerten Personendaten sowie Persönlichkeitsprofilen muss das Abrufverfahren in einem Gesetz im formellen Sinn

ausdrücklich vorgesehen sein.