Ergebnisbericht

Abs. 1 und 2

Die Mehrheit der Teilnehmer, die sich zur Bestimmung geäussert haben, sind der Ansicht, die Bestimmung dürfe nicht weitergehen als das europäische Recht, so sei namentlich als Schwelle ein hohes Risiko vorzusehen und der Auftragsbearbeiter sei von der Pflicht auszunehmen.³³⁸ Auch seien Fälle, in denen eine Datenschutz-Folgenabschätzung durchzuführen sei, unklar; diese seien daher zumindest beispielhaft aufzuzählen, insbesondere mit Blick auf die Strafdrohung.³³⁹ Vereinzelt wird auch die Zulässigkeit von modellhaften Datenschutz-Folgenabschätzungen z. B. für Standardsoftware verlangt oder die Ersetzung der Datenschutz-Folgenabschätzung durch Verhaltenskodizes.³⁴⁰ Ebenso werden Erleichterungen für KMU³⁴¹ oder für gemeinnützige Organisationen³⁴² beantragt. Andere sind hingegen mit dem erhöhten Risiko einverstanden.³⁴³ Einzelne sind sogar der Ansicht, die Datenschutz-Folgenabschätzung sei in jedem Fall periodisch oder bei Änderung des Risikos zu wiederholen und eine solche sei auch für jedes Gesetz zu erstellen.³⁴⁴ Drei Kantone³⁴⁵ sind der Auffassung, dass der Begriff «hohes Risiko» zu vage ist. Ein Teilnehmer³⁴⁶ will, dass der Bundesrat Fälle definiert in denen ein hohes Risiko vorliegt. Ein anderer Teilnehmer³⁴⁷ macht dagegen geltend, dass bei jedem Vorhaben einer Datenbearbeitung eine Datenschutz- Folgenabschätzung stattzufinden haben.

Abs. 3 und 4

Nach Ansicht einzelner Teilnehmer³⁴⁸ wird die vorgängige Konsultation, die in Artikel 8^bisdes Übereinkommens SEV 108 und in Artikel 28 der Richtlinie (EU) 2016/680 vorgesehen ist, nicht ausreichend umgesetzt. Andere Teilnehmer³⁴⁹ sind der Auffassung, diese beiden Absätze würden zu weit gehen, insbesondere das Verfahren für die Benachrichtigung des EDÖB, das weder im Übereinkommen noch im europäischen Recht vorgesehen sei. Vielmehr sei auch hier nicht über das europäische Recht hinauszugehen. Ein Teilnehmer befürchtet eine «Meldeflut», die für den EDÖB kontraproduktiv wäre. Die Meldung sei auf Konstellationen nach ergriffenen Schutzmassnahmen mit verbleibendem grossem Restrisiko zu beschränken.³⁵⁰ Unternehmen mit einem Datenschutzberater seien zudem gänzlich von der Meldepflicht auszuschliessen.³⁵¹ Schliesslich erachten zahlreiche Teilnehmer³⁵² die Frist von drei Monaten als zu lang. Sie verlangen daher, diese Frist entsprechend dem im europäischen Recht vorgesehenen Zeitraum zu kürzen. Eine politische Partei³⁵³ erachtet es dagegen als fraglich, ob der EDÖB die Frist von drei Monaten einhalten kann.