Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

«Nicht nur das Datenschutzgesetz, sondern auch die Ressourcen anpassen» hervorgeht, möchte der Bundesrat erst im Rahmen seiner Botschaft prüfen, welche Ressourcen dem Beauftragten zur Verfügung stehen müssen. Er möchte damit zu einem Zeitpunkt auf diese Frage eingehen, in dem die neuen Aufgaben des Beauftragten definitiv feststehen. Wenn der Vorentwurf in dieser Form beibehalten wird, dürfte der finanzielle Bedarf des Beauftragten indes erheblich steigen, dies aufgrund der Aufgaben nach Artikel 5, 8, 16 und 17 und der Verfügungskompetenz (Art. 41 ff. VE-DSG). Mit Blick auf die zunehmende Digitalisierung der Wirtschaft und der Verwaltung ist darüber hinaus anzunehmen, dass die Anzahl öffentlicher und privater Projekte sowie der Umfang von Gesetzgebungsprojekten, zu denen der

Beauftragte Stellung nehmen muss, zunehmen werden. Daraus wird sich der Bedarf nach zusätzlichen Ressourcen ergeben. Hingegen hat der Beauftragte bereits heute im Rahmen der Schengener und Dubliner Zusammenarbeit die Bearbeitung persönlicher Daten durch Bundesorgane zu kontrollieren. Nach eigenen Angaben führt der Beauftragte derzeit drei bis vier Kontrollen pro Jahr durch. Diese Zahl könnte nun leicht ansteigen. Zwar wird der

Beauftragte im Einklang mit der EU-Richtlinie künftig neue Verfügungskompetenzen haben, doch dürften für deren Ausübung keine zusätzlichen Ressourcen erforderlich sein, da er bereits heute Empfehlungen an die Bundesorgane aussprechen und eine Angelegenheit zum Entscheid an die nächsthöhere Instanz weiterziehen kann, wenn seine Empfehlung nicht umgesetzt wird, und den Entscheid der nächsthöheren Instanz anfechten kann.

Dennoch ist eine Zunahme der Abklärungsanfragen betroffener Personen und der

Kooperationsanfragen von Datenschutzbehörden anderer Schengen-Staaten nicht

auszuschliessen. Die Tatsache, dass die betroffenen Personen künftig das Recht haben,

beim Beauftragten Beauftragten die Eröffnung einer Untersuchung zu verlangen, könnte zudem zu einem Anstieg der Fälle führen. Diese neuen Aufgaben könnten also die Zuteilung zusätzlicher Ressourcen im Form von maximal einer oder zwei Stellen erforderlich machen.

Die finanziellen Auswirkungen auf die Bundesverwaltung dürften gering sein. Dennoch wird diese Frage parallel zu jener nach den Ressourcen des Beauftragten geprüft werden.

9.2 Auswirkungen auf die Kantone und Gemeinden

Die Annahme des Zusatzprotokolls zum Übereinkommen SEV 108 durch die Schweiz ist auch für die Kantone verbindlich. Die Bestimmungen des Übereinkommens müssen unter Einhaltung der verfassungsmässigen Kompetenzverteilung ins Schweizer Recht übertragen werden. Dasselbe gilt für die Bestimmungen der Richtlinie (EU) 2016/680.

Weitere Auswirkungen auf die Kantone und Gemeinden ergeben sich daraus, dass der Beauftragte, gemäss den ihm vom neuen Gesetz verliehenen Kompetenzen, zur Umsetzung seiner Untersuchungsmassnahmen die Hilfe der kantonalen und kommunalen Polizeiorgane anfordern kann. Zudem ist die Amtshilfe zwischen dem Beauftragten und den kantonalen Datenschutzbehörden vorgesehen.

9.3 Auswirkungen im Informatikbereich

Der VE hat gewisse Folgen für die automatisierte Datenbearbeitung. So muss der

Verantwortliche sicherstellen, dass die betroffene Person während der gesamten

Datenbearbeitung im Internet oder im Falle einer automatisierten Einzelentscheidung

informiert ist. Zudem muss der Verantwortliche, wenn er risikobehaftete Bearbeitungen plant, eine Datenschutz-Folgenabschätzung vornehmen und die Risiken sowie die entsprechenden Massnahmen dem Beauftragten melden. Der Verantwortliche hat ausserdem

standardmässig ab dem Zeitpunkt der Planung einer Datenbearbeitung auf die Einhaltung der Datenschutzgrundsätze zu achten sowie seine Bearbeitungen zu dokumentieren.

Schliesslich muss er bestimmte Datenschutzverstösse dem Beauftragten und

gegebenenfalls auch der betroffenen Person melden.

Die Auswirkungen auf die Bundesorgane sind in verschiedener Hinsicht geringfügiger. So besteht beispielsweise keine Informationspflicht gegenüber der betroffenen Person, wenn die automatisierte Entscheidung gesetzlich vorgesehen ist. Zudem wird die Pflicht, vorgängig eine Datenschutz-Folgenabschätzung vorzunehmen und ab der Planung die

Datenschutzgrundsätze einzuhalten, in der Praxis kaum Auswirkungen haben, da die

Bundesorgane bereits heute dem Datenschutzverantwortlichen oder, falls kein solcher