Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

private Person oder das Bundesorgan, die oder das über den Zweck, die Mittel und den Umfang der Bearbeitung von Daten entscheidet. Damit es sich um einen «Verantwortlichen» handelt, müssen zwei kumulative Kriterien erfüllt sein: Die private Person oder das

Bundesorgan muss zum einen festlegen, zu welchen Zwecken die Daten bearbeitet werden; zum anderen muss diese bzw. dieses darüber bestimmen, mit welchen Mitteln dies erfolgt. Diese Begriffsdefinition unterscheidet sich somit teilweise von jener des «Inhabers der Datensammlung», welche die zweite Bedingung nicht voraussetzt. Das entscheidende Kriterium besteht nicht mehr darin, wer über den Inhalt der Datensammlung entscheidet,

sondern wer über die Mittel zur beabsichtigten Datenbearbeitung bestimmt.

Buchstabe i Auftragsbearbeiter

Dabei handelt es sich um die private Person oder das Bundesorgan, die oder das im Auftrag des Verantwortlichen Daten bearbeitet. Dieser Begriff entspricht jenem im E-SEV 108 (Art. 2 Bst. f), in der Richtlinie (EU) 2016/680 (Art. 3 Ziff. 9) in der Verordnung (EU) 2016/679 (Art. 4 Ziff. 8).

Der Vertrag zwischen dem Verantwortlichen und dem Auftragsbearbeiter kann

unterschiedlicher Art sein. Je nach den Verpflichtungen des Auftragsbearbeiters kann es sich um einen Auftrag (Art. 394 ff. OR), um einen Werkvertrag (Art. 363 ff. OR) oder um einen gemischten Vertrag handeln. Ein Arbeitnehmer mit einem Arbeitsvertrag ist gegenüber seinem Arbeitgeber hingegen kein Auftragsbearbeiter.

Unveränderte Begriffe

Die folgenden Begriffe bleiben im Vergleich zum geltenden Recht unverändert bzw. erfahren lediglich redaktionelle Änderungen: betroffene Person (Bst. b), Bekanntgeben (Bst. e) und Bundesorgan (Bst. g).

Aufgehobene Begriffe

 Inhaber der Datensammlung: Dieser Begriff wird durch den Begriff «Verantwortlicher»

ersetzt.

 Datensammlung: Der VE-DSG sieht vor, auf diesen Begriff zu verzichten. Dies entspricht

der Lösung im E-SEV 108, in dem stattdessen der Begriff Bearbeiten von Daten

verwendet wird. Dank den neuen Technologien können Daten heute wie eine

Datensammlung genutzt werden, auch wenn sie nicht zentral gespeichert sind. Ein

anschauliches Beispiel ist das Profiling, bei dem auf verschiedene Server zugegriffen wird, um anhand der erhobenen Daten bestimmte Aspekte der Persönlichkeit eines Individuums zu beurteilen. Nach dem derzeitigen Recht fallen solche Aktivitäten wie auch das Profiling nicht unter die Gesetzesbestimmungen, die das Bestehen einer

Datensammlung voraussetzen – wie beispielsweise das Auskunftsrecht (Art. 8 DSG) oder die Informationspflicht (Art. 14 DSG) –, während gerade in diesem Zusammenhang mehr Transparenz erforderlich ist. Im Übrigen weist der Bundesrat darauf hin, dass ein Teil der Lehre den Begriff Datensammlung sehr weit auslegt. Dabei besteht das entscheidende Kriterium darin, dass die Zuweisung von Daten zu einer Person keinen

unverhältnismässigen Aufwand verursachen darf.⁸⁴

 Gesetz im formellen Sinn: Der VE-DSG sieht vor, diese Begriffsdefinition aufzuheben, da

sie nicht nötig ist.

8.1.2 Allgemeine Datenschutzbestimmungen

8.1.2.1 Art. 4 Grundsätze

Absätze 1 und 2 Rechtmässigkeit und Verhältnismässigkeit

Die Absätze 1 und 2 betreffend die Grundsätze der Rechtmässigkeit, von Treu und Glauben und der Verhältnismässigkeit bleiben mit Ausnahme einer redaktionellen Änderung in der französischen Version von Absatz 2 unverändert.