Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Im Fall von Absatz 3 Buchstabe c Ziffer 1 müssen die Garantien vorgängig vom Beauftragten genehmigt werden. Diese Bedingung stellt gegenüber dem geltenden Recht, wonach der Beauftragte lediglich informiert werden muss (Art. 6 Abs. 3 DSG), eine Verschärfung dar. Sie entspricht der Anforderung von Artikel 12^bisAbsatz 2 Buchstabe b E-SEV 108. Der

Beauftragte verfügt über eine Frist von sechs Monaten, um dem Verantwortlichen

mitzuteilen, ob er die ausgearbeiteten Garantien genehmigt oder nicht (Abs. 5 erster Satz). Diese Frist beginnt im Zeitpunkt, in dem der Beauftragte die vollständigen Akten erhalten hat, das heisst sämtliche Informationen, die erforderlich sind, um über die Gültigkeit der

eingereichten standardisierten Garantien zu entscheiden. Es handelt sich dabei um eine Ordnungsfrist; falls sie nicht eingehalten wird, kommen die Vorschriften zur

Rechtsverweigerung zur Anwendung. Der Verantwortliche darf keine Daten ins Ausland bekannt geben, bis er vom Beauftragten eine entsprechende beschwerdefähige Verfügung (Art. 5 VwVG) erhalten hat.

Nach Absatz 3 Buchstabe c Ziffer 2 kann der Verantwortliche auch auf standardisierte

Garantien zurückgreifen, welche der Beauftrage erstellt oder anerkannt hat, beispielsweise Musterverträge oder Standardvertragsklauseln, wobei er ihn darüber informieren muss (Abs. 6). Sobald er seiner Informationspflicht nachgekommen ist, ist er berechtigt, Daten ins

Ausland bekannt zu geben. Beschliesst ein Verantwortlicher, Daten gestützt auf

standardisierte Garantien im Sinne von Absatz 2 Buchstabe c ins Ausland bekannt zu geben, wird vermutet, dass er alle notwendigen Massnahmen getroffen hat, um sich eines

angemessenen Schutzes zu vergewissern. Allerdings befreit ihn diese Vermutung nicht von der Haftung für Nachteile, die sich aus einer Verletzung dieser Garantien insbesondere durch den Empfänger der Daten ergeben können. In der Verordnung ist daher die Pflicht des Beauftragten vorzusehen, eine Liste der erstellten oder anerkannten standardisierten

Garantien zu veröffentlichen, wie es im Übrigen im geltenden Recht vorgesehen ist (Art. 6 Abs. 3 VDSG).

Absatz 3 Buchstabe d verbindliche unternehmensinterne Datenschutzvorschriften

Nach Absatz 3 Buchstabe d kann die Bekanntgabe von Daten ins Ausland auch gestützt auf verbindliche unternehmensinterne Datenschutzvorschriften erfolgen, die vorgängig durch den Beauftragten (Ziff. 1) oder durch eine ausländische Behörde, die für den Datenschutz zuständig ist (Ziff. 2), genehmigt wurden. Diese Bestimmung ersetzt Artikel 6 Absatz 2 Buchstabe g DSG. Absatz 2 Buchstabe d nähert sich dem Recht der Europäischen Union an, das in Artikel 47 der Verordnung (EU) 2016/679 vorsieht, dass Daten gestützt auf

vorgängig von der Datenschutzaufsichtsbehörde genehmigte, verbindliche interne

Datenschutzvorschriften zwischen den Mitgliedern einer Unternehmensgruppe übermittelt werden können. Die Genehmigung verbindlicher unternehmensinterner Vorschriften ist in Artikel 57 Absatz 1 Buchstabe s der Verordnung (EU) 2016/679 festgehalten. Absatz 3 Buchstabe d stellt insofern eine Verschärfung des geltenden Rechts dar, als die

verbindlichen unternehmensinternen Datenschutzvorschriften neu genehmigt werden

müssen. Der Beauftragte verfügt über eine Frist von sechs Monaten, um dem betreffenden Unternehmen mitzuteilen, ob er die vorgelegten verbindlichen unternehmensinternen

Datenschutzvorschriften genehmigt oder nicht (Abs. 5). In der Zwischenzeit können keine Daten ins Ausland übermittelt werden. Der Entscheid des Beauftragten kann mit Beschwerde angefochten werden

Wurden die verbindlichen unternehmensinternen Datenschutzvorschriften durch eine

ausländische Behörde genehmigt, die für den Datenschutz zuständig ist (Abs. 3 Bst. d Ziff. 2), muss das Unternehmen mit Sitz in der Schweiz diese dem Beauftragten mitteilen, damit er seinen Aufsichtspflichten nachkommen kann (Abs. 6). Diese Bestimmungen entsprechen den Bedürfnissen von Unternehmensgruppen, die sich über mehrere Länder erstrecken.

Die in Absatz 3 Buchstabe d erwähnten Instrumente müssen in dem Sinne «verbindlich»

sein, als alle Gesellschaften, die zur selben Unternehmensgruppe gehören, die Vorschriften einzuhalten und anzuwenden haben. Diese Normen präzisieren mindestens die fragliche Datenbekanntgabe, die Kategorien bekanntgegebener Daten, den Zweck der Bearbeitung, die Kategorien betroffener Personen und die Empfängerstaaten. Ausserdem müssen die Normen die Rechte der betroffenen Personen regeln und auch Angaben über die

Mechanismen enthalten, die innerhalb der Unternehmensgruppe eingerichtet worden sind,