Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Bestimmung gilt sowohl für private Verantwortliche als auch für Bundesorgane. Sie setzt die Anforderungen von Art. 12 Abs. 5 E-SEV 108 um.

Ein Verstoss gegen Artikel 6 wird gemäss Artikel 51 Absatz 1 Buchstabe a VE-DSG

strafrechtlich sanktioniert.

8.1.2.4 Art. 7 Auftragsdatenbearbeitung

In den Absätzen 1, 2 und 4 erfolgen terminologische Änderungen, die infolge der neuen Begriffe (Auftragsbearbeiter, Verantwortlicher) erforderlich sind.

Nach Absatz 2 muss sich der Verantwortliche neu vergewissern, dass der Auftragsbearbeiter in der Lage ist, nicht nur die Datensicherheit zu gewährleisten, sondern auch die Rechte der betroffenen Person. Diese Erweiterung wird von der Richtlinie (EU) 2016/680 (Art. 22 Abs. 1) gefordert. Der Bundesrat ist der Auffassung, dass eine ausschliesslich bereichsspezifische Umsetzung in den Schengen-Bereichen nicht sinnvoll ist. Dies gilt umso mehr, als die

Verordnung (EU) 2016/679 (Art. 28 Abs. 1) eine analoge Regelung vorsieht. Der Bundesrat erhält darüber hinaus die Möglichkeit, die weiteren Pflichten des Auftragsbearbeiters auf dem Verordnungsweg zu präzisieren.

Absatz 3 ist neu und sieht vor, dass der Auftragsbearbeiter die Datenbearbeitung ohne vorgängige schriftliche Zustimmung des Verantwortlichen keinem weiteren

Auftragsbearbeiter übertragen darf. Dabei kann es sich um eine allgemeine

Einverständniserklärung handeln. In diesem Fall informiert der Auftragsbearbeiter den

Verantwortlichen über jede Änderung (Hinzuziehung oder Ersetzung anderer

Auftragsbearbeiter), damit er Einspruch gegen diese Änderungen erheben kann. Es handelt sich hierbei um eine Anforderung der Richtlinie (EU) 2016/680 für den Schengen-Bereich (Art. 22 Absatz 2); die Verordnung (EU) 2016/679 (Art. 28 Absatz 2) sieht etwas Ähnliches vor. Der Bundesrat hat beschlossen, die Vorschrift auf alle Fälle von

Auftragsdatenbearbeitung anzuwenden, wodurch die Transparenz der Datenbearbeitung und die Kontrolle der betroffenen Personen über ihre Daten erhöht werden. Nach Artikel 13 Absatz 4 ist der Verantwortliche darüber hinaus verpflichtet, die betroffene Person zu

informieren, wenn die Bearbeitung einem Auftragsbearbeiter übertragen wird, und muss ihr die Daten oder Kategorien von Daten mitteilen, die bearbeitet werden.

8.1.2.5 Art. 8 Ausarbeitung von Empfehlungen der guten Praxis

Der allgemeine, technologieneutrale Charakter der Regeln des DSG kann insbesondere im Privatsektor für die Verantwortlichen und die Auftragsbearbeiter, aber auch für die

betroffenen Personen eine grosse Unsicherheit in Bezug auf das richtige Verhalten mit sich bringen. Nach Ansicht des Bundesrates ist es daher zentral, die Möglichkeit vorzusehen,

ergänzend zum Gesetz konzisere und dynamischere Regeln zu erlassen. Er schlägt deshalb vor, die Ausarbeitung und den Erlass von Empfehlungen der guten Praxis zu formalisieren. Solche Empfehlungen können in Bereichen, die heute zahlreiche Fragen aufwerfen, wie beispielsweise bei der Videoüberwachung, dem Cloud Computing oder sozialen Netzwerken präzisere Lösungen vorsehen. Sie können auch bereichsspezifisch einzelne Begriffe (z. B. das erhöhte Risiko nach Art. 16 VE-DSG) und die Modalitäten bestimmter Rechte und Pflichten präzisieren, wie beispielsweise die Modalitäten des Rechts, bei einer

automatisierten Einzelentscheidung angehört zu werden (Art. 15 und 20 Abs. 3 VE-DSG), oder die Modalitäten der Informationspflicht (Art. 13 und 14 VE-DSG) und der Pflicht, eine Datenschutz-Folgenabschätzung durchzuführen (Art. 16 VE-DSG). Die Empfehlungen können zuhanden des Privatsektors erlassen werden, aber auch zuhanden des öffentlichen Sektors.

Die Ausarbeitung von Verhaltensregeln und die Förderung der Selbstregulierung durch die Staaten sowie die Aufsichtsbehörde sind auch in den Artikeln 40 und 57 Absatz 1

Buchstabe m der Verordnung (EU) 2016/679 vorgesehen

Absatz 1 Erarbeitung durch den Beauftragten

Gemäss Absatz 1 erarbeitet der Beauftragte Empfehlungen der guten Praxis. Der Vorschlag, diese Aufgabe einer extraparlamentarischen Kommission zu übertragen, wurde während der Vorbereitungsarbeiten verworfen (vgl. Ziff. 1.6.5). Tatsächlich scheint der Beauftragte