Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

8.1.2.7 Art. 10 Zertifizierung

Artikel 10 VE-DSG regelt die fakultative Zertifizierung, die gegenwärtig in Artikel 11 DSG geregelt ist. Der VE dehnt den Gegenstand des Zertifizierungsverfahrens auf sämtliche Arten von Datenbearbeitungsvorgängen aus. Neben Datenbearbeitungssystemen (Verfahren,

Organisation) und Produkten (Programme, Systeme), ist es künftig auch möglich, bestimmte Dienstleistungen zu zertifizieren. Diese Ausweitung ermöglicht eine Annäherung an die Verordnung (EU) 2016/679, die ebenfalls eine Zertifizierung für alle Verarbeitungsvorgänge der Verantwortlichen oder Auftragsverarbeiter vorsieht (Art. 42).

Das Akkreditierungsverfahren für unabhängige Zertifizierungsstellen durch die

schweizerische Akkreditierungsstelle, mit der auch der Beauftragte assoziiert ist, bleibt unverändert.⁹⁵

8.1.2.8 Art. 11 Datensicherheit

In Artikel 11 VE-DSG wird Artikel 7 DSG mit einigen redaktionellen Änderungen

übernommen. Die Pflicht, die Datensicherheit sicherzustellen, ist eine Anforderung des E-SEV 108 (Art. 7) und der Richtlinie (EU) 2016/680 (Art. 29). Die Verordnung (EU) 2016/679 (Art. 32) enthält eine ähnliche Regelung. Es wird präzisiert, dass die Verantwortlichen und die Auftragsbearbeiter durch technische und organisatorische Massnahmen die Daten vor unbefugtem Bearbeiten oder Verlust schützen müssen. Unter den Verlust fällt auch die Vernichtung von Daten.

Aus dieser Pflicht können sich unterschiedliche Massnahmen ergeben. Möglicherweise müssen Daten pseudonomisiert und chiffriert werden. Allenfalls sind Garantien vorzusehen, welche die Vertraulichkeit, Vollständigkeit und Verfügbarkeit des Systems und der

Bearbeitungsdienste gewährleisten oder sicherstellen, dass der Zugang zu den Daten und Systemen im Falle einer technischen oder physischen Störung innert angemessener Frist wieder zur Verfügung steht. Schliesslich kann die Pflicht bestehen, Verfahren zu entwickeln, mit denen die Wirksamkeit der technischen und organisatorischen Vorkehren zur

Datensicherheit regelmässig untersucht, analysiert und beurteilt werden können.

8.1.2.9 Art. 12 Daten einer verstorbenen Person

Einige Elemente dieser Norm betreffend die Daten Verstorbener befanden sich bislang in Artikel 1 Absatz 7 VDSG. So war die Einsicht in Daten Verstorbener bisher ein Teilanspruch des Auskunftsrechts. Dabei handelt es sich jedoch um ein Recht der betroffenen Person, das nur in Bezug auf Datenbearbeitungen, die sie selbst betreffen, geltend gemacht werden kann. Durch die Verordnungsbestimmung wurde das Auskunftsrecht somit auf Drittpersonen ausgeweitet, die Auskunft über Daten einer weiteren Drittperson verlangen konnten, ohne dass hierfür im Gesetz eine entsprechende Grundlage vorhanden gewesen wäre. Durch die Aufnahme ins Gesetz wird dieses Problem beseitigt. Systematisch wird die Norm nun den allgemeinen Datenschutzbestimmungen zugeordnet und dadurch vom Auskunftsrecht losgelöst, weil dieses auf die betroffene Person beschränkt bleiben soll.

Neben der Einsicht in die Daten einer verstorbenen Person beantwortet die vorgesehene Bestimmung teilweise das Postulat 14.3782 Schwaab «Richtlinien für den ‹digitalen Tod›», indem sie ein Recht auf Löschung bzw. Vernichtung der Daten des Verstorbenen durch die Erben vorsieht. Dies erlaubt es den Erben grundsätzlich, den «digitalen Tod»

herbeizuführen, ausser dem stünden überwiegende Interessen Dritter bzw. der verstorbenen Person entgegen oder die verstorbene Person hätte dies ausdrücklich untersagt. Weitere Fragen, die sich im Zusammenhang mit dem Postulat ergeben, zum Beispiel betreffend die Übertragbarkeit oder eine mögliche Vererbung von Daten, werden im Rahmen der derzeit laufenden Revision des Erbrechts geprüft.

Absatz 1 Einsicht

Gemäss Absatz 1 muss der Verantwortliche kostenlos Einsicht in die Daten einer

verstorbenen Person gewähren, wenn ein schutzwürdiges Interesse vorliegt. Für bestimmte