Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Absatz 2 Anhörung

Der Verantwortliche muss der betroffenen Person nach Absatz 2 die Möglichkeit geben, sich zur automatisierten Einzelentscheidung und zu den bearbeiteten Daten zu äussern.

Zusammen mit der Informationspflicht soll diese Anhörung sicherstellen, dass die betroffene Person nicht Entscheidungen unterworfen ist, die ohne menschliches Dazutun erfolgen. Sie soll insbesondere die Möglichkeit haben, ihren Standpunkt zum Ergebnis der Entscheidung darzulegen und zu den Daten Stellung zu nehmen, auf denen die Entscheidung beruht.

Dadurch soll unter anderem verhindert werden, dass die betroffene Person fälschlicherweise einen rechtlichen oder tatsächlichen Nachteil erleidet, weil die Datenbearbeitung auf

unvollständigen, veralteten oder unzutreffenden Daten beruht. Dies liegt auch im Interesse des Verantwortlichen, weil unzutreffende automatisierte Einzelentscheidungen auch für ihn negative Konsequenzen nach sich ziehen können, beispielsweise indem ein Vertrag mit einer Person nicht abgeschlossen wird, weil sie zu Unrecht als nicht kreditwürdig eingestuft wurde. Die Informations- und Anhörungspflicht lässt die Vertragsfreiheit indes unberührt.

Sollte der Verantwortliche der Anhörungspflicht nicht nachkommen, kann die betroffene Person diesen Anspruch mit einem Auskunftsgesuch nach Artikel 20 geltend machen.

Das Gesetz legt den Zeitpunkt der Information und Anhörung nicht fest. Dementsprechend kann die betroffene Person vor der Entscheidung oder nachträglich informiert und angehört werden. Somit ist die Information und Anhörung beispielsweise auch möglich, indem der betroffenen Person eine automatisiert erfolgte Verfügung zugestellt wird, die entsprechend gekennzeichnet ist, und sie anschliessend die Möglichkeit erhält, sich im Rahmen des rechtlichen Gehörs oder durch Einlegen eines Rechtsmittels zu äussern, soweit dies für die betroffene Person nicht mit zusätzlichen Kosten (z.B. Verfahrenskosten) verbunden ist.

Absatz 3 Ausnahmen

Nach Absatz 3 entfällt die Informations- und Anhörungspflicht, wenn ein Gesetz eine

automatisierte Einzelentscheidung vorsieht. Für Bundesorgane ist darunter ein Gesetz im Sinne von Artikel 27 des VE zu verstehen.

Ein Verstoss gegen die Informationspflicht wird sanktioniert (siehe Art. 50 Abs. 1 Bst. a un b Ziff 1 und 2 VE-DSG).

8.1.3.4 Art. 16 Datenschutz-Folgenabschätzung

Artikel 16 VE-DSG führt neu die Pflicht zum Erstellen einer Datenschutz-Folgenabschätzung ein. Diese Bestimmung verwirklicht die Anforderungen von Artikel 8^bisAbsatz 2 E-SEV 108 sowie von Artikel 27 f. der Richtlinie (EU) 2016/680. Die Artikel 35 f. der Verordnung (EU) 2016/679 enthalten ähnliche Vorschriften.

Begriff und Funktion der Datenschutz-Folgenabschätzung ergeben sich aus Absatz 2 von Artikel 16. Eine Datenschutz-Folgenabschätzung ist ein Instrument, um Risiken zu erkennen und zu bewerten, welche für die betroffene Person durch den Einsatz bestimmter

Datenbearbeitungen entstehen können. Auf der Basis dieser Abschätzung sollen

gegebenenfalls angemessene Massnahmen definiert werden, um diese Risiken für die betroffene Person zu verringern. Eine solche Abschätzung ist daher auch für den

Verantwortlichen vorteilhaft, weil sie ihm erlaubt, allfällige datenschutzrechtliche Probleme präventiv anzugehen und dadurch nicht zuletzt Kosten zu sparen.

Die Einführung der Datenschutz-Folgenabschätzung ist insbesondere für die Bundesorgane keine Neuheit und hat in dieser Hinsicht kaum praktische Konsequenzen. Denn

Bundesorgane sind bereits heute verpflichtet, dem Datenschutzverantwortlichen bzw. dem Beauftragten Projekte zur automatisierten Bearbeitung von Daten zu melden (Art. 20 Abs. 2 VDSG). Das Vorgehen gemäss der Projektmanagementmethode Hermes dürfte den

Anforderungen einer Datenschutz-Folgenabschätzung weitgehend entsprechen.

Absatz 1 Gründe für die Datenschutz-Folgenabschätzung

Nach Absatz 1 muss der Verantwortliche (bzw. der Auftragsbearbeiter) eine Datenschutz-Folgenabschätzung durchführen, wenn die vorgesehene Datenbearbeitung voraussichtlich zu einem erhöhten Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Der Verantwortliche ist dadurch verpflichtet, eine Prognose darüber zu machen, welche