Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Der Grundsatz des Datenschutzes mittels Voreinstellungen spielt im öffentlichen Sektor eine untergeordnete Rolle, da die Datenbearbeitung dort weniger auf der Einwilligung der

betroffenen Person beruht als auf gesetzlichen Pflichten.

Der Verantwortliche und der Auftragsbearbeiter können insbesondere durch die

Zertifizierung oder eine Datenschutz-Folgenabschätzung aufzeigen, dass sie den

Verpflichtungen nach den Absätzen 1 und 2 der Bestimmung nachkommen.

Ein Verstoss gegen die Pflichten nach Artikel 18 wird sanktioniert (vgl. Art. 51 Abs. 1 Bst. e VE-DSG).

8.1.3.7 Art. 19 Weitere Pflichten

Artikel 19 VE-DSG enthält verschiedene weitere Pflichten des Verantwortlichen bzw. des Auftragsbearbeiters.

Buchstabe a Dokumentationspflicht

Buchstabe a verpflichtet den Verantwortlichen und den Auftragsbearbeiter, seine

Datenbearbeitungsvorgänge zu dokumentieren. Diese Dokumentationspflicht entspricht den Anforderungen von Artikel 8^bisAbsatz 1 E-SEV 108 sowie von Artikel 25 der Richtlinie (EU) 2016/680. Der Artikel 30 der Verordnung (EU) 2016/679 enthält eine ähnliche Regelung.

Dadurch wird für Private die bisherige Verpflichtung ersetzt, Datensammlungen beim

Beauftragten zu registrieren (Bundesorgane müssen gemäss Art. 36 VE-DSG weiterhin ein Register führen). Die Meldung an das Register ist bürokratisch und mit einem erheblichen Verwaltungsaufwand auf Seiten des Verantwortlichen verbunden. Zugleich ist sie von geringem praktischem Nutzen. Denn für private Personen bestanden bereits bisher

verschiedene Ausnahmen von der Registrierung. Die Dokumentationspflicht gilt hingegen einheitlich für alle Datenbearbeitungsvorgänge. Mit weniger Aufwand kann dadurch eine gleichmässigere Dokumentation aller privaten Datenbearbeitungsvorgänge erreicht werden. Das Gesetz sieht nicht vor, welche Angaben dokumentiert werden müssen; dies wird in der Verordnung konkretisiert. Die Dokumentation muss jedoch so ausgestaltet sein, dass der Verantwortliche und der Auftragsbearbeiter ihren Informations- und Meldepflichten

nachkommen können. Beispielsweise müssen auch Verletzungen des Datenschutzes nach Artikel 17 dokumentiert werden. So bildet die Dokumentationspflicht auch ein zentrales Element zur Verwirklichung einer transparenten Datenbearbeitung. Ein Verstoss gegen die Dokumentationspflicht wird sanktioniert (vgl. Art. 51 Bst. f VE-DSG).

Buchstabe b Weitere Informationspflichten

Gemäss Buchstabe b sind der Verantwortliche und der Auftragsbearbeiter verpflichtet,

Empfänger von Daten über eine allfällige Berichtigung, Löschung, Vernichtung, Verletzung des Datenschutzes oder Einschränkung der Bearbeitung nach Artikel 25 Absatz 2 oder 34 Absatz 2 zu informieren. Diese Pflicht ergänzt verschiedene Datenschutzregeln für den Fall, dass Daten an Dritte weitergegeben wurden. Sie ist in Artikel 16 Absatz 5 der Richtlinie 2016/680 und Artikel 19 der Verordnung (EU) 2016/679 vorgesehen. So ist die Bearbeitung unzutreffender Daten grundsätzlich persönlichkeitsverletzend, weshalb sich jeder, der Daten bearbeitet, vergewissern muss, ob die Daten richtig sind (Art. 4 Abs. 5 VE-DSG). Auch die Löschung, Vernichtung oder Einschränkung der Bearbeitung impliziert grundsätzlich, dass die Bearbeitung der Daten nicht mehr rechtmässig ist. Die Informationspflicht gemäss dieser Bestimmung stellt sicher, dass diese Daten nicht durch Dritte, an welche die Daten

übermittelt wurden, weiter bearbeitet werden, weil sie keine Kenntnis vom entsprechenden Vorgang haben.

Der Verantwortliche bzw. Auftragsbearbeiter kann von der Information absehen, wenn die Mitteilung unmöglich ist oder nur mit unverhältnismässigem Aufwand erfolgen kann. Diese Ausnahme ist restriktiv zu verstehen. Es darf nicht leichthin angenommen werden, die Mitteilung sei unmöglich oder der Aufwand sei unverhältnismässig. Der Verantwortliche oder Auftragsbearbeiter muss zumindest versucht haben, die betreffenden Empfänger zu

informieren und muss dabei auf konkrete, nur mit erheblichem Einsatz überwindbare

Schwierigkeiten gestossen sein. In Bezug auf die Verhältnismässigkeit des Aufwands ist zudem der Inhalt der fraglichen Mitteilung zu berücksichtigen. Je bedeutsamer die