Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Übertretungen im Vergleich zu den Verstössen, für die Artikel 52 einschlägig ist (siehe Anmerkungen zu Art. 52), verzichtet der Bundesrat allerdings auf diesen Schritt.

Vor diesem Hintergrund ist es angemessen, die Verletzung der Auskunfts-, Melde- und Mitwirkungspflichten weiterhin als Übertretung zu klassifizieren, gleichzeitig aber die dafür vorgesehenen Sanktionen deutlich zu erhöhen. Zu beachten ist zudem, dass es sich beim genannten Betrag um einen Höchstbetrag handelt und dass die tatsächliche Strafe vom Gericht unter Berücksichtigung der wirtschaftlichen Lage des Täters (Art. 106 Abs. 3 in Verbindung mit Art. 47 StGB) festgelegt wird. Ferner ist gemäss Artikel 52 StGB bei

geringfügigen Fällen von einer Strafverfolgung oder Bestrafung abzusehen.

Absatz 1

Absatz 1 betrifft die Verletzung der Auskunftspflichten. Gemäss Buchstabe a sind

privatePersonen zu bestrafen, die im Rahmen ihrer Informations- (Art. 13 und 15 VE-DSG) und Auskunftspflichten (Art. 20 VE-DSG) vorsätzlich eine falsche oder unvollständige

Auskunft erteilen. Abgesehen von der Anpassung an die neuen einschlägigen

Bestimmungen entspricht dies im Wesentlichen dem geltenden Recht (Art. 34 Abs. 1 Bst. a DSG).

Nach Absatz 1 Buchstabe b werden private Personen bestraft, die es vorsätzlich

unterlassen, die betroffene Person nach Artikel 13 Absätze 1 und 5, Artikel 15 sowie

Artikel 17 Absatz 2 VE-DSG zu informieren oder ihr die Angaben nach Artikel 13 Absätze 2, 3 und 4 VE-DSG zu liefern. Der VE-DSG übernimmt auch hier im Wesentlichen das geltende Recht (Art. 34 Abs. 1 Bst. b DSG) und passt es lediglich an die neu ausgestalteten

Informationspflichten an.

Absatz 1 Buchstabe c sanktioniert die private Person, die es vorsätzlich unterlässt, dem Beauftragten nach Artikel 16 Absatz 3 die Ergebnisse der Datenschutz-Folgenabschätzung mitzuteilen. Die Datenschutz-Folgenabschätzung ist ein wichtiges Instrument, das dem Beauftragten erlaubt, seine Aufsichtsfunktion wahrzunehmen. Daher ist eine Sanktion für den Verstoss gegen diese Pflicht gerechtfertigt. Die Verordnung (EU) 2016/679 sieht

ebenfalls Sanktionen vor (Art. 83 Abs. 4 Bst. a).

Absatz 2

Gemäss Absatz 2 Buchstabe a werden private Personen bestraft, die es unterlassen, den Beauftragten über die Garantien, namentlich die vertraglichen (Art. 5 Abs. 3 Bst. b VE-DSG), oder die verbindlichen unternehmensinternen Datenschutzvorschriften (Art. 5 Abs. 3 Bst. c, Ziff. 2 und Abs. 6 VE-DSG) zu informieren, oder die ihm nicht mitteilen, dass sie von

standardisierten Garantien Gebrauch machen (Art. 5 Abs. 3 Bst. d Ziff 2 und Abs. 6 VE-DSG). Der VE-DSG entspricht hier teilweise dem geltenden Artikel 34 Absatz 2 Buchstabe a DSG, passt ihn jedoch an die neuen Pflichten bei der grenzüberschreitenden Kommunikation an. Absatz 2 Buchstabe b sanktioniert private Personen, die dem Beauftragten die

standardisierten Garantien (Art. 5 Abs. 3 Bst. c Ziffer 1) oder die verbindlichen

unternehmensinternen Vorschriften (Art. 5 Abs. 3 Bst. d Ziffer 1) nicht zur Genehmigung vorlegen. Diese Bestimmung ist neu, da diese Pflichten im geltenden Recht noch nicht existieren. Die Verordnung (EU) 2016/679 sieht in diesen Fällen eine Verwaltungsbusse von bis zu zehn Millionen Euro oder im Fall eines Unternehmens von bis zu zwei Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs (Art. 83 Abs. 5 Bst. c) vor.

Buchstabe c entspricht dem geltenden Artikel 34 Absatz 2 Buchstabe b DSG. Allerdings wurde «Abklärung des Sachverhalts» durch «Untersuchung» ersetzt.

Die Buchstaben d bestraft die Verletzung der neuen Pflichten, dem Beauftragten

Verletzungen des Datenschutzes zu melden (Art. 17 Abs. 1 VE-DSG). Der Bundesrat ist der Ansicht, dass der Beauftragte seine Aufsichtsfunktion nur wahrnehmen kann, wenn diese Pflichten erfüllt werden, und demzufolge deren Verletzung strafbar sein muss. Die

Verordnung (EU) 2016/679 sieht ebenfalls die Sanktionierung entsprechender

Pflichtverletzungen vor (Art. 83 Abs. 4 Bst. a).