Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

2.1 Datensicherheit

Artikel 8 Absatz 3 nDSG verpflichtet den Bundesrat, Mindestanforderungen an die Datensicherheit zu definieren. Die neuen Regelungen knüpfen an den geltenden Standard der Datensicherheit von Artikel 8 ff. VDSG an. Die Vorschriften wurden aber überarbeitet und ergänzt, um sie auf den heutigen Stand der Technik abzustimmen und um den Vorgaben der Schengen-relevanten Richtlinie (EU) 2016/680 zu genügen. Es wurde aber auch Wert auf die Kompatibilität mit der DSGVO gelegt, damit Schweizer Unternehmen, die in der EU tätig sind und eine gemäss der DSGVO konforme Datensicherheit gewährleisten, auch in der Schweiz davon ausgehen können, dass sie die Mindestanforderungen erfüllen.

Wie bereits in Artikel 8 Absatz 1 nDSG angelegt, der von einer dem Risiko angemessenen Datensicherheit spricht, gibt die Verordnung nicht starre Mindestanforderungen vor, die für alle gleichermassen gelten, da eine solche Regelung nicht praktikabel wäre. Stattdessen wird auch hier der risikobasierte Ansatz verfolgt: Der Verantwortliche hat die angemessenen Massnahmen anhand des jeweiligen Risikos zu bestimmen. Die Verordnung führt dabei aus, welche Kriterien bei dieser Beurteilung zu beachten sind und gibt durch die Aufzählung von Schutzzielen Leitlinien vor, wie diese Massnahmen ausgestaltet werden sollten (Art. 1 und 2 E-VDSG).

Weiter wurde die Protokollierungspflicht ausgebaut und konkretisiert (Art. 3 E-VDSG). So müssen private Verantwortliche neu alle automatisierten Bearbeitungen von Personendaten, bei denen ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen besteht, protokollieren. Bundesorgane müssen alle automatisierten Bearbeitungen von Personendaten protokollieren. Zudem wird die Aufbewahrungsfrist von einem Jahr auf zwei Jahre erhöht.

Weiter werden die privaten Verantwortlichen und die Bundesorgane weiterhin verpflichtet, in gewissen Fällen ein Bearbeitungsreglement zu erstellen (Art. 4 f. E-VDSG).

2.2 Bekanntgabe von Personendaten ins Ausland

Der Abschnitt zur Bekanntgabe von Personendaten ins Ausland wurde von Grund auf geändert, da nach dem nDSG nun der Bundesrat festlegt, welche Staaten oder internationalen Organe einen angemessenen Datenschutz gewährleisten. Daher regelt die Verordnung neu die Kriterien, welche der Bundesrat bei seinem Entscheid berücksichtigt (Art. 8 E-VDSG). Im Anhang 1 sind dann tabellarisch diejenigen Staaten und internationalen Organe aufgeführt, welche über ein angemessenes Datenschutzniveau verfügen. Diese Angemessenheitsliste ist zurzeit noch nicht definitiv, da die Angemessenheitsbeschlüsse der Europäischen Kommission und die Entwicklungen bei den Ratifikationen des revidierten Übereinkommens SEV 108 abgewartet werden. Diese Faktoren sind insbesondere im Hinblick auf einen einheitlichen Datenschutzraum wichtig und daher im Rahmen der Angemessenheitsprüfungen des Bundesrates zu berücksichtigen. Die Angemessenheitsliste bzw. das Schutzniveau der Staaten oder internationalen Organe wird zudem auch nach dem Inkrafttreten der Verordnung periodisch neu beurteilt (Art. 8 Abs. 3 E-VDSG).

Des Weiteren werden die in Artikel 16 Absatz 2 nDSG genannten weiteren Möglichkeiten zur Gewährleistung eines geeigneten Datenschutzes (z. B. Standarddatenschutzklauseln) in der Verordnung inhaltlich konkretisiert (Art. 9 ff. E-VDSG).

Schliesslich wurde von der Delegation in Artikel 16 Absatz 3 nDSG, wonach andere geeignete Garantien vorgesehen werden können, Gebrauch gemacht. So dürfen ebenfalls Personendaten bekanntgegeben werden, wenn das angemessene Datenschutzniveau durch einen Verhaltenskodex oder eine Zertifizierung gewährleistet wird (Art. 12 E-VDSG). 10/87