Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

tung besonders schützenswerter Personendaten) aufzählt (Art. 26 E-VDSG). Der Katalog orientiert sich dabei an der Umschreibung des Begriffs des hohen Risikos bei der Datenschutz-Folgenabschätzung in Artikel 22 Absatz 2 nDSG.

2.6 EDÖB

Auch wenn sich beim EDÖB aus dem nDSG mehrere grundlegende Änderungen ergeben, konnten die Bestimmungen zum Sitz sowie zur Beziehung und Kommunikation mit anderen Behörden mit geringfügigen Anpassungen übernommen werden (vgl. Art. 37–39 E-VDSG). Aufgrund des geänderten Wahlverfahrens, wonach die Leiterin oder der Leiter des EDÖB (die oder der Beauftragte) inskünftig durch die Vereinigte Bundesversammlung gewählt wird (Art. 43 Abs. 1 nDSG), wird das Parlament eine Verordnung zum Arbeitsverhältnis der oder des Beauftragten ausarbeiten. Das Arbeitsverhältnis des ständigen Sekretariats des EDÖB wird dagegen weiterhin in der VDSG geregelt und soll sich wie bisher nach dem Bundespersonalgesetz vom 24. März 2000⁷ (BPG) und nach dessen Vollzugsbestimmungen bestimmen (Art. 37 Abs. 2 E-VDSG).

Ausführlicher geregelt wird neu die gesetzliche Grundlage für die Datenbearbeitungen des EDÖB (Art. 40 E-VDSG), die bis anhin nur in allgemeiner Weise in Zusammenhang mit dem Geschäftsverwaltungssystem vorlag. Weiter schreibt Artikel 48 nDSG vor, dass der EDÖB eine Selbstkontrolle einrichten muss, damit die Einhaltung der Datenschutzvorschriften innerhalb der Behörde gewährleistet ist. In der Verordnung werden diese Kontrollmassnahmen definiert (Art. 41 E-VDSG): So hat der EDÖB ein Bearbeitungsreglement für sämtliche seiner automatisierten Bearbeitungen zu erstellen, wobei er jährlich überprüft, ob das Bearbeitungsreglement eingehalten wird.

3 Auswirkungen

3.1 Finanzielle und personelle Auswirkungen auf den Bund und die Kantone

Eigenständige Auswirkungen auf den Bund aus dem E-VDSG ergeben sich nur im Rahmen der Delegationsnormen aus dem nDSG:

− Bei den Verantwortlichen resultiert aus den angepassten Mindestanforderungen an die Datensicherheit ein gewisser Umsetzungsaufwand. Dieser ist aber generell als eher gering anzusehen, da die grundsätzliche Regelung aus dem bisherigen Recht übernommen wurde und nur punktuell angepasst wurde. Zu zusätzlichen Kosten führen dabei insbesondere die Erweiterung der Protokollierungspflicht sowie die Anpassung der Aufbewahrungsdauer der Protokolle von einem auf zwei Jahre, da hierfür einmalige Systemanpassungen vorgenommen werden müssen und etwas mehr Speicherplatz benötigt wird.

− Zu einem gewissen Mehraufwand kann auch der Umstand führen, dass neu grundsätzlich jedes Bundesorgan eine Datenschutzberaterin oder einen Datenschutzberater ernennen muss. Allerdings entspricht dies einer bereits heute schon weitgehend gelebten Praxis, da eine Vielzahl der Bundesämter bereits heute über eine Datenschutzberaterin oder einen Datenschutzberater verfügt, was den Aufwand begrenzt. Unter Umständen müssen gewisse Bundesorgane ihren Datenschutzberatenden inskünftig allerdings mehr Ressourcen zur Verfügung stellen, da deren Anforderungs- und Aufgabenprofil umfassender geregelt ist als im geltenden Recht. Dabei lässt sich nicht generell beziffern, wie hoch der zusätzliche Ressourcenbedarf bei den einzelnen Bundesorganen ausfällt. Dieser kann stark variieren, je nach Grösse eines Bundesorgans (u. U. Möglichkeit eines gemeinsamen Datenschutzberaters) und dessen Aufgaben. So ist davon auszugehen, dass der Ressourcenbedarf

7 SR 172.220.1