Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

nimmt zu, was den Datenaustausch mit diesen Ländern inskünftig ebenfalls erleichtern könnte.

Schliesslich fördert der sichere Umgang mit Personendaten das Vertrauen in digitale Technologien und ihre Anbieter. Mit einem verbesserten Datenschutz lässt sich also auch die Digitalisierung stärken.

4 Erläuterungen zum E-VDSG

4.1 Allgemeine Bestimmungen

4.1.1 Datensicherheit

Die Leitplanken zur Gewährleistung der Datensicherheit werden bereits im Gesetz normiert. Gemäss Artikel 8 Absatz 1 nDSG sind der Verantwortliche und der Auftragsbearbeiter verpflichtet, durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit zu gewährleisten. Gemäss Absatz 2 müssen diese Massnahmen es ermöglichen, Verletzungen der Datensicherheit zu vermeiden. In Absatz 3 wird der Bundesrat dazu beauftragt, die Mindestanforderungen an die Datensicherheit auf Verordnungsstufe zu präzisieren.

Mit den Bestimmungen zur Datensicherheit erfüllt der Bundesrat den gesetzlichen Auftrag gemäss Artikel 8 Absatz 3 nDSG. An diese Mindestanforderungen knüpft zudem die Strafnorm in Artikel 61 Buchstabe c nDSG an. Der Grad an Sicherheit, der eingehalten werden muss, damit die Strafnorm nicht verletzt wird, bestimmt sich dabei nach den Grundsätzen und Kriterien des vorliegenden Abschnittes. Die Strafbarkeit besteht gemäss Artikel 61 Buchstabe c nDSG nur im Fall einer vorsätzlichen Begehung. Dies setzt voraus, dass der Verantwortliche die Mindestanforderungen an die Datensicherheit wissentlich und willentlich nicht einhält. So würde sich beispielsweise derjenige strafbar machen, der es unterlässt, eine Anti-Viren-Software zu installieren, obwohl er weiss (oder zumindest in Kauf nimmt), dass er damit ungenügende Massnahmen zur Einhaltung der Mindestanforderungen an die Datensicherheit trifft.

Da bereits im Gesetz der Ansatz einer risikobasierten Datensicherheit verfolgt wird und sich keine allgemeingültigen Mindestanforderungen für jegliche Branchen festlegen lassen, wurde im E-VDSG auf ein starres Regime von Mindestanforderungen verzichtet. Der Ansatz des E-VDSG beruht vielmehr darauf, dass es in erster Linie in der Verantwortung des Verantwortlichen liegt, die im Einzelfall notwendigen Massnahmen zu bestimmen und zu ergreifen. Diese sind stark einzelfallbezogen und abhängig vom jeweiligen Risiko zu bestimmen. So stellen sich etwa in einem Spital, wo regelmässig besonders schützenswerte Personendaten bearbeitet werden, in aller Regel erhöhte Anforderungen im Vergleich zur Bearbeitung von Kunden- oder Lieferantendaten in einer Bäckerei oder Metzgerei. Der E-VDSG beinhaltet daher insbesondere die Leitlinien für die Bestimmung der zu ergreifenden Massnahmen (Art. 1 und 2 E-VDSG). Dadurch kann die angesichts der Vielfalt möglicher Fallkonstellationen notwendige Flexibilität gewährleistet werden und eine Überregulierung, insbesondere für Betriebe mit geringfügiger und wenig risikoreicher Datenbearbeitung, verhindert werden.

Die gemäss geltendem Recht spezifisch vorgesehenen Massnahmen der Datensicherheit werden aufrechterhalten: Dabei handelt es sich einerseits um die Protokollierung (Art. 3) und das Bearbeitungsreglement (Art. 4, 5). Der Bundesrat verfolgt auch hier einen risikobasierten Ansatz: Je höher die Gefährdung für die Persönlichkeitsrechte und die Grundrechte des Einzelnen, desto höher die Anforderungen.