Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

− die Eintrittswahrscheinlichkeit einer Verletzung der Datensicherheit und deren potenzielle Auswirkungen für die betroffenen Personen (Bst. b): Buchstabe b wurde so umformuliert, dass neu explizit zum Ausdruck kommt, dass nebst den potenziellen Auswirkungen auch die Eintrittswahrscheinlichkeit einer Verletzung der Datensicherheit ausschlaggebend ist. Dabei gilt: Je wahrscheinlicher der Eintritt einer Verletzung der Datensicherheit und je grösser die Auswirkungen für die betroffenen Personen, desto höher die Anforderungen an die Massnahmen. An dieser Stelle sei darauf hingewiesen, dass nicht jede Verletzung der Datensicherheit im Sinne von Artikel 5 Buchstabe h nDSG auch eine Verletzung der Mindestanforderungen im Sinne von Artikel 8 Absatz 3 nDSG und somit eine Verletzung der Sorgfaltspflichten gemäss Artikel 61 Buchstabe c nDSG darstellt. Eine absolute Sicherheit kann und soll nicht verlangt werden. So ist insbesondere vorstellbar, dass der Verantwortliche alle angemessenen Massnahmen getroffen hat, eine Verletzung der Datensicherheit aber dennoch eintritt, namentlich, weil sich das Restrisiko realisiert hat. Dieses kann dem Verantwortlichen nicht angelastet werden. Es ist im Rahmen der Mindestanforderungen vielmehr zu prüfen, ob der Verantwortliche und der Auftragsbearbeiter angesichts der konkreten Sachlage die angemessenen Massnahmen zur Gewährleitung der Datensicherheit getroffen haben, und zwar unabhängig davon, ob eine Verletzung der Datensicherheit eintritt. − der Stand der Technik (Bst. c): Die Massnahmen sind unter Berücksichtigung des Stands der Technik zu bestimmen und ggf. anzupassen. Der Stand der Technik meint die Berücksichtigung des gegenwärtigen Standes. Es ist also ausreichend, Massnahmen zu treffen, die bereits zur Verfügung stehen und sich entsprechend bewährt haben. Hingegen kann nicht verlangt werden, dass brandneue unerforschte Techniken oder solche die sich noch im Entwicklungsprozess befinden, eingesetzt werden.

− Implementierungskosten (Bst. d): Explizit erwähnt werden in Buchstabe d neu die «Implementierungskosten». Die Implementierungskosten sind – wie aus dem «Kommentar des Bundesamts für Justiz zur Vollzugsverordnung vom 14. Juni 1993 (Stand am 1. Januar 2008) zum Bundesgesetz über den Datenschutz (VDSG, RS 235.11)» (Ziff. 6.1.1)⁹ hervorgeht – auch gemäss geltendem Recht ein Kriterium bei Beurteilung der Angemessenheit der Massnahmen. In erster Linie ist allerdings darauf abzustellen, welche technischen und organisatorischen Massnahmen angesichts der Kriterien in Buchstaben a–c erforderlich sind. Verantwortliche und Auftragsbearbeiter können sich insbesondere nicht mit der Begründung von der Pflicht einer angemessenen Datensicherheit befreien, dass damit übermässige Kosten verbunden sind; vielmehr müssen sie jedenfalls in der Lage sein, eine angemessene Datensicherheit zu gewährleisten. Es kann auch nicht argumentiert werden, dass sich bei fehlendem Konzept bei der Entwicklung die Implementierungskosten zur Umsetzung der Datensicherheit nach Inbetriebnahme als zu hoch erweisen. Bei Legacy Applikationen muss vielmehr die geplante Zeit bis hin zur Ablösung einbezogen werden (Lifecycle). Das Kriterium der Kosten kann jedoch bedeuten, dass bei mehreren zur Verfügung stehenden Massnahmen zur Gewährleistung eines stets angemessenen Datenschutzniveaus die kostengünstigere Variante bevorzugt werden darf.¹⁰

Zur Gewährleistung der Datensicherheit kommen unterschiedliche Massnahmen in Betracht. Vorliegend seien beispielshaft drei Massnahmen erwähnt:

− die Anonymisierung, Pseudonymisierung und Verschlüsselung von Personendaten: Die Anonymisierung trägt insbesondere dazu bei, dass allfällig negative Auswirkungen für die