Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

Art. 4 Bearbeitungsreglement von privaten Personen

Ein Bearbeitungsreglement erstellen musste der «Inhaber einer meldepflichtigen automatisierten Datensammlung» nach Artikel 11a Absatz 3 DSG, der nicht aufgrund von Artikel 11a Absatz 5 Buchstaben b–d DSG von der Pflicht, seine Datensammlungen anzumelden, ausgenommen war (Art. 11 Abs. 1 VDSG). Da die Meldepflicht für private Verantwortliche (Art. 11a DSG) im nDSG nicht mehr besteht, kann Artikel 11 VDSG nicht unverändert übernommen werden.

Die Pflicht zur Erstellung eines Bearbeitungsreglements obliegt dem Verantwortlichen sowie dessen Auftragsbearbeiter. Analog zu Artikel 12 Absatz 1 nDSG sind die Bearbeitungsreglemente ebenfalls separat zu erstellen.

Entsprechend dem risikobasierten Ansatz der Vorgabe der Datensicherheit soll ein Bearbeitungsreglement immer dann erstellt werden, wenn ein erhöhtes Risiko vorliegt. So müssen private Verantwortliche ein Bearbeitungsreglement für automatisierte Bearbeitungen erstellen, wenn sie umfangreich besonders schützenswerte Personendaten bearbeiten (Bst. a) oder ein Profiling mit hohem Risiko durchführen (Bst. b). Buchstabe a entspricht der Vorgabe in Artikel 22 Absatz 2 Buchstabe a nDSG und bezieht sich auf die Bearbeitung von besonders schützenswerten Personendaten in umfangreicher Form. Ausgeschlossen werden damit Fälle, in denen besonders schützenswerte Personen nur vereinzelt bearbeitet werden.

Absatz 2 enthält eine Auflistung der Inhalte, die im Bearbeitungsreglement mindestens angegeben werden müssen. Die Inhalte wurden von Artikel 11 Absatz 1 bzw. Artikel 21 Absatz 2 VDSG in leicht angepasster Form übernommen und ergänzt. Wie bis anhin ist das Bearbeitungsreglement als eine Dokumentation oder ein Handbuch auszugestalten und sollte dem Verantwortlichen auch dazu dienen.¹¹ Aufgrund des Verweises in Artikel 5 Absatz 2 E-VDSG gilt Absatz 2 auch für Bundesorgane und stellt daher eine vereinheitlichte Regelung für Private und Bundesorgane auf.

− Die Angaben in Buchstaben a, b und c entsprechen Artikel 12 Absatz 2 Buchstaben b, c und e nDSG. Es handelt sich dabei um Angaben, die im Verzeichnis der Bearbeitungstätigkeiten ohnehin gemacht werden müssen. Sie können daher aus dem Verzeichnis kopiert werden.

− Wie bisher müssen der private Verantwortliche und Auftragsbearbeiter im Bearbeitungsreglement die interne Organisation beschreiben (Bst. d). Dazu gehört auch die Umschreibung der Architektur und der Funktionsweise der Systeme.

− Entsprechend Artikel 21 Absatz 2 Buchstabe b VDSG soll im Bearbeitungsreglement auch die Herkunft und Art der Beschaffung der Personendaten angegeben werden. Mit der Herkunft ist insbesondere die konkrete Informationsquelle gemeint, z. B. das Handelsregister, öffentliche Webseiten, das Kundenregister etc. Die Art der Beschaffung gibt Aufschluss darüber, wie die Daten beschafft werden, z. B. direkt beim Betroffenen mittels Fragebogen, durch einen beschränkten direkten Zugriff auf Informationssysteme, automatisiert aus öffentlich-zugänglichen Quellen usw. (Bst. e).

− Zentral sind die Angaben gemäss Buchstabe f: Demnach muss das Bearbeitungsreglement die technischen und organisatorischen Massnahmen zur Gewährleistung der Datensicherheit enthalten. So ist etwa anzugeben, mit welchen Massnahmen den Schutzzielen nach Artikel 2 Rechnung getragen wird. Die Angaben gemäss Buchstabe f sollten auch Aufschluss über die Konfiguration der Informatikmittel geben, da es sich dabei um eine