Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

technische Massnahme handelt. Der bisherige Artikel 21 Absatz 2 Buchstabe h VDSG, der die Konfiguration der Informatikmittel noch ausdrücklich nennt, wurde deshalb nicht übernommen. Es ist dabei ausreichend, dass die wichtigsten Grundkonfigurationen der Informatikmittel im Bearbeitungsreglement erläutert werden. Sie müssen aber nicht bis in die technischen Details ausgeführt werden.

− Auch die Zugriffsberechtigungen sowie Art und Umfang des Zugriffs (Bst. g) sind im Bearbeitungsreglement aufzuführen.

− Eine Neuheit stellt Buchstabe h dar: So hat der Verantwortliche und Auftragsbearbeiter im Bearbeitungsreglement auch darzulegen, welche Massnahmen zur Datenminimierung getroffen werden. Der Grundsatz der Datenminimierung ist ein zentraler Grundsatz des Datenschutzes und geht, wie der Botschaft DSG vom 15. September 2017 zu entnehmen ist¹², implizit aus dem Grundsatz der Verhältnismässigkeit gemäss Artikel 6 Absatz 2 nDSG hervor.

− Gemäss Buchstabe i müssen auch die Datenbearbeitungsverfahren, insbesondere die Verfahren bei der Speicherung, Berichtigung, Bekanntgabe, Aufbewahrung, Archivierung,

Pseudonymisierung, Anonymisierung, Löschung oder Vernichtung im Bearbeitungsreglement umschrieben werden. Es soll insbesondere festgehalten werden, welche Datenbearbeitungsverfahren vorgenommen werden und wie diese ablaufen (Bst. i).

− Schliesslich ist im Bearbeitungsreglement auch das Verfahren zur Auskunftserteilung und zur Ausübung des Rechts auf Datenherausgabe oder -übertragung zu umschreiben (Bst. j). Das Recht auf Datenherausgabe oder -übertragung besteht selbstredend nur im Rahmen des Gesetzes und namentlich der Vorgabe von Artikel 28 nDSG und muss somit nur in diesen Fällen im Bearbeitungsreglement umschrieben werden. Insbesondere bei Bundesorganen wird die Regelung somit von untergeordneter Bedeutung sein.

Absatz 3 stellt eine Übernahme von Artikel 11 Absatz 2 VDSG dar. Die Verpflichtung, dass das Bearbeitungsreglement auch dem Beauftragten auf Anfrage zur Verfügung zu stellen ist, wurde gestrichen. Analog zum Verzeichnis der Bearbeitungstätigkeiten kann der EDÖB dieses aber im Rahmen einer Untersuchung herausverlangen (Art. 50 Abs. 1 Bst. a nDSG).

Art. 5 Bearbeitungsreglement der Bundesorgane

Artikel 5 entspricht, mit einigen Änderungen, Artikel 21 VDSG.

Die Pflicht zur Erstellung eines Bearbeitungsreglements obliegt dem Bundesorgan sowie dessen Auftragsbearbeiter. Analog zu Artikel 12 Absatz 1 nDSG sind die Bearbeitungsreglemente ebenfalls separat zu erstellen.

Im Einleitungssatz von Absatz 1 wird der in Artikel 21 Absatz 1 Einleitungssatz VDSG vorkommende Begriff «Datensammlungen» durch «Bearbeitungen» ersetzt, weil er im nDSG nicht mehr verwendet wird. Diese Bestimmung sieht nun vor, dass die verantwortlichen Bundesorgane in den Fällen nach Absatz 1 Buchstaben a–f ein Bearbeitungsreglement erstellen.

Mit dem nDSG wird der Begriff «Persönlichkeitsprofil» aufgehoben und der Begriff «Profiling» eingeführt. Dementsprechend ist Artikel 21 Absatz 1 Buchstabe a VDSG zu ändern und in Artikel 5 Absatz 1 E-VDSG vorzusehen, dass das verantwortliche Bundesorgan und dessen Auftragsbearbeiter ein Bearbeitungsreglement erstellen muss, wenn es besonders schützenswerte Personendaten bearbeitet (Bst. a), ein Profiling nach Artikel 5 Buchstabe f nDSG