Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

durchführt (Bst. b) oder Datenbearbeitungen im Sinne von Artikel 34 Absatz 2 Buchstabe c nDSG ausführt (Bst. c). Der Fall nach Buchstabe a entspricht dem bisherigen Recht nach dem DSG. Die Buchstaben b und c sind neu. Sie ersetzen Artikel 21 Absatz 1 Buchstabe a VDSG, der das verantwortliche Bundesorgan verpflichtet, für alle automatisierten Datensammlungen, die Persönlichkeitsprofile beinhalten, ein Bearbeitungsreglement zu erstellen.

Artikel 5 Absatz 1 Buchstabe d E-VDSG erfährt gegenüber Artikel 21 Absatz 1 Buchstabe c VDSG nur ein paar redaktionelle Änderungen.

In Artikel 5 Absatz 1 Buchstabe e wird der im entsprechenden Artikel 21 Absatz 1 Buchstabe d VDSG verwendete Begriff «Datensammlungen» durch «Datenbestände» ersetzt.

Aufgrund von Artikel 5 Absatz 1 Buchstabe f E-VDSG ist ein Bearbeitungsreglement auch dann zu erstellen, wenn das verantwortliche Bundesorgan zusammen mit anderen Bundesorganen ein Informationssystem betreibt oder Datenbestände bewirtschaftet. Diese Bestimmung ersetzt Artikel 21 Absatz 1 Buchstabe b VDSG, wonach eine solche Pflicht besteht, wenn eine automatisierte Datensammlung von mehreren Bundesorganen benutzt wird.

Absatz 2 verweist auf die Regelung der Inhalte des Bearbeitungsreglements für Private. Es ist an dieser Stelle deshalb auf die oben gemachten Ausführungen zu verweisen.

Absatz 3 wurde in leicht angepasster Form von Artikel 21 Absatz 3 VDSG übernommen. Der Begriff «Kontrollorgan» wurde durch Datenschutzberaterin bzw. Datenschutzberater und durch EDÖB ersetzt. Während das Bearbeitungsreglement der Datenschutzberaterin bzw. dem Datenschutzberater auch ohne vorgängige Anfrage und daher unaufgefordert zuzustellen ist, muss es dem EDÖB nur auf Anfrage herausgegeben werden.

4.1.2 Bearbeitung durch Auftragsbearbeiter

Die Artikel zur Bearbeitung durch Auftragsbearbeiter wurden aus Gründen der Systematik bei den allgemeinen Bestimmungen im ersten Kapitel untergebracht, weil sie sowohl für den öffentlichen wie auch für den privaten Sektor gelten. Damit ergibt sich zudem eine bessere Übereinstimmung mit der Systematik des nDSG.

Art. 6 Modalitäten

Artikel 6 E-VDSG bestimmt die Modalitäten, die einzuhalten sind, wenn ein Verantwortlicher die Bearbeitung von Personendaten gemäss Artikel 9 nDSG einem Auftragsbearbeiter überträgt. Er entspricht teilweise Artikel 22 VDSG, der die Datenbearbeitung durch Dritte im Auftrag eines Bundesorgans regelt.

Die neue Bestimmung wird redaktionell angepasst, indem der in Artikel 22 Absätze 2 und 3 VDSG verwendete Begriff «Dritter» durch «Auftragsbearbeiter» ersetzt wird. In den ersten beiden Absätzen wird der Begriff «Bundesorgan» durch «Verantwortlicher» ersetzt, da Artikel 9 nDSG wie oben bereits erläutert für private und öffentliche Verantwortliche gilt. Schliesslich werden die beiden ersten Absätze formell leicht angepasst.

Absatz 1 sieht demnach vor, dass der Verantwortliche (im öffentlichen oder privaten Sektor), der die Bearbeitung von Personendaten einem Auftragsbearbeiter überträgt, für den Datenschutz verantwortlich bleibt. Im zweiten Satz von Absatz 1 wird der als zu eng befundene Ausdruck «auftragsgemäss» (Art. 22 Abs. 2 VDSG) entsprechend Artikel 9 nDSG durch «vertrags- oder gesetzesgemäss» ersetzt. Der zweite Satz präzisiert die Verantwortlichkeit und