Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

sieht vor, dass der Verantwortliche sicherstellen muss, dass die Daten vertrags- oder gesetzesgemäss bearbeitet werden und dass der Auftragsbearbeiter die Daten ausschliesslich zur Erfüllung des Auftrags bearbeitet.

Nach Artikel 22 Absatz 3 der Richtlinie (EU) 2016/680 müssen im Vertrag oder Gesetz folgende Aspekte geregelt werden: Gegenstand, Dauer, Art und Zweck der Bearbeitung, die Art der Personendaten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Der Vertrag oder das Gesetz sieht insbesondere vor, dass der Auftragsbearbeiter: nur auf Weisung des Verantwortlichen handelt; den Verantwortlichen mit geeigneten Mitteln dabei unterstützt, die Einhaltung der Bestimmungen über die Rechte der betroffenen Person zu gewährleisten; alle Personendaten nach Abschluss der Erbringung der Bearbeitungsleistungen – nach Wahl des Verantwortlichen – zurückgibt bzw. löscht und bestehende Kopien vernichtet (sofern keine gegenteiligen gesetzlichen Verpflichtungen bestehen); und dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der vertrags- oder gesetzesgemässen Pflichten zur Verfügung stellt.

Artikel 6 Absatz 2 E-VDSG entspricht Artikel 22 Absatz 3 VDSG, wobei der Begriff «Dritter» durch «Auftragsbearbeiter» ersetzt wird und nun alle Verantwortlichen erfasst sind. Auch in diesem Absatz wurden einige rein formelle Anpassungen vorgenommen.

Absatz 3 präzisiert die Modalitäten im Fall, dass der Auftragsbearbeiter seinerseits die Datenbearbeitung an Dritte übertragen will. Er betrifft nur die Bundesorgane. Entsprechend dem Regelungskonzept des Bundesrates zum Umfang der Umsetzung der Richtlinie (EU)

2016/680 (siehe Ziff. 2.3 der Botschaft vom 15. September 2017) wird vorgeschlagen, die Anforderung von Artikel 22 Absatz 2 der Richtlinie (EU) 2016/680 im gesamten öffentlichen Sektor umzusetzen, weil es sich dabei nicht um eine spezifische Bestimmung für die Schengener Zusammenarbeit im Strafrechtsbereich handelt. Wie in der Botschaft des Bundesrates festgehalten (BBl 2017 6941, 7032), ist der Verantwortliche im Privatsektor nicht an dieses Formerfordernis gebunden. Er hat jedoch ein Interesse daran, die Genehmigung zu dokumentieren, da er deren Vorliegen nachweisen können muss. Artikel 9 Absatz 3 nDSG sieht vor, dass der Auftragsbearbeiter die Datenbearbeitung nur mit vorgängiger Genehmigung durch den Verantwortlichen an Dritte übertragen kann. Wie aus der Botschaft vom 15. September 2017¹³ (Ziff. 9.1.3.1) hervorgeht, ist der Bundesrat beauftragt, in der Verordnung festzulegen, dass die Genehmigung im öffentlichen Sektor, entsprechend den Anforderungen von Artikel 22 Absatz 2 der Richtlinie (EU) 2016/680, schriftlich erfolgen muss. Gemäss dieser Bestimmung müssen Schengen-Staaten vorsehen, dass der Auftragsbearbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen keinen weiteren Auftragsbearbeiter in Anspruch nehmen kann. Es ist darauf hinzuweisen, dass die schriftliche Form die elektronische Form ein-

schliesst.

Art. 7 Information an die Datenschutzberaterin oder den Datenschutzberater des Bundesorgans

Nach dieser Bestimmung, die nur für das Bundesorgan gilt, ist dieses verpflichtet, die Datenschutzberaterin oder den Datenschutzberater über den Abschluss eines Vertrags mit einem Auftragsbearbeiter oder die Genehmigung zur Übertragung der Datenbearbeitung an einen Dritten zu informieren. Die Auftragsbearbeitung birgt in der Regel erhöhte Risiken für den