Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

Vereinigten Staaten zum Beispiel sah sich der EDÖB nach dem Urteil «Schrems II» des EuGH im Juli 2020 veranlasst, seine Haltung bezüglich dieses Staates zu revidieren (und die Liste anzupassen), weil diese Information «verfügbar» war. Erachtet er es als notwendig,

kann der Bundesrat die Liste der Staaten und internationalen Organe umgehend ändern, und zwar aufgrund von Artikel 7 Absatz 3 PublG¹⁸, der dringliche Veröffentlichungen erlaubt. Der neue Entscheid hat keine Auswirkungen auf bereits erfolgte Datenbekanntgaben (Abs. 4).

Absatz 5 sieht vor, dass die Staaten (bzw. die Gebiete oder spezifischen Sektoren) und die internationalen Organe, bei denen der Bundesrat ein angemessenes Schutzniveau festgestellt hat, im Anhang zur Verordnung aufgeführt sind. Wie in der Botschaft vorgeschlagen¹⁹, handelt es sich somit um eine Positiv-Liste. Ist ein Staat darin nicht aufgeführt, bedeutet dies nicht unbedingt, dass seine Datenschutzgesetzgebung keinen angemessenen Schutz gewährleistet. Es kann auch sein, dass der Bundesrat die Gesetzgebung einfach noch nicht geprüft hat. Dieses Vorgehen weicht ein wenig von dem des EDÖB ab. Der EDÖB hat nämlich bis anhin bei jedem einzelnen Staat angegeben, ob er über einen angemessenen Schutz für natürliche Personen, einen angemessenen Schutz unter bestimmten Voraussetzungen oder einen ungenügenden Schutz verfügt.

Im sechsten und letzten Absatz wird präzisiert, dass der EDÖB vor jedem Entscheid über die Angemessenheit konsultiert wird.

Art. 9 Datenschutzklauseln und spezifische Garantien

Artikel 16 Absatz 2 nDSG schreibt vor, dass in Fällen, in denen kein Entscheid des Bundesrates vorliegt, Personendaten ins Ausland bekanntgegeben werden dürfen, wenn ein geeigneter Datenschutz gewährleistet ist. Im privaten Sektor kann dieser durch eine Datenschutzklausel in einem Vertrag zwischen dem Verantwortlichen oder dem Auftragsbearbeiter und seiner Vertragspartnerin oder seinem Vertragspartner gewährleistet sein (Bst. b), im öffentlichen Sektor durch spezifische Garantien, die das zuständige Bundesorgan erarbeitet hat (Bst. c).

Anders als bei den übrigen in Absatz 2 genannten Instrumenten müssen die Verantwortlichen und die Auftragsbearbeiter diese Garantien nicht vom EDÖB genehmigen lassen, sondern ihm diese vor der Datenbekanntgabe ins Ausland nur mitteilen. Es besteht ein gewisses Risiko, dass die Verantwortlichen und die Auftragsbearbeiter das Schutzniveau, das mit diesen Garantien erreicht werden soll, unterschiedlich beurteilen, wobei dies für den privaten Sektor ebenso gilt wie für den öffentlichen Sektor.

Der Bundesrat erachtet es deshalb als angezeigt, bestimmte Datenschutzstandards festzulegen, und präzisiert in Artikel 9 Absatz 1 E-VDSG, was diese Datenschutzklauseln oder spezifischen Garantien mindestens regeln müssen. Es handelt sich um folgende Punkte: die Anwendung der Grundsätze der Rechtmässigkeit, von Treu und Glauben, der Verhältnismässigkeit, der Zweckbindung und der Richtigkeit (Bst. a); die Kategorien der bekanntgegebenen Personendaten und der betroffenen Personen (Bst. b); die Art und der Zweck der Bekanntgabe von Personendaten (Bst. c); die Namen der Staaten, in die Personendaten bekanntgegeben werden (Bst. d); die Namen der internationalen Organe, denen Personendaten bekanntgegeben werden (Bst. e); die Anforderungen an die Aufbewahrung, die Löschung und

18 SR 170.512