Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

Vernichtung von Personendaten (Bst. f); die zur Bearbeitung der Daten berechtigten Empfängerinnen und Empfänger (Bst. g); die Massnahmen zur Gewährleistung der Datensicherheit (Bst. h); die Anforderungen an eine Bekanntgabe von Personendaten an einen anderen ausländischen Staat oder an ein anderes internationales Organ (Bst. i); die Pflicht der Empfängerin oder des Empfängers, die betroffenen Personen über die Bearbeitung zu informieren (Bst. j) und die Rechte der betroffenen Person (Bst. k), namentlich: das Recht, Auskunft über ihre Personendaten zu verlangen (Ziff. 1), das Recht, Widerspruch gegen die Bearbeitung von Personendaten einzulegen (Ziff. 2), das Recht, die Berichtigung, Löschung oder Vernichtung von Personendaten zu verlangen (Ziff. 3), und das Recht, eine unabhängige Behörde (Datenschutzbehörde oder Gericht) um Rechtsschutz zu ersuchen (Ziff. 4).

Alle diese Punkte leiten sich aus dem nDSG ab. Absatz 2 sieht zudem vor, dass der Verantwortliche, wenn er Personendaten ins Ausland bekanntgibt, angemessene Massnahmen trifft, um sicherzustellen, dass die Empfängerin oder der Empfänger die Datenschutzklauseln in einem Vertrag oder die spezifischen Garantien beachtet. Gemäss diesem Absatz, der im Wesentlichen Artikel 6 Absatz 4 VDSG entspricht, lässt sich somit sicherstellen, dass die Empfängerin oder der Empfänger der bekanntgegebenen Daten den in der Schweiz geltenden datenschutzrechtlichen Rahmen einhält.

Ein dritter Absatz übernimmt Artikel 6 Absatz 2 VDSG zur Informationspflicht des Verantwortlichen. Er wird nur redaktionell angepasst, indem insbesondere der Ausdruck «Inhaber der Datensammlung» ersetzt wird.

Art. 10 Standarddatenschutzklauseln

Wie bei der Datenbekanntgabe ins Ausland, die sich auf Datenschutzklauseln in einem Vertrag und auf spezifische Garantien stützt, sind auch bei der Datenbekanntgabe mittels Standarddatenschutzklauseln (Art. 16 Abs. 2 Bst. d nDSG) die schweizerischen Datenschutzvorschriften einzuhalten. So präzisiert Artikel 10 Absatz 1 E-VDSG, der Artikel 6 Absatz 4 VDSG entspricht, dass der Verantwortliche angemessene Massnahmen treffen muss, um sicherzustellen, dass die Empfängerin oder der Empfänger die Standardklauseln tatsächlich beachtet. Im Kommentar des Bundesamtes für Justiz zur VDSG²⁰ wird diese Sorgfaltspflicht wie folgt präzisiert: «Die Angemessenheit der geforderten Massnahmen richtet sich nach den Umständen im konkreten Fall und dem Stand der Technik. Geht es um besonders schützenswerte Personendaten oder Persönlichkeitsprofile, sind die Anforderungen höher, als wenn es um einfache Personendaten geht.» Der Begriff «Persönlichkeitsprofile» wird im nDSG zwar nicht mehr verwendet, die Erläuterung ist jedoch weiterhin relevant zum Verständnis, dass die Massnahmen den konkreten Umständen angepasst sein müssen.

Zudem präzisiert Artikel 10 Absatz 2 E-VDSG den Artikel 16 Absatz 2 Buchstabe d nDSG, wonach die Standarddatenschutzklauseln, die von einer privaten Person oder von einem Bundesorgan erarbeitet werden können, dem EDÖB vorzulegen sind. So trifft dieser, innert der Frist nach Artikel 4 der Verordnung vom 25. Mai 2011²¹ über Grundsätze und Ordnungs-

²⁰Vgl. Kommentar BJ, 5.2.

21 SR 172.010.14