Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

fristen für Bewilligungsverfahren (OrFV), eine Verfügung im Sinne von Artikel 5 des Bundesgesetzes vom 20. Dezember 1968²² über das Verwaltungsverfahren (VwVG) und veröffentlicht auf seiner Website eine Liste der Standarddatenschutzklauseln, die er genehmigt, ausgestellt oder anerkannt hat.

Art. 11 Verbindliche unternehmensinterne Datenschutzvorschriften

Verbindliche unternehmensinterne Datenschutzvorschriften gelten für alle Unternehmen, die zum selben Konzern gehören, und müssen von diesen eingehalten werden. Diese Vorschriften müssen nicht nur die in Artikel 9 Absatz 1 E-VDSG genannten Punkte umfassen, sondern auch Angaben zur Organisation und die Kontaktdaten des Konzerns und jeder seiner Einheiten sowie Angaben zu den Massnahmen, die innerhalb des Konzerns getroffen wurden, um die Einhaltung der unternehmensinternen Vorschriften zu gewährleisten.

Diese verbindlichen unternehmensinternen Vorschriften sind gemäss Artikel 16 Absatz 2 Buchstabe e nDSG überdies dem EDÖB vorzulegen, der innert der Frist nach Artikel 4 OrFV eine Verfügung im Sinne von Artikel 5 VwVG trifft.

Art. 12 Verhaltenskodizes und Zertifizierungen

Gemäss Artikel 16 Absatz 3 nDSG kann der Bundesrat andere geeignete Garantien vorsehen, welche die Datenbekanntgabe ins Ausland ermöglichen. So lässt sich ein geeigneter Datenschutz auch durch einen Verhaltenskodex oder eine Zertifizierung gewährleisten (Abs. 1).

Mit dieser neuen Massnahme erhalten Unternehmen einen Anreiz, einen solchen Kodex einzuführen oder ihre Systeme, Produkte oder Dienstleistungen zertifizieren zu lassen. Wie bei den Standarddatenschutzklauseln und den verbindlichen unternehmensinternen Vorschriften wird aus Gründen der Kohärenz auch bei den Verhaltenskodizes bestimmt, dass diese vom EDÖB genehmigt werden müssen (Abs. 2). Denn diese Instrumente sind auf ihre Tauglichkeit zu prüfen. Sie müssen mindestens die Punkte umfassen, die bei den Datenschutzklauseln in einem Vertrag und bei den spezifischen Garantien verlangt werden. Deshalb wird auf Artikel 9 Absatz 1 E-VDSG verwiesen. Die Genehmigung der Verhaltenskodizes durch den EDÖB steht nicht im Widerspruch zu Artikel 11 nDSG, der in allgemeiner Weise vorsieht,

dass der EDÖB zu den ihm vorgelegten Verhaltenskodizes Stellung nimmt, aber diese nicht genehmigt. Im konkreten Fall, in dem ein Verantwortlicher sich bei der Datenbekanntgabe ins Ausland auf seinen Verhaltenskodex stützt, ist es wie bei den Standarddatenschutzklauseln und den verbindlichen unternehmensinternen Vorschriften angezeigt, dass der EDÖB dieses Instrument genehmigt. Gemäss der Verordnung vom 28. September 2007²³ über die Datenschutzzertifizierungen müssen ausschliesslich ausländische Zertifizierungen vom EDÖB anerkannt werden. Das bedeutet jedoch nicht, dass die Zertifizierung nicht den Anforderungen der Verordnung über die Datenschutzzertifizierungen entsprechen muss.

Zudem muss der Verantwortliche oder der Auftragsbearbeiter, der sich in einem Drittland befindet, die verbindliche und durchsetzbare Verpflichtung eingehen, die im Verhaltenskodex oder in der Zertifizierung enthaltenen Massnahmen anzuwenden (Abs. 3).

22 SR 172.021