Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

4.4 Besondere Bestimmungen zur Datenbearbeitung durch private Personen

Art. 25 Datenschutzberaterin oder Datenschutzberater

In Artikel 10 Absatz 2 nDSG werden in nicht abschliessender Weise zwei Aufgabenbereiche der Datenschutzberaterin oder des Datenschutzberaters eines privaten Verantwortlichen geregelt: Sie oder er schult und berät den privaten Verantwortlichen in Fragen des Datenschutzes (Bst. a) und wirkt beim Vollzug der Datenschutzvorschriften mit (Bst. b). In Artikel 25 E-VDSG werden diese zwei Aufgabenbereiche jeweils konkretisiert. Dabei werden gewisse Regelungen des Artikels 12b VDSG in Artikel 25 E-VDSG aufgenommen.

Abs. 1 Bst. a

Diese Bestimmung wurde mit leichten Anpassungen vom Artikel 12b Absatz 1 Buchstabe a VDSG übernommen.

Nach Buchstabe a muss die Datenschutzberaterin oder der Datenschutzberater die Bearbeitung von Personendaten sowie deren Voraussetzungen prüfen und dem Verantwortlichen Korrekturmassnahmen empfehlen, wenn sie oder er feststellt, dass Vorschriften über den Datenschutz verletzt wurden. Sie oder er überwacht also die Einhaltung der Datenschutzgesetzgebung und allfälliger interner Datenschutzvorschriften des Verantwortlichen. Mit der Ergänzung «sowie deren Voraussetzungen» wird präzisiert, dass die Beraterin oder der Berater auch prüft, ob die internen Datenschutzvorschriften mit der Datenschutzgesetzgebung vereinbar sind. Der Verantwortliche darf gegen die Datenschutzberaterin oder den Datenschutzberater keinesfalls Massnahmen mit Sanktionscharakter ergreifen, wenn diese oder dieser ihre oder seine Aufgabe erfüllt.

In diesem Zusammenhang ist darauf hinzuweisen, dass die Datenschutzberaterin oder der Datenschutzberater, wie der Name bereits suggeriert, als beratende und unterstützende Stelle zu verstehen ist. So ist der Verantwortliche aufgrund seiner Entscheidungskompetenz für die Einhaltung des Datenschutzes insbesondere gegenüber der betroffenen Person allein verantwortlich. Die Aufgabe nach Buchstabe a zieht also grundsätzlich keine Haftung der Datenschutzberaterin oder des Datenschutzberaters nach sich, wenn der Verantwortliche die Datenschutzgesetzgebung verletzt.

Abs. 1 Bst. b

Diese neue Bestimmung konkretisiert die Rolle der Datenschutzberaterin oder des Datenschutzberaters bei der Erstellung von Datenschutz-Folgenabschätzungen.

Aufgrund von Artikel 23 Absatz 4 nDSG kann der private Verantwortliche nach der Erstellung einer Datenschutz-Folgenabschätzung von der Konsultation des EDÖB absehen, wenn er eine Datenschutzberaterin oder einen Datenschutzberater nach Artikel 10 nDSG ernannt und diese oder diesen hinsichtlich der Folgenabschätzung konsultiert hat. Es genügt nicht, ihr oder ihm die Ergebnisse der Folgenabschätzung vorzulegen, nachdem diese durchgeführt worden ist. Denn die Datenschutzberaterin oder der Datenschutzberater muss bei der Erstellung der Folgenabschätzung mitwirken. Zudem überprüft sie oder er insbesondere die Risikobewertung sowie die vom Verantwortlichen vorgeschlagenen Massnahmen. Ein solcher Einbezug der Datenschutzberaterin oder des Datenschutzberaters wäre vom Verantwortlichen idealerweise immer vorzusehen, verpflichtend ist er aber nur für den Fall gemäss Artikel 23 Absatz 4 nDSG, wenn von der Konsultation des EDÖB abgesehen werden soll.

Abs. 2 38/87