Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

Dieser Absatz entspricht inhaltlich Artikel 12b Absatz 2 Buchstaben b und c VDSG.

Die Aufzählung, zu welchen Dokumenten die Datenschutzberaterin oder der Datenschutzberater Zugang haben muss, wurde dabei der Terminologie im nDSG angepasst. Der Zugang ist dabei nicht uneingeschränkt, sondern es ist nur Zugang zu denjenigen Unterlagen zu geben, welche die Datenschutzberaterin oder der Datenschutzberater auch tatsächlich zur Aufgabenerfüllung benötigt. So ist insbesondere der Zugang zu Personendaten nur dann zu gewähren, wenn diese zur Aufgabenerfüllung benötigt werden. Prüft die Datenschutzberaterin oder der Datenschutzberater beispielsweise in genereller Weise die internen Datenschutzvorschriften oder Prozesse zur Datenbearbeitung, wird sie oder er in der Regel keine Personendaten einsehen können müssen.

Artikel 12b Absatz 2 Buchstabe a VDSG wird dagegen nicht übernommen, weil die darin genannte Anforderung neu im Gesetz vorgesehen ist (Art. 10 Abs. 3 Bst a nDSG).

Aufhebung von Artikel 12a VDSG

Diese Bestimmung wird aufgehoben, da ihr Inhalt neu ins Gesetz (Art. 10 Abs. 3 Bst. b und c nDSG) aufgenommen wurde.

Art. 26 Ausnahme von der Pflicht zur Führung eines Verzeichnisses der Bearbeitungstätigkeiten

Aufgrund von Artikel 12 nDSG müssen die Verantwortlichen und die Auftragsbearbeiter je ein Verzeichnis ihrer Bearbeitungstätigkeiten führen. Dieses muss einige Mindestangaben enthalten: die Identität des Verantwortlichen, den Bearbeitungszweck, eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten, die Kategorien der Empfängerinnen und Empfänger, wenn möglich die Aufbewahrungsdauer der Personendaten oder die Kriterien zur Festlegung dieser Dauer sowie eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 8 nDSG, und, falls die Daten ins Ausland bekanntgegeben werden, die Angabe des Staates sowie die Garantien nach Artikel 16 Absatz 2 nDSG.

Für manche KMU kann das Führen eines solchen Verzeichnisses einen unverhältnismässigen Verwaltungsaufwand bedeuten, im Vergleich zu den möglichen Risiken, welche die Datenbearbeitung für die Persönlichkeit der betroffenen Personen mit sich bringt. Deshalb wird die Möglichkeit eingeräumt, dass der Bundesrat Ausnahmen von der Pflicht zur Führung eines solchen Verzeichnisses vorsieht. Da der Bundesrat aufgrund von Artikel 12 Absatz 5 nDSG Ausnahmen für Unternehmen, einschliesslich Einzelunternehmen, vorsehen kann, ist er dementsprechend auch befugt, diese Ausnahmen bei natürlichen Personen und anderen Rechtseinheiten wie Vereinen und Stiftungen anzuwenden. Dies erscheint angemessen, weil das Führen des Verzeichnisses für sie, ebenso wie für die KMU, einen unverhältnismässigen Aufwand bedeuten könnte.

Artikel 26 konkretisiert somit Artikel 12 Absatz 5 nDSG, indem er bestimmt, für wen diese Ausnahmen gelten und in welchen Fällen die Risiken von Persönlichkeitsverletzungen gering sind (vgl. Botschaft, BBl 2017 7037). Er sieht vor, dass Unternehmen und andere privatrechtliche Organisationen mit weniger als 250 Mitarbeitenden am Anfang eines Jahres (unabhängig vom Beschäftigungsgrad) sowie natürliche Personen von der Pflicht befreit sind, ein Verzeichnis der Bearbeitungstätigkeiten zu führen. Allerdings gilt dies nur, wenn nicht in grossem Umfang besonders schützenswerte Personendaten bearbeitet werden (Bst. a) und wenn kein Profiling mit hohem Risiko durchgeführt wird (Bst. b). Mit anderen Worten sind nur KMU,