Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

die Datenbearbeitungen mit hohem Risiko durchführen, verpflichtet, ein Verzeichnis der Bearbeitungstätigkeiten zu führen. Für die Vorgabe in Buchstabe a sei auf die Ausführungen zur gleich ausgestalteten Vorgabe in Artikel 4 Absatz 1 Buchstabe a E-VDSG zur Pflicht von privaten Personen zur Erstellung eines Bearbeitungsreglements verwiesen. Natürlich bleibt es auch den KMU, die von der Pflicht ausgenommen sind, nicht verwehrt, freiwillig ein Verzeichnis der Bearbeitungstätigkeiten zu führen. Gerade wenn ein Verantwortlicher regelmässig Personendaten bearbeitet, ist es ein nützliches und einfaches Instrument, um einen Überblick über die Bearbeitungstätigkeiten zu behalten, was dem Verantwortlichen auch die Einhaltung anderer Verpflichtungen, wie etwa der Informationsplicht, erleichtern kann.

4.5 Besondere Bestimmungen zur Datenbearbeitung durch Bundesorgane Datenschutzberaterin oder -berater

Die Artikel 27–30 E-VDSG ersetzen Artikel 23 VDSG, der sich mit der Datenschutzberaterin oder dem Datenschutzberater von Bundesorganen befasst.

Art. 27 Ernennung

Artikel 27 E-VDSG setzt Artikel 10 Absatz 4 nDSG und Artikel 32 der Richtlinie (EU)

2016/680 um. Die Regelung, wonach mehrere Bundesorgane gemeinsam eine Datenschutzberaterin oder einen Datenschutzberater bezeichnen können, soll es insbesondere kleineren Bundesorganen oder Departementen mit zentralisierter Organisationstruktur ermöglichen,

sinnvolle und ressourceneinsparende Synergien zu nutzen. Hingegen kann beispielsweise von grösseren Bundesämtern erwartet werden, dass diese für sich alleine über eine Datenschutzberaterin oder einen Datenschutzberater verfügen. Natürlich steht es den Bundesorganen auch offen, mehrere Beraterinnen und Berater zu bezeichnen.

Art. 28 Anforderungen und Aufgaben

Artikel 28 Absatz 1 E-VDSG übernimmt in Buchstabe a die Anforderung des Artikels 12a Absatz 2 letzter Teilsatz VDSG. In Buchstabe b wird – wie bisher in Artikel 12b Absatz 2 Buchstabe a VDSG geregelt und analog zur Regelung bei den privaten Verantwortlichen in Artikel 10 Absatz 3 Buchstabe a nDSG – neu für alle Bundesorgane verbindlich vorgesehen (bisher mussten nur diejenigen Bundesorgane die Anforderungen von Art. 12a und Art. 12b VDSG erfüllen, die sich von der Pflicht befreien wollten, ihre Datensammlungen anzumelden, s. Art. 23 Abs. 2 VDSG), dass die Datenschutzberaterin oder der Datenschutzberater ihre oder seine Funktion fachlich unabhängig und weisungsungebunden ausübt. Dadurch wird die Rolle der Datenschutzberaterin oder des Datenschutzberaters in den üblicherweise hierarchisch geprägten Bundesorganen gestärkt und institutionalisiert, damit sie oder er ihre oder seine Aufgaben wirksam erfüllen kann. Die Unabhängigkeit der Datenschutzberaterin oder des Datenschutzberaters ist vor allem durch organisatorische Massnahmen sicherzustellen: So ist insbesondere zu verhindern, dass sich die Tätigkeit als Datenschutzberaterin oder -berater negativ auf das Mitarbeitergespräch auswirken kann.

Die Aufgaben der Datenschutzberaterin oder des Datenschutzberaters des Bundesorganes in Absatz 2 wurden terminologisch mit der Bestimmung bei den privaten Verantwortlichen (Art. 25 Abs. 1 E-VDSG) abgestimmt. In Absatz 2 Buchstabe b wird analog zu Artikel 25 Absatz 1 Buchstabe b E-VDSG festgehalten, dass die Datenschutzberaterin oder der Datenschutzberater an der Datenschutz-Folgenabschätzung mitwirkt und diese überprüft. Es wird im Gegensatz dazu aber nicht auf Artikel 23 Absatz 4 nDSG verwiesen, da dieser nur für private Verantwortliche gilt. Absatz 2 Buchstabe a ist identisch zu Artikel 25 Absatz 1 Buchstabe a E-VDSG. Es kann daher sinngemäss auf die dortigen Ausführungen verwiesen werden. Wie