Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

Projekte von Bundesorganen zur automatisierten Bearbeitung von Personendaten

Art. 31 Information an die Datenschutzberaterin oder den Datenschutzberater

Die Bestimmung in Artikel 31 E-VDSG stellt eine teilweise Übernahme des Artikels 20 Absatz 2 VDSG dar.

Artikel 20 Absatz 2 VDSG enthält für Bundesorgane bereits heute die Pflicht, alle Projekte zur automatisierten Bearbeitung von Personendaten unverzüglich dem Datenschutzverantwortlichen oder gegebenenfalls dem EDÖB zu melden, damit die Erfordernisse des Datenschutzes sogleich berücksichtigt werden. In Artikel 31 E-VDSG wird die Meldung an den EDÖB nun gestrichen, da jedes Bundesorgan neu über einen Datenschutzberater oder eine Datenschutzberaterin verfügen muss (Art. 27 E-VDSG) und somit die Meldung an den Berater oder die Beraterin aus Sicht des Bundesrats ausreichend ist.

In zeitlicher Hinsicht wird auf Gesetzesebene bereits festgelegt, dass der Grundsatz Datenschutz durch Technik bereits ab Planung eines Projektes zu berücksichtigen ist (Art. 7

nDSG). Dieser Gedanke wird hier aufgenommen. Die Idee hier ist, dass der Datenschutzberater oder die Datenschutzberaterin möglichst frühzeitig in die Projektplanung miteinbezogen wird, so dass er oder sie datenschutzrechtliche Anforderungen rechtzeitig einbringen kann. Dies gilt einerseits für Projekte, die neue automatisierte Bearbeitungen von Personendaten vorsehen, andererseits aber auch für Anpassungen nach Abschluss eines Projekts. So ist die Datenschutzberaterin oder der Datenschutzberater beispielsweise auch bei einer Anpassung eines bereits bestehenden Informationssystems miteinzubeziehen, sofern die Anpassung Änderungen an der Bearbeitung von Personendaten mit sich bringt. Der Ausdruck «unverzüglich» wurde durch «rechtzeitig» ersetzt, eine materiell-rechtliche Änderung ist nicht beabsichtigt. Die Information soll nach wie vor so rasch als möglich erfolgen.

Art. 32 Meldung an den EDÖB

In Artikel 32 Absatz 1 E-VDSG wird geregelt, dass das verantwortliche Bundesorgan dem EDÖB die geplanten automatisierten Bearbeitungstätigkeiten zum Zeitpunkt der Projektfreigabe oder des Entscheids zur Entwicklung zu melden hat. Der EDÖB nimmt diese Meldung in das Register der Bearbeitungstätigkeiten gemäss Artikel 56 nDSG auf, welche aber nicht veröffentlicht wird (siehe Art. 43 Abs. 2 E-VDSG). Im Vergleich zur subsidiären Meldung an den EDÖB nach Artikel 20 Absatz 2 VDSG, die auf eine inhaltliche Prüfung der Projekte abzielt, dient die vorliegende Meldung dem EDÖB hingegen zur reinen Übersicht über geplante Projekte, in denen automatisiert Personendaten bearbeitet werden sollen. In erster Linie soll die Meldung es dem EDÖB ermöglichen, sich ein Gesamtbild über die geplanten Projekte verschaffen zu können und so auch seine Ressourcenplanung im Bereich der Beratungstätigkeiten und Begleitung von Gesetzgebungsprojekten optimieren zu können. In diesem Sinn verfolgt Artikel 32 E-VDSG einen anderen Zweck als die Information der Datenschutzberaterin oder des Datenschutzberaters in Artikel 31 E-VDSG.

Wie die Meldung der Verzeichnisse der bereits bestehenden Bearbeitungstätigkeiten gemäss Artikel 12 nDSG, nimmt der EDÖB auch die Meldungen der geplanten Bearbeitungstätigkeiten im Register der Bearbeitungstätigkeiten gemäss Artikel 56 nDSG auf. Da sich die Projekte im Zeitpunkt der Anmeldung aber noch in einem frühen Stadium befinden, beschränkt sich der Inhalt der Meldung gemäss Absatz 2 auf eine Teilmenge der Angaben, die in Artikel 12 Absatz 2 nDSG verlangt werden, nämlich auf die Buchstaben a–d. Das verantwortliche Bundesorgan aktualisiert diesen Eintrag gemäss Absatz 3 beim erfolgreichen Abschluss des Projektes, also beim Übergang in den produktiven Betrieb (bzw. überführt den Eintrag in 42/87