Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

Der Begriff «Profiling mit hohem Risiko» wurde später von den eidgenössischen Räten eingeführt (Art. 5 Bst. g).

Artikel 6 legt einige allgemeine Grundsätze fest. Personendaten müssen rechtmässig bearbeitet werden (Art. 6 Abs. 1). Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein (Art. 6 Abs. 2). Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden (Art. 6 Abs. 3). Die Daten müssen vernichtet oder anonymisiert werden, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind (Art. 6 Abs. 4). Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern (Art. 6 Abs. 5). Der Verantwortliche und der Auftragsbearbeiter sind verpflichtet, Personendaten durch Technik und datenschutzfreundliche Voreinstellungen zu schützen («privacy by design and by default»; Art. 7) und die Datensicherheit zu gewährleisten (Art. 8). Aufgrund von Artikel 10 können Verantwortliche eine Datenschutzberaterin oder einen Datenschutzberater ernennen. Überdies müssen sie ein Verzeichnis der Bearbeitungstätigkeiten erstellen (Art. 12).

Artikel 9 regelt die Datenbearbeitung durch Auftragsbearbeiter. Das nDSG kodifiziert das Instrument der Verhaltenskodizes (Art. 11).

Im 2. Kapitel hat das Parlament einen zusätzlichen Abschnitt eingefügt. Er bezieht sich auf die Datenbearbeitung durch private Verantwortliche mit Sitz oder Wohnsitz im Ausland. In Artikel 14 wird der Begriff «Vertretung» eingeführt. Die Pflichten der Vertretung sind in Artikel 15 festgelegt.

Der 3. Abschnitt des 2. Kapitels behandelt die Bekanntgabe von Personendaten ins Ausland. Personendaten dürfen nur ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass der betreffende Staat oder das betreffende internationale Organ einen angemessenen Schutz bietet (Art. 16). Artikel 17 sieht allerdings verschiedene Ausnahmen vor.

Das 3. Kapitel regelt die Pflichten des Verantwortlichen und des Auftragsbearbeiters. Es präzisiert die Pflicht, bei der Beschaffung von Personendaten die betroffenen Personen zu informieren (Art. 19 und 20). In Artikel 21 wird eine neue Informationspflicht bei automatisierten Einzelentscheiden eingeführt, in Artikel 22 die Pflicht, eine Datenschutz-Folgenabschätzung zu erstellen. Der Verantwortliche muss zudem vor der Datenbearbeitung die Stellungnahme des EDÖB einholen, wenn die Datenschutz-Folgenabschätzung ergibt, dass die geplante Bearbeitung trotz der vom Verantwortlichen vorgesehenen Massnahmen noch ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat (Art. 23). Ausserdem muss der Verantwortliche dem EDÖB eine Verletzung der Datensicherheit melden, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt (Art. 24).

Die Rechte der betroffenen Person sind im 4. Kapitel festgelegt. Das Auskunftsrecht und dessen Einschränkungen sind in den Artikeln 25–27 geregelt. Das Recht auf Datenportabilität und dessen Einschränkungen wurden vom Parlament eingeführt (Art. 28 und 29).

Das 5. Kapitel enthält eine Reihe von Bestimmungen zur Datenbearbeitung durch Private. So dürfen private Personen, die Personendaten bearbeiten, die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzen (Art. 30 Abs. 1). Insbesondere dürfen sie Personendaten nicht entgegen den Grundsätzen nach den Artikeln 6 und 8 nDSG oder entgegen der ausdrücklichen Willenserklärung der betroffenen Person bearbeiten, sofern nicht ein Rechtfertigungsgrund vorliegt (Art. 30 Abs. 2 Bst. a und b sowie Art. 31). Schliesslich regelt dieses