Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Abs. 1 Bst. b

Verschiedene Teilnehmende⁶³ sind der Ansicht, dass die Implementierungskosten auch nach Artikel 1 Absatz 1 Buchstabe b berücksichtigt werden müssen; das heisst bei der Beurteilung, ob eine Massnahme angemessen ist, und nicht erst, wenn es darum geht, sich für eine von mehreren angemessenen Massnahmen zu entscheiden. Die Teilnehmenden⁶⁴ schlagen vor, in dieser Bestimmung zu präzisieren, dass sich die Frage nach der Eintrittswahrscheinlichkeit nur dann stellt, wenn ein Risiko besteht. Denn eine Eintrittswahrscheinlichkeit ergebe sich bei einer potenziellen Verletzung der Datensicherheit, und nicht umgekehrt. Entsprechend sollte der Text wie folgt lauten: «die potenziellen Auswirkungen einer Verletzung der Datensicherheit für die betroffenen Personen und deren Eintrittswahrscheinlichkeit».

Die Wahrscheinlichkeit wird mathematisch berechnet.⁶⁵ Der vorgeschlagenen Abstufung (tief, mittel, hoch) könne daher nicht gefolgt werden. Zumindest sollte das Kriterium «Eintrittswahrscheinlichkeit» durch «Folgen» ersetzt werden. Ansonsten müssten mathematische Kriterien genannt werden.

Einige Teilnehmende⁶⁶ fordern, dass das Restrisiko berücksichtigt wird.

Abs. 1 Bst. c

Es wird angemerkt, dass der Stand der Technik «anerkannt» sein müsse. In diesem Sinn sollte der «Stand der Wissenschaft» als Kriterium hinzugefügt werden, da dieser seit Jahren allgemein anerkannt ist.⁶⁷ HÄRTING Rechtsanwälte regt an, den Begriff «Stand der Technik» gerade im Lichte der Straffolgen nach Artikel 61 Buchstabe c nDSG zu präzisieren, und schlägt vor, stattdessen den Begriff «die anerkannten Regeln der Technik» zu verwenden.

Abs. 1 Bst. d

Mehrere Teilnehmende⁶⁸ kritisieren, dass die Kosten berücksichtigt werden. Sie schlagen vor, den Buchstaben d zu streichen oder umzuformulieren. Oft werden Präzisierungen verlangt, beispielsweise zu den «Implementierungskosten», sei dies für KMU, Stiftungen, kleinere und mittlere Vereine oder Start-ups (beispielsweise mit einem Kostendach zwischen dem [voraussichtlichen] Umsatz und den Implementierungskosten). Es wird erklärt, dass dieses Kriterium ausschliesslich die Wahl der kostengünstigsten Variante innerhalb der wirksamen Massnahmen betreffe. Gleichzeitig wird aber betont, dass die Kosten nicht eine Ausrede für die Befreiung von der Pflicht der Gewährleistung der Datensicherheit sein dürften. Vielmehr solle dieses Kriterium es namentlich den kleinen und mittleren Unternehmen ermöglichen, die Anforderungen umzusetzen.⁶⁹ Gemäss einigen Teilnehmenden⁷⁰ impliziert der Begriff «Implementierungkosten» fälschlicherweise, dass die weiteren Aufwendungen nicht relevant sind. So