Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

mal pro Jahr». Die Stiftung für Konsumentenschutz schlägt «in angemessenen, regelmässigen Abständen» vor. Einige Teilnehmende⁸¹ verlangen, dass die Massnahmen «bei einer relevanten Veränderung des Risikos» zu überprüfen sind. Der HANDELSVERBAND.swiss präzisiert, dass die Massnahmen nur dann zu überprüfen seien, wenn sich die Rahmenbedingungen gemäss Artikel 1 Absatz 1 Buchstaben a–c ändern. Gemäss anderen Teilnehmenden⁸² kann nur der Verantwortliche beurteilen, ob eine Überprüfung vorgenommen werden soll, und zwar über die gesamte Bearbeitungsdauer hinweg. Einige Teilnehmende⁸³ bezweifeln den Zusammenhang zwischen Artikel 8 Absatz 3 nDSG und der zusätzlichen Anforderung, die Massnahmen «in angemessenen Abständen zu überprüfen». Gemäss einigen Teilnehmenden⁸⁴ muss die Überprüfung über die gesamte Betriebsdauer erfolgen. Die FRC erklärt, dass in Bezug auf die Häufigkeit kein Auslegungsspielraum bestehen dürfe.

In terminologischer Hinsicht wird «die Risikobeurteilung» dem Begriff «Massnahmen» vorgezogen.⁸⁵ Einige Teilnehmende⁸⁶ weisen darauf hin, dass die Risikofaktoren zu prüfen sind. BE schlägt vor, dass «die Risiken und Massnahmen zu überprüfen sind».

EXPERTsuisse empfiehlt, die Prüfung mittels ISO 27001 als Pflicht zu standardisieren.

Schliesslich gelte es, eine Konformität mit dem europäischen und internationalen Recht anzustreben und die Archivdaten anders zu behandeln.⁸⁷

3.2.2 Art. 2 E-VDSG: Schutzziele

Die Bestimmung wurde in einigen Stellungnahmen positiv beurteilt. Einige Teilnehmende⁸⁸ begrüssen die Auflistung der Schutzziele und erachten sie als Gedächtnisstütze. Sie weisen jedoch darauf hin, dass punktuell eine Unterstützung durch die zuständigen Behörden erforderlich ist, namentlich durch den EDÖB. Sie schlagen vor, im Gesetz zu verankern, dass Schweizer Unternehmen einen kostengünstigen Zugang zum EDÖB erhalten. Zumindest sollte der Katalog (Checkliste) in einem Anhang aufgenommen werden.⁸⁹

Einige Teilnehmende⁹⁰ sind der Ansicht, dass in Artikel 2 nicht die Schutzziele selbst, sondern die Anforderungen zur Erreichung der Schutzziele aufgeführt sind. Entsprechend sollte der Einleitungssatz in Anlehnung an Artikel 6 Absatz 2 ISG angepasst werden. Schutzziele seien Zielvorgaben. Die Massnahmen müssten angemessen sein in Bezug auf die in der Risikobeurteilung festgestellten Risiken. Einige Teilnehmende⁹¹ schlagen vor, sich beispielsweise an das Informations- und Datenschutzgesetz des Kantons BS oder ZH anzulehnen.