Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

zu ersetzen. Die GPS hebt hervor, dass die Schutzziele nur «soweit angemessen» zu erreichen sind, womit den Verantwortlichen Ermessensspielräume eröffnet werden, die der Datensicherheit zuwiderlaufen können. Für Datenschutzguide.ch hingegen ist diese Einschränkung zentral. Die Umsetzung zahlreicher Schutzziele könne für KMU heikel sein. Die Vorlage sollte sich auf minimale Vorschriften beschränken. Ein detaillierter, strafbewährter Katalog sei nicht angebracht. Einige Teilnehmende¹⁰³ sind hingegen der Meinung, dass diese Formulierung mit Blick auf Artikel 6 Absatz 5 nDSG schwammig ist, da sie die zu erreichenden Schutzziele relativiere. Verschiedene Teilnehmende¹⁰⁴ regen an, die Formulierung zu streichen, da er einen Ermessensspielraum lasse. Zwei Teilnehmende¹⁰⁵ wünschen nähere Ausführungen zum Ausdruck «soweit angemessen», da der erläuternde Bericht nicht mehr Klarheit verschaffe.

Gemäss der Swimag sollte vor «folgende Schutzziele» «mindestens» eingefügt werden. GR schlägt vor, eher «insbesondere» einzufügen, damit die Liste nicht als abschliessend aufgefasst wird. Das DFS erachtet eine abschliessende Auflistung als nicht zielführend, da es sich nicht um Schutzziele handle, sondern um technische und organisatorische Massnahmen. Die PPS wünscht eine Unterscheidung zwischen Unternehmen, bei denen die Datenbearbeitung nur administrativer Natur ist, und Unternehmen, deren Geschäftsmodell auf Datenerhebung, - analyse, -bereitstellung und/oder -nutzung basiert. Um Missbräuchen vorzubeugen, sollte der Ermessensspielraum letztgenannter Unternehmen weiter eingegrenzt werden.

Gemäss den Inlandbanken sind die Bestimmungen zu präzisieren, um der Realität des

Schweizer Wirtschaftsstandorts Rechnung zu tragen.

Die Schutzziele seien in Bezug auf und im Kontext von Datensensitivitätsklassen zu beurteilen.¹⁰⁶ Aus der Formulierung müsse hervorgehen, dass ein Hinwirken auf die Schutzziele ausreichend ist. Denn die Schutzziele seien als allgemeine Ziele zu verstehen, eine absolute Sicherheit im Sinne eines Nullrisikos sei nicht möglich.¹⁰⁷ In diesem Sinn enthalte Artikel 2 gemäss dem erläuternden Bericht eine Auflistung der Schutzziele, auf welche die Massnahmen auszurichten sind. Dabei sei vorstellbar, dass nicht jedes Schutzziel in jedem Fall von Relevanz sei.¹⁰⁸ Eine neue Strukturierung der Bestimmung könnte dieses Verständnis eventuell erleichtern. Beat Lehmann schlägt vor, einen Absatz «Im Allgemeinen»¹⁰⁹ und einen Absatz «Mittel zur Umsetzung der Ziele» einzufügen, der in Form einer generellen Klausel darauf hinweist, welche organisatorischen und technischen Massnahmen den Verantwortlichen oder Auftragsbearbeitern für das Erreichen der Schutzziele zur Verfügung stehen und wo geeignete Mittel erfasst sind.

Ringier empfiehlt, den Katalog der Schutzziele (Integrität, Vertraulichkeit und Verfügbarkeit) in die Verordnung aufzunehmen, da die Verletzung der Anforderungen an die Datensicherheit erhebliche Folgen haben könne (Strafen gemäss Art. 61 Bst. c nDSG).

HÄRTING Rechtsanwälte regt an, einen neuen Buchstaben l einzufügen, wonach Personen, welche die Datensicherheitsziele missachten, zur Rechenschaft gezogen werden. In einem