Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

ersichtlich, zumal das Verzeichnis der Bearbeitungstätigkeiten eingeführt wurde. Die technischen und organisatorischen Massnahmen seien wie auch die Protokollierung der Zugriffsberechtigungen und der Zugriffe Pflichten des Verantwortlichen. Zur Vermeidung unnötiger Doppelspurigkeiten und eines unnötigen Mehraufwands seien Präzisierungen erforderlich. Einige Teilnehmende¹⁶² erklären darüber hinaus, dass sich das Bearbeitungsreglement erübrige. Im Gegenteil werde sogar ein Risiko für die Verantwortlichen geschaffen, wenn betroffene Personen versuchten, über das Auskunftsbegehren Einsicht in das Reglement zu erhalten. Denn gewisse Informationen des Reglements würden unter die Informationspflicht fallen.

Gemäss zwei Teilnehmenden¹⁶³ müssen namentlich für Einpersonenunternehmen zumindest der Anwendungsbereich und die Notwendigkeit eines Bearbeitungsreglements präzisiert werden.

Verschiedene Teilnehmende¹⁶⁴ erachten es als sinnvoll, darauf hinzuweisen, dass die Pflicht zur Erstellung eines Bearbeitungsreglements nicht neu ist und bereits im Text der geltenden Verordnung enthalten ist. Allerdings sei angesichts des Entscheids für eine eingeschränkte Dokumentations- und Informationspflicht (DSFA, Verzeichnis der Bearbeitungstätigkeiten,

Datenschutzerklärungen) allgemein erwartet worden, dass die Pflicht zur Erstellung eines Bearbeitungsreglements aus der neuen Verordnung gestrichen werde.

Abs. 1

Für mehrere Teilnehmende¹⁶⁵ ist die Beschränkung der Erstellung eines Bearbeitungsreglements auf die umfangreiche Bearbeitung besonders schützenswerter Daten und auf Profiling mit hohem Risiko willkürlich oder zu eng. Mit Blick auf den risikobasierten Ansatz, der unter anderem für Artikel 22 Absatz 1 nDSG gelte, sei dies nicht gerechtfertigt. Die Buchstaben a und b seien als nicht abschliessende Beispiele in denen stets ein hohes Risiko vorliege.

Durch diese Beschränkung (Bst. a und b) könnten die für die Persönlichkeitsrechte kritischen Datenbearbeitungen nicht abgedeckt werden. Deshalb wird vorgeschlagen, die Voraussetzungen zur Vornahme einer DSFA (Art. 22 Abs. 1 nDSG) zu übernehmen. Im Rahmen der DSFA würden zudem zahlreiche Dokumente erstellt (Art. 22 Abs. 3 nDSG). Diese könnten Teil des Bearbeitungsreglements sein. Weitere Teilnehmende¹⁶⁶ merken an, dass die wesentlichen Angaben gemäss Absatz 2 bereits im Rahmen der DSFA dokumentiert seien, und der Rest im ohnehin zu erstellenden Inventar. Für einige Teilnehmende¹⁶⁷ stellt sich somit die Frage nach dem Mehrwert eines solchen Bearbeitungsreglements.

Gemäss verschiedenen Teilnehmenden¹⁶⁸ werden in der Praxis vermutlich kaum Bearbeitungsreglemente für ein «Profiling mit hohem Risiko» erstellt werden; es stelle sich jedoch die Frage, ab wann «umfangreiche» Personendaten bearbeitet werden. Dies dürfte mit Bezug auf die HR-Daten bei einem mittleren und grösseren Umfang bereits der Fall sein. Bei biblio-