Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

beitet werden, wie er selbst es tun dürfte. Die Pflicht des Verantwortlichen «sicherzustellen», dass die Daten vom Auftragsbearbeiter vertrags- oder gesetzesgemäss bearbeitet werden, könne nicht nachvollzogen werden (Art. 6 Abs. 1 zweiter Satz und Art. 6 Abs. 2 zweiter Satz). Die Wiederholung in der Verordnung sei nicht gerechtfertigt, unverhältnismässig und gehe über den Rahmen der Delegation an den Bundesrat hinaus. Aus dem nDSG gehe ausschliesslich hervor, dass das öffentliche Organ oder die Privatperson für den Datenschutz verantwortlich bleibt. Der Verantwortliche müsse zumindest auf vertraglichem Wege sicherstellen, dass ein gleichwertiger Datenschutz gewährleistet ist. Er könne dies aber nicht sicherstellen, sondern sich nur «vergewissern» (Art. 9 Abs. 2 nDSG). Das Verb «sicherstellen» müsse folglich durch «dafür sorgen» oder «sich vergewissern» ersetzt werden. Es wird folgende Formulierung vorgeschlagen: «nach Artikel 9 Absatz 1 Buchstabe a nDSG hat der Verantwortliche dafür zu sorgen, dass das DSG eingehalten wird». Gemäss SZ würde eine Sicherstellung auf eine Dauerüberwachung hinauslaufen. Dies sei gerade nicht Sinn und Zweck der Auslagerung von Verwaltungstätigkeiten. Der Auftragsdatenbearbeiter stehe klarerweise in der Mitverantwortung für die auftrags- und rechtskonforme Datenbearbeitung.

Einigen Teilnehmenden¹⁸⁹ erschliesst sich nicht, weshalb die Bestimmung auch für Private gelten soll, da dieser Aspekt bereits aus Artikel 9 hervorgehe. Sie weisen darauf hin, dass Artikel 6 Absätze 1 und 2 dem Artikel 22 VDSG nachempfunden sei, welcher aber ausschliesslich für Bundesorgane gelte. Übertrage ein Verantwortlicher die Bearbeitung an einen Auftragsbearbeiter im Ausland, finde das DSG auf den Auftragsbearbeiter keine Anwendung.

Dann verstehe sich von selbst, dass der Verantwortliche die Regeln der Artikel 16–18 nDSG einhalten müsse. Der Fall, in dem ein ausländischer Auftragsbearbeiter Daten bearbeite, die ihm zuvor nicht aus der Schweiz übermittelt worden seien, wäre in Artikel 16 nDSG zu regeln, und nicht im Rahmen von Artikel 6 Absatz 2.

Abs. 1

TG begrüsst es, dass ein beizuziehender Auftragsbearbeiter einen gleichwertigen Datenschutz gewährleisten soll. DigiGes begrüsst den Absatz ebenfalls.

Einige Teilnehmende¹⁹⁰ bedauern, dass der erste Satz den falschen Eindruck erwecke, dass die Verantwortlichkeit des Verantwortlichen in keinem Fall eingeschränkt ist. Es sollte klargestellt werden, was mit «für den Datenschutz verantwortlich» gemeint ist. Werde darunter eine zivilrechtliche Haftung verstanden, dann werde mit dieser Regelung eine vom Gesetzgeber nicht vorgesehene Kausalhaftung eingeführt. Dies würde auch deutlich über Artikel 82 Absatz 3 DSGVO hinausgehen. Für die zivilrechtliche Haftung gelte ferner nach wie vor Artikel 41 des Bundesgesetzes vom 30. März 1911 betreffend die Ergänzung des Schweizerischen Zivilgesetzbuches¹⁹¹.

In Bezug auf den zweiten Satz ist für curafutura unklar, warum «auftragsgemäss» nach dem geltenden Artikel 22 VDSG durch «vertrags- oder gesetzesgemäss» ersetzt werden soll. Wie andere Teilnehmende¹⁹² legen sie dar, dass der Verantwortliche nicht sicherstellen könne,

dass die Bearbeitung vertrags- und gesetzesmässig erfolgt. Er könne nur versuchen, dies wie bei Artikel 28 Absatz 1 DSGVO zu erreichen. Denn sobald die Datensätze einem Auftragsbe-