Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

arbeiter übertragen seien, liege die Sicherstellung der Datensicherheit nicht mehr im Einflussbereich des oder der Verantwortlichen; zumindest sei dessen bzw. deren Einflussnahme stark eingeschränkt. Es wird unter anderem folgende Formulierung vorgeschlagen: «Der Verantwortliche, der die Bearbeitung von Personendaten einem Auftragsbearbeiter überträgt,

bleibt für den Datenschutz verantwortlich. Er sorgt dafür, dass die Daten vertrags- oder gesetzesgemäss bearbeitet werden». Zumindest sollten die Verantwortlichen verpflichtet werden, nur mit Auftragsbearbeitern zu arbeiten, die geeignete Massnahmen treffen. Es sei unklar, was die Ausführungen zu den Anforderungen gemäss Artikel 22 Absatz 3 der Richtlinie (EU) 2016/680 bezweckten. Es wäre sinnvoll, in Artikel 6 wie in Artikel 28 Absatz 3 DSGVO den zwingend notwendigen Mindestinhalt der Auftragsbearbeitungsverträge aufzuführen: den Gegenstand, die Dauer, die Art und den Zweck der Datenbearbeitung, die Art der Personendaten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Gemäss proFonds genügt es, wenn der Verantwortliche dem Auftragsbearbeiter die gesetzlichen Pflichten vertraglich überbindet und ihn damit zu einer gesetzeskonformen Datenbearbeitung anhält. Gerade kleinere und mittlere Organisationen und Vereine hätten in aller Regel weder die Möglichkeit noch die Ressourcen, eine umfassende Kontrolle vorzunehmen. Daher sei vorzusehen, dass der Verantwortliche die Auftragsbearbeitung vertraglich so auszugestalten hat, dass sie gesetzeskonform ist.

Dem SAV ist unklar, was mit einer vertrags- oder gesetzesgemässen Bearbeitung gemeint ist. Das Anliegen dürfte in Artikel 9 Absatz 1 nDSG bereits abgedeckt sein. Bär & Karrer schlägt vor, «vertrags- oder» zu streichen. Die PPS vermisst die Definition, wie die vertrags- oder gesetzesgemässe Bearbeitung mindestens sichergestellt werden muss.

Gemäss TG ist die Formulierung, wonach der Datenschutz auf vertraglichem Wege sicherzustellen ist, wenn das ausländische Gesetz den Datenschutz der Schweiz verletzt, zu korrigieren. Als Beispiele nennt der Kanton das chinesische Nachrichtendienstgesetz und die USamerikanische Gesetzgebung. Gemäss diesen Gesetzen müssten Anbieter mit einem Bezug zu ihrem Land jede drahtgebundene oder elektronische Kommunikation sowie Aufzeichnungen oder sonstige Informationen, auch ausserhalb der eigenen Landesgrenzen liegend, den ausländischen Behörden offenlegen. Vertragliche Verpflichtungen, die den chinesischen und amerikanischen Bestimmungen zuwiderlaufen, haben kaum eine Chance, befolgt zu werden.

Abs. 2

Gemäss einigen Teilnehmenden¹⁹³ ist es nach Artikel 3 nDSG ziemlich unwahrscheinlich,

dass ein Auftragsbearbeiter nicht dem DSG untersteht. Es ergäbe Sinn, den Absatz zu streichen.

Zwei Teilnehmende¹⁹⁴ gehen davon aus, dass die Länderliste im Anhang 1 des nDSG Anwendung findet.

Für verschiedene Teilnehmende¹⁹⁵ sind Sinn und Zweck dieses Absatzes nicht klar. Denn der Regelungsgehalt sei bereits durch die Artikel 16 und 17 nDSG gedeckt. Gemäss dem erläuternden Bericht entspreche der neue Artikel 6 Absatz 2 E-VDSG dem geltenden Artikel 22 Absatz 3 VDSG. Der einzige Unterschied bestehe darin, dass es sich dabei um eine Bestimmung für Bundesorgane handle, während Artikel 6 Absatz 2 E-VDSG sowohl für Datenbearbeitungen Privater als auch für solche von Bundesorganen gelten solle. Im Bericht fehle