Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

eine Erläuterung zu dieser Abgrenzung. Die Regelung würde nur dort halbwegs Sinn machen, wo ein Schweizer Verantwortlicher einen ausländischen Auftragsbearbeiter bemühe, Daten zu bearbeiten, ohne dass es zu einer Bekanntgabe aus der Schweiz komme und somit Artikel 16 nDSG nicht greife. Systematisch wäre aber auch dieser Fall in Artikel 16 nDSG zu regeln, und nicht in der Verordnung. Rechtlich korrekt ergebe sich die Regelung bereits aus Artikel 9 Absatz 1 Buchstabe a nDSG. Im Falle einer Auftragsbearbeitung gehe es darum sicherzustellen, dass die Daten nur so bearbeitet würden, wie der Verantwortliche dies dürfe – und so stehe es schon in Artikel 9 Absatz 1 Buchstabe a nDSG. Vermutlich sei die Regel einfach übernommen worden, weil es sie schon gab. Folglich bleibe offen, weshalb es die Regelung überhaupt brauche bzw. auf welche Rechtsgrundlage sie sich stütze.

Einige Teilnehmende¹⁹⁶ fordern die Streichung dieses Absatzes, da die Bekanntgabe von Personendaten ins Ausland in einer anderen Bestimmung geregelt sei (Art. 8). Von einem Verantwortlichen könne nicht verlangt werden, dass er Kenntnis der vielen relevanten Gesetzesbestimmungen habe. Sollte an dieser Regelung festgehalten werden, so wäre zu präzisieren, dass «andernfalls ein geeigneter Datenschutz zu gewährleisten ist». In diesem Sinn sollte erwähnt werden, dass der Verantwortliche sicherstellen muss, dass andere Gesetzesbestimmungen einen gleichwertigen Datenschutz gewährleisten, wenn der Auftragsbearbeiter nicht dem DSG unterstellt ist. Andernfalls müsse er den gleichwertigen Datenschutz gemäss Artikel 16 Absatz 2 nDSG vertraglich gewährleisten. Es sei jedoch vorzuziehen, den Absatz zu streichen.

Gemäss der PPS ist Artikel 6 Absatz 2 wie das nDSG vor dem Hintergrund der jüngsten Rechtsprechung (namentlich dem Urteil Schrems II des EuGH) und dem EU-Recht (Zugang zum digitalen Binnenmarkt der EU) veraltet. Der Absatz bzw. der zweite Satz sollte gestrichen und durch einen Verweis auf EDÖB-Richtlinien ersetzt werden, da Standardvertragsklauseln allein nicht mehr ausreichten.

Abs. 3

Während einige Teilnehmende¹⁹⁷ die Frage aufwerfen, wie zeitgemäss die «schriftliche Form» noch ist, begrüssen zwei andere¹⁹⁸ die Verwendung dieser Form für die Genehmigung der Übertragung an Dritte. Sie weisen jedoch darauf hin, dass diese Anforderung im nDSG nicht erwähnt ist. Es stelle sich daher die Frage, ob die Bundesorgane, die nicht der Richtlinie (EU) 2016/680 unterstellt seien, tatsächlich dazu verpflichtet werden könnten; in Artikel 22 Absatz 2 der Richtlinie (EU) 2016/680 werde die schriftliche Genehmigung im privaten Sektor genannt. Gemäss der suva entspricht die schriftliche Genehmigung durch die Bundesorgane dem Standard der DSGVO. Artikel 9 Absatz 3 nDSG sehe jedoch keine Schriftform vor. Gemäss der ASDPO sollte die schriftliche Genehmigung auch für private Verantwortliche vorgesehen werden. Curafutura fügt an, dass im Zuge der fortschreitenden Digitalisierung neben der Schriftform alternativ auch Textform möglich sein sollte. Dies in Anlehnung an das revidierte Versicherungsvertragsgesetz¹⁹⁹, das am 1. Januar 2022 in Kraft getreten ist und neu grossmehrheitlich alternativ neben der Schriftform jede «andere Form, die den Nachweis durch Text ermöglicht», vorsehe. So schlagen einige Teilnehmende²⁰⁰ denn auch vor, diese