Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Formulierung zu übernehmen wie in Artikel 28 Absatz 2 DSGVO, in dem unter «schriftlich» die elektronische Form wie jede andere Form, die den Nachweis durch Text ermöglicht, zu verstehen ist. Redaktionell wird folgende Formulierung vorgeschlagen: «schriftlich oder elektronisch oder in jeder anderen Form, die den Nachweis durch Text ermöglicht». Gemäss BE ist anstatt «schriftlich» «unveränderlich in Textform» zu verwenden. Entsprechend sollte der erläuternde Bericht festhalten, dass Schriftform insbesondere Dokumente in Papier- oder elektronischer Form meint. LU regt an, die elektronische Form ausdrücklich zu erwähnen oder Wendungen wie «ausdrückliche Zustimmung» oder «in Textform festlegen» oder «aufzeichnen» zu verwenden, sofern die Streichung der Formvorschriften nicht ohnehin angebracht sei. Santésuisse weist darauf hin, dass die Hürde an die Schriftlichkeit nicht zu hoch sein dürfe.

Gemäss curafutura sollte anstelle einer Genehmigung alternativ auch ein Widerspruchsvorbehalt möglich sein. BE schlägt folgende Präzisierung vor: «nur mit vorgängiger Genehmigung des Bundesorgans». Einige Teilnehmende²⁰¹ merken an, dass eine allgemeine Genehmigung entsprechend den Vorgaben der DSGVO zulässig sei und es keiner einzelfallbezogenen und spezifischen schriftlichen Einwilligung bedürfe. Als Beispiel führen sie Standard-Online-Services an, die dies in ihren AGB nicht vorsehen. Somit wäre es nicht mehr möglich,

solche Services zu beziehen.

VD weist auf einen Tippfehler hin: Anstatt «Lorsque le responsable de traitement» sollte im französischen Text «Lorsque le responsable du traitement» stehen.

3.2.7 Art. 7 E-VDSG: Information an die Datenschutzberaterin oder den Datenschutzberater des Bundesorgans

Die Bestimmung wird als überflüssig erachtet. Deshalb wird ihre Streichung verlangt.²⁰² Einige Teilnehmende²⁰³ erinnern daran, dass gemäss den Artikeln 28 und 10 Absatz 2 Buchstabe b nDSG die Datenschutzberaterin oder der Datenschutzberater des Bundesorgans bei der Anwendung der Datenschutzvorschriften mitzuwirken habe. SO fügt hinzu, dass diese Bestimmung dieser Anforderung zu wenig Rechnung trage. Für einige Teilnehmende²⁰⁴ scheint es dem risikoorientierten Ansatz des nDSG zu widersprechen, wenn die Datenschutzberaterin oder der Datenschutzberater lediglich nachträglich über den Abschluss eines Outsourcingvertrags oder bei einer Funktionsübertragung informiert werden soll. Die Aufgaben der Datenschutzberaterinnen und Datenschutzberater würden solche Transaktionen beinhalten. Im erläuternden Bericht werde ausdrücklich auf die mit der Auftragsbearbeitung einhergehenden erhöhten Risiken hingewiesen. Überdies gehöre die Mitwirkung bei der Anwendung der Datenschutzvorschriften zu ihren Kernaufgaben. Die Datenschutzberaterin oder der Datenschutzberater sei rechtzeitig zu informieren, wie dies bei den Datenbearbeitungsprojekten der Bundesorgane vorgesehen sei (Art. 31). Die Bestimmung sei zumindest zu stärken.