Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Einige Teilnehmende²⁰⁵ sind der Ansicht, dass diese Bestimmung in die interne Organisationsfreiheit der Unternehmen eingreift. Ein Unternehmen müsse sicherstellen, dass die Verträge die Datenschutzvorschriften einhalten. Die Transportunternehmen sollten vom Anwendungsbereich dieser Bestimmung ausgenommen werden.

Zwei Teilnehmende²⁰⁶ merken an, dass Bundesorgane, beispielsweise Krankenversicherungen, unzählige Verträge haben, die eine Auftragsdatenbearbeitung beinhalten. Der risikobasierte Ansatz verlange, dass die Datenschutzberaterin oder der Datenschutzberater die besonders risikobehafteten Bearbeitungen durch das Verzeichnis der Bearbeitungstätigkeiten kenne. Eine zusätzliche Informationspflicht – zumal in dieser Absolutheit – sei überflüssig.

Dies umso mehr, als sie keinen Mehrwert für die betroffenen Personen schaffe.

Das DFS unterstreicht, dass Datenschutzberaterinnen und Datenschutzberater mit ihrer präventiven Tätigkeit von grosser Bedeutung seien. Dieser Aspekt sei bei der Ausgestaltung dieses Artikels zu berücksichtigen, damit nachfolgende Probleme soweit wie möglich vermieden werden könnten. Dies könne im Rahmen einer vorgängigen Konsultation der datenschutzbeauftragten Person geschehen, was auch den Einsitz in entsprechende Gremien beinhalte.

HDC hält fest, dass die Informationspflicht gegenüber der Datenschutzberaterin oder dem Datenschutzberater sinnvoll sein könne. Sie habe jedoch Mühe, deren Anknüpfung an das nDSG sowie die Folgen einer Verletzung der Informationspflicht zu erkennen. Sie frage sich, ob eine solche Verletzung zur Folge habe, dass die Datenbearbeitung widerrechtlich wäre und die betroffene Person auf dieser Grundlage Ansprüche geltend machen könnte (Art. 41 nDSG). Einige Teilnehmende²⁰⁷ erinnern daran, dass eine Informationspflicht bereits in Artikel 29 nDSG enthalten sei. Diese sei allgemeiner formuliert und umfasse auch die Information über Auftragsbearbeitungen, sofern diese relevant seien.

ASIP fordert folgende Präzisierung: «Nicht gemeint sind Bundesorgane als Auftragsbearbeiter gemäss Artikel 2 Absatz 1 Buchstabe b i. V. m. Artikel 5 Buchstabe i nDSG».

Für swissICT ist nicht ersichtlich, warum hier für den Bund besondere Anforderungen auf Verordnungsstufe festgelegt werden, da Artikel 24 DSG die Meldung von Verletzungen der Datensicherheit regle. Die internen Prozesse sollten vom Bundesorgan selbst geregelt werden können. Zudem sehe bereits Artikel 29 Absatz 1 nVDSG eine Informationspflicht des Bundesorgans an die Datenschutzberaterin oder den Datenschutzberater vor. Überdies möchte swissICT, dass der Begriff «Probleme» näher erläutert wird.

3.2.8 Art. 8 E-VDSG: Angemessenheitsentscheid

VS begrüsst die Erstellung einer Liste der Staaten, Sektoren und Gebiete mit einem angemessenen Datenschutz (Anhang).