Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

sei es gerechtfertigt, den Anforderungskatalog anzupassen, um unterschiedliche Konstellationen abzudecken (Verantwortlicher, Auftragsbearbeiter), oder das Wort «mindestens» durch den Ausdruck «je nach den Umständen» zu ersetzen. Und schliesslich fehlten Regelungen zur Meldung von Verletzungen der Datensicherheit, insbesondere soweit die betroffenen Personen zu informieren seien. Andere Teilnehmende²²⁸ stellen ebenfalls die Frage nach der Rechtsgrundlage. Sie halten zudem fest, dass die Kriterien nicht kumulativ allen möglichen Rechtssystemen unterstellt werden dürften, sonst könne das der Verantwortliche nicht mehr handhaben.

Die ASDPO hält fest, dass ein Punkt betreffend das Prüfungsrecht des Datenexporteurs gegenüber dem Importeur fehle. Er schlägt daher vor, einen Buchstaben m zum Prüfungsrecht und einen Buchstaben n zur Meldung von Verletzungen der Datensicherheit hinzuzufügen.

Die Post ist der Ansicht, dass die Buchstaben d, e, f und j zu streichen sind.

Einige Teilnehmende²²⁹ weisen auf die fehlende Unterscheidung zwischen den Rollen der Exporteure und Importeure hin. Sie fragen sich, ob es nicht praktikabler wäre, wenn der Wortlaut von Artikel 9 gänzlich ersetzt und an Artikel 28 Absatz 4 DSGVO angelehnt wird. In der Praxis sei diese ja ohnehin bereits verbindlich.

Gemäss Bär & Karrer definieren die Buchstaben a–k den Mindestinhalt von Datenschutzklauseln. Die DSGVO enthalte keine solchen Aufzählungen (Art. 43 Ziff. 3 DSGVO). Sie regle nur den Mindestinhalt von verbindlichen internen Datenschutzvorschriften. Für Walderwyss fehlen insbesondere Vereinbarungen, in welcher Form lokale Rechtsvorschriften geprüft oder berücksichtigt werden und wie im Fall von Behördenzugriffen zu verfahren sei.

Abs. 1 Bst. a

Einige Teilnehmende²³⁰ merken an, dass der Grundsatz der Transparenz fehle. Der Wortlaut sei entsprechend zu erweitern.

Abs. 1 Bst. d und e

Nach Ansicht einiger Teilnehmender²³¹ hat die namentliche Nennung der Staaten oder internationalen Organisationen, denen Personendaten bekanntgegeben werden, bei Weiterübermittlungen keine rechtliche Grundlage. Darüber hinaus sei die Frage der Weiterübermittlung zu klären. Dessen ungeachtet genüge es, dass die Empfängerin oder der Empfänger bezeichnet werde. Die Standardvertragsklauseln der Europäischen Union würden sich ebenfalls darauf beschränken. Gemäss swissICT fehlt eine gesetzliche Grundlage für die Vorgabe, die Länder oder Organisationen zu nennen, in die Daten weiterübermittelt werden. Deshalb seien diese Buchstaben zu streichen.