Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Für einige Teilnehmende²³⁷ ist das Verb «sicherstellen» etwas überrissen. Dies impliziere eine Garantie der Einhaltung der Klauseln bzw. eine Kausalhaftung, wofür es keine gesetzliche Grundlage gebe. Eine solche Pflicht könne vernünftigerweise nicht verlangt werden. Sie bevorzugen den Ausdruck «darauf hinwirken» oder «in angemessener Art und Weise Sorge tragen». Zudem erachten einige Teilnehmende²³⁸ diesen Absatz als zu unbestimmt. Es stelle sich die Frage, was diese Massnahmen sein könnten; zumal auch die DSGVO keine solche Regelung kenne. Dieser Absatz solle aufgehoben werden.

Einige Teilnehmende²³⁹ unterstreichen, dass die Schutzklauseln eine Informationspflicht der Empfängerin oder des Empfängers gegenüber den betroffenen Personen beinhalten müssten. Es obliege nicht dem Auftragsbearbeiter, die betroffenen Personen zu informieren. Dies sei Sache des Verantwortlichen.

Abs. 3

Einige Teilnehmende²⁴⁰ sind der Ansicht, dass gemäss Artikel 16 Absatz 2 Buchstaben b und c nDSG Datenschutzklauseln und spezifische Garantien dem EDÖB vorgängig mitzuteilen sind. Sie fordern, dass der Einleitungssatz von Artikel 9 Absatz 3 neu formuliert oder der ganze Absatz angepasst wird. Der Absatz suggeriere nämlich, dass es einen Sachverhalt geben könnte, in dem auch die Nichtmitteilung zu einer rechtskonformen Bekanntgabe ins Ausland führen würde. SH betont, dass dieser Absatz den Artikel 16 Absatz 2 Buchstaben b und c nDSG nicht abschwächen dürfe. VD hält fest, dass in Zusammenhang mit der DSGVO und der Bearbeitung und Übermittlung von Daten zwischen juristischen Personen desselben Unternehmens oder derselben Unternehmensgruppe Letztere als Dritte zu betrachten seien. Daher seien ein Subunternehmervertrag und Schutzklauseln erforderlich. Nach Ansicht des SFF wird mit der Nichtgenehmigung der spezifischen Garantien des Datenschutzes durch den EDÖB (sondern blosse Mitteilung vor der Datenbekanntgabe ins Ausland) ein nicht unbeträchtliches Risiko in Kauf genommen, dass die Risikobeurteilung durch die Verantwortlichen und Auftragsbearbeiter unterschiedlich erfolgt, dies sowohl im privaten wie auch im öffentlichen Sektor. Deshalb sei diese blosse Informationspflicht durch eine Genehmigungspflicht des EDÖB zu ersetzen.

3.2.10 Art. 10 E-VDSG: Standarddatenschutzklauseln

Einige Teilnehmende²⁴¹ begrüssen diese Bestimmung und namentlich, dass der EDÖB eine Liste von Standarddatenschutzklauseln veröffentlicht. Zudem wünscht die EKK Beispiele von Kriterien zur Beurteilung, ob die Massnahmen angemessen sind.

Im Allgemeinen wird die Streichung oder Anpassung dieser Bestimmung verlangt.²⁴² Im Hinblick auf die Einführung von Standarddatenschutzklauseln wird die Bestimmung als überrissen²⁴³ oder gar überflüssig²⁴⁴ erachtet. Sie sei zu unbestimmt und es sei nicht klar, was