Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

3.2.11 Art. 11 E-VDSG: Verbindliche unternehmensinterne Datenschutzvorschriften, BCR

Abs. 1

Es wird eine Präzisierung gewünscht, wann ein Unternehmen zum selben Konzern gehöre.²⁵⁰ Die ASDPO stellt sich die Frage, ob Unternehmen einer Gruppe zu mehr als 50 Prozent im Besitz derselben Anteilseigner sein müssten und wie Zweigniederlassungen zu bewerten seien. HÄRTING Rechtsanwälte beschreibt, dass man in der Regel von verbundenen Unternehmen sprechen würde, wenn eine Gesellschaft durch Kapital- oder Stimmenmehrheit eine oder mehrere Gesellschaften unter einheitlicher Leitung zusammenfasse.

Classtime merkt an, dass die Binding Corporate Rules (BCR)²⁵¹ ebenfalls für alle Dienstleister gelten sollten, die in einem direkten Auftragsverhältnis stehen.²⁵²

Abs. 2

EXPERTsuisse merkt an, Artikel 11 E-VDSG gehe weniger weit als Artikel 47 DSGVO. Die bisherigen BCR seien aber regelmässig so formuliert worden, dass sie auch EU-konform gewesen seien. Die FER bemerkt dagegen, dass die gestellten Anforderungen über Artikel 16 Absatz 2 Buchstabe e nDSG hinausgingen und mit Buchstabe a die DSGVO nachgeahmt werde. Dies sei nicht notwendig und es würde ausreichen, Buchstabe b dieses Absatzes beizubehalten.

Zudem ist die FER der Meinung, Artikel 6 Absatz 5 der geltenden VDSG sehe vor, dass die Datenschutzbeauftragten die ihnen gemeldeten Garantien und die Datenschutzregeln prüfen und ihr Ergebnis innerhalb von 30 Tagen dem Inhaber der Datensammlung mitteilen, ohne diesen zu verpflichten, die nach Artikel 11 Absatz 2 Buchstabe a E-VDSG geforderten Informationen zu teilen. In diesem Sinn wünscht die FER, dass auch in Artikel 11 E-VDSG eine Frist für den EDÖB zur Mitteilung seines Ergebnisses enthalten sollte. Die 30-Tage-Frist von Artikel 6 Absatz 5 der geltenden VDSG solle beibehalten werden.

3.2.12 Art. 12 E-VDSG: Verhaltenskodizes und Zertifizierungen

Abs. 2

Einige wenige Teilnehmende sind der Meinung, der Verhaltenskodex könne die Angaben nach Artikel 9 Absatz 1 E-VDSG nicht enthalten, da dieser naturgemäss abstrakt und nicht für spezifische Unternehmen formuliert sei. Daher sollten die Punkte nach Artikel 9 Absatz 1 E-VDSG idealerweise nur nach deren Sinn und Zweck geregelt werden müssen.²⁵³

Der SFF merkt an, dass die Verhaltenskodizes und Zertifizierungen vom EDÖB genehmigt werden müssten, obwohl Artikel 9 E-VDSG, auf welchen verwiesen werde, nur eine Information an den EDÖB, nicht aber dessen Genehmigung vorsehe. Es sei unklar, wann der EDÖB