Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Auftragsbearbeiter dieselben Pflichten aufzubürden wie dem Verantwortlichen. Der Titel ergebe sich a priori aus der Verpflichtung, die den Auftragsbearbeitern in Artikel 24 Absatz 3 nDSG auferlegt werde.

Überdies widerspreche eine Verantwortlichkeit des Auftragsbearbeiters auch der Logik des nDSG.²⁵⁹ Die Auftragsbearbeiter erledigten ihre Aufgaben lediglich nach Weisungen und ausschliesslich nach dem von den Verantwortlichen vorgegebenen Zweck. Nach Artikel 19 ff.

nDSG obliege die Informationspflicht nur den verantwortlichen Behörden, jedoch nicht den Auftragsbearbeitern. Diese müssten sich lediglich an die vertraglichen Pflichten bzw. an die gesetzlichen Vorgaben halten.²⁶⁰ De facto würde damit das vertraglich vereinbarte Auftragsverhältnis aufgehoben oder zumindest stark beeinträchtigt. Der Verantwortliche verliere seine Funktion als Geschäftsherr, und in diesem Zusammenhang seine Überwachungspflicht gegenüber dem Auftragsbearbeiter.²⁶¹ Es könne zwar allenfalls eine vertragliche Delegation der Pflichterfüllung stattfinden, jedoch sei es grundsätzlich «systemwidrig», beide gleichzeitig in die Pflicht zu nehmen. Daher wäre höchstens möglich, das «und» mit einem «oder» zu ersetzen.²⁶²

Weiter bestehe laut dem AFBS mit einer Verantwortlichkeit des Auftragsbearbeiters die Gefahr, dass die Information mehrfach an die betroffene Person bekannt gegeben werde und dies zu widersprüchlichen Aussagen führe. Auch besitze der Auftragsbearbeiter die gewünschte Information oft gar nicht oder er sei sich nicht im Klaren, welche Informationen wem gegeben werden dürften und müssten.²⁶³ Im Übrigen sei diese Pflicht strafbewehrt nach Artikel 60 nDSG, sodass auf diesem Weg auch die Strafbarkeit des Auftragsbearbeiters bzw. der für ihn handelnden Personen eingeführt würde.²⁶⁴

Die kantonale Datenschutzbehörde von Neuenburg und Jura bemängelt in diesem Zusammenhang, dass in der Praxis die Norm schwierig umsetzbar sei, da es keine Koordinationsregel gebe. Es stelle sich die Frage, wer bei Verstössen nach Artikel 60 nDSG belangt würde. Der Kanton Waadt findet, die Koordination zwischen Verantwortlichem und Auftragsbearbeiter müsste klar geregelt sein. Der Kanton Schwyz kritisiert, dass die Bestimmung unklar formuliert sei und impliziere, dass sich Verantwortliche und Auftragsbearbeiter gegenseitig informieren müssten.²⁶⁵ Auch SWICO merkt an, dass Absatz 1 in Kombination mit den Erläuterungen gesamthaft unpräzise sei. Dies führe zu Rechtsunsicherheit. Curafutura findet, im Interesse der Rechtssicherheit sei klarzustellen, wie der Informationspflicht nachgekommen werden könne.²⁶⁶

Es wird auch angeführt, dass es sich bei einer Verantwortlichkeit des Auftragsdatenbearbeiters um ein Swiss Finish handle.²⁶⁷ Dabei würde laut der SBVg der grenzüberschreitende