Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Signatur benötigt werde. Dies müsse genauer spezifiziert werden. Jedoch dürften die Anforderungen an die Schriftlichkeit nicht zu hoch sein.³⁴¹ Sollte die Schriftform als Kriterium beibehalten werden, müsste diese ausdrücklich weiter gefasst werden als die Formvorschrift in Artikel 12 ff. OR.³⁴²

Mehr im Detail wird bemängelt, dass die Regelung davon ausgehe, dass die DSFA nie erneuert werde. Dies entspreche nicht der Praxis. Daher sei unklar, wie mit mehreren Fassungen umzugehen sei. Dies sei zu präzisieren, indem auf die aktuellste Fassung zu verweisen sei.³⁴³ Nach Ansicht von curafutura sollten die Bundesorgane keine DSFA vornehmen müssen, sofern die Daten wie gesetzlich vorgesehen bearbeitet werden. Die FMH ist der Meinung, dass diese Bestimmung den Wortlaut von Artikel 22 Absatz 2 Buchstabe a nDSG genauer definieren müsste, um eindeutig zu bestimmen, was eine «umfangreiche Bearbeitung» sei.

3.2.19 Art. 19 E-VDSG: Meldung von Verletzungen der Datensicherheit

Abs. 1

Diesbezüglich wird vorgebracht, Artikel 24 Absatz 1 nDSG sehe eine Meldung von Verletzungen der Datensicherheit nur vor, wenn voraussichtlich ein hohes Risiko für die Persönlichkeit und die Grundrechte der betroffenen Person bestünde. In diesem Sinn sei Artikel 24 nDSG eine bewusst von Artikel 33 DSGVO abweichende Bestimmung. Trotzdem würden in Artikel 19 E-VDSG mehrheitlich Bestimmungen aus Artikel 33 DSGVO übernommen. Diese würden primär Verantwortlichen dienen, die auch der DSGVO unterliegen. Für die anderen seien es unnötige Zusatzbestimmungen, die zusätzliche Arbeit verursachen würden.³⁴⁴ Insbesondere die Angabe von Zeitpunkt und Dauer der Verletzung gehe über die DSGVO hinaus. Es handle sich damit um ein Swiss Finish.³⁴⁵ DigiGes hingegen betont, dass die Angabe über Zeitpunkt und Dauer nicht über den Rahmen des Gesetzes hinausgehe. Denn diese habe erstens nur zu erfolgen, soweit Zeitpunkt und Dauer überhaupt feststellbar seien; und zweitens nur im Falle, dass diese Informationen grundsätzliche Bedeutung hätten, um das Ausmass der Verletzung abschätzen zu können. Die suva befindet zudem, dass Buchstabe a über die DSGVO hinausgehe. Dies sollte jedoch in der Praxis kein Problem darstellen.³⁴⁶

Andere Pflichten gingen über Artikel 24 Absatz 4 nDSG hinaus. Die Kriterien der Buchstaben b–d seien dem Gesetz nicht zu entnehmen. Dazu bestehe keine gesetzliche Grundlage.³⁴⁷ Die Abschwächung vieler dieser Zusatzbestimmungen durch den Zusatz «wenn möglich» sei dabei wenig dienlich. Das Ziel sei, dass die Aufsichtsbehörde und allenfalls auch die betroffenen Personen rasch informiert und Massnahmen zum Schutz der Personendaten umgehend getroffen würden. Daher sei die in Artikel 19 E-VDSG getroffene Konkretisierung unnötig.³⁴⁸ Andere Stimmen finden diesen Zusatz sinnvoll, da die Angaben in der Praxis oft nicht möglich seien.³⁴⁹ DigiGes hält fest, die Angaben in den Buchstaben a–g seien notwendig, damit der EDÖB sich ein umfassendes Bild im Falle einer Verletzung der Datensicherheit machen