Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

könne. Dies werde auch im erläuternden Bericht betont. Die ASDPO unterstreicht, dass die Informationen in den Buchstaben b–d auf jeden Fall bereitgestellt werden müssten und der Zusatz «soweit möglich» zu streichen sei.

Asut bemerkt, dass die Buchstaben e und f unklar formuliert seien und nicht repräsentieren würden, dass dem EDÖB nur Verletzungen, die «voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder Grundrechte der betroffenen Person führen», zu melden seien.³⁵⁰ Auch besteht die Meinung, dass es bei Buchstabe e «die Folgen für die betroffenen Personen, von welchen ein hohes Risiko ausgeht» heissen müsste. Dies beinhalte bereits allfällige Risiken.³⁵¹ Zudem wird angemerkt, dass Artikel 33 Absatz 3 Buchstabe c DSGVO von «wahrscheinlichen Folgen» spreche. Dies sei auch für den E-VDSG zu übernehmen, da in der Praxis der Verantwortliche die Auswirkungen nur erahnen könne.³⁵² Von anderer Seite wird gewünscht, dass Buchstabe e ebenfalls mit dem Zusatz «soweit möglich» versehen werden solle, da es nicht immer möglich sei, bereits bei Entdeckung einer Verletzung der Datensicherheit die Folgen und allfälligen Risiken umgehend und abschliessend festzustellen.³⁵³ Zudem müsse in Buchstabe f vom «Risiko» und nicht von den «Folgen» die Rede sein.³⁵⁴ SwissICT betont, dass auch wenn ein Mangel behoben worden sei, trotzdem gleichzeitig Folgen bzw. Schäden gemildert werden müssten.³⁵⁵ Economiesuisse hält zudem fest, dass durch «gegebenenfalls» angezeigt werden müsse, dass nur die tatsächlich ergriffenen Massnahmen zu melden seien.

swissprivacy.law wünscht eine Präzisierung, dass nur bei einer Meldepflicht alle Informationen gemeldet werden müssten. Sofern der EDÖB freiwillig informiert werde, seien nicht alle in Absatz 1 aufgelisteten Daten bereitzustellen. Auch wird eine «de minimis»-Regelung gefordert, welche Fälle ausschliesst, in welchen der EDÖB keine Handlungsmöglichkeiten hätte. Damit könnten Ressourcen geschont werden.³⁵⁶

Abs. 2

Der Hinweis «bei Entdeckung der Verletzung der Datensicherheit» erscheine wenig sinnvoll. Denn zu diesem Zeitpunkt verfüge der Verantwortliche erfahrungsgemäss noch nicht über alle geforderten Informationen, die sich erst mit der Zeit erfassen liessen.³⁵⁷ Die ASDPO betont hingegen, dass klar statuiert werden müsse, dass die Informationen so schnell als möglich bereitzustellen seien, und nicht erst bei Feststellung der Verletzung.

Abs. 3

Einige Teilnehmende betonen, dass das Gesetz eine Information der betroffenen Person nur vorschreibe, wenn es zu ihrem Schutz erforderlich sei oder der EDÖB es verlange. Dagegen sehe die Verordnung immer eine Mitteilung der Informationen nach Absatz 1 Buchstaben a,