Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

einen angemessenen Ermessensspielraum für die individuelle Umsetzung durch den einzelnen Verantwortlichen zur Verfügung stellen.³⁶⁵ Artikel 24 nDSG enthalte keine Verpflichtung, Informationen im Zusammenhang mit einer Sicherheitsverletzung zu dokumentieren und aufzubewahren.³⁶⁶ Dies sei auch in der DSGVO nicht vorgesehen. Es handle sich daher um ein Swiss Finish.³⁶⁷

Zudem wird bemängelt, die Pflicht gehe viel zu weit, da alle «mit den Vorfällen zusammenhängenden Tatsachen» dokumentiert werden müssten.³⁶⁸ Der Begriff «zusammenhängende Tatsachen» würde denn auch fälschlicherweise suggerieren, dass speziell für die Dokumentationspflicht Tatsachen zu erforschen seien, die nach Absatz 1 Buchstaben a–g nicht aufgelistet seien.³⁶⁹ Die AFBS betont, dass im Falle einer Beibehaltung der Norm präzisiert werden müsse, dass der Verantwortliche nur Informationen zur Verfügung zu stellen habe, die bekannt seien. Es könne nicht erwartet werden, dass Untersuchungen bei Externen durchgeführt würden.

Mehrere Teilnehmende fordern, dass die Aufbewahrungsdauer der Dokumentation gekürzt werden solle.³⁷⁰ Manche bringen an, die Dokumentation sei nach den für die Aufsichtsbehörden geltenden Aufbewahrungsvorschriften aufzubewahren.³⁷¹ Andere wünschen auch bei diesem Artikel, dass die Aufbewahrungsfristen in der ganzen Verordnung vereinheitlicht würden.³⁷² Andere finden, die Aufbewahrungsfrist sei auf fünf Jahre zu verlängern, da die Meldung im Falle von Haftungsansprüchen relevant sein könne.³⁷³ DigiGes hebt hervor, wie wichtig die Aufbewahrungsfrist für die betroffene Person sei, da sie ihr ermögliche, sich rechtlich zur Wehr zu setzen. Economiesuisse verlangt eine Präzisierung, dass nur meldepflichtige Verletzungen aufzubewahren seien.

Zuletzt wird bemängelt, dass der erläuternde Bericht den Begriff «voraussichtlich» falsch definiere, wenn statuiert werde, dass eine Meldung auch «in Zweifelsfällen, in welchen das Vorliegen eines hohen Risikos nicht ausgeschlossen werden kann» zu erfolgen habe. Damit werde vorausgesetzt, dass eine Verletzung der Datensicherheit mit grösster Wahrscheinlichkeit zu einem hohen Risiko führe.³⁷⁴ Dabei handle es sich jedoch um einen Pleonasmus. Der Begriff «Risiko» beinhalte bereits eine Wahrscheinlichkeitsüberlegung, das heisst wie wahrscheinlich es sei, dass ein Schaden eintritt. Daher müsse die Wahrscheinlichkeit eine gewisse Höhe aufweisen.³⁷⁵ «Voraussichtlich» heisse überhaupt nicht, dass die Meldung in jedem «Zweifelsfall», in welchem ein hohes Risiko nicht ausgeschlossen werden könne, zu erfolgen habe. Vielmehr sei diese nur dann vorzunehmen, wenn die Gefahr einer Verletzung der Rechte der betroffenen Person als klar höher einzustufen sei als die Chancen, dass keine