Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Anwendung der Datenschutzvorschriften als Aufgaben der Datenschutzberatenden vor. Daher seien die in Artikel 25 E-VDSG festgehaltenen Aufgaben nicht die wahrzunehmenden Aufgaben, sondern nur deren teilweise Konkretisierung. Dies sei in der Norm zu präzisieren.⁴⁶⁵

Manche Kantone schlagen vor, beispielsweise das Wort «insbesondere» einzufügen.⁴⁶⁶ Auch wird dafür plädiert, nur Artikel 10 Absatz 2 nDSG zu belassen, welcher umfassender formuliert sei.⁴⁶⁷ Das DFS empfiehlt, die Aufgaben der Datenschutzberatenden genauer zu präzisieren, da diese zu rudimentär festgelegt seien. Neben der Mitwirkung an der DSFA sollten auch die datenschutzfördernden Aufgaben der Datenschutzberatenden aufgeführt werden. Als Beispiel sollten Datenschutzberatende vermehrt präventiv tätig sein.⁴⁶⁸ Die ASDPO regt ein Inventar oder eine Funktionsbeschreibung an.

Auch angeführt wird, dass es konzeptionell nicht korrekt sei, dass die Datenschutzberatenden die Aufgaben «wahrnehmen» müssten, stattdessen müssten sie diese «haben».⁴⁶⁹

SWICO bringt an, dass die Aufgaben als persönliche gesetzliche Pflicht der privaten Datenschutzberatenden aufgeführt werden sollten, was haftungsrechtliche Fragen ohne entsprechende Klärung nach sich ziehe. In den genannten Punkten sei eine Klarstellung bzw. Überarbeitung notwendig. Zudem halten andere Teilnehmende fest, dass von einer «Muss-Formulierung» abgesehen werden sollte, da die Datenschutzberatenden für die Privaten freiwillig seien. Würde die Bestimmung so verstanden, dass auch Private verpflichtet wären, Datenschutzbeauftragte zu haben, würde dazu die gesetzliche Grundlage fehlen.⁴⁷⁰

Die SPA merkt an, dass die Abgrenzung zwischen den Datenschutzberatenden und dem Verantwortlichen nicht klar sei, wenn ein Unternehmen nach Artikel 37 DSGVO bereits über einen Datenschutzbeauftragten verfüge.

Bst. a

Manche Teilnehmende betonen, dass dem Artikel 10 Absatz 2 nDSG kein Auftrag zur Regelung einer allgemeinen Überprüfung sämtlicher Bearbeitungen von Personendaten zu entnehmen sei, obwohl Buchstabe a das nun vorsehe.⁴⁷¹ Die Prüfpflicht jeglicher Datenbearbeitung widerspreche auch dem in Artikel 8 nDSG verankerten risikobasierten Ansatz. Die Implikation im erläuternden Bericht, dass alle Bearbeitungen zu prüfen seien, sei nicht richtig. Es könne risikoorientiert geprüft werden.⁴⁷²

Im Ergebnis sei unklar, in welchem Umfang die Bearbeitungen zu prüfen seien (alle, einige, nur die vorgelegten, nur nach Risiko).⁴⁷³ Economiesuisse hält fest, dass nur eine Konsultationspflicht bestehe und ausserhalb dieser die Datenschutzberatenden nur allgemein beratend