Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Die IGEM betont, das reine Vorlegen einer DSFA genüge nicht. Vielmehr müssten die Datenschutzberatenden an deren Erstellung mitwirken. Dabei müssten die Risikobewertung und die vorgeschlagenen Massnahmen geprüft werden.⁴⁸⁵

Von einigen wenigen Teilnehmenden wird eine Ergänzung angeregt, die es ermöglichen solle, «in wichtigsten Fällen die höchsten Organe [der jeweiligen Privaten oder Bundesorgane] zu informieren».⁴⁸⁶

Abs. 2

Economiesuisse merkt an, dass Buchstabe b zu Recht ein Interventionsrecht regle. Jedoch wäre es wünschenswert, dieses Interventionsrecht gemäss Buchstabe b mit einem Eskalationsrecht in einem Buchstaben c zu ergänzen. Dies sei nötig, damit die Datenschutzberatenden bei unternehmensinternen Prüfungen der Einhaltung datenschutzrechtlicher Regeln nicht nur den ihnen zur Verfügung stehenden Dokumenten vertrauen müssten, sondern auch die Beschaffung zusätzlicher Informationen und Dokumente durchsetzen könnten.⁴⁸⁷

Damit würde ein Instrumentarium geschaffen, mit dem die Datenschutzbeauftragten bei komplexen Verhältnissen oder bei besonders schwerwiegenden Verstössen gegen Datenschutzpflichten auf höherer Stufe in der Linie Gehör finden und einen Entscheid bewirken lassen könnten. Eine Möglichkeit wäre auch der Gang zu einer Compliance-Organisation oder der Linienweg in Absprache mit dieser. Ohne eine solche Norm würden sich die Datenschutzberatenden dem Risiko aussetzen, selbst haftbar zu werden.⁴⁸⁸ Laut der ASDPO sei aber in jedem Fall in Artikel 25 E-VDSG klarzustellen, welche zivil- oder strafrechtliche Verantwortung die Datenschutzberatenden tragen würden.

Santésuisse merkt an, es fehle eine Norm für die Datenschutzberatenden Privater in Analogie zu Artikel 28 E-VDSG, die Ausführungen zur Unabhängigkeit und Weisungsgebundenheit der Datenschutzberatenden machen würde.

3.2.26 Art. 26 E-VDSG: Ausnahme von der Pflicht zur Führung eines Verzeichnisses der Bearbeitungstätigkeiten

Grundsätzlich wird die Ausnahme begrüsst.⁴⁸⁹ Die Grenze von 250 Mitarbeitenden orientiere sich am Recht der Aktiengesellschaft.⁴⁹⁰ CP ist der Meinung, dass damit wohl die überwiegende Mehrheit der KMU von dieser Ausnahme profitieren würde. Dies stehe im Einklang mit dem risikobasierten Ansatz des nDSG. Die Privatwirtschaft wünscht gar eine weitere Lockerung bzw. Präzisierung der Bestimmungen, wodurch kleinere Betriebe weniger belastet würden. Die Spitex Schweiz schreibt, dass die vorgesehene Ausnahme für viele Betriebe nicht zur Anwendung kommen würde, da diese besonders schützenswerte Personendaten in grossem Umfang bearbeiteten oder sie Teil eines Konzerns seien, der insgesamt mehr als 250