Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Mitarbeitende beschäftige.⁴⁹¹ Manche Teilnehmende möchten auch, dass anstatt 250 Mitarbeitende durchschnittlich 250 Vollzeitstellen pro Jahr als Kriterium verwendet werden.⁴⁹²

Viele Teilnehmende halten jedoch auch kritisch fest, dass die Voraussetzungen der umfangreichen Bearbeitung besonders schützenswerter Personendaten oder des Profilings mit hohem Risiko bei Weitem nicht alle für die Persönlichkeitsrechte kritischen Datenbearbeitungen abdecken würden. Stattdessen sollten auch hier – wie in Artikel 4 Absatz 1 E-VDSG – die Voraussetzungen der DSFA übernommen werden.⁴⁹³ Auch die FRC bemerkt, dass es zwar löblich sei, die Ausnahme einzuschränken; diese Einschränkungen liefen jedoch Gefahr, ausgehöhlt zu werden, wenn der «grosse Umfang» und «Profling mit hohem Risiko» nicht besser definiert würden. Es stelle sich zudem die Frage, ob die Bearbeitung von besonders schützenswerten Personendaten nicht als solche eine Ausnahme darstellen sollte, ohne dass die Personendaten besonders umfangreich bearbeitet werdenmüssten. Die ASDPO wünscht,

dass sich der Artikel mehr an Artikel 30 Absatz 5 DSGVO orientiere.

Teilweise wird auch sehr bedauert, dass überhaupt eine Ausnahme für Unternehmen mit weniger als 250 Angestellten besteht.⁴⁹⁴ Damit lasse sich das Instrument des Verzeichnisses der Bearbeitungstätigkeiten nur allzu leicht untergraben.⁴⁹⁵ Dabei sei das Führen eines Verzeichnisses ein einfaches Mittel, mit dem sichergestellt werden könne, dass der Verantwortliche seinen Verpflichtungen im Bereich des Datenschutzes nachkomme.⁴⁹⁶ Zudem handle es sich dabei um eine unerlässliche Übung in «good governance» bezüglich Datenschutz und Datensicherheit.⁴⁹⁷ Im Übrigen stelle die Erstellung eines Verzeichnisses der Bearbeitungstätigkeiten mit den heutigen Tools auch für Einzelfirmen keinen nennenswerten Mehraufwand mehr dar. Das Verzeichnis diene aber der Sensibilisierung und dem Eigenschutz.⁴⁹⁸ Insbesondere für KMU sei es zentral, da diese immer mehr personenbezogene Daten verarbeiten würden und daher ein bevorzugtes Ziel von Hacker-Angriffen geworden seien.⁴⁹⁹

Die SBVg hält fest, dass der Wortlaut impliziere, dass das Verzeichnis für alle Bearbeitungstätigkeiten zu führen sei, sofern die Voraussetzungen für eine Ausnahme nicht erfüllt seien. Andere Teilnehmende wünschen eine Präzisierung, ob dies so gedacht sei.⁵⁰⁰ Wieder andere gehen davon aus, dass es nicht so verstanden werden könne, bzw. sprechen sich dafür aus, dass eine Verzeichnispflicht auf diejenigen Bearbeitungen zu beschränken sei, welche die Voraussetzungen erfüllen.⁵⁰¹ Damit könne sowohl dem Schutz der betroffenen Personen als auch den Bedürfnissen der KMU angemessen Rechnung getragen werden.⁵⁰² EXPERTsuisse wünscht, dass die Folgen, falls das Bearbeitungsverzeichnis nicht ordnungsgemäss geführt werde, ebenfalls klargestellt werden.