Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Mehrere Teilnehmende halten fest, dass Artikel 12 Absatz 5 nDSG nur dann eine Ausnahme von der Pflicht zur Führung eines Bearbeitungsverzeichnisses erlaube, wenn ein «geringes Risiko» vorliege. Daher sei davon auszugehen, dass – wenn weder Buchstabe a noch Buchstabe b erfüllt sei – per se ein geringes Risiko vorliege.⁵⁰³ Dies schränke den Anwendungsbereich der DSFA nach Artikel 22 nDSG stark ein.⁵⁰⁴ Für andere Teilnehmende ist es unklar, ob nun nur diese beiden Fälle ein hohes Risiko mit sich bringen würden. Sie wünschen eine Klarstellung, ob es sich um eine abschliessende Liste handle.⁵⁰⁵ Zudem sei zu klären, ob dies ebenfalls der Massstab sei, um eine DSFA durchzuführen bzw. ob dies auf die Meldepflicht bei Datenschutzverletzungen nach Artikel 24 nDSG übertragbar sei.⁵⁰⁶ Auch wird bemerkt, dass die Ausnahme für die Artikel 3 (Protokollierung) und 4 (Bearbeitungsreglement von privaten Personen) E-VDSG nicht vorgesehen sei, sondern nur für das Verzeichnis der Bearbeitungstätigkeiten, was zu absurden Ergebnissen führen würde.⁵⁰⁷

Die SBB wünscht, dass Transportunternehmen wie bisher aufgrund der Bestellung von Datenschutzberatenden von der Pflicht zur Anmeldung der Verzeichnisse beim EDÖB nach Artikel 12 Absatz 4 nDSG ausgenommen werden.

Bst. a

Insbesondere die «Bearbeitung von besonders schützenswerten Daten in grossem Umfang» wird als zu wenig präzise Konkretisierung, die zu viel Interpretationsspielraum lasse, gewertet. Der «grosse Umfang» solle daher präzisiert werden.⁵⁰⁸ Auch die FRC betont, die Begriffe müssten präzisiert werden, um die Bestimmung nicht auszuhöhlen.

Als Beispiel einer Präzisierung wird von der Wirtschaft eine Grenze von mindestens 1000 Datensätzen genannt.⁵⁰⁹ Der SFF spricht sich genereller für eine enge Definition aus, die beispielsweise Bezug nehme auf das Verhältnis aller Personendaten im Vergleich zu den besonders schützenswerten Personendaten. Die SP sowie der SGB hingegen betonen, dass der Begriff der «umfangreichen Bearbeitung» nicht zu restriktiv ausgelegt werden dürfe.

Bst. b

Der Kanton Luzern würde die Voraussetzung des Profiling mit hohem Risiko gerne um «für die Persönlichkeit oder die Grundrechte der betroffenen Person» ergänzen. Dies schaffe Klarheit.

Genereller seien für Verzeichnisse Übergangsfristen vorzusehen, da sie einen sehr grossen Aufwand mit sich bringen würden.⁵¹⁰ Zudem wird eine Präzisierung gewünscht, wonach Verzeichnisse nicht nur schriftlich, sondern auch in anderer Form, die den Nachweis durch Text ermöglicht, geführt werden können.⁵¹¹