Erläuternder Bericht

Bestimmungen, die vorsehen, dass die betroffene Person den Aufschub einer Auskunft durch den EDÖB überprüfen lassen kann (z.B. Art. 63 Abs. 3 i.V.m. Art. 64 NDG⁵³).

Absatz 3 (Rechtsetzungsdelegation): Für den Bereich der Datensicherheit wird in Arti- kel 57s^bisAbsatz 3 VE-RVOG festgelegt, dass der Bundesrat die Anwendbarkeit von Bestimmungen zur Datensicherheit von Personendaten auf Daten juristischer Perso- nen regelt. Dies hängt damit zusammen, dass verschiedene Sachverordnungen die Anforderungen an die Datensicherheit konkretisieren. Die allgemeinen Bestimmungen zur Bearbeitung von Daten juristischer Personen in den Artikeln 57r ff. RVOG enthalten aber keine Regelung betreffend Datensicherheit.⁵⁴ Damit die spezialrechtlichen Best- immungen zur Datensicherheit aufgrund von Artikel 57s^bisAbsatz 1 RVOG nicht ohne Weiteres für die Daten juristischer Personen anwendbar werden, wird der Bundesrat dazu befugt, die Anwendbarkeit dieser Bestimmungen auf Daten juristischer Personen zu regeln. Da sich die besonderen Bestimmungen zur Datensicherheit in der Regel auf Verordnungsstufe befinden, soll auch die dazugehörige bereichsübergreifende Aus- nahmebestimmung auf Verordnungsstufe angesiedelt werden.

Art. 57s^terAuftragsbearbeitung

Die Bestimmung zur Auftragsbearbeitung ermöglicht es einem Bundesorgan, Daten juristischer Personen unter gewissen Voraussetzungen an einen Auftragsbearbeiter zu übermitteln und von diesem bearbeiten zu lassen. Die Auftragsbearbeitung ist von der Datenbekanntgabe an einen Dritten zu unterscheiden. Sie stellt keine Datenbekannt- gabe im datenschutzrechtlichen Sinne dar, da die Datenherrschaft beim verantwortli- chen Bundesorgan verbleibt.⁵⁵

Eine Bestimmung zur Auftragsbearbeitung fehlte im RVOG bisher, obwohl es sich da- bei um ein in der Praxis häufiges Vorgehen handelt. So ist beispielsweise die Aufbe- wahrung von Daten in einer Cloud in vielen Fällen als eine Auftragsbearbeitung zu qualifizieren.⁵⁶ Artikel 57s^terVE-RVOG regelt das Verhältnis zwischen dem verantwort- lichen Bundesorgan und dem Auftragsbearbeiter weitgehend übereinstimmend mit Ar- tikel 9 DSG.

Absatz 1: Analog zur Übertragung der Bearbeitung von Personendaten (Art. 9 Abs. 1 DSG) können Bundesorgane die Bearbeitung von Daten juristischer Personen vertrag- lich oder mittels gesetzlicher Grundlage an einen Auftragsbearbeiter übermitteln (Art. 57s^terAbs. 1 Einleitungssatz VE-RVOG). Dabei ist einerseits vorausgesetzt, dass der Auftragsbearbeiter die Daten nur so bearbeitet, wie das verantwortliche Bundesor- gan selbst es tun dürfte (Bst. a). Andererseits darf keine gesetzliche oder vertragliche