Erläuternder Bericht

Vernehmlassung 2024/93: Änderung des RVOG (Schutz von Daten juristischer Personen durch Bundesorgane) · 49 Seiten

Fedlex · Erläuternder Bericht · Seite 27Fedlex · Erläuternder Bericht

Geheimhaltungspflicht die Auftragsbearbeitung verbieten (Bst. b). Der Auftragsbear- beiter muss insbesondere die bereichsspezifischen Vorgaben, die für die Bundesor- gane im Umgang mit Daten juristischer Personen gelten, einhalten. Artikel 57s^terAb- satz 1 VE-RVOG führt aber nicht dazu, dass die Bestimmungen des DSG auch für Da- ten juristischer Personen gelten. Aus diesem Grund wird auch auf die Übernahme von Artikel 9 Absatz 2 DSG verzichtet. So gelten die Bestimmungen zur Datensicherheit des DSG und der Datenschutzverordnung vom 31. August 2022⁵⁷ (DSV) nur für Per- sonendaten und nicht für Daten juristischer Personen.⁵⁸

Artikel 57s^terAbsätze 2 und 3 VE-RVOG betreffend die Genehmigung von Subauftrags- bearbeitungen und die Rechtfertigungsgründe des Auftragsbearbeiters entsprechen Artikel 9 Absätze 3 und 4 DSG. Zur Form der Genehmigung einer Subauftragsbearbei- tung stellen sich verschiedene Umsetzungsfragen, die auf Verordnungsstufe in Anleh- nung an Artikel 7 DSV noch präzisiert werden.

Art. 57s^quaterAngebot von Unterlagen an das Bundesarchiv

Für die Archivierung von Daten juristischer Personen sollen dieselben Vorgaben gelten wie für die Archivierung von Personendaten. Zu diesem Zweck wird in Artikel 57s^quater VE-RVOG eine analoge Regelung zu Artikel 38 DSG geschaffen. Danach bieten die Bundesorgane dem Bundesarchiv alle Daten juristischer Personen an, die sie nicht mehr ständig benötigen (Abs. 1). Die vom Bundesarchiv als nicht archivwürdig bezeich- neten Daten müssen die Bundesorgane vernichten, es sei denn, dass sie die Daten anonymisieren oder dass die Daten zu Beweis- oder Sicherheitszwecken oder zur Wah- rung der schutzwürdigen Interessen der betroffenen juristischen Person aufbewahrt werden (Abs. 2).

Art. 57s^quinquiesDatenbearbeitung für nicht personenbezogene Zwecke

Artikel 39 DSG erleichtert die Bearbeitung von Personendaten für nicht personenbezo- gene Zwecke, insbesondere für Forschung, Planung oder Statistik. Damit dieselben Erleichterungen auch für die nicht personenbezogene Bearbeitung von Daten juristi- scher Personen gelten, wird in Artikel 57s^rquinquiesVE-RVOG eine analoge Bestimmung zu Artikel 39 DSG geschaffen. Entsprechend nennt Artikel 57s^quinquiesAbsatz 1 VE-

⁵⁷ SR 235.11

⁵⁸ Die Sicherheit der Daten juristischer Personen wird aber bis zu einem gewissen Grad durch das Informationssicherheitsgesetz vom 18. Dezember 2020 (ISG; SR 128) mit den dazugehörigen Verordnungen wie bspw. der Informationssicherheitsverordnung vom 8. November 2023 (ISV, SR 128.1) gewährleistet. Zwar bezwecken diese Erlasse nicht unmittelbar den Schutz von Daten juristischer Personen, sie können aber indirekt über die vorgesehenen Massnahmen (z.B. die Massnahmen der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der Informationen gemäss Art. 6 ISG) zur Sicherheit von Daten juristischer Personen beitragen. Dies ist insbesondere dann der Fall, wenn Dokumente, für welche Schutzmassnahmen vorgesehen werden, auch Daten von juristischen Personen enthalten.