Erläuternder Bericht

hat (Bst. e). Die Post muss das Löschen zuvor ankündigen. Die beiden letztgenannten Bestimmungen (Bst. d und e) bezwecken, dass keine Daten aufbewahrt werden, die für das Beitreiben des hybriden Zustellsystems nicht mehr benötigt werden. Dies ent- spricht den Prinzipien der Datensparsamkeit und -vermeidung.

Die datenschutzrechtliche Aufsicht über das hybride Zustellsystem obliegt grundsätz- lich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB). Die PostCom beaufsichtigt als zuständige Aufsichtsbehörde die Einhaltung des gesetzli- chen Auftrags der Post zur Grundversorgung mit einem hybriden Zustellsystem. Sie legt in dieser Rolle in technischen und administrativen Vorschriften (TAV) die Anforde- rungen in Bezug auf Datenschutz und Datensicherheit fest, die über diejenigen der allgemeinen Datenschutzgesetzgebung hinausgehen, und überprüft regelmässig de- ren Einhaltung. Sie erlässt die weiteren technischen und administrativen Vorschriften, die das hybride Zustellsystem der Post inklusive Benutzeroberfläche und Schnittstellen zu erfüllen hat (Abs. 4). Die Post legt die organisatorischen und technischen Massnah- men gegen unbefugtes Bearbeiten der Daten schriftlich fest und protokolliert die Ein- sicht und Bearbeitung von Daten automatisch (Abs. 5). Mit dem hybriden Zustellsystem werden besonders schützenswerte Personendaten in grossem Umfang bearbeitet. Die Post ist demnach nach Art. 5 der Verordnung über den Datenschutz (DSV)⁷ verpflich- tet, ein Reglement für automatisierte Bearbeitungen zu erstellen. Das Reglement zeigt auf, welche Vorgaben die an der Entwicklung und Datenbearbeitung des hybriden Zu- stellsystems beteiligten Personen einhalten müssen, damit die Datenbearbeitung durch die Post datenschutzkonform erfolgt. Nach Art. 4 DSV muss die Post zudem mindes- tens das Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten der Daten protokollieren.

Die Post betreibt ein risikogerechtes System zur Erkennung und den Umgang mit Si- cherheitsvorfällen. Sie meldet als sicherheitsrelevant eingestufte Vorfälle in Bezug auf Datenschutz und Datensicherheit der PostCom (Abs. 6). Die Meldepflicht bezweckt, dass die PostCom die Ursachen von Sicherheitsvorfällen nachvollziehen und die Post mit Änderungen der TAV zu Korrekturen am Sicherheitsdispositiv verpflichten kann. Die Meldungen der Post an die PostCom enthalten keine Personendaten. Die Kompe- tenzen des EDÖB oder anderer Behörden werden in Bezug auf Datenschutz und Da- tensicherheit durch die VPG weder eingeschränkt noch ausgeweitet. Die PostCom kann zur Ausarbeitung der TAV oder der Prüfmethoden sowie für andere Aufsichtstä- tigkeiten, namentlich Zertifizierungen oder Audits, Dritte beiziehen.

Art. 35g Nichtdiskriminierender Zugang

Das hybride Zustellsystem soll einen Beitrag zur Digitalisierung der Wirtschaft und der Behördenleistungen leisten. Damit dieses Ziel erreicht werden kann, hat die Post an- deren Personen inklusive anderen Postdienstanbieterinnen den Zugang zu den Ein- richtungen und Dienstleistungen des hybriden Zustellsystems auf nichtdiskriminie- rende Weise zu gewähren (Abs. 1).

Die Post muss anderen Personen (hauptsächlich Unternehmen und Behörden) sichere technische Schnittstellen zum hybriden Zustellsystem zur Verfügung stellen (Abs. 2). Erstens sollen über eine Schnittstelle elektronische Sendungen mittels direkter Daten- übermittlung zwischen Fachapplikationen anderer Personen und dem hybriden Zustell- system aufgegeben werden können (Bst. a). Zweitens sollen elektronische Sendungen mittels sicherer Datenübermittlung zwischen Fachapplikationen anderer Personen und

7 SR 235.11