DSG

(Diese Erläuterungen finden sich in der Botschaft von 1988 und beziehen sich dort auf den Art. 11, der im DSG als Art. 10a ausgestaltet ist.)

Die organisatorischen und technischen Möglichkeiten, Datenbearbeitungen an andere Personen zu übertragen, sind sehr gross. Sie entsprechen den vielfältigen Bedürfnissen nach Arbeitsteilung bei der Informationsverarbeitung und -übermittlung. In gewissen Fällen wird die Bearbeitung von Daten vollständig einem spezialisierten Dritten übertragen, etwa einem Meinungsforschungsinstitut oder einer Treuhandfirma. Diese Möglichkeiten will das Datenschutzgesetz nicht beschneiden.

Mit Absatz 1 soll aber sichergestellt werden, dass durch die Übertragung der Datenbearbeitung an Dritte die Rechte der betroffenen Personen nicht geschmälert werden. Wer einem Dritten den Auftrag zur Datenbearbeitung gibt, muss deshalb dafür sorgen, dass dieser die datenschutzrechtlichen Schranken in gleicher Weise beachtet, wie er es selbst tun müsste (Bst. a). Dies gilt für jegliche Bearbeitungsart, von der Erhebung bis zur allfälligen Weitergabe der Daten. Bei der Übertragung der Bearbeitung an einen Dritten muss der Auftraggeber in Analogie zu Artikel 55 des Obligationenrechts alle gebotene Sorgfalt aufwenden, um Verstösse gegen das Datenschutzgesetz zu verhindern. Er muss den Auftragnehmer entsprechend auswählen, ihm die richtigen Instruktionen erteilen und ihn soweit als möglich auch überwachen. Die Übertragung der Datenbearbeitung an Dritte, ist aber ausgeschlossen, wenn der Auftraggeber gesetzlich oder vertraglich zur Geheimhaltung der Daten verpflichtet ist (Bst. b). Das bedeutet zum Beispiel, dass ein Arzt, der seine Rechnungen durch eine fremde Inkassostelle ausfertigen lässt, aufgrund von Artikel 321 des Strafgesetzbuches dies nur mit Einwilligung des Betroffenen tun darf oder aber dafür sorgen muss, dass diese Stelle nicht Kenntnis von eigentlichen, dem Arztgeheimnis unterstellten Patientendaten erhält. Auch hier gehen die Geheimhaltungsvorschriften als die einschränkenderen Datenschutzbestimmungen dem allgemeinen Datenschutzgesetz vor.

Auf der anderen Seite kann der Dritte nach Absatz 2 all diejenigen Rechtfertigungsgründe geltend machen, auf die sich auch der Auftraggeber berufen könnte. Diese Regelung ist darum notwendig, weil eine betroffene Person, die sich in ihren Persönlichkeitsrechten beeinträchtigt glaubt, aufgrund von Artikel 28 des Zivilgesetzbuches nicht nur gegen den Auftraggeber, sondern direkt auch gegen den Auftragnehmer klagen kann. In solchen Fällen scheint aber nach einem Teil der Lehre der beklagte Auftragnehmer nur Einreden geltend machen zu können, die in direktem Zusammenhang mit seiner eigenen Person stehen. Der Entwurf will nun die Verteidigungsmittel desjenigen, der für einen andern Daten bearbeitet, ergänzen, damit bei einer allfälligen Auseinandersetzung zwischen ihm und der betroffenen Person alle datenschutzrechtlichen Fragen geklärt werden können.