DSG

(Diese Erläuterungen finden sich in der Botschaft von 1988 und beziehen sich dort auf den Art. 13, der im DSG als Art. 16 ausgestaltet ist.)

Im Bereich der öffentlichen Verwaltung bearbeiten eine Vielzahl von Behörden und Amtsstellen, aber auch private Personen oder Organisationen für verschiedenste gesetzliche Aufgaben Personendaten. Absatz 1 sieht nun vor, dass all diese Bundesorgane im Rahmen ihrer durch Gesetz und Verordnung eingeräumten Zuständigkeiten auch die datenschutzrechtliche Verantwortung übernehmen müssen. Sie sind es, die namentlich Einblick in die Datensammlungen geben, die Weitergaberegeln beachten und Sicherheitsmassnahmen ergreifen müssen. Diese Zuordnung der Verantwortlichkeit ist notwendig, weil sinnvollerweise nicht der Bund als solcher oder der Bundesrat als oberste Vollzugsbehörde ins Recht gefasst werden kann, sondern nur jene Stelle, die auch faktisch in der Lage ist, die Datenschutzvorschriften anzuwenden. Welche Verwaltungseinheiten dies im Einzelnen sind, ist nicht immer leicht auszumachen, weil die Organisationsvorschriften des Bundes im Wesentlichen nur die Aufgaben der Ämter umschreiben. Je nach Sachbereich und Organisation eines Amtes müssen aber bestimmte Datenbearbeitungsarten von Verwaltungseinheiten unterer Stufe, zum Beispiel von einer Abteilung oder Sektion, verantwortet werden. Letztlich ist es Sache der Departemente und Ämter, die Verantwortlichkeiten zu regeln und diese gegen aussen bekanntzugeben. Bereits heute ist im Register der Sammlungen von Personendaten, welches vom Bundesamt für Justiz herausgegeben wird, für jede Datensammlung eine verantwortliche Stelle angegeben.

Absatz 2 räumt dem Bundesrat die Kompetenz ein, für Informationssysteme, an denen mehrere Bundesorgane oder neben Bundesorganen auch kantonale Organe und Private beteiligt sind, die Verantwortung besonders zu regeln. Diese Bestimmung ist vor allem für grosse, dezentralisierte Informationssysteme oder für sogenannte Verbundsysteme gedacht. Dezentralisierte Systeme zeichnen sich dadurch aus, dass die Daten nicht vom Systembetreiber selber, sondern von Aussenstellen des Systems, an der sogenannten Peripherie, erhoben werden. Dies ist beispielsweise der Fall beim Personalinformationssystem der Bundesverwaltung (PERIBU), das zwar vom Personalamt geführt wird, bei dem aber die Daten von den Personaldiensten der einzelnen Ämter eingegeben werden. Verbundsysteme kommen durch eine Verknüpfung von an sich selbständigen Rechneranlagen zustande und dürften mit der Verbreitung der Personalcomputer in naher Zukunft noch sehr stark zunehmen. Die Frage der Verantwortung stellt sich in besonderem Mass bei Systemen, die von Bund und Kantonen gemeinsam geführt werden. Gerade hier kann die Verantwortlichkeit zum Teil nur auf Bundesebene vernünftig geregelt werden. In materieller Hinsicht wird es vor allem darum gehen, die Ober- oder Hauptverantwortung für ein bestimmtes Informationssystem einem Organ zuzuordnen. Daneben werden auch die Zugriffsbefugnisse der einzelnen am System Beteiligten und deren Verantwortung für die Richtigkeit und die Sicherheit der Daten festgelegt werden müssen. Zudem muss bestimmt werden, wie im Einzelnen den Auskunftsersuchen der betroffenen Person zu entsprechen ist. Der Bundesrat kann die Regelung der Verantwortlichkeit an die Departemente delegieren für Fälle, in denen nur Verwaltungseinheiten innerhalb eines Departementes betroffen sind.