DSV

Ein Bearbeitungsreglement erstellen musste der “Inhaber einer meldepflichtigen automatisierten Datensammlung” nach Artikel 11a Absatz 3 DSG, der nicht aufgrund von Artikel 11a Absatz 5 Buchstaben b – d DSG von der Pflicht, seine Datensammlungen anzumelden, ausgenommen war (Art. 11 Abs. 1 VDSG). Da die Meldepflicht für private Verantwortliche (Art. 11a DSG) im nDSG nicht mehr besteht, kann Artikel 11 VDSG nicht unverändert übernommen werden. Gemäss dem in der DSGVO vorgesehenen Grundsatz der Rechenschaftspflicht oder “accountability” muss der Verantwortliche die Einhaltung der Grundsätze der Datenbearbeitung nachweisen können (Art. 5 Abs. 2 DSGVO). Das Schweizer Recht kennt keine allgemeine Rechenschaftspflicht oder “accountability”, aber die Pflicht zur Erstellung eines Bearbeitungsreglements erfüllt denselben Zweck.

Die Pflicht zur Erstellung eines Bearbeitungsreglements obliegt dem Verantwortlichen sowie dessen Auftragsbearbeiter. Private Auftragsbearbeiter, die im Auftrag von Bundesorganen handeln, fallen unter Artikel 6. Sollte ausnahmsweise einmal ein Bundesorgan als Auftragsbearbeiter eines privaten Verantwortlichen handeln, fällt es nicht unter Artikel 5, wo nur private Auftragsbearbeiter erfasst werden, sondern unter den strengeren Artikel 6. Das rechtfertigt sich durch die besondere Stellung und Verantwortung, die sich aus der Rechtsnatur des Bundesorgans ergibt. Die Bearbeitungsreglemente sind separat zu erstellen.

Entsprechend dem risikobasierten Ansatz der Vorgabe der Datensicherheit soll ein Bearbeitungsreglement immer dann erstellt werden, wenn ein erhöhtes Risiko vorliegt. So müssen private Verantwortliche ein Bearbeitungsreglement für automatisierte Bearbeitungen erstellen, wenn sie besonders schützenswerte Personendaten in grossem Umfang bearbeiten (Bst. a) oder ein Profiling mit hohem Risiko durchführen (Bst. b). Buchstabe a entspricht der Vorgabe in Artikel 22 Absatz 2 Buchstabe a nDSG und bezieht sich auf die Bearbeitung von besonders schützenswerten Personendaten in grossem Umfang. Ausgeschlossen werden damit Fälle, in denen besonders schützenswerte Personen nur vereinzelt bearbeitet werden. Viele Unternehmen, insbesondere “traditionelle” KMU, nehmen keine solche Bearbeitungen vor. Sie sind somit von dieser Bestimmung nicht betroffen.

Absatz 2 enthält eine Auflistung der Inhalte, die im Bearbeitungsreglement mindestens angegeben werden müssen. Die Inhalte wurden von Artikel 11 Absatz 1 bzw. Artikel 21 Absatz 2 VDSG in leicht angepasster Form übernommen und ergänzt. Wie bis anhin ist das Bearbeitungsreglement als eine Dokumentation oder ein Handbuch auszugestalten und sollte dem Verantwortlichen auch dazu dienen.

Wie bisher müssen der private Verantwortliche und Auftragsbearbeiter im Bearbeitungsreglement die interne Organisation beschreiben. Dazu gehört auch die Umschreibung der Architektur und der Funktionsweise der Systeme.

Absatz 2 legt fest, dass die Datenbearbeitungsverfahren, d. h. insbesondere die Verfahren zum Speichern, Berichtigen, Bekanntgeben, Aufbewahren, Archivieren, Pseudonymisieren, Anonymisieren, Löschen oder Vernichten der Daten, im Bearbeitungsreglement enthalten sein müssen. Dazu gehören auch Massnahmen zur Datenminimierung. Der Grundsatz der Datenminimierung ist ein zentraler Grundsatz des Datenschutzes und geht, wie der Botschaft DSG vom 15. September 2017 zu entnehmen ist , implizit aus dem Grundsatz der Verhältnismässigkeit gemäss Artikel 6 Absatz 2 nDSG hervor. Es soll insbesondere festgehalten werden, welche Datenbearbeitungsverfahren vorgenommen werden und wie diese ablaufen. Das Reglement muss auch das Verfahren zur Ausübung des Auskunftsrechts und des Rechts auf Datenherausgabe oder ‑übertragung enthalten. Die Kontrollverfahren müssen es ermöglichen, die Zugriffsberechtigungen, die Art und den Umfang des Zugriffs festzustellen. Schliesslich ist es von entscheidender Bedeutung, dass das Bearbeitungsreglement auch die technischen und organisatorischen Massnahmen zur Gewährleistung der angemessenen Datensicherheit umfasst. So ist etwa anzugeben, mit welchen Massnahmen den Schutzzielen nach Artikel 2 Rechnung getragen wird. Die Angaben sollten auch Aufschluss über die Konfiguration der Informatikmittel geben, da es sich dabei um eine technische Massnahme handelt. Der bisherige Artikel 21 Absatz 2 Buchstabe h VDSG, der die Konfiguration der Informatikmittel noch ausdrücklich nennt, wurde deshalb nicht übernommen. Es ist dabei ausreichend, dass die wichtigsten Grundkonfigurationen der Informatikmittel im Bearbeitungsreglement erläutert werden. Sie müssen aber nicht bis in die technischen Details ausgeführt werden.

Absatz 3 stellt eine Übernahme von Artikel 11 Absatz 2 VDSG dar. Im Vergleich zum geltenden Recht wurde auf die Ergänzung, dass das Bearbeitungsreglement der Beraterin oder dem Berater in einer für diese oder diesen verständlichen Form zur Verfügung zu stellen ist, verzichtet. Da die Beraterin oder der Berater selbst an der Erstellung des Reglements mitwirkt, ist dieses für sie oder ihn in aller Regel auch verständlich. Die Verpflichtung, dass das Bearbeitungsreglement auch dem Beauftragten auf Anfrage zur Verfügung zu stellen ist, wurde gestrichen. Analog zum Verzeichnis der Bearbeitungstätigkeiten kann der EDÖB dieses aber im Rahmen einer Untersuchung herausverlangen (Art. 50 Abs. 1 Bst. a nDSG).