DSV

n Artikel 10 Absatz 2 nDSG werden in nicht abschliessender Weise zwei Aufgabenbereiche der Datenschutzberaterin oder des Datenschutzberaters eines privaten Verantwortlichen geregelt: Sie oder er schult und berät den privaten Verantwortlichen in Fragen des Datenschutzes (Bst. a) und wirkt beim Vollzug der Datenschutzvorschriften mit (Bst. b). Da sich diese Aufgabenbereiche genügend konkret aus dem Gesetz ergeben, werden sie entgegen dem Vernehmlassungsentwurf zukünftig nicht nochmals in der Verordnung definiert.

Bst. a und b

Diese Bestimmungen entsprechen inhaltlich Artikel 12b Absatz 2 Buchstaben b und c VDSG.

Die Aufzählung, zu welchen Dokumenten die Datenschutzberaterin oder der Datenschutzberater Zugang haben muss, wurde der Terminologie im nDSG angepasst. Der Zugang ist dabei nicht uneingeschränkt, sondern es ist nur Zugang zu denjenigen Unterlagen zu geben, welche die Datenschutzberaterin oder der Datenschutzberater auch tatsächlich zur Aufgabenerfüllung benötigt. So ist insbesondere der Zugang zu Personendaten nur dann zu gewähren, wenn diese zur Aufgabenerfüllung benötigt werden. Prüft die Datenschutzberaterin oder der Datenschutzberater beispielsweise in genereller Weise die internen Datenschutzvorschriften oder Prozesse zur Datenbearbeitung, wird sie oder er in der Regel keine Personendaten einsehen können müssen.

Artikel 12b Absatz 2 Buchstabe a VDSG wird dagegen nicht übernommen, weil die darin genannte Anforderung neu im Gesetz vorgesehen ist (Art. 10 Abs. 3 Bst a nDSG).

Bst. c

Der Verantwortliche muss der Datenschutzberaterin oder dem Datenschutzberater das Recht einräumen, in wichtigen Fällen das oberste Leitungs- oder Verwaltungsorgan zu informieren. Gemeint ist damit die oberste Leitung des privaten Verantwortlichen, also das Organ, welches auch die Verantwortung für die Einhaltung der Datenschutzvorschriften trägt. Die Bestimmung statuiert ein Eskalationsrecht der Datenschutzberaterin oder des Datenschutzberaters. Dies ist nötig, damit die Datenschutzberaterin oder der Datenschutzberater bei unternehmensinternen Prüfungen der Einhaltung datenschutzrechtlicher Regeln nicht nur die ihr oder ihm zur Verfügung stehenden Dokumenten vertrauen muss, sondern auch die Beschaffung zusätzlicher Informationen und Dokumente durchsetzen kann. Zudem wird damit gewährleistet, dass die Datenschutzberaterin oder der Datenschutzberater im Falle komplexer Verhältnisse und besonders schwerwiegender Verstösse den höchsten Organen des Verantwortlichen oder des Auftragsbearbeiters berichten und einen Entscheid bewirken kann.

Aufhebung von Artikel 12a VDSG

Diese Bestimmung wird aufgehoben, da ihr Inhalt neu ins Gesetz (Art. 10 Abs. 3 Bst. b und c nDSG) aufgenommen wurde.