nDSG

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 9 E-DSG, welcher im revDSG als Art. 10 ausgestaltet ist.)

Artikel 9 regelt die interne Datenschutzberaterin oder den internen Datenschutzberater. Das bisherige Recht verwendet auf Deutsch den Begriff des Datenschutzverantwortlichen, auf Italienisch responsabile, während auf Französisch vom conseiller die Rede ist (Art. 11a Abs. 5 Bst. e DSG). Um Verwechslungen mit dem Verantwortlichen nach Artikel 4 Buchstabe i E‑DSG bzw. mit dem responsabile nach Artikel 4 Buchstabe j E‑DSG zu vermeiden, führt der E‑DSG auf Deutsch und Italienisch den Begriff der Datenschutzberaterin und des Datenschutzberaters bzw. des consulente per la protezione dei dati ein. Dadurch ist die Terminologie in allen drei Sprachen einheitlich.

Die Datenschutzberaterin oder der Datenschutzberater überwacht die Einhaltung der Datenschutzvorschriften innerhalb eines Unternehmens und berät den Verantwortlichen in Datenschutzbelangen. Der Verantwortliche trägt jedoch allein die Verantwortung dafür, dass die Personendaten datenschutzkonform bearbeitet werden.

Die Bestimmung wird aufgrund der Vernehmlassung in den E‑DSG eingefügt. Sie hat ergeben, dass eine ausdrückliche Erwähnung der Datenschutzberaterin oder des Datenschutzberaters im Gesetz erwünscht ist. Der E‑DSG geht indes weniger weit als das europäische Recht, das in gewissen Fällen eine Pflicht zur Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters vorsieht. Diese Lösung hätte auch der Beauftragte bevorzugt. Nach dem E‑DSG bleibt es hingegen den Unternehmen überlassen, ob sie eine Datenschutzberaterin oder einen Datenschutzberater ernennen wollen, während Bundesorgane grundsätzlich verpflichtet sind, einen solchen einzusetzen.

Abs. 1 und 2 Ernennung

Private Verantwortliche können grundsätzlich jederzeit eine Datenschutzberaterin oder einen Datenschutzberater ernennen, wie dies in Absatz 1 festgehalten ist. Das Gesetz sieht jedoch in Bezug auf die Datenschutz-Folgenabschätzung Erleichterungen vor für Verantwortliche, die eine solche Beraterin oder einen solchen Berater ernannt haben.

Absatz 2 definiert die Voraussetzungen, die erfüllt sein müssen, damit diese Erleichterungen zur Anwendung kommen können (Bst. a). Dabei übernimmt der E‑DSG weitgehend geltendes Recht (vgl. Art. 12a f. VDSG).

Der Verantwortliche kann eine Mitarbeiterin oder einen Mitarbeiter oder eine Drittperson zur Datenschutzberaterin oder zum Datenschutzberater ernennen. Nach Buchstabe a muss die Person ihre Funktion jedoch fachlich unabhängig ausüben; sie oder er ist gegenüber dem Verantwortlichen nicht weisungsgebunden. Handelt es sich um eine Mitarbeiterin oder einen Mitarbeiter, muss die hierarchische Einordnung innerhalb des Unternehmens sicherstellen, dass die Datenschutzberaterin oder der Datenschutzberater unabhängig bleibt. Grundsätzlich sollte sie oder er direkt der Geschäftsleitung des Verantwortlichen unterstellt sein.

Buchstabe b konkretisiert die Unabhängigkeit der Datenschutzberaterin oder des Datenschutzberaters weiter. Demnach dürfen diese Personen keine Tätigkeiten übernehmen, die mit ihren Aufgaben unvereinbar sind. Dies könnte beispielsweise der Fall sein, wenn die Datenschutzberaterin oder der Datenschutzberater Mitglied der Geschäftsleitung ist, Funktionen in Bereichen der Personalführung oder der Informationssystemverwaltung ausübt oder zu einer Dienststelle gehört, die selbst besonders schützenswerte Personendaten bearbeitet. Hingegen ist es z. B. denkbar, die Aufgabe der Datenschutzberaterin oder des Datenschutzberaters zu kumulieren mit derjenigen des Informationssicherheitsbeauftragten.

Nach Buchstabe c muss die Datenschutzberaterin oder der Datenschutzberater schliesslich über die erforderlichen Fachkenntnisse verfügen, um diese Aufgabe zu übernehmen. So ist für diese Tätigkeit Fachwissen sowohl im Bereich der Datenschutzgesetzgebung als auch über technische Standards zur Datensicherheit erforderlich.

Die Datenschutzberaterin oder der Datenschutzberater ist sowohl für die betroffene Person als auch für den Beauftragten ein wichtiger Ansprechpartner in Bezug auf die Datenbearbeitungen, welche das fragliche Unternehmen vornimmt. Nach Buchstabe d muss der Verantwortliche die Kontaktdaten der Datenschutzberaterin oder des Datenschutzberaters daher veröffentlichen und dem Beauftragten mitteilen. Eine analoge Pflicht ist in der Verordnung auch für Bundesorgane vorzusehen.

Abs. 3 Datenschutzberaterin ‑berater von Bundesorganen

Absatz 3 verpflichtet den Bundesrat, Regeln zur Bestellung der Datenschutzberaterin oder des Datenschutzberaters durch die Bundesorgane zu erlassen. Diese befinden sich auch nach bisherigen Recht überwiegend in der Verordnung.

Die Bundesorgane sind im Schengen-Bereich aufgrund von Artikel 32 der Richtlinie (EU) 2016/680 dazu verpflichtet, eine Datenschutzberaterin oder einen Datenschutzberater zu ernennen.