nDSG / 2. Kapitel / 1. Abschnitt: Begrif… / Art. 12

Art. 1

Zweck

Art. 2

Persönlicher und sachlicher Geltungsbereich

Art. 3

Räumlicher Geltungsbereich

Art. 4

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

1. Abschnitt: Begriffe und Grundsätze

Art. 5

Begriffe

Art. 6

Grundsätze

Art. 7

Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

Art. 8

Datensicherheit

Art. 9

Bearbeitung durch Auftragsbearbeiter

Art. 10

Datenschutzberaterin oder -berater

Art. 11

Verhaltenskodizes

Art. 12

Verzeichnis der Bearbeitungstätigkeiten

Art. 13

Zertifizierung

2. Abschnitt: Datenbearbeitung durch private Verantwortliche mit Sitz oder Wohnsitz im Ausland

Art. 14

Vertretung

Art. 15

Pflichten der Vertretung

3. Abschnitt: Bekanntgabe von Personendaten ins Ausland

Art. 16

Grundsätze

Art. 17

Ausnahmen

Art. 18

Veröffentlichung von Personendaten in elektronischer Form

Art. 19

Informationspflicht bei der Beschaffung von Personendaten

Art. 20

Ausnahmen von der Informationspflicht und Einschränkungen

Art. 21

Informationspflicht bei einer automatisierten Einzelentscheidung

Art. 22

Datenschutz-Folgenabschätzung

Art. 23

Konsultation des EDÖB

Art. 24

Meldung von Verletzungen der Datensicherheit

Art. 25

Auskunftsrecht

Art. 26

Einschränkungen des Auskunftsrecht

Art. 27

Einschränkungen des Auskunftsrechts für Medien

Art. 28

Recht auf Datenherausgabe und -übertragung

Art. 29

Einschränkungen des Rechts auf Datenherausgabe und -übertragung

Art. 30

Persönlichkeitsverletzung

Art. 31

Rechtfertigungsgründe

Art. 32

Rechtsansprüche

Art. 33

Kontrolle und Verantwortung bei gemeinsamer Bearbeitung von Personendaten

Art. 34

Rechtsgrundlagen

Art. 35

Automatisierte Datenbearbeitung im Rahmen von Pilotversuchen

Art. 36

Bekanntgabe von Personendaten

Art. 37

Widerspruch gegen die Bekanntgabe von Personendaten

Art. 38

Angebot von Unterlagen an das Bundesarchiv

Art. 39

Datenbearbeitungen für nicht personenbezogene Zwecke

Art. 40

Privatrechtliche Tätigkeit von Bundesorganen

Art. 41

Ansprüche und Verfahren

Art. 42

Verfahren im Falle der Bekanntgabe von amtlichen Dokumenten, die Personendaten enthalten

1. Abschnitt: Organisation

Art. 43

Wahl und Stellung

Art. 44

Amtsdauer, Wiederwahl und Beendigung der Amtsdauer

Art. 45

Budget

Art. 46

Unvereinbarkeit

Art. 47

Nebenbeschäftigung

Art. 48

Selbstkontrolle des EDÖB

2. Abschnitt: Untersuchung von Verstössen gegen Datenschutzvorschriften

Art. 49

Untersuchung

Art. 50

Befugnisse

Art. 51

Verwaltungsmassnahmen

Art. 52

Verfahren

Art. 53

Koordination

3. Abschnitt: Amtshilfe

Art. 54

Amtshilfe zwischen schweizerischen Behörden

Art. 55

Amtshilfe gegenüber ausländischen Behörden

4. Abschnitt: Andere Aufgaben des EDÖB

Art. 56

Art. 57

Information

Art. 58

Weitere Aufgaben

5. Abschnitt: Gebühren

Art. 59

Art. 60

Verletzung von Informations‑, Auskunfts- und Mitwirkungspflichten

Art. 61

Verletzung von Sorgfaltspflichten

Art. 62

Verletzung der beruflichen Schweigepflicht

Art. 63

Missachten von Verfügungen

Art. 64

Widerhandlungen in Geschäftsbetrieben

Art. 65

Zuständigkeit

Art. 66

Verfolgungsverjährung

Art. 67

Art. 68

Aufhebung und Änderung anderer Erlasse

Art. 69

Übergangsbestimmungen betreffend laufende Bearbeitungen

Art. 70

Übergangsbestimmung betreffend laufende Verfahren

Art. 71

Übergangsbestimmung betreffend Daten juristischer Personen

Art. 72

Übergangsbestimmung betreffend die Wahl und die Beendigung der Amtsdauer der oder des Beauftragten

Art. 73

Koordination

Art. 74

Referendum und Inkrafttreten

nDSG

2. Kapitel: Allgemeine Bestimmungen

Artikel

zurück zu
Art. 11

weiter zu
Art. 13

2. Kapitel: Allgemeine Bestimmungen

Art. 12 Verzeichnis der Bearbeitungstätigkeiten

Die Verantwortlichen und Auftragsbearbeiter führen je ein Verzeichnis ihrer Bearbeitungstätigkeiten.
Das Verzeichnis des Verantwortlichen enthält mindestens:
1. die Identität des Verantwortlichen;
2. den Bearbeitungszweck;
3. eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten;
4. die Kategorien der Empfängerinnen und Empfänger;
5. wenn möglich die Aufbewahrungsdauer der Personendaten oder die Kriterien zur Festlegung dieser Dauer;
6. wenn möglich eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 8;
7. falls die Daten ins Ausland bekanntgegeben werden, die Angabe des Staates sowie die Garantien nach Artikel 16 Absatz 2.
Das Verzeichnis des Auftragsbearbeiters enthält Angaben zur Identität des Auftragsbearbeiters und des Verantwortlichen, zu den Kategorien von Bearbeitungen, die im Auftrag des Verantwortlichen durchgeführt werden, sowie die Angaben nach Absatz 2 Buchstaben f und g.
Die Bundesorgane melden ihre Verzeichnisse dem EDÖB.
Der Bundesrat sieht Ausnahmen für Unternehmen vor, die weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen und deren Datenbearbeitung ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt.

zurück zu
Art. 11

weiter zu
Art. 13

Botschaft

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 11 E-DSG, welcher im revDSG als Art. 12 ausgestaltet ist.)

Der E‑DSG sieht anstelle der Dokumentationspflicht im Vorentwurf die Pflicht vor, ein Verzeichnis der Bearbeitungstätigkeiten zu führen. Die Vernehmlassung hat ergeben, dass zu wenig deutlich wurde, was die Dokumentationspflicht umfasst. Zudem wird das Verzeichnis der Bearbeitungstätigkeiten neu bei den allgemeinen Datenschutzbestimmungen eingeordnet. Dies verdeutlicht den engen Zusammenhang mit den Datenschutzgrundsätzen. Die Pflicht zur Führung eines Verzeichnisses ersetzt die Meldepflicht von Datensammlungen nach dem bisherigen Recht. Die Richtlinie (EU) 2016/680 sieht in Artikel 24 ein solches Verzeichnis vor; die Verordnung (EU) 2016/679 enthält in Artikel 30 eine analoge Vorschrift.

Die Pflicht zur Führung eines Verzeichnisses obliegt nach Absatz 1 dem Verantwortlichen und dem Auftragsbearbeiter.

Absatz 2 zählt die Mindestangaben auf, die das Verzeichnis enthalten muss. Dazu gehören zunächst die Identität (der Name) des Verantwortlichen (Bst. a) und der Bearbeitungszweck (Bst. b). Anzugeben ist weiter eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten (Bst. c). Mit Kategorien betroffener Personen sind typisierte Gruppen gemeint, die bestimmte gemeinsame Merkmale haben, wie z. B. “Konsumenten”, “Armeeangehörige” oder “Arbeitnehmer”. Die Kategorien bearbeiteter Personendaten bezeichnet die Art der bearbeiteten Daten, z. B. besonders schützenswerte Personendaten. Aufgeführt werden müssen ebenfalls die Kategorien von Empfängern (Bst. d), denen gegebenenfalls die Personendaten bekanntgegeben werden. Auch hier sind wiederum typisierte Gruppen mit gemeinsamen Merkmalen gemeint, wie z. B. “Aufsichtsbehörden”. Nach Buchstabe e muss das Verzeichnis die Aufbewahrungsdauer der Personendaten enthalten. Da sich die Aufbewahrungsdauer gemäss Artikel 5 Absatz 4 nach dem Verwendungszweck richtet, lässt sich die Aufbewahrungsdauer mitunter nicht exakt festlegen, was durch die Wendung “wenn möglich” ausgedrückt wird. Sind genaue Angaben nicht möglich, muss das Verzeichnis zumindest die Kriterien enthalten, nach denen diese Dauer festgelegt wird. Gemäss Buchstabe f muss das Verzeichnis schliesslich eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 7 enthalten, soweit dies möglich ist. Durch die Beschreibung soll das Verzeichnis erlauben, Mängel in den Sicherheitsvorkehren aufzuzeigen. Die Wendung “wenn möglich” macht deutlich, dass die Beschreibung nur erfolgen soll, wenn die Vorkehrungen hinreichend konkret umschrieben werden können. Befinden sich diese Empfänger im Ausland, muss aus dem Verzeichnis auch hervorgehen, ob grundsätzlich die Voraussetzungen für Bekanntgabe ins Ausland erfüllt sind. Deswegen ist nach Buchstabe g der Staat anzugeben sowie die Garantien nach Artikel 13 Absatz 2.

Die Aufzählung in Absatz 2 macht deutlich, dass das Verzeichnis eine generelle Beschreibung der Bearbeitungstätigkeit ist, aus der sich Art und Umfang einer Bearbeitung ergibt. Hingegen ist das Verzeichnis kein Journal sämtlicher Datenbearbeitungen des Verantwortlichen oder des Auftragsbearbeiters, in dem protokollartig einzelne Handlungen aufgeführt werden. Das Verzeichnis ist mithin eine schriftliche Darstellung der wesentlichen Informationen zu allen Datenbearbeitungen eines Verantwortlichen oder Auftragsbearbeiters. Es lässt damit wesentliche Rückschlüsse darauf zu, ob eine Datenbearbeitung dem Grundsatz nach datenschutzkonform ausgestaltet ist oder nicht. Darüber hinaus korrelieren die Mindestangaben des Verzeichnisses in Absatz 2 in vieler Hinsicht mit den Angaben, welche die betroffene Person aufgrund der Informationspflicht und des Auskunftsrechts erhalten muss.

Absatz 3 enthält eine verkürzte Liste von Mindestangaben des Auftragsbearbeiters. Dieser muss insbesondere die Kategorien von Bearbeitungen aufführen, die im Auftrag jedes Verantwortlichen durchgeführt werden. Das Verzeichnis des Auftragsbearbeiters enthält zudem die Identität der Verantwortlichen, für die er tätig ist. Nach Absatz 4 melden die Bundesorgane ihre Verzeichnisse dem Beauftragten. Dieser führt nach Artikel 50 ein Register der Bearbeitungstätigkeiten der Bundesorgane. Dieses wird veröffentlicht. Für Bundesorgane werden sich damit grundsätzlich keine Änderungen im Verhältnis zum bisherigen Recht ergeben. Denn sie müssen bereits jetzt ein Bearbeitungsreglement erarbeiten sowie eine Anmeldung der Datensammlung beim Beauftragten vornehmen.

Absatz 5 gibt dem Bundesrat die Möglichkeit, für Unternehmen, die weniger als 50 Mitarbeiterinnen und Mitarbeiter beschäftigen, Ausnahmen von der Pflicht, ein Verzeichnis zu führen, vorzusehen. Dies dient insbesondere dazu, kleine und mittlere Unternehmen zu entlasten. Hierbei wird der Bundesrat jedoch nicht alleine auf die Grösse eines Unternehmens abstellen, sondern auch berücksichtigen, welche Risiken mit einer Datenbearbeitung einhergehen.