nDSG

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 11 E-DSG, welcher im revDSG als Art. 12 ausgestaltet ist.)

Der E‑DSG sieht anstelle der Dokumentationspflicht im Vorentwurf die Pflicht vor, ein Verzeichnis der Bearbeitungstätigkeiten zu führen. Die Vernehmlassung hat ergeben, dass zu wenig deutlich wurde, was die Dokumentationspflicht umfasst. Zudem wird das Verzeichnis der Bearbeitungstätigkeiten neu bei den allgemeinen Datenschutzbestimmungen eingeordnet. Dies verdeutlicht den engen Zusammenhang mit den Datenschutzgrundsätzen. Die Pflicht zur Führung eines Verzeichnisses ersetzt die Meldepflicht von Datensammlungen nach dem bisherigen Recht. Die Richtlinie (EU) 2016/680 sieht in Artikel 24 ein solches Verzeichnis vor; die Verordnung (EU) 2016/679 enthält in Artikel 30 eine analoge Vorschrift.

Die Pflicht zur Führung eines Verzeichnisses obliegt nach Absatz 1 dem Verantwortlichen und dem Auftragsbearbeiter.

Absatz 2 zählt die Mindestangaben auf, die das Verzeichnis enthalten muss. Dazu gehören zunächst die Identität (der Name) des Verantwortlichen (Bst. a) und der Bearbeitungszweck (Bst. b). Anzugeben ist weiter eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten (Bst. c). Mit Kategorien betroffener Personen sind typisierte Gruppen gemeint, die bestimmte gemeinsame Merkmale haben, wie z. B. “Konsumenten”, “Armeeangehörige” oder “Arbeitnehmer”. Die Kategorien bearbeiteter Personendaten bezeichnet die Art der bearbeiteten Daten, z. B. besonders schützenswerte Personendaten. Aufgeführt werden müssen ebenfalls die Kategorien von Empfängern (Bst. d), denen gegebenenfalls die Personendaten bekanntgegeben werden. Auch hier sind wiederum typisierte Gruppen mit gemeinsamen Merkmalen gemeint, wie z. B. “Aufsichtsbehörden”. Nach Buchstabe e muss das Verzeichnis die Aufbewahrungsdauer der Personendaten enthalten. Da sich die Aufbewahrungsdauer gemäss Artikel 5 Absatz 4 nach dem Verwendungszweck richtet, lässt sich die Aufbewahrungsdauer mitunter nicht exakt festlegen, was durch die Wendung “wenn möglich” ausgedrückt wird. Sind genaue Angaben nicht möglich, muss das Verzeichnis zumindest die Kriterien enthalten, nach denen diese Dauer festgelegt wird. Gemäss Buchstabe f muss das Verzeichnis schliesslich eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 7 enthalten, soweit dies möglich ist. Durch die Beschreibung soll das Verzeichnis erlauben, Mängel in den Sicherheitsvorkehren aufzuzeigen. Die Wendung “wenn möglich” macht deutlich, dass die Beschreibung nur erfolgen soll, wenn die Vorkehrungen hinreichend konkret umschrieben werden können. Befinden sich diese Empfänger im Ausland, muss aus dem Verzeichnis auch hervorgehen, ob grundsätzlich die Voraussetzungen für Bekanntgabe ins Ausland erfüllt sind. Deswegen ist nach Buchstabe g der Staat anzugeben sowie die Garantien nach Artikel 13 Absatz 2.

Die Aufzählung in Absatz 2 macht deutlich, dass das Verzeichnis eine generelle Beschreibung der Bearbeitungstätigkeit ist, aus der sich Art und Umfang einer Bearbeitung ergibt. Hingegen ist das Verzeichnis kein Journal sämtlicher Datenbearbeitungen des Verantwortlichen oder des Auftragsbearbeiters, in dem protokollartig einzelne Handlungen aufgeführt werden. Das Verzeichnis ist mithin eine schriftliche Darstellung der wesentlichen Informationen zu allen Datenbearbeitungen eines Verantwortlichen oder Auftragsbearbeiters. Es lässt damit wesentliche Rückschlüsse darauf zu, ob eine Datenbearbeitung dem Grundsatz nach datenschutzkonform ausgestaltet ist oder nicht. Darüber hinaus korrelieren die Mindestangaben des Verzeichnisses in Absatz 2 in vieler Hinsicht mit den Angaben, welche die betroffene Person aufgrund der Informationspflicht und des Auskunftsrechts erhalten muss.

Absatz 3 enthält eine verkürzte Liste von Mindestangaben des Auftragsbearbeiters. Dieser muss insbesondere die Kategorien von Bearbeitungen aufführen, die im Auftrag jedes Verantwortlichen durchgeführt werden. Das Verzeichnis des Auftragsbearbeiters enthält zudem die Identität der Verantwortlichen, für die er tätig ist. Nach Absatz 4 melden die Bundesorgane ihre Verzeichnisse dem Beauftragten. Dieser führt nach Artikel 50 ein Register der Bearbeitungstätigkeiten der Bundesorgane. Dieses wird veröffentlicht. Für Bundesorgane werden sich damit grundsätzlich keine Änderungen im Verhältnis zum bisherigen Recht ergeben. Denn sie müssen bereits jetzt ein Bearbeitungsreglement erarbeiten sowie eine Anmeldung der Datensammlung beim Beauftragten vornehmen.

Absatz 5 gibt dem Bundesrat die Möglichkeit, für Unternehmen, die weniger als 50 Mitarbeiterinnen und Mitarbeiter beschäftigen, Ausnahmen von der Pflicht, ein Verzeichnis zu führen, vorzusehen. Dies dient insbesondere dazu, kleine und mittlere Unternehmen zu entlasten. Hierbei wird der Bundesrat jedoch nicht alleine auf die Grösse eines Unternehmens abstellen, sondern auch berücksichtigen, welche Risiken mit einer Datenbearbeitung einhergehen.