nDSG / 2. Kapitel / 1. Abschnitt: Begrif… / Art. 9

Art. 1

Zweck

Art. 2

Persönlicher und sachlicher Geltungsbereich

Art. 3

Räumlicher Geltungsbereich

Art. 4

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

1. Abschnitt: Begriffe und Grundsätze

Art. 5

Begriffe

Art. 6

Grundsätze

Art. 7

Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

Art. 8

Datensicherheit

Art. 9

Bearbeitung durch Auftragsbearbeiter

Art. 10

Datenschutzberaterin oder -berater

Art. 11

Verhaltenskodizes

Art. 12

Verzeichnis der Bearbeitungstätigkeiten

Art. 13

Zertifizierung

2. Abschnitt: Datenbearbeitung durch private Verantwortliche mit Sitz oder Wohnsitz im Ausland

Art. 14

Vertretung

Art. 15

Pflichten der Vertretung

3. Abschnitt: Bekanntgabe von Personendaten ins Ausland

Art. 16

Grundsätze

Art. 17

Ausnahmen

Art. 18

Veröffentlichung von Personendaten in elektronischer Form

Art. 19

Informationspflicht bei der Beschaffung von Personendaten

Art. 20

Ausnahmen von der Informationspflicht und Einschränkungen

Art. 21

Informationspflicht bei einer automatisierten Einzelentscheidung

Art. 22

Datenschutz-Folgenabschätzung

Art. 23

Konsultation des EDÖB

Art. 24

Meldung von Verletzungen der Datensicherheit

Art. 25

Auskunftsrecht

Art. 26

Einschränkungen des Auskunftsrecht

Art. 27

Einschränkungen des Auskunftsrechts für Medien

Art. 28

Recht auf Datenherausgabe und -übertragung

Art. 29

Einschränkungen des Rechts auf Datenherausgabe und -übertragung

Art. 30

Persönlichkeitsverletzung

Art. 31

Rechtfertigungsgründe

Art. 32

Rechtsansprüche

Art. 33

Kontrolle und Verantwortung bei gemeinsamer Bearbeitung von Personendaten

Art. 34

Rechtsgrundlagen

Art. 35

Automatisierte Datenbearbeitung im Rahmen von Pilotversuchen

Art. 36

Bekanntgabe von Personendaten

Art. 37

Widerspruch gegen die Bekanntgabe von Personendaten

Art. 38

Angebot von Unterlagen an das Bundesarchiv

Art. 39

Datenbearbeitungen für nicht personenbezogene Zwecke

Art. 40

Privatrechtliche Tätigkeit von Bundesorganen

Art. 41

Ansprüche und Verfahren

Art. 42

Verfahren im Falle der Bekanntgabe von amtlichen Dokumenten, die Personendaten enthalten

1. Abschnitt: Organisation

Art. 43

Wahl und Stellung

Art. 44

Amtsdauer, Wiederwahl und Beendigung der Amtsdauer

Art. 45

Budget

Art. 46

Unvereinbarkeit

Art. 47

Nebenbeschäftigung

Art. 48

Selbstkontrolle des EDÖB

2. Abschnitt: Untersuchung von Verstössen gegen Datenschutzvorschriften

Art. 49

Untersuchung

Art. 50

Befugnisse

Art. 51

Verwaltungsmassnahmen

Art. 52

Verfahren

Art. 53

Koordination

3. Abschnitt: Amtshilfe

Art. 54

Amtshilfe zwischen schweizerischen Behörden

Art. 55

Amtshilfe gegenüber ausländischen Behörden

4. Abschnitt: Andere Aufgaben des EDÖB

Art. 56

Art. 57

Information

Art. 58

Weitere Aufgaben

5. Abschnitt: Gebühren

Art. 59

Art. 60

Verletzung von Informations‑, Auskunfts- und Mitwirkungspflichten

Art. 61

Verletzung von Sorgfaltspflichten

Art. 62

Verletzung der beruflichen Schweigepflicht

Art. 63

Missachten von Verfügungen

Art. 64

Widerhandlungen in Geschäftsbetrieben

Art. 65

Zuständigkeit

Art. 66

Verfolgungsverjährung

Art. 67

Art. 68

Aufhebung und Änderung anderer Erlasse

Art. 69

Übergangsbestimmungen betreffend laufende Bearbeitungen

Art. 70

Übergangsbestimmung betreffend laufende Verfahren

Art. 71

Übergangsbestimmung betreffend Daten juristischer Personen

Art. 72

Übergangsbestimmung betreffend die Wahl und die Beendigung der Amtsdauer der oder des Beauftragten

Art. 73

Koordination

Art. 74

Referendum und Inkrafttreten

nDSG

2. Kapitel: Allgemeine Bestimmungen

Artikel

zurück zu
Art. 8

weiter zu
Art. 10

2. Kapitel: Allgemeine Bestimmungen

Art. 9 Bearbeitung durch Auftragsbearbeiter

Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn:
1. die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte; und
2. keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet.
Der Verantwortliche muss sich insbesondere vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten.
Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen.
Er kann dieselben Rechtfertigungsgründe geltend machen wie der Verantwortliche.

zurück zu
Art. 8

weiter zu
Art. 10

Botschaft

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 8 E-DSG, welcher im revDSG als Art. 9 ausgestaltet ist.)

Artikel 8 übernimmt im Wesentlichen den geltenden Artikel 10a DSG (Datenbearbeitung durch Dritte). In den Absätzen 1, 2 und 4 erfolgen terminologische Änderungen, die infolge der neuen Begriffe (Auftragsbearbeiter, Verantwortlicher) erforderlich sind. Wie nach bisherigen Recht lässt sich insbesondere festhalten, dass die Auftragsbearbeitung für Personendaten, die durch Artikel 321 StGB geschützt sind (z. B. Daten, die unter das Arztgeheimnis fallen), durch die Vorschrift in Artikel 8 Absatz 1 Buchstabe b E-DSG nicht ausgeschlossen ist, wenn die Dritten als Hilfspersonen im Sinne von Artikel 321 Ziff. 1 Abs. 1 StGB zu qualifizieren sind. Sind die übrigen Voraussetzungen der Auftragsbearbeitung erfüllt, so ist diese damit zulässig, ohne dass die betroffene Person zusätzlich ihre Einwilligung dazu geben müsste. Absatz 1 begründet eine Sorgfaltspflicht für den Verantwortlichen, bei der Auftragsbearbeitung die Rechte der betroffenen Person zu wahren. Der Verantwortliche muss aktiv sicherstellen, dass der Auftragsbearbeiter das Gesetz im selben Umfang einhält, wie er selbst es tut. Das betrifft insbesondere die Einhaltung der allgemeinen Grundsätze, der Regeln betreffend die Datensicherheit, die in Absatz 2 ausdrücklich erwähnt werden, sowie der Regeln betreffend die Bekanntgabe ins Ausland. Der Verantwortliche muss analog wie bei Artikel 55 OR Verstösse gegen das DSG verhindern. Er ist daher verpflichtet, seinen Auftragsbearbeiter sorgfältig auszuwählen, ihn angemessen zu instruieren und soweit als nötig zu überwachen. Absatz 3 ist neu und sieht vor, dass der Auftragsbearbeiter die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen darf. Im Privatsektor ist die Genehmigung an keine besondere Form gebunden. Der Auftragsbearbeiter muss jedoch nachweisen, dass die Genehmigung vorliegt. Es liegt somit in seinem Interesse, dies zu dokumentieren. Im öffentlichen Sektor hat die Genehmigung hingegen schriftlich zu erfolgen. Es handelt sich um eine Anforderung der Richtlinie (EU) 2016/680 (Art. 22 Abs. 2). Der Bundesrat wird dies in einer Verordnung festlegen. Sowohl im privaten als auch im öffentlichen Sektor kann die Genehmigung spezifischer oder allgemeiner Art sein. In letzterem Fall informiert der Auftragsbearbeiter den Verantwortlichen über jede Änderung (Hinzuziehung oder Ersetzung anderer Auftragsbearbeiter), damit er Einspruch gegen diese Änderungen erheben kann.

Die Datenbearbeitung innerhalb der gleichen juristischen Person (Filiale, Verwaltungseinheit, Mitarbeitende) stellt grundsätzlich keine Bearbeitung durch Auftragsbearbeiter dar. Werden Daten in einer sogenannten Cloud aufbewahrt, handelt es sich dabei grundsätzlich um einen Anwendungsfall der Auftragsbearbeitung, welche die entsprechenden Voraussetzungen erfüllen muss. Falls hierfür Daten ins Ausland bekanntgegeben werden, müssen zudem die Voraussetzungen der Artikel 13 und 14 vorliegen.