nDSG

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 21 E-DSG, welcher im revDSG als Art. 23 ausgestaltet ist.)

Anders als in der Vernehmlassungsvorlage wird die Mitteilung des Ergebnisses einer Datenschutz-Folgenabschätzung an den Beauftragten im E‑DSG in einer separaten Bestimmung geregelt.

Abs. 1 Konsultationspflicht

Nach Absatz 1 muss der Verantwortliche vorgängig die Stellungnahme des Beauftragten einholen, wenn sich aus der Datenschutz-Folgenabschätzung ergibt, dass die geplante Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hätte, wenn der Verantwortliche keine Massnahmen träfe. Diese Konsultation wird durch den E‑SEV 108 nicht vorgeschrieben, aber sie entspricht den europäischen Regelungen (Art. 28 der Richtlinie [EU] 2016/680 und Art. 36 der Verordnung [EU] 2016/679). Sie wird namentlich in den E‑DSG aufgenommen, weil sie dem Beauftragten erlaubt, präventiv und beratend tätig zu sein. Dies ist nicht zuletzt auch für den Verantwortlichen effizienter, da mögliche datenschutzrechtliche Schwierigkeiten bereits in einem frühen Stadium der Datenbearbeitung behoben werden können.

Abs. 2 und 3 Einwände des Beauftragten

Gemäss Absatz 2 hat der Beauftragte zwei Monate Zeit, um dem Verantwortlichen seine Einwände gegen die geplante Bearbeitung mitzuteilen. In besonders komplexen Fällen kann diese Frist um einen Monat verlängert werden. Erhält der Verantwortliche innerhalb der Zweimonatsfrist keine Nachricht vom Beauftragten, kann er grundsätzlich davon ausgehen, dass der Beauftragte keine Einwände gegen die vorgeschlagenen Massnahmen hat.

Nachdem er über eine Datenschutz-Folgenabschätzung benachrichtigt worden ist, überprüft der Beauftragte, ob die vorgeschlagenen Massnahmen zum Schutz der Grundrechte und der Persönlichkeit der betroffenen Person ausreichend sind. Kommt er zum Schluss, dass die geplante Bearbeitung in der vorgeschlagenen Form gegen die Datenschutzvorschriften verstossen würde, schlägt er dem Verantwortlichen geeignete Massnahmen vor, um die festgestellten Risiken einzudämmen.

Dem Datenschutzbeauftragten bleibt es indes unbenommen, zu einem späteren Zeitpunkt eine Untersuchung zu eröffnen, wenn die Voraussetzungen nach Artikel 43 E‑DSG erfüllt sind. Dies kann insbesondere der Fall sein, wenn im Rahmen der Datenschutz-Folgenabschätzung die Risiken nicht korrekt eingeschätzt wurden und sich dementsprechend auch die fraglichen Massnahmen nicht als zielgenau oder als nicht ausreichend erweisen.

Abs. 4 Konsultation der Datenschutzberaterin oder des Datenschutzberaters

Der private Verantwortliche kann von der Konsultation des Beauftragten absehen, wenn er einen Datenschutzberater nach Artikel 9 E‑DSG eingesetzt und diesen in Bezug auf die Datenschutz-Folgenabschätzung konsultiert hat. Der Datenschutzberater muss sich tatsächlich mit der Datenschutz-Folgenabschätzung auseinandergesetzt haben. Das heisst, es reicht für die Privilegierung nicht aus, dass der Verantwortliche lediglich einen Datenschutzberater ernennt. Vielmehr muss dieser aktiv in die Erarbeitung der Datenschutz-Folgenabschätzung involviert sein. So muss er insbesondere die Risikobewertung und die vorgeschlagenen Massnahmen zur Bewältigung dieser Risiken prüfen. Die Bestimmung soll Unternehmen entlasten und ihnen zugleich einen Anreiz geben, einen Datenschutzberater einzusetzen.

Eine solche Ausnahme wurde auf europäischer Ebene zwar diskutiert, aber schliesslich in der Verordnung (EU) 2016/679 nicht vorgesehen. Dem Bundesrat erscheint es sinnvoll, in diesem Punkt weitergehende Erleichterungen vorzusehen, insbesondere um den Verwaltungsaufwand zu reduzieren. Der Beauftragte hätte es vorgezogen, wenn diese Vorschrift nicht in den Entwurf aufgenommen worden wäre.