nDSG

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 45 E-DSG, welcher im revDSG als Art. 51 ausgestaltet ist.)

Artikel 45 E‑DSG setzt Artikel 47 Absatz 2 der Richtlinie (EU) 2016/680 um und erfüllt die Empfehlungen der Schengen-Evaluatoren, dem Beauftragten Verfügungskompetenzen zu erteilen. Artikel 58 Absatz 2 der Verordnung (EU) 2016/679 zählt alle Massnahmekompetenzen auf, über welche die Aufsichtsbehörde verfügen sollte. Neben den Massnahmen gemäss Artikel 47 Absatz 2 der Richtlinie (EU) 2016/680 sind dies laut Verordnung namentlich das Verhängen von Verwaltungsbussen (Art. 58 Abs. 2 Bst. i) und die Anordnung, die Übermittlung von Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation auszusetzen (Bst. j).

Artikel 45 E‑DSG entspricht weitgehend den Anforderungen von Artikel 12 Absatz 2 Buchstabe c und Absatz 6 E‑SEV 108.

Allerdings schlägt der Bundesrat vor, dem Beauftragten keine Kompetenz zu geben, Verwaltungssanktionen auszusprechen, sondern ihm vielmehr die Kompetenz zu verleihen, bestimmte Verwaltungsmassnahmen anzuordnen, deren Missachtung strafrechtlich geahndet werden kann (Art. 57 E‑DSG).

Artikel 45 E‑DSG lässt dem Beauftragten einen grossen Handlungsspielraum. Denn es handelt sich um eine Kann-Bestimmung und er ist nicht verpflichtet, Verwaltungsmassnahmen zu ergreifen. Die Bestimmung umfasst zwei Kategorien von Massnahmen.

Die erste Kategorie besteht aus einer Reihe von Massnahmen gegen Datenbearbeitungen, die gegen die Datenschutzvorschriften verstossen (Abs. 1, 2 und 4). Die Massnahmen reichen von einer einfachen Verwarnung (Abs. 4) über die Verfügung, Personendaten zu vernichten (Abs. 1) bis hin zum Verbot, Personendaten ins Ausland bekannt zu geben (Abs. 2). Grundsatz dieser Regelung ist die Wahrung der Verhältnismässigkeit. So kann der Beauftragte, anstatt den Abbruch der Bearbeitung anzuordnen, deren Änderung anordnen und die Massnahme nur auf den problematischen Teil der Bearbeitung beschränken. Wenn die Partei des Untersuchungsverfahrens während der Untersuchung die erforderlichen Massnahmen getroffen hat, um die Einhaltung der Datenschutzvorschriften wiederherzustellen, kann der Beauftragte sich auch darauf beschränken, eine Verwarnung auszusprechen (Abs. 4).

Die zweite Massnahmenkategorie betrifft die Fälle, in denen Ordnungsvorschriften oder Pflichten gegenüber der betroffenen Person nicht beachtet werden (Abs. 3). Der Beauftragte kann unter anderem verfügen, dass das Bundesorgan oder die private Person eine Datenschutz-Folgenabschätzung nach Artikel 20 vornimmt (Bst. d) oder der betroffenen Person die Auskünfte nach Artikel 23 erteilt (Bst. g). Die Liste unter Absatz 3 ist nicht abschliessend.

Der Beauftragte informiert ausschliesslich die Parteien des Untersuchungsverfahrens über seinen Entscheid. Gegebenenfalls informiert er gemäss Artikel 51 Abs. 2 E‑DSG die Öffentlichkeit. Die ergriffene Massnahme muss ausreichend begründet werden. Der Verantwortliche muss insbesondere in der Lage sein, zu bestimmen, welche Datenbearbeitungen unter den Beschluss des Beauftragten fallen. Die beteiligten Parteien sind berechtigt, gemäss den allgemeinen Bestimmungen über die Bundesrechtspflege Beschwerde zu erheben (vgl. Art. 46). Gegebenenfalls kann der Beauftragte die gegenüber dem Verantwortlichen verfügte Massnahme mit einer Strafdrohung versehen (Art. 57).