Source: http://www.lexology.com/library/detail.aspx?g=5711cea2-f880-4ade-91d7-a59a4560511d
Timestamp: 2017-01-23 04:30:32+00:00

Document:
Zeitschrift für www.dígma.info Datenrecht und Informationssicherheit 15. Jahrgang, Heft 3, Oktober 2015 Schwerpunkt: a e n ec s fo~c~~ Konzepte gegen Cyberspace-Angriffe fokus Data Breach Notifications report: Automatischer Informationsaustausch Herausgegeben von Bruno Baeriswyl Beat Rudin Bernhard M. Hämm Rainer J. Schweizer Günter Karjoth 8 Jan Kleiner, Dr. iur., Rechtsanwalt, Bär &Karrer AG, Zürich jan. kleinerQ baerkarrer. ch ~~ ~.~ .~ /. Lukas Stocker, MLaw, Bär & Karrer AG, Zürich 1 ukas. stockerC~1 baerkarrer. ch ata rea c ot~ canons Meldepflichten bei Datenpannen de lege lata und de lege ferenda In näherer Zukunft dürfte sich auch für den Schweizer Gesetzgeberdie Frage nach Aufnahme einer Pflicht zu «Data Breach Notifications» stellen. ngesichts der zunehmenden wirtschaftlichen Bedeutung von personenbezogenen Daten ist schon seit geraumer Zeit eine Zunahme von unzulässigen Zugriffen auf Datensammlungen zu beobachten'. Ein bekanntes Beispiel stellt etwa der Zugriff auf die Daten (Namen, Adressen, Kreditkartenangaben)von 77 Millionen Nutzern des PlayStationNetzwerks von Sony aus dem Jahr 2011 dari. Derartige unbefugte Datenzugriffe werden (aus Sicht derjenigen Partei, welche für die Sicherheit der gesammelten und gespeicherten Daten verantwortlich ist) als «Data Breach », «Datenpanne» oder «Datenmissbrauch» bezeichnet3. Aus Sicht der Datenschutzgesetzgebung fragt sich, wie mit solchen Datenpannen (oder eher: Datensicherheitspannen) umzugehen ist. Namentlich stellt sich die Frage, ob eine Notifizierungspflicht gegenüber den betroffenen Datensubjekten und/oder gegenüber einer Datenschutzbehörde geboten ist. Mit der Revision des Übereinkommens des Europarates zum Schutz personenbezogener Daten (Europaratskonvention 108)4 wird eine solche Notifizierungspflicht eingeführt. Die Schweiz wird bei einer Ratifizierung der überarbeiteten Konvention die nationale Gesetzgebung, insbesondere natürlich das Bundesgesetz über den Datenschutz (DSG), sorgfältig prüfen und evaluieren müssen, inwieweit bestehende Gesetzesbestimmungen geändert bzw. erweitert werden müssen. Der vorliegende Beitrag untersucht in einem ersten Schritt, inwiefern schon das geltende Recht Notifizierungspflichten im Zusammenhangmit unerlaubten Datenzugriffen vorsieht. Im Anschluss daran wird, nach einem kurzen Blick auf die Rechtslage im Ausland, die vorgesehene Regelung gemäss revidierter Europaratskonvention dargestellt und untersucht, welche Fragen sich diesbezüglich für den Schweizer Gesetzgeber stellen dürften. Notifizierungspflichten gemäss geltendem Recht Untersucht man Notifizierungspflichten bei unbefugten Datenzugriffen gemäss geltendem Rechts, ist zunächst zwischen Notifizierungspflichten gegenüber dem Datensubjekt und möglichen Notifizierungspflichten gegenüber einer Behörde zu unterscheiden. Bezüglich einer Notifizierungspflicht gegen- über dem Datensubjekt findet sich im DSG keine explizite Grundlage6. Man kann sich indes fragen, ob es der Grundsatz der Datenbearbeitung nach Treu und Glauben' gebietet, dass der Inhaber einer Datensammlung bei einem (schwerwiegenden) unbefugten Zugriff das betroffene Datensubjekt über den Zugriff informiert. In der Literatur wird dies verschiedentlich bejaht. So wird vertreten, dass etwa bei einem unbeabsichtigten Aufschalten von Personendaten im Internet oder bei einer sonstigen versehentlich erfolgten Datenbekanntgabe an Dritte eine solche Informationspflicht bestehe$. Insbesondere MEIER vertritt, in ausdrücklicherAnlehnung an Bestimmungen ausländischer Rechtsordnungen betreffend «Data Breach Notifications», dass im Fall von Sicherheitsmängeln (Datenverlust, Datenzerstörung oder Daterfdiebstahl in grossem Ausmass) die betroffenen Datensubjekte, die Öffentlichkeit oder die Behörden gestützt auf den Grundsatz von Treu und Glauben zu informieren seien. Dabei müssten aber die Gefährdung der Persönlichkeit der betroffenen Personen schwerwiegend und die betroffenen Daten besonders schätzenswert oder zumindest «heikel» («délicates»)sein9. Auch RosENTHa~ befürwortet eine solche Pflicht, und zwar nicht nur gegenüber den betroffenen Personen, sondern unter Umständen auch gegenüber Dritten (z. B. gegen- über Kreditkartengesellschaften beim Verlust von Kreditkartendaten), wobei sich eine Informationspflicht auch aus anderen Gründen ergeben könne, etwa aus dem Grundsatz der 90 digma 201 5.3 Datensicherheit10, aus vertraglichen Verpflichtungen, der Obliegenheit zur Schadensminderung sowie aus dem eigenen Interesse des Datenbearbeiters an der Minderung möglicher Schäden~l Darüber hinaus lässt sich eine Informationspflicht gegenüber einem betroffenen Datensubjektauch aus anderen Rechtsnormen ableiten. Zu denken ist etwa an die Fürsorgepflicht eines Arbeitgebers12, wonach dieser bekanntermassendie Persönlichkeit seiner Arbeitnehmer zu schützen hat. Sofern deshalb ein unbefugter Datenzugriff (etwa auf Human-Resources-Datenbestände)die Persönlichkeit von Arbeitnehmern verletzen könnte, was regelmässig der Fall sein dürfte, ist ein Arbeitgeber zur Wahrung seiner Fürsorgepflicht dazu verpflichtet, den Arbeitnehmer über den Data Breach in Kenntnis zu setzen. Auch hinsichtlich einer möglichen Notifizierungspflicht gegenüber Datenschutzbehörden bei einem Data Breach findet sich im DSG keine explizite Pflicht. Jedoch bestehen — gewissermassen sektorspezifisch — verschiedene Regelungen in weiteren Gesetzen, woraus sich Informationspflichten im Falle einer Datenpanne ergeben können. Dabei wird jedoch regelmässig nicht am unbefugten Datenzugriff als solchem angeknüpft, sondern an den sich daraus möglicherweise ergebenden, sicherheitsrelevanten Folgen. So sind etwa Anbieterinnen von Fernmeldediensten gemäss Art. 96 Abs. 1 FDV13 verpflichtet, Störungen im Betrieb ihrer Netze, welche eine relevante Anzahl Kundinnen und Kunden betreffen, unverzüglich dem Bundesamt für Kommunikation (BAKOM) zu melden. Sofern sich mit anderen Worten aus einem Hackerangriff oder einem Datendiebstahl eine solche Störung ergibt, besteht eine entsprechende Notifizierungspflicht. Ähnliches gilt im Bereich der Luftfahrt, wo eine Meldepflicht gegenüber dem Bundesamt für Zivilluftfahrt (BAZL) besteht für Betriebsunterbrechungen, Mängel, Fehlfunktionen oder andere regelwidrige Gegebenheiten, welche die Sicherheit eines Luftfahrzeugs, seiner Insassen oder Dritter gefährdet oder gefährden könnte, ohne dass es zu einem Flugunfall oder einem schweren Vorfall kommt14. Folglich löst ein flugsicherheitsrelevanter Datendiebstahl eine entsprechende Notìfizierungspflicht aus. Vergleichbare Mcldepflichten bestehen sodann gegenüber dem Eidgenössisches Departement für Umwelt, Verkehr, Energie und Kommunikation (UVEK)15 gegenüber dem Eidgenössischen Nuklearsicherheitsinspektorat (ENSI)16 oder gegenüber dem Eidgenössischen Starkstrominspektorat digma 201 5.3 (ESTI)l'. Ausschlaggebend ist aber auch dort jeweils nicht eine Datenpanne als solche, sondern sich daraus möglicherweise ergebende Sicherheitsrisiken oder Schäden. Schliesslich ist denkbar, dass im Bereich des Finanzmarktrechts aufsichtsrechtlich relevante Datenpannen meldepflichtig sindl$ und dass eine Informationspflichtauch auf Grundlage der Ad-hocPublizität bestehen kann. Darüber hinaus besteht schon heute die Möglichkeit (nicht aber die Pflicht), Datenverluste oder ähnliche Zwischenfälle der Mcldeund Analysestelle Informationssicherung (MELANI)19 und/oder der Koordinationsstelle zur Bekämpfung der Internetkriminalität (KOBIK)20 zu melden. Insgesamt lässt sich festhalten, dass keine ausdrückliche Grundlage im Bereich des DaEs besteht keine ausdrückliche Grundlage im Bereich des Datenschutzrechts färeine Notifizierungspflicht bei Datenschutzpannen. tenschutzrechts für eine Notifizierungspflicht bei Datenschutzpannen besteht21. Eine Benachrichtigungspflicht gegenüber dem betroffenen Datensubjekt lässt sich wohl aus dem Grundsatz von Treu und Glauben ableiten, deren Umfang und Einzelheiten sind, soweit ersichtlich, aber noch kaum geklärt: Notifizierungspflichten gegenüber Behörden bestehen gemäss einzelnen Spezialgesetzen, wobei aber nicht die Datenpanne als solche, sondern primärdamit verbundene Sicherheitsrisiken und/ oder andere aufsichtsrechtlich relevante Tatbeständeausschlaggebend für die Meldepflicht sind. :. Nach schweizerischem Datenschutzrecht lässt sich bei Datenschutzpannen eine Benachrichtigungspflicht gegenüber dem betroffenen Datensubjekt wohl aus dem Grundsatz von Treu und Glauben ableiten. Darüber hinaus bestehen Notifizierungspflichten gegenüber Behörden gemäss einzelnen Spezialgesetzen. Generell gilt jedoch, dass im schweizerischen Datenschutzrecht keine ausdrückliche Grundlage für eine Notifizierungspflicht bei Datenschutzpannen besteht. Die Schweiz wird somit bei einer Ratifizierung der überarbeiteten Europaratskonvention 108 eine ausdrückliche Pflicht zu «Data Breach Notification» in die hiesige Datenschutzgesetzgebung aufnehmen müssen. Anders als das Schweizer Datenschutzrecht kennen dagegen verschiedene ausländische Rechtsordnungen bereits Vorschriften, die sich explizit mit der Thematik einer «Data Breach Notificationu befassen. 91 ~s Ausland In den USA bestehen schon sett längerer Zeit verschiedene staatliche Regelungen zu Informationspflichten bei «Data Breaches»zz. Mittlerweile haben 47 Gliedstaaten Gesetze in Kraft gesetzt, welche Privatpersonen oder Behörden zu einer Meldung von Datenpannen verpflichten. Geregelt wird dabei üblicherweise, wen die Meldepflicht trifft, welche Art von (betroffenen) Daten von der Meldepflicht erfasstsind, wann ein «Data Breach» vorliegt und an wen innert welcher Frist Meldung zu erstatten ist. Auch das deutsche Bundesdatenschutzgesetz (BDSG) enthält in § 42a seit September 2009 eine Regelung betreffend «InformationsEine Benachrichtigungspflicht gegenüber dem betroffenen Datensubjekt lässt sich wohl aus dem Grundsatz von Treu und Glauben ableiten. pflicht bei unrechtmässiger Kenntniserlangung von Daten»z3. Nach dieser Regelung besteht eine Mcldepflicht, wenn festgestellt wird, dass bestimmte Arten von Daten24 «unrechtmässig übermittelt oder auf sonstige Weise Dritten unrechtmässig zur Kenntnis gelangt sind »25. Zu benachrichtigen sind dabei sowohl das betroffene Datensubjekt als auch die zuständige Aufsichtsbehörde26. Die Benachrichtigung des Betroffenen muss unverzüglich erfolgen, sobald angemessene Massnahmen zur Sicherung der Daten ergriffen worden oder nicht unverzüglich erfolgt sind und die Strafverfolgung nicht mehrgefährdet wird27. Die Benachrichtigung der Betroffenen muss eine Darlegung der Art der unrechtmässigen Kenntniserlangung und Empfehlungenfür Massnahmen zur Minderung möglicher nachteiliger Folgen enthalten28. Die Benachrichtigung der zuständigen Aufsichtsbehörde muss zusätzlich eine Darlegung möglicher nachteiliger Folgen der unrechtmässigen Kenntniserlangung und der von der Stelle daraufhin ergriffenen Massnahmen enthalten29. Soweit die Benachrichtigung der Betroffenen einen unverhältnismässigen Aufwand erfordern würde, insbesondere aufgrund der Vielzahl der betroffenen Fälle, sieht das BDSG weiter vor, dass anstelle der individuellen Benachrichtigung die Information der Öffentlichkeit durch die Veröffentlichung von Anzeigen treten kann, die mindestens eine halbe Seite umfassen und in mindestens zwei bundesweit erscheinenden Tageszeitungen publiziert werden müssen. Möglich ist auch eine andere, in ihrer Wirksamkeit hinsichtlich der Information der Betroffenen gleich geeignete Massnahme3o Auch das österreichische Datenschutzgesetz kennt in § 24 Abs. 2a seit dem 1. Januar 2010 eine Vorschrift, wonach den «Auftraggeber einer Datenanwendung» bei Datenpannen eine Notifizierungspflichttrifft: «Wird dem Auftraggeber bekannt, dass Daten aus einer seiner Datenanwendungen systematisch und schwerwiegend unrechtmässig verwendet wurden und den Betroffenen Schaden droht, hat er darüber unverzüglich die Betroffenen in geeigneter Form zu informieren. Diese Verpflichtung besteht nicht, wenn die Information angesichts der Drohung eines nur geringfügigen Schadens der Betroffenen einerseits oder der ■ DE TERWANGNE CÉCILE, La modernisation de la Convention 108 du Conseil de l'Europe, in: Epiney Astrid/ Fasnacht Tobias (Hrsg.), Die Entwicklung der europarechtlichen`Vorgaben im Bereich des Datenschutzes, ■ Zürich/Basel/Genf 2012, 23-67. EBNETER MATTHIAS, Informationspflichten im Zusammenhang mit KData Security Breaches», in: Jusletter vom ■ 7. Juni 2010, abrufbar unter . ■ ERMANN EUGEN, Lexikon für das IT-Recht 2013/2014, Hamburg 2014. EPINEY ASTRID, Datenschutzrechtliche Grundsätze und Garantien/Allgemeine Grundsätze, in: Belser Eva Maria/Epiney Astrid/Waldmann Bernhard, Datenschutzrecht. Grundlagen und öffentliches Recht, Bern 2011, ■ 510-558. FASNACHT TOBIAS, Entwicklungen im internationalen Datenschutzrecht, in: Passadelis Nicolas/Rosenthal David/Thur Hanspeter (Hrsg.), Datenschutzrecht. Beraten in Privatwirtschaft und öffentlicher Verwaltung, ■ Basel 2015, Rz. 31.1 ff. ■ MEIER PHILIPPE, Protection des données. Fondements, principes généraux et droit privé, Bern 2011. ROSENTHAL DAVID/JÖHRI YVONNE (Ht'Sg.), Handkommentar zum Datenschutzgesetz sowie weiteren, ausgewähl- ■ ten Bestimmungen, Zürich 2008 (zit. Handkommentar/BEnReEiTeR). WALTER JEAN-PHILIPPE, Modernisierung und Rolle der Datenschutzkonvention des Europarates. Vortrag im Rahmen des 8. Datenschutztags in Wien vom 24. Januar 2014, abrufbar unter . (Alle Links letztmals kontrolliert am 7.7.2015.) digma 201 5.3 Kosten der Information aller Betroffenen andererseitseinen unverhältnismässigen Aufwand erfordert.» Insgesamt lässt sich feststellen, dass anders als das Schweizer Recht verschiedene ausländische Rechtsordnungen bereits Vorschriften kennen, die sich explizit mit der Thematik einer «Data Breach Notification» befassen. Begriff und Konzept einer Meldepflicht — Umsetzung im Schweizer Recht Art. 7 Abs. 2 der revidierten Europaratskonvention 108 sieht folgendes vor: «Each Party shall provide that the controller shall notify, without delay, at least the competen~~supervisory authority within the meaning of Article 12b15 of this Convention, of those data breaches which may seriously interfere with the rights and fundamental freedoms of data subjects.» Mit anderen Worten muss jede Vertragspartei der Konvention sicherstellen, dass der Inhaber einer Datensammlung mindestens die zuständige Überwachungsbehörde unverzüglich über unbefugte Datenzugriffe informieren muss, welche die Rechte und Grundfreiheiten der betroffenen Datensubjekte ernsthaft gefährden können31 Der verfolgte Schutzgedanke einer solchen Pflicht zur Notifizierung von Data Breaches ist grundsätzlich ein zweifacher: Einerseits soll den Behörden (und den betroffenen Personen) die Möglichkeit gegeben werden, die erforderlichen Massnahmen zu treffen, den durch die Datenpanne möglicherweise verursachten Schaden gering zu halten. Gleichzeitig soll die Notifizìerungspflicht einen Anreiz schaffen, stets für das erforderliche Mass an Datensicherheit zu sorgen. Wie gesehen, lässt sich eine solche Notifizierungspflichtfür das Schweizer Recht bislang nur aus einer Auslegung der Pflicht zur Datenbearbeitung nach Treu und Glauben herleiten, wobei aber deren Umfang sowie die genauen Kriterien, wann eine Benachrichtigungspflicht besteht, soweit ersichtlich noch nie gerichtlich definiert oder bestätigt wurden. Hinzu kommt, dass sich aus dem Grundsatz von Treu und Glauben wohl eine Notifizierungspflicht gegen- überdem betroffenen Datensubjekt, kaum aber gegenüber der zuständigen Datenschutzbehördeableiten lässt —genau dies verlangt aber die revidierte Konvention. Daraus folgt, dass auch die Schweiz bei einer Ratifizierung der überarbeiteten Konvention eine ausdrückliche Pflicht zu «Data Breach Notification» nach den Vorgaben der Konvention in die hiesige Datenschutzgesetzgebung aufnehmen muss32. Betrachtet man den Wortlaut von Art. 7 Abs. 2 der revidierten Konvention etwas genauer, sind für eine Umsetzung ins Schweizer Recht folgende Aspekte zu ■ beachten33: Zunächst ist zu klären, was unter einem Data Breach genau zu verstehen ist: Nur ein unbefugter Datenzugriff via Internet (namentlich Hackerangriffe) nderauch andere Formen eines Datenverlustes, z. B. «physischer Art» (Verlust von Datenträgern), unbeabsichtigte Veröffentlichung oder Kommunikation von Daten usw.? Gestützt auf den Schutzgedanken, der einer Pflicht zur Data Breach Notification zugrunde liegt, macht es sicher Sinn, den Begriff eines Data Breach weit zu ■ verstehen34 Nur Data Breaches von einer gewissen Schwere sind von der Notifizierungspflicht erfasst («data breaches which may seriously interfere with the rights and fundamental freedoms of data subjects»). Für eine Umsetzung ins Schweizer Recht muss man sich deshalb fragen, woran angeknüpft werden soll, um geringfügige unerlaubte Datenzugriffe von solDaraus folgt, dass auch die Schweiz bei einer Ratifizierung der überarbeiteten Konvention eine ausdrückliche Pflicht zu «Data Breach Notification» nach den Vorgaben der Konvention in die hiesige Datenschutzgesetzgebung aufnehmen muss. chen zu unterscheiden, die eine Notifizierungspflicht auslösen sollen. Denkbar ist etwa, an der «Datenqualität» (z. B. nur besonders schützenswerte Personendaten) und/oder an der Quantität, d. h. am Umfang bzw. der Dimension des ■ Datenzugriffs anzuknüpfen. Die überarbeitete Konvention siéht vor, dass zumindest («at least») die zuständige Datenschutzbehörde, nicht jedoch zwingend das betroffene Datensubjekt zu benachrichtigen ist35 Der Schweizer Gesetzgeber muss sich folglich entscheiden, ob ausschliesslich eine Notifizierungspflicht gegenüber der zuständigen Behörde (EDÖB, kantonale Behörden?) oder auch eine Pflicht zur Benachrichtigung der betroffenen Datensubjekte ins DSG aufgenommen werden soll3ó. Denkbar wäre auch, unter Anknüpfung an die Kriterien zur Schwere der Datenschutzverletzung eine Benachrichtigungspflicht an die betroffenen Datensubjekte nur unter bestimmten Voraussetzungen vorzusehen. Dabei würde es sich zudem aufdrängen, einen pragmatischen Ansatz hinsichtlich der Modalitäten einer solchen Benachrichtidigma 201 5.3 93 Bung zu finden (wie ihn etwa das deutsche Recht, wie beschrieben, vorsieht), und es wäre schliesslich auch zu klären, was genau Inhalt der Notifizierung sein muss (beispielsweise Art und Umfang des Datenverlustes, Anzahl betroffener Personen, Art der Daten, getroffene Massnahmen usw.)37. ■ 1 VgI. EBNETER, RZ. Z. 2 Siehe . 3 EH MANN, ó3. 4 Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten, SR 0.235.1; zur Revision dieser Konvention im Allgemeinen FASNACHT, Rz. 31.4 ff.; zu den Notifikationspflichten bei Datenpannen insti. Rz. 31.19 ff. 5 Dazu im Allgemeinen FasNacHr, Rz. 31.19. 6 EBNETER, RZ. L Z. Art. 4 Abs. 2 DSG. $ Siehe EPiNEV, 527, m.w.H. 9 MEIER, N 657. 'o Art. 7 DSG; einschränkend insofern EsNETER, Rz. 13. 11 Handkommentar/RosENrHn~, Art. 4 N 16; für das kantonale Recht ebenso BEnT RuoiN, § 9 N 50, in: Beat Rudin/Bruno Baeriswyl (Hrsg.), Praxiskommentar zum Informations- und Datenschutzgesetz des Kantons Basel-Stadt, Zürich 2014. Siehe auch EBNETER, Rz. 15 f., der überdies eine Informationspflicht auch aus dem sog. Gefahrensatz bzw. aus erwecktem Vertrauen herleitet, was nach hier vertretener Auffassung indes wohl zu weit geht. lz Art. 328 OR. 13 Verordnung vom 9.3.2007 über Fernmeldedienste (FDV), SR 784.101.1. l4 Art. 77b Abs. 1 i.V.m. Art. 77a lit. a der Verordnung vom 14.11.1973 über die Luftfahrt (Luftfahrtverordnung, LFV), SR 748.01. 1`' Art. 14a des Eisenbahngesetzes vom 20.12.1957 (EBG), SR 742.101. 16 Art. 21 der Kernenergieverordnung vom 10.12.2004 (KEV), SR 732.11. " Art. 16 der Verordnung vom 30.3.1994 über elektrische Starkstromanlagen (Starkstromverordnung) (SR 734.2). 18 Art. 29 Abs. 2 des Bundesgesetzes vom 22.6.2007 über die Eidgenössische Finanzmarktaufsicht (FINMAG), SR 956.1. 19 . 20 . Zl FASNACHT, Rz. 31.19. zz Siehe dazu die Übersicht unter ; SIEIl2 âUCII EBNETER, Rz. 4 f.; HandkomIll8lltâl'/ROSENTHAL, Art. 4 N 16; ~E TERWANGNE, 59 f. z3 Siehe dazu auch EBrvETER, Rz. 6 ff. 24 Erfasst sind gemäss § 42a BDSG besondere Arten personenbezogener Daten (besonders schätzenswerte Daten), personenbezogene Daten, die einem Berufsgeheimnis unterliegen, personenbezogene Daten, die sich auf strafbare Handlungen oder Ordnungswidrigkeiten oder den Verdacht strafbarer Handlungen oder Ordnungswidrigkeiten beziehen, sowie personenbezogene Daten zu Bank- oder Kreditkartenkonten. z5 § 42a Satz 1 BDSG. zb § 42a Satz 1 BDSG. 27 § 42a Satz 2 BDSG. za § 42a Satz 3 BDSG. 29 § 42a Satz 4 BDSG. 30 § 42a Satz 5 BDSG. 31 SÍEIlB DE TERWANGNE, 59, unter Hinweis auf eine Stellungnahme des Europäischen Datenschutzbeauftragten; VgI. âUCil FASNACHT, Rz. 31.41. 32 FASNACHT, Rz. 31.19; siehe diesbezüglich auch die Pressemitteilung des Bundesrates «Der Datenschutz soll gestärkt werden» vom 1.4.2015, abrufbar unter . 33 Vgl. diesbezüglich auch den Regelungsvorschlag bei EaNETER, Rz. 17 ff. 34 In diesem Sinne auch DE TERwaNCrvE, 59. 35 Vgl. demgegenüber Art. 31 f. des Vorschlags für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung), KOM(2012) 11, wo eine Benachrichtigungspflicht sowohl gegen- über der nationalen Aufsichtsbehörde (Art. 31) als auch, unter gewissen Voraussetzungen, gegenüber dem betroffenen Datensubjekt (Art. 32) vorgesehen ist. 36 Siehe diesbezüglich auch Wn~TER, 11 f., wonach die Aufzählung der Gründe für eine IV~tifizierungspflicht für die für die Datenverarbeitung verantwortlichen Personen ein Anreiz sein könne, in schwerwiegenden Fällen auch Meldung an die betroffenen Personen zu erstatten. Zudem könnten die Kontrollbehörden im Rahmen ihrer Zuständigkeiten die Verantwortlichen zu einer solchen Meldung auffordern. 37 Vg. EBNETER, Rz. 19. (Alle Links letztmals kontrolliert am 7.7.2015.) 94 digm~ 201 5.3
Dr. Jan Kleiner and Lukas Stocker Filed under
Arbitration awards in Switzerland
* Arbitration agreements in Switzerland
* Mängel handschriftlicher Testamente

References: de lege lata
de lege ferenda
 Art. 96
 § 42
 § 24
 Art. 7
 Art. 7
 Art. 4
 Art. 7
 Art. 4
 § 9
 Art. 328
 Art. 77
 Art. 77
 Art. 14
 Art. 21
 Art. 16
 Art. 29
 Art. 4
 § 42
 § 42
 § 42
 § 42
 § 42
 § 42
 § 42
 Art. 31