Source: http://docplayer.org/7111939-Wir-danken-ihnen-fuer-die-moeglichkeit-der-stellungnahme-zu-den-beiden-oben-erwaehnten-verordnungen.html
Timestamp: 2018-06-19 13:38:57+00:00

Document:
Wir danken Ihnen für die Möglichkeit der Stellungnahme zu den beiden oben erwähnten Verordnungen. - PDF
Download "Wir danken Ihnen für die Möglichkeit der Stellungnahme zu den beiden oben erwähnten Verordnungen."
1 Bundesamt für Justiz 3003 Bern Zürich, 8. Mai 2007 Entwurf zu einer Änderung der Verordnung zum Bundesgesetz über den Datenschutz (VDSG, ) und zu einer Verordnung über die Datenschutzzertifizierung Sehr geehrte Damen und Herren Wir danken Ihnen für die Möglichkeit der Stellungnahme zu den beiden oben erwähnten Verordnungen. Allgemeine Bemerkungen Beide Vorlagen versäumen es, in wichtigen Bereichen die gesetzlichen Vorgaben konkret und konsequent umzusetzen. Art. 11a Abs. 5 lit. e DSG sieht einen unabhängigen Datenschutzverantwortlichen für Unternehmen vor. In den entsprechenden Verordnungsbestimmungen und insbesondere in den Erläuterungen wird diese Unabhängigkeit hingegen faktisch als obsolet bezeichnet (vgl. unten zu Art. 12a 12c). Ein betrieblicher Datenschutzverantwortlicher, der nicht unabhängig ist, ist abzulehnen. Auch die Unabhängigkeit des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDOEB) ist nicht vollständig gewährleistet. Insbesondere die Anforderungen aus den Abkommen über Schengen / Dublin und das Zusatzprotokoll zur Konvention 108 des Europarates verlangen eine vollständige Unabhängigkeit des EDOEB. Soweit dies nicht im DSG bereits konkretisiert worden ist, ist dies wenigstens auf Verordnungsstufe nachzuholen. Die Konferenz der Kantonsregierungen (KdK) hat eine entsprechende Wegleitung für die Kantone erarbeitet (siehe: Es macht die Situation für die Kantone, die die europa- c/o Datenschutzbeauftragter des Kantons Zürich Kaspar Escher-Haus, CH-8090 Zürich Tel. +41 (43) , Fax +41 (43)
2 SEITE 2 rechtlichen Anforderungen zu erfüllen beabsichtigen, schwierig, wenn der Bund in dieser Frage nicht auch entsprechend legiferiert. Abgesehen davon wird mit einer ungenügenden Unabhängigkeit der Datenschutzbehörden ein positives Ergebnis der Evaluation durch die EU gefährdet. Mit dem Zertifizierungsverfahren wird ein Element der Selbstregulierung in das Datenschutzrecht eingeführt. Die vorgeschlagene Regelung verkennt indessen, dass nur eine "regulierte" Selbstregulierung zur angestrebten Verbesserung des Datenschutzes und der Datensicherheit (Art. 11 DSG) führen kann. Das vorgeschlagene Zertifizierungsverfahren ist in dieser Form nicht tauglich. Da der Datenschutz für den Datenbearbeiter weitgehend die Gewährleistung von Drittinteressen bedeutet, kann nur die Involvierung einer unabhängigen Stelle, die diese Drittinteressen wahrnimmt, ein unabhängiges Zertifizierungsverfahren gewährleisten. Der EDOEB ist deshalb entweder als Vergabestelle des Prüfungssiegels ("offizielles Qualitätszeichen") oder zumindest als Stelle, der die Prüfungsberichte vor der Vergabe eines Qualitätszeichens zur materiellen Prüfung einzureichen sind, zu bezeichnen. Die Erfahrungen mit Zertifizierungsverfahren im Bereich des Datenschutzes zeigen, dass die auf einer reinen Selbstregulierung basierenden Zeichen kaum eine materielle Aussagekraft in Bezug auf die Verbesserung des Datenschutzes (Art. 11 DSG) haben, hingegen durch eine unabhängige Stelle gestützte Zeichen sich auch auf der Ebene der EU durchsetzen (Siehe: Im Weiteren ist festzuhalten, dass das Zertifizierungsverfahren nicht in erster Linie der besseren Durchsetzung des Datenschutzrechts (Erläuterungen S. 9) dient, sondern der Verbesserung des Datenschutzes (Art. 11 DSG). Für die Verbesserung der Rechtsdurchsetzung sind andere Instrumente wie beispielsweise griffige Sanktionsmöglichkeiten von Datenschutzverletzungen anzustreben. Im Übrigen sollte auch in Betracht gezogen werden, ein Zertifizierungsverfahren für bestimmte Bereiche verpflichtend vorzuschreiben (z.b. bei einem Outsourcing oder bei gewissen Datenbearbeitungen im Gesundheitswesen). Mindestens müsste es aber dem EDOEB möglich sein, für diese Bereiche Standards vorschreiben zu können, die Inhalt der Zertifizierung sein müssen. Änderungen der Verordnung zum Bundesgesetz über den Datenschutz Art. 4 Abs.1 lit. a Art. 4 Abs. 1 lit. a sollte analog von Art. 18 Abs. 1 lit. c formuliert sein. Wichtig ist, dass eine solche Adressdatei keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthält und nur der Adressierung dient. Das Kriterium der Kundenakquisition kann aus Sicht des Datenschutzes nicht entscheidend sein. Art. 4 Abs. 1 lit. d Diese Bestimmung ist sachlogisch falsch. Beim Register der Datensammlung geht es um die Transparenz und nicht um den Rechtfertigungsgrund für die Führung der Datensammlung. Gerade hier braucht es Transparenz für die betroffene Person, die ja jederzeit die Bearbeitung auch solcher Daten untersagen kann. Art. 5 Abs. 4 Dieser Absatz impliziert, dass der Datenempfänger die Bestimmungen von Art. 6 DSG nicht einhält. Das Sicherstellen des Datenschutzes ist konstituierende Voraussetzung für die grenzüber-
3 SEITE 3 schreitende Datenbekanntgabe. Eine solche Bestimmung in diesem Zusammenhang ist deshalb überflüssig. Art. 7 Der Beauftragte ist nicht nur zu verpflichten, eine Liste der Staaten mit angemessener Datenschutzgesetzgebung zu erstellen, sondern er hat sie auch zu publizieren (beispielsweise im Internet). Zudem ist eine solche Liste als verbindlich zu bezeichnen. Art. 11 Ein Bearbeitungsreglement ist für alle Datensammlungen gemäss Art. 11a Abs. 3 DSG zu erstellen. Das Kriterium der Meldepflicht ist aus datenschutzrechtlicher Sicht nicht entscheidend. Würde ein Unternehmen über einen Datenschutzverantwortlichen verfügen, so gäbe es gerade keine Meldepflicht, weshalb ihm auch kein Bearbeitungsreglement zur Verfügung zu stellen wäre. Art. 12a Art. 12c Art. 12a Art. 12c und insbesondere die Erläuterungen dazu stellen die Unabhängigkeit des Datenschutzverantwortlichen in Frage. Das DSG spricht in Art. 11a Abs. 5 lit. e von einem unabhängigen Datenschutzverantwortlichen. Die Verordnung spricht dagegen im Abschnittstitel und in Art. 12a vom Datenschutzberater. Diese Terminologie ist identisch mit dem Datenschutzberater in der Bundesverwaltung (Art. 23 VDSG), der eben als Berater funktioniert und nicht unabhängig ist. E contrario geht dies auch aus der Bestimmung von Art. 23 Abs. 2 VDSG hervor. Will man nun tatsächlich einen unabhängigen Datenschutzverantwortlichen schaffen so wie es das DSG vorsieht muss dies auch in der Terminologie der Verordnung klar zum Ausdruck kommen. Dabei ist auch festzuhalten, dass ein Informatiksicherheitsbeauftragter oder ein Leiter Rechtsdienst operative Verantwortungen im Bereich der Datenbearbeitungen haben und deshalb als unabhängige Datenschutzverantwortliche nicht in Frage kommen, da sie ihre eigenen Tätigkeiten zu überprüfen hätten. In den Erläuterungen wird festgehalten, dass der Inhaber der Datensammlung gegen den Datenschutzverantwortlichen keinesfalls Massnahmen mit Sanktionscharakter ergreifen dürfe, wenn dieser seine Aufgabe erfüllt. Diese Bestimmung kann ihre Wirksamkeit nur entfalten, wenn sie auch in der Verordnung Eingang findet, weshalb beispielsweise ein Kündigungsschutz für den Datenschutzverantwortlichen zu verankern ist. Unverständlicherweise führen die Erläuterungen auch aus, dass es dem Datenschutzverantwortlichen untersagt sein soll, den EDOEB mit der Angelegenheit zu befassen, wenn seine Empfehlungen nicht befolgt wurden. Vielmehr ist in der Verordnung eine Pflicht zur Zusammenarbeit des Datenschutzverantwortlichen mit dem EDOEB zu statuieren und die Aufhebung von beruflichen oder anderen Schweigepflichten des Datenschutzverantwortlichen gegenüber dem EDOEB festzuhalten. Art. 23 Abs. 3 Art. 23 Abs. 3 bringt einen unnötigen Formalismus. Ein direkter Kontakt der Bundesorgane mit dem EDOEB darf nicht erst in zweiter Linie kommen. Die Bestimmung ist überflüssig.
4 SEITE 4 Art. 26a Art. 26a ist zu ergänzen mit der Bestimmung, dass der Bundesrat zu begründen hat, wenn er im Pilotprojekt von der Stellungnahme des Beauftragten abweicht. Art. 30 Art. 30 ist zu ergänzen mit Bestimmungen, die die vollständige Unabhängigkeit des EDOEB gewährleisten. Insbesondere ist festzuhalten, dass der EDOEB auf eine feste Amtsdauer (mindestens vier Jahre) gewählt wird. Des Weiteren ist in einer Bestimmung zu erwähnen, dass der EDOEB über die notwendigen Fachkompetenzen zu verfügen hat und keine Nebenerwerbstätigkeit ausüben darf, die zu Interessenkonflikten führen kann. Im Übrigen sind in der Verordnung die personalrechtlichen und finanzrechtlichen Kompetenzen des EDOEB zu umschreiben (materiell analog eines Departementsvorstehers). Der Budgetprozess ist eigenständig auszugestalten und nicht als besonderer Abschnitt des Budgets der Bundeskanzlei. Der Bundesrat hat das Budget wie vom EDOEB eingereicht zu übernehmen. Der Entscheid über das Budget liegt ausschliesslich beim Parlament. Art. 31 Abs. 1 Der EDOEB soll direkt mit dem Bundesrat verkehren können. Die Bestimmung in Art. 31. Abs. 1 wirkt wie eine Unterstellung unter die Bundeskanzlei. Verordnung über die Datenschutzzertifizierungen Art. 2 Art. 2 hält lediglich fest, dass der EDOEB beim Akkreditierungsverfahren beigezogen wird. Hingegen fehlen materielle Bestimmungen mit welchem Ziel und mit welchen Kompetenzen dieser Beizug des EDOEB erfolgt. Gemäss Art. 3 kann der EDOEB ausländische Stellen anerkennen. Zumindest müsste ihm deshalb auch bei der Anerkennung schweizerischer Stellen eine gleichwertige Mitentscheidung zukommen. Art. 4 Abs. 3 Insbesondere bei der Zertifizierung von Organisation und Verfahren spielen die Qualitätsmanagementsysteme eine bedeutende Rolle, weshalb gleichwertig auch auf ISO 9001 zu verweisen ist. Analog zu Art. 5 Abs. 3 soll es dem EDOEB auch möglich sein, für bestimmte Bereiche Richtlinien und Standards zu erlassen (z.b. Outsourcing, Gesundheitswesen).
5 SEITE 5 Art. 6 Wie eingangs erwähnt, kommt einer Datenschutzzertifizierung wenig Bedeutung zu, wenn nicht eine unabhängige Stelle involviert ist. Die Berichte sind dem EDOEB vorzulegen und nach materieller Prüfung kann entweder der EDOEB ein offizielles Datenschutz-Qualitätszeichen vergeben, oder falls kein offizielles Zeichen eingeführt werden soll soll eine Datenschutzzertifizierung nur erteilt werden können, wenn die Berichte vom EDOEB materiell überprüft worden sind. Für diese zusätzlichen Aufgaben sind dem EDOEB entsprechende Ressourcen zur Verfügung zu stellen. Wir hoffen, Ihnen mit diesen Ausführungen gedient zu haben, und danken Ihnen für deren Berücksichtigung. Mit freundlichen Grüssen Dr. Bruno Baeriswyl, Präsident

References: Art. 11
 Art. 12
 Art. 4
 Art. 4
 Art. 18
 Art. 4
 Art. 5
 Art. 6
 Art. 7
 Art. 11
 Art. 11
 Art. 12
 Art. 12
 Art. 12
 Art. 12
 Art. 11
 Art. 12
E contrario
 Art. 23
 Art. 23
 Art. 23
 Art. 26
 Art. 26
 Art. 30
 Art. 30
 Art. 31
 Art. 31
 Art. 2
 Art. 2
 Art. 3
 Art. 4
 Art. 5
 Art. 6