Dieter Kläy
Dieter Kläy

Ein klarer Kandidat fürs Veto

22.10.2021

Das Verordnungsveto hat das Bundesparlament in den vergangenen Jahren immer wieder beschäftigt. Die Verordnung zum Datenschutzgesetz könnte ein Kandidat für ein parlamentarisches Veto werden, so es denn endlich eingeführt würde.  

Das am 25. September 2020 verabschiedete Datenschutzgesetz (DSG) soll durch eine engmaschige Verordnung (VDSG) ergänzt werden. Vor wenigen Tagen ist die Vernehmlassung zu Ende gegangen. In wesentlichen Punkten er VDSG ist im DSG keine Grundlage erkennbar. Beispiele dafür sind die Protokollierungspflicht, das Bearbeitungsreglement, die Informationspflicht sowie Aufbewahrungs- und Dokumentationspflichten.

Schutzziele

Die Verordnung zum Datenschutzgesetz VDSG will Schutzziele erreichen, die nicht in der alleinigen Verantwortung der in der Unternehmung für den Datenschutz zuständigen Person liegen können. Zum Beispiel kann die Transportkontrolle durch viele externe Faktoren gefährdet werden, für welche der Verantwortliche gar nicht einstehen kann. Verantwortlichkeiten werden vollumfänglich auf den Betrieb abgewälzt, was nicht akzeptabel ist.

Protokollierungspflicht

Es ist fraglich, wo die in der VDSG vorgesehene Protokollierungspflicht ihre Grundlage im DSG hat. Die dennoch in den Verordnungsentwurf aufgenommene Pflicht steht in keinem Verhältnis zum Nutzen. Protokolle sollen zwei Jahre lang aufbewahrt werden.

Führung eines Verzeichnisses der Bearbeitungstätigkeiten

Unternehmen und andere privatrechtliche Organisationen, die am Anfang eines Jahres weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen, sowie natürliche Personen sind von der Pflicht befreit, ein Verzeichnis der Bearbeitungstätigkeiten zu führen, ausser eine der folgenden Voraussetzungen ist erfüllt: Es werden umfangreich besonders schützenswerte Personendaten bearbeitet oder es wird ein Profiling mit hohem Risiko durchgeführt. Diesbezüglich ist zu präzisieren, dass sich die allfällige Pflicht eines KMU (unter den beiden genannten Voraussetzungen) nicht auf sämtliche Bearbeitungen erstreckt, sondern nur auf diejenigen, die in den Voraussetzungen explizite erwähnt sind. Sodann braucht es eine klare Abgrenzung für die Ausnahmefälle: Was heisst «umfangreich besonders schützenswerte Personendaten»? Wenn keine messbaren Präzisierungen gemacht werden, könnte das zu grossen Rechtsunsicherheiten führen.

Gebühren

Der eidgenössische Datenschutzbeauftragte (EDÖB) erledigt seine Tätigkeit im Interesse der Gesellschaft und Öffentlichkeit. Es gibt keinen nachvollziehbaren Grund, weshalb jemand, der Dienstleistungen von ihm benötigt, um sich datenschutzkonform zu verhalten, auch noch über die Gebühr zur Kasse gebeten wird. Weder kann es sein, dass die Gebühren nach Zeitaufwand berechnet werden - die Privatperson hat keinen Einfluss auf die Effizienz der Leistungserbringung durch den EDÖB- noch sind die Stundensätze von bis zu CHF 350.- angemessen. Die Gebührenordnung ist vollständig zu überdenken.

Inkraftsetzung und Übergangsbestimmungen

Die Totalrevision des DSG bringt weitgehende Änderungen und hat neue Verpflichtungen für die Unternehmen zur Folge. Eine angemessene Umsetzungsfrist ist auf Verordnungsebene notwendig. Für die Umsetzungsarbeiten in den Unternehmen ist ein Zeitraum von mindestens einem Jahr notwendig.

Der Schweizerische Gewerbeverband sgv, aber auch viele seiner Mitglieder, haben den Entwurf der Verordnung zum Datenschutzgesetz aufgrund der erwähnten, und noch weiterer Begründungen abgelehnt. Sollte der Bundesrat dennoch am Entwurf festhalten, hat das Parlament einen weiteren Grund, endlich ein wirksames Verordnungsveto einzuführen.

Dieter Kläy, Ressortleiter