Das revidierte Datenschutzgesetz auferlegt eine genaue Dokumentationspflicht, das Verzeichnis der Bearbeitungstätigkeiten, umgeben von Grundsätzen und Pflichten, die dessen Inhalt bestimmen. Die unten stehenden Artikel bilden ein Ganzes: das Verzeichnis beschreibt, was die Grundsätze zulassen.
Das Verzeichnis, und wer es zu führen hat. Artikel 12 ist unmissverständlich: Verantwortliche und Auftragsbearbeiter führen je ein Verzeichnis ihrer Bearbeitungstätigkeiten. Jenes des Verantwortlichen enthält mindestens sieben Angaben: seine Identität; den Bearbeitungszweck; eine Beschreibung der Kategorien betroffener Personen und bearbeiteter Personendaten; die Kategorien der Empfängerinnen und Empfänger; wenn möglich die Aufbewahrungsdauer oder die Kriterien zu deren Festlegung; wenn möglich eine allgemeine Beschreibung der Massnahmen zur Datensicherheit; und, bei Bekanntgabe ins Ausland, die Angabe des Staates sowie die vorgesehenen Garantien. Jenes des Auftragsbearbeiters ist kürzer: Identität beider, Kategorien der im Auftrag durchgeführten Bearbeitungen, dazu die beiden letztgenannten Angaben. Bundesorgane melden ihr Verzeichnis dem EDÖB. Der Bundesrat sieht schliesslich Ausnahmen für Unternehmen mit weniger als 250 Mitarbeiterinnen und Mitarbeitern vor.
Die Grundsätze, die jede Bearbeitung beherrschen. Artikel 6 stellt sie auf, und sie bestimmen alles Weitere: Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit. Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft und nur damit vereinbar weiterbearbeitet werden. Sie werden vernichtet oder anonymisiert, sobald sie nicht mehr erforderlich sind. Wer Daten bearbeitet, muss sich über deren Richtigkeit vergewissern und angemessene Massnahmen zur Berichtigung, Löschung oder Vernichtung treffen; die Angemessenheit hängt von Art und Umfang der Bearbeitung sowie vom Risiko ab. Die Einwilligung schliesslich ist nur gültig, wenn sie für bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird. Ausdrücklich muss sie in drei Fällen erfolgen: besonders schützenswerte Personendaten, Profiling mit hohem Risiko durch eine private Person, und jedes Profiling durch ein Bundesorgan.
Ab der Planung, und durch Voreinstellungen. Artikel 7 verschiebt die Anforderung nach vorn: die technischen und organisatorischen Massnahmen sind ab der Planung zu berücksichtigen, nicht nachträglich hinzuzufügen. Sie bemessen sich am Stand der Technik, an Art und Umfang der Bearbeitung sowie am Risiko. Der Verantwortliche muss zudem durch geeignete Voreinstellungen sicherstellen, dass die Bearbeitung auf das für den Verwendungszweck nötige Mindestmass beschränkt bleibt, soweit die betroffene Person nichts anderes bestimmt.
Die Informationspflicht. Artikel 19 verlangt eine angemessene Information der betroffenen Person bei der Beschaffung, auch wenn die Daten nicht bei ihr beschafft werden. Mindestens drei Angaben: Identität und Kontaktdaten des Verantwortlichen, Bearbeitungszweck, und gegebenenfalls die Empfängerinnen und Empfänger. Stammen die Daten nicht von der betroffenen Person, kommen die Kategorien der bearbeiteten Daten hinzu, und die Information hat ihr spätestens einen Monat nach Erhalt der Daten zuzugehen, oder im Zeitpunkt der Bekanntgabe, falls diese früher erfolgt. Bei Bekanntgabe ins Ausland ist auch der Staat oder das internationale Organ zu nennen.
Die Meldung von Verletzungen. Artikel 24 verpflichtet den Verantwortlichen, dem EDÖB so rasch als möglich Verletzungen der Datensicherheit zu melden, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte führen. Die Meldung nennt mindestens die Art der Verletzung, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen. Der Auftragsbearbeiter meldet seinerseits so rasch als möglich dem Verantwortlichen. Die betroffene Person wird informiert, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt, wobei diese Information in aufgezählten Fällen eingeschränkt, aufgeschoben oder unterlassen werden kann. Eine solche Meldung darf schliesslich in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden.
Ein Verzeichnis aufzubauen heisst, Bearbeitung für Bearbeitung die sieben Punkte von Artikel 12 zu beantworten: wer ist verantwortlich, zu welchem Zweck, über welche Kategorien von Personen und Daten, an welche Empfänger, für wie lange, mit welchen Sicherheitsmassnahmen, und gegebenenfalls in welche Staaten. Die beiden Fristen, die daneben zu merken sind: ein Monat für die Information, wenn die Daten nicht von der betroffenen Person stammen, und die Meldung so rasch als möglich an den EDÖB bei einer Verletzung mit hohem Risiko. « Verzeichnis Bearbeitungstätigkeiten » suchen erschliesst die verwandten Bestimmungen: Datensicherheit, Datenschutz-Folgenabschätzung, Bekanntgabe ins Ausland und Auskunftsrecht.
Der Gesetzestext
SR 235.1
Art. 6. Grundsätze
1 Personendaten müssen rechtmässig bearbeitet werden.
2 Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3 Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4 Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5 Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind. Die Angemessenheit der Massnahmen hängt namentlich ab von der Art und dem Umfang der Bearbeitung sowie vom Risiko, das die Bearbeitung für die Persönlichkeit oder Grundrechte der betroffenen Personen mit sich bringt.
6 Ist die Einwilligung der betroffenen Person erforderlich, so ist diese Einwilligung nur gültig, wenn sie für eine oder mehrere bestimmte Bearbeitungen nach angemessener Information freiwillig erteilt wird.
7 Die Einwilligung muss ausdrücklich erfolgen für: a. die Bearbeitung von besonders schützenswerten Personendaten; b. ein Profiling mit hohem Risiko durch eine private Person; oder c. ein Profiling durch ein Bundesorgan.
Art. 7. Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen
1 Der Verantwortliche ist verpflichtet, die Datenbearbeitung technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden, insbesondere die Grundsätze nach Artikel 6. Er berücksichtigt dies ab der Planung.
2 Die technischen und organisatorischen Massnahmen müssen insbesondere dem Stand der Technik, der Art und dem Umfang der Datenbearbeitung sowie dem Risiko, das die Bearbeitung für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringt, angemessen sein.
3 Der Verantwortliche ist verpflichtet, mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist, soweit die betroffene Person nicht etwas anderes bestimmt.
Art. 12. Verzeichnis der Bearbeitungstätigkeiten
1 Die Verantwortlichen und Auftragsbearbeiter führen je ein Verzeichnis ihrer Bearbeitungstätigkeiten.
2 Das Verzeichnis des Verantwortlichen enthält mindestens: a. die Identität des Verantwortlichen; b. den Bearbeitungszweck; c. eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten; d. die Kategorien der Empfängerinnen und Empfänger; e. wenn möglich die Aufbewahrungsdauer der Personendaten oder die Kriterien zur Festlegung dieser Dauer; f. wenn möglich eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 8; g. falls die Daten ins Ausland bekanntgegeben werden, die Angabe des Staates sowie die Garantien nach Artikel
16 Absatz 2.
3 Das Verzeichnis des Auftragsbearbeiters enthält Angaben zur Identität des Auftragsbearbeiters und des Verantwortlichen, zu den Kategorien von Bearbeitungen, die im Auftrag des Verantwortlichen durchgeführt werden, sowie die Angaben nach Absatz
2 Buchstaben f und g.
4 Die Bundesorgane melden ihre Verzeichnisse dem EDÖB.
5 Der Bundesrat sieht Ausnahmen für Unternehmen vor, die weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäf tigen
Art. 19. Informationspflicht bei der Beschaffung von Personendaten
1 Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.
2 Er teilt der betroffenen Person bei der Beschaffung diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist; er teilt ihr mindestens mit: a. die Identität und die Kontaktdaten des Verantwortlichen; b. den Bearbeitungszweck; c. gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden.
3 Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr zudem die Kategorien der bearbeiteten Personendaten mit.
4 Werden die Personendaten ins Ausland bekanntgegeben, so teilt er der betroffenen Person auch den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel
16 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 mit.
5 Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr die Informationen nach den Absätzen 2–4 spätestens einen Monat, nachdem er die Daten erhalten hat, mit. Gibt der Verantwortliche die Personendaten vor Ablauf dieser Frist bekannt, so informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.
Art. 24. Meldung von Verletzungen der Datensicherheit
1 Der Verantwortliche meldet dem EDÖB
2 In der Meldung nennt er mindestens die Art der Verletzung der Datensicherheit, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen.
3 Der Auftragsbearbeiter meldet dem Verantwortlichen so rasch als möglich eine Verletzung der Datensicherheit.
4 Der Verantwortliche informiert die betroffene Person, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB
5 Er kann die Information an die betroffene Person einschränken, aufschieben oder darauf verzichten, wenn: a. ein Grund nach Artikel
26 Absatz
1 Buchstabe b oder Absatz
2 Buchstabe b vorliegt oder eine gesetzliche Geheimhaltungspflicht dies verbietet; b. die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert; oder c. die Information der betroffenen Person durch eine öffentliche Bekanntmachung in vergleichbarer Weise sichergestellt ist. 5bis Der EDÖB kann die Meldung mit dem Einverständnis des Verantwortlichen zur Analyse des Vorfalls an das Bundesamt für Cybersicherheit weiterleiten. Die Mitteilung kann Personendaten enthalten, einschliesslich besonders schützenswerter Personendaten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen betreffend den Verantwortlichen.
6 Eine Meldung, die aufgrund dieses Artikels erfolgt, darf in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einverständnis verwendet werden.
Behalten Sie den Überblick
Mit einem kostenlosen Konto speichern Sie Ihre Suchen, verfolgen einzelne Gesetze und werden bei jeder Änderung benachrichtigt.
