Auswirkungen des revidierten Datenschutzgesetzes auf mit öffentlichen Aufgaben des Bundes betraute Unternehmen

Das künftige revidierte Datenschutzgesetz (DSG) führt im Vergleich zur derzeitigen Regelung strengere Vorschriften ein. Auch Behörden und Dienststellen des Bundes oder andere mit öffentlichen Aufgaben des Bundes betraute Unternehmen (z.B. Pensionskassen im obligatorischen Bereich gemäss Bundesgesetz über die berufliche Alters-, Hinterlassenen- und Invalidenvorsorge; «Bundesorgane») sind betroffen. Eine Verletzung der im revidierten DSG aufgeführten Pflichten kann mit gegen die handelnden Personen gerichteten strafrechtlichen Sanktionen verbunden sein.

Das revidierte DSG ist final und tritt voraussichtlich Mitte/Ende 2022 mit der ebenfalls revidierten ausführenden Verordnung zum DSG (VDSG) in Kraft. Die finale Fassung der revidierten VDSG liegt im heutigen Zeitpunkt noch nicht vor. Um im Zeitpunkt des Inkrafttretens gewappnet zu sein, sollten Bundesorgane aber jetzt aktiv werden.

Folgende Pflichten unter dem revidierten Datenschutzrecht seien hervorgehoben:

• Die Ernennung eines Datenschutzberaters ist für Bundesorgane gemäss dem Vorentwurf der VDSG künftig obligatorisch.
• Bundesorgane müssen voraussichtlich unabhängig von ihrer Grösse ein Verzeichnis über ihre Bearbeitungstätigkeiten führen.
• Das revidierte DSG verstärkt die bestehenden Prinzipien des «Rechts auf Vergessen» und der Speicherbegrenzung, was die Einführung von Löschregeln und eines Löschkonzepts bedingt.
• Verletzungen der Datensicherheit müssen unter bestimmten Bedingungen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten und den Betroffenen gemeldet werden.
• Bei der Beauftragung eines Dritten («Auftragsbearbeiter») sollten bestimmte Aspekte (z.B. Datensicherheit, Unterbeauftragung) zwingend vertraglich geregelt werden.