In Kürze

Art. 15 DSG nennt bestimmte weitere Pflichten für eine Datenschutz-Vertretung gemäss Art. 14 DSG. Die Vertretung muss ein Verzeichnis der Bearbeitungstätigkeiten für die oder den Verantwortlichen führen und dem EDÖB auf Anfrage die entsprechenden Angaben mitteilen. Ferner muss die Vertretung betroffenen Personen auf Anfrage Auskunft über die Ausübung ihrer Rechte erteilen.

I. Allgemeines

1 Art. 15 DSG zählt bestimmte weitere Pflichten der Datenschutz-Vertretung in Ergänzung zu den Pflichten gemäss Art. 14 Abs. 2 u. 3 DSG auf (Funktion als Anlaufstelle, Art. 14 Abs. 2 DSG, und Veröffentlichung der Kontaktangaben, Art. 14 Abs. 3 DSG). Die Aufzählung in Art. 15 DSG ist aufgrund der weit gefassten Rolle der Vertretung als Anlaufstelle als nicht abschliessend zu verstehen.

II. Pflichten der Datenschutz-Vertretung

A. Verzeichnis der Bearbeitungstätigkeiten (Abs. 1)

2 Die Datenschutz-Vertretung muss gemäss Wortlaut ein Verzeichnis der Bearbeitungstätigkeiten der oder des Verantwortlichen führen (Abs. 1). Diese Pflicht geht weiter als jene gemäss Art. 30 Abs. 1 DSGVO, wonach die EU-Datenschutz-Vertretung ein Verzeichnis nur für Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen, führen muss. Diese überschiessende, jedenfalls deutlich weitergehende Pflicht im Vergleich zur DSGVO dürfte ein gesetzgeberisches Versehen darstellen.

3 Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeiterinnen und Mitarbeiter gemäss Art. 12 Abs. 5 DSG i.V.m. Art. 24 DSV greift nicht für die Datenschutz-Vertretung.

Die Datenschutz-Vertretung muss gemäss Art. 14 Abs. 1 lit. a DSG denn auch nur bezeichnet werden, wenn die Bearbeitung durch die Verantwortliche oder den Verantwortlichen unter anderem für die Persönlichkeit der betroffenen Personen ein hohes Risiko bringt. Das entspricht dem allgemeinen risikobasierten Ansatz des DSG, wie ihn insbesondere Art. 24 DSV zum Ausdruck bringt.

4 Die Angaben im Verzeichnis müssen Art. 12 Abs. 2 DSG entsprechen. In der Praxis wird die oder der Verantwortliche ein Teil-Verzeichnis mit Bearbeitungstätigkeiten, die sich auf die Schweiz auswirken, führen und in Kopie der Vertretung zur Verfügung stellen.

B. Mitteilungspflicht gegenüber dem EDÖB (Abs. 2)

5 Die Vertretung muss dem EDÖB auf Anfrage die im Verzeichnis enthaltenen Angaben mitteilen (Abs. 2), auch ohne Verwaltungsverfahren. In der Praxis dürfte die Vertretung dem EDÖB das Verzeichnis mitteilen, anstatt nur die darin enthaltenen Angaben zu liefern.

6 Die Pflicht gilt damit unabhängig von der Pflicht der oder des Verantwortlichen, dem EDÖB alle notwendigen Unterlagen im Rahmen einer Untersuchung zur Verfügung zu stellen (Art. 49 Abs. 3 DSG) und auch unabhängig von der Befugnis des EDÖB, Zugang zu allen erforderlichen Verzeichnissen der Bearbeitungstätigkeiten im Rahmen einer Untersuchung anzuordnen (Art. 50 Abs. 1 lit. a DSG).

7 Der EDÖB muss mit der Vertretung als Anlaufstelle nicht den Weg der internationalen Rechtshilfe beschreiten, um die Angaben im Verzeichnis zu erhalten.

Die Vertretung in der Schweiz darf ausschliesslich Angaben mitteilen, über die bereits verfügt.

8 Eine freiwillig bezeichnete Vertretung muss als solche kein Verzeichnis führen.

C. Auskunft gegenüber betroffenen Personen (Abs. 3)

9 Die Datenschutz-Vertretung muss als Anlaufstelle (Art. 14 Abs. 2 DSG) betroffenen Personen auf Anfrage über die Ausübung ihrer Rechte gemäss Art. 25 ff. DSG Auskunft erteilen.

10 Die Vertretung muss anfragenden betroffenen Personen ermöglichen, ihre Rechte auszuüben. Die Vertretung muss betroffene Personen beispielsweise informieren, unter welchen Kontaktangaben und auf welchen Wegen sie ihr Recht auf Auskunft (Art. 25 ff. DSG) gegenüber dem Verantwortlichen ausüben können und ob die oder der Verantwortliche eine Datenschutzberaterin oder einen Datenschutzberater (Art. 10 DSG) benannt hat, die oder der zur Rate gezogen werden kann (Art. 10 Abs. 2 DSG).

11 Die Informationspflicht der oder des betroffenen Verantwortlichen (Art. 19 ff. DSG) bleibt von der Auskunftspflicht der Vertretung unberührt.

Die oder der Verantwortliche darf die Vertretung ferner mit sonstigen Auskünften an die betroffenen Personen beauftragen.

Literaturverzeichnis

Husi-Stämpfli Sandra, Kommentierung zu Art. 15 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Datenschutzgesetz, Stämpflis Handkommentar, 2. Aufl., Bern 2023. (zit. SHK-Husi-Stämpfli, Art. 15 DSG).

Eidgenössisches Justiz- und Polizeidepartement, EU-Datenschutzgrundverordnung DSGVO: Erläuterungen betreffend die Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DSGVO, 4.9.2018 (zit. EJPD, Erläuterungen).

Gogniat Yves, Die Datenschutzgrundverordnung im Kontext von Art. 271 StGB, in: Jusletter vom 19.11.2018 (zit. Gogniat, Art. 271 StGB).

Rosenthal David, Das neue Datenschutzgesetz, in: Jusletter vom 16.11.2020 (zit. Rosenthal, Jusletter).