Datenbearbeitungsverzeichnis

Überblick zum Datenbearbeitungsverzeichnis

Die Elemente des Datenbearbeitungsverzeichnisses sind:

• Inventar der Bearbeitungstätigkeiten
  • Das nDSG verlangt die Führung eines Verzeichnisses, welches die verschiedenen Bearbeitungstätigkeiten erfasst.
• Format
  • Das nDSG überlässt die Ausgestaltung und Führung des Bearbeitungsverzeichnisses dem Unternehmen:
    • Excel-Tabelle
    • Eigens für das nDSG entwickeltes Tool
    • etc.
  • Mindestinhalt
    • Der Mindestinhalt des Bearbeitungsverzeichnisses wird vom nDSG vorgegeben:
      • Identität des Verantwortlichen oder Auftragsdatenbearbeiters
      • Zweck der Bearbeitung
      • Kategorien der betroffenen Personen
      • Kategorien der bearbeiteten Personendaten
      • Kategorien der Empfänger
      • Aufbewahrungsdauer resp. Datenschutzmassnahmen
      • Empfängerstaaten
      • Angabe betreffend Schutzmassnahmen.
    • ferner DSG 12 (siehe auch nachfolgende Box).

Die Details von nDSG 12 + nDSG 19 sowie DSV 4 + DSV 5

Art. 12 nDSG   Verzeichnis der Bearbeitungstätigkeiten

¹ Die Verantwortlichen und Auftragsbearbeiter führen je ein Verzeichnis ihrer Bearbeitungstätigkeiten.

² Das Verzeichnis des Verantwortlichen enthält mindestens:

1. die Identität des Verantwortlichen;
2. den Bearbeitungszweck;
3. eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten;
4. die Kategorien der Empfängerinnen und Empfänger;
5. wenn möglich die Aufbewahrungsdauer der Personendaten oder die Kriterien zur Festlegung dieser Dauer;
6. wenn möglich eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 8;
7. falls die Daten ins Ausland bekanntgegeben werden, die Angabe des Staates sowie die Garantien nach Artikel 16 Absatz 2.

³ Das Verzeichnis des Auftragsbearbeiters enthält Angaben zur Identität des Auftragsbearbeiters und des Verantwortlichen, zu den Kategorien von Bearbeitungen, die im Auftrag des Verantwortlichen durchgeführt werden, sowie die Angaben nach Absatz 2 Buchstaben f und g.

⁴ Die Bundesorgane melden ihre Verzeichnisse dem EDÖB.

⁵ Der Bundesrat sieht Ausnahmen für Unternehmen vor, die weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen und deren Datenbearbeitung ein geringes Risiko von Verletzungen der Persönlichkeit der betroffenen Personen mit sich bringt.

Art. 19  nDSG Informationspflicht bei der Beschaffung von Personendaten

¹ Der Verantwortliche informiert die betroffene Person angemessen über die Beschaffung von Personendaten; diese Informationspflicht gilt auch, wenn die Daten nicht bei der betroffenen Person beschafft werden.

² Er teilt der betroffenen Person bei der Beschaffung diejenigen Informationen mit, die erforderlich sind, damit sie ihre Rechte nach diesem Gesetz geltend machen kann und eine transparente Datenbearbeitung gewährleistet ist; er teilt ihr mindestens mit:

1. die Identität und die Kontaktdaten des Verantwortlichen;
2. den Bearbeitungszweck;
3. gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern, denen Personendaten bekanntgegeben werden.

³ Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr zudem die Kategorien der bearbeiteten Personendaten mit.

⁴ Werden die Personendaten ins Ausland bekanntgegeben, so teilt er der betroffenen Person auch den Staat oder das internationale Organ und gegebenenfalls die Garantien nach Artikel 16 Absatz 2 oder die Anwendung einer Ausnahme nach Artikel 17 mit.

⁵ Werden die Daten nicht bei der betroffenen Person beschafft, so teilt er ihr die Informationen nach den Absätzen 2–4 spätestens einen Monat, nachdem er die Daten erhalten hat, mit. Gibt der Verantwortliche die Personendaten vor Ablauf dieser Frist bekannt, so informiert er die betroffene Person spätestens im Zeitpunkt der Bekanntgabe.

Art. 4 DSV Protokollierung

¹ Werden besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet oder wird ein Profiling mit hohem Risiko durchgeführt und können die präventiven Massnahmen den Datenschutz nicht gewährleisten, so müssen der private Verantwortliche und sein privater Auftragsbearbeiter zumindest das Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten der Daten protokollieren. Eine Protokollierung muss insbesondere dann erfolgen, wenn sonst nachträglich nicht festgestellt werden kann, ob die Daten für diejenigen Zwecke bearbeitet wurden, für die sie beschafft oder bekanntgegeben wurden.

² Das verantwortliche Bundesorgan und sein Auftragsbearbeiter protokollieren bei der automatisierten Bearbeitung von Personendaten zumindest das Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten der Daten.

³ Bei Personendaten, welche allgemein öffentlich zugänglich sind, sind zumindest das Speichern, Verändern, Löschen und Vernichten der Daten zu protokollieren.

⁴ Die Protokollierung muss Aufschluss geben über die Identität der Person, die die Bearbeitung vorgenommen hat, die Art, das Datum und die Uhrzeit der Bearbeitung sowie gegebenenfalls die Identität der Empfängerin oder des Empfängers der Daten.

⁵ Die Protokolle müssen während mindestens einem Jahr getrennt vom System, in welchem die Personendaten bearbeitet werden, aufbewahrt werden. Sie dürfen ausschliesslich den Organen und Personen zugänglich sein, denen die Überprüfung der Anwendung der Datenschutzvorschriften oder die Wahrung oder Wiederherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der Daten obliegt, und dürfen nur für diesen Zweck verwendet werden.

Art. 5 DSV Bearbeitungsreglement von privaten Personen

¹ Der private Verantwortliche und sein privater Auftragsbearbeiter müssen ein Reglement für automatisierte Bearbeitungen erstellen, wenn sie:

1. besonders schützenswerte Personendaten in grossem Umfang bearbeiten; oder
2. ein Profiling mit hohem Risiko durchführen.

² Das Reglement muss insbesondere Angaben zur internen Organisation, zum Datenbearbeitungs- und Kontrollverfahren sowie zu den Massnahmen zur Gewährleistung der Datensicherheit enthalten.

³ Der private Verantwortliche und sein privater Auftragsbearbeiter müssen das Reglement regelmässig aktualisieren. Wurde eine Datenschutzberaterin oder ein Datenschutzberater ernannt, so muss dieser oder diesem das Reglement zur Verfügung gestellt werden.