Die Vertretung gemäss Art. 14 nDSG

1. Einleitung

Das nDSG regelt die Datenbearbeitung durch private Verantwortliche mit Sitz oder Wohnsitz im Ausland in Art. 14 f. nDSG. Sofern ein privater Verantwortlicher Daten von Personen bearbeitet, die sich in der Schweiz aufhalten, muss geprüft werden, ob er eine Vertretung bezeichnen muss. Hat der private Verantwortliche Sitz oder Wohnsitz in der Schweiz, muss er keine Vertretung bestimmen. Es wird eine Vertretung benötigt, wenn alle in Art. 14 lit. a-d nDSG genannten Bedingungen erfüllt sind. Ob dies kumulativ zu erfolgen hat oder alternativ, kann weder aus dem Gesetzestext noch aus den Materialien entnommen werden. Die Lehre ist aber der Auffassung, dass es sich dabei um kumulative Voraussetzungen handelt.

2. Voraussetzung für die Bestellung des Vertreters

Ein Vertreter in der Schweiz muss ernannt werden, wenn die Datenbearbeitung von Personen in der Schweiz mit dem Angebot von Waren und Dienstleistungen in Verbindung steht oder wenn Beobachtungen über das Verhalten von Personen gemacht werden. Es ist dabei nicht relevant, ob die von der Datenbearbeitung betroffene Person Schweizer Bürger ist oder sich dauerhaft in der Schweiz aufhält. Die Person muss sich im Zeitpunkt der Datenbearbeitung in der Schweiz befinden. Daher werden auch Touristen von dieser Regelung erfasst. Ausserdem basiert die Notwendigkeit eine Vertretung zu bestimmen auf dem Marktortprinzip, d.h. sie ist nur einschlägig, wenn eine Dienstleistung für Schweizer Kunden bzw. Personen in der Schweiz erbracht wird und damit auch die Datenbearbeitung von Personen in der Schweiz einhergeht. Dies ist gegensätzlich zum Auswirkungsprinzip, das für die Frage der Anwendbarkeit des Schweizer Rechts gemäss Art. 3 nDSG einschlägig ist. Nur wenn eine Datenverarbeitung durch einen Verantwortlichen i.S.v. Art. 5 lit. j nDSG erfolgt, muss eine Vertretung gemäss Art. 14 nDSG bestimmt werden. Übernimmt jedoch ein Auftragsbearbeiter (Art. 5 lit. k nDSG) die Datenbearbeitung, dann wird laut Gesetzestext keine Vertretung benötigt.

Zudem muss die Bearbeitung a) umfangreich sein, b) regelmässig stattfinden und c) hohes Risikopotential für die Persönlichkeit der betroffenen Personen aufweisen. Ab wann eine Datenbearbeitung umfangreich ist, wird die Rechtsprechung klären müssen. Es kann aber unseres Erachtens davon ausgegangen werden, dass diese Bedingung in Übereinstimmung mit Art. 35 der Europäischen Datenschutz-Grundverordnung (DSGVO) interpretiert wird. Im Unterschied zu Art. 27 DSGVO bezieht sich die umfangreiche Bearbeitung gemäss nDSG jedoch auf sämtliche Kategorien von Daten. Sodann ist unter regelmässigen Datenbearbeitungen wiederkehrende Bearbeitungen zu verstehen. Darunter fallen z.B. Datenbearbeitungen, die notwendig sind, um die Dienstleistung überhaupt anbieten zu können.

3. Aufgaben des Vertreters

Sie ist Anlaufstelle für den EDÖB und für die von der Bearbeitung betroffenen Personen. Sie muss deshalb bekannt sein, d.h. ihr Name und ihre Adresse ist zu veröffentlichen (Art. 14 Abs. 3 nDSG). Verlangt der EDÖB Auskunft über den Inhalt des Verzeichnisses, muss er die Informationen herausgeben.

Ausserdem listet der Vertreter die Bearbeitungstätigkeiten des Verantwortlichen auf und erteilt darüber Auskunft (Art. 15 Abs. 1 und 2 nDSG). Dieses Verzeichnis muss die Vorgaben von Art. 12 nDSG einhalten. Es wird daher z.B. mindestens angegeben, wer für die Datenbearbeitung verantwortlich ist und welcher Zweck bei der Datenbearbeitung verfolgt wird (Art. 12 Abs. 2 lit. a und lit. b nDSG). Es werden im nDSG keine formellen Voraussetzungen an die Führung des Verzeichnisses gestellt. Die Vertretung erklärt einer betroffenen Person auf Anfrage auch, wie diese ihre Rechte gegenüber dem Verantwortlichen geltend machen kann.

4. Vertragsverhältnis zwischen Vertreter und Verantwortlichem und Strafrecht

Die vertragliche Beziehung zwischen Vertreter und Verantwortlichem wird als Auftrag gemäss Art. 394 ff. OR (SR 220) qualifiziert. Der Vertreter ist deshalb zu sorgfältigem Handeln verpflichtet (Art. 398 Abs. 2 OR). Es bestehen keine spezifischen Strafbestimmungen in Art. 60 ff. nDSG für den Vertreter gemäss Art. 14 nDSG. Er muss jedoch mit strafrechtlichen Sanktionen rechnen, wenn er gegen die Vorschriften des nDSG verstösst. Im nDSG ist keine zivilrechtliche Haftung vorgesehen, jedoch kann eine ausservertragliche Haftung gemäss Art. 41 ff. OR zwischen dem Vertreter und der von der Datenbearbeitung betroffenen Person konstruiert werden, wenn die Voraussetzungen von Art. 41 OR erfüllt sind.

5. Fazit

Zusammenfassend kann festgehalten werden, dass eine Vertretung i.S.v. Art. 14 nDSG zu bestimmen ist, wenn Daten von Personen bearbeitet werden, die sich in der Schweiz aufhalten. Zusätzlich muss die Datenbearbeitung im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen oder im Rahmen einer Verhaltensbeobachtung erfolgen. Zudem muss sie umfangreich und regelmässig sein und  ein erhöhtes Risiko für die Persönlichkeit der betroffenen Personen bergen. Die Vertretung führt ein Verzeichnis über die während der Datenbearbeitung vorgenommenen Bearbeitungstätigkeiten und erteilt auf Anfrage Auskünfte. Es wird sich nach Inkraftsetzung des nDSG zeigen, wie die Bestimmungen zum Vertreter von den Gerichten ausgelegt und angewendet werden. Da diese Artikel vom Parlament nicht diskutiert wurden, bestehen aktuell keine weiteren Anhaltspunkte über eine allfällige Interpretation dieser Bestimmungen.

Quellen

• BBl 2020 7639, Bundesgesetz über den Datenschutz (Datenschutzgesetz, DSG), abrufbar unter: https://www.fedlex.admin.ch/eli/fga/2020/1998/de