Welche Massnahmen kann der EDÖB bei Datenschutzverstössen anordnen?
Bei einer Verletzung von Datenschutzvorschriften kann der EDÖB insbesondere verfügen, dass eine Bearbeitung angepasst, unterbrochen oder abgebrochen wird sowie Personendaten ganz oder teilweise gelöscht oder vernichtet werden. Zudem kann er weitere konkrete Anordnungen treffen, etwa zu Information, Folgenabschätzung, Konsultation, Auskunft und zur Bekanntgabe ins Ausland.
Liegt eine Verletzung von Datenschutzvorschriften vor, kann der EDÖB mit Verwaltungsmassnahmen eingreifen. Er kann verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird. Ebenso kann er anordnen, dass Personendaten ganz oder teilweise gelöscht oder vernichtet werden. Für die Bekanntgabe ins Ausland nennt das Gesetz eine besondere Massnahme: Der EDÖB kann sie aufschieben oder untersagen, wenn sie gegen die Voraussetzungen nach Artikel 16 oder 17 oder gegen Bestimmungen betreffend die Bekanntgabe von Personendaten ins Ausland in anderen Bundesgesetzen verstösst. Zu prüfen ist daher insbesondere, ob überhaupt eine Verletzung von Datenschutzvorschriften vorliegt und ob bei Auslandbekanntgaben die im Gesetz genannten Voraussetzungen eingehalten sind.[1]
- Der EDÖB kann namentlich anordnen, dass das Bundesorgan oder die private Person ihn nach den Artikeln 16 Absatz 2 Buchstaben b und c sowie 17 Absatz 2 informiert.
- Er kann anordnen, dass die Vorkehren nach den Artikeln 7 und 8 getroffen werden.
- Er kann anordnen, dass nach den Artikeln 19 und 21 die betroffenen Personen informiert werden.
- Er kann verlangen, dass eine Datenschutz-Folgenabschätzung nach Artikel 22 vorgenommen wird.
- Er kann anordnen, dass er nach Artikel 23 konsultiert wird.
- Er kann anordnen, dass er oder gegebenenfalls die betroffenen Personen nach Artikel 24 informiert werden.
- Er kann anordnen, dass der betroffenen Person die Auskünfte nach Artikel 25 erteilt werden.
- Zusätzlich kann er anordnen, dass der private Verantwortliche mit Sitz oder Wohnsitz im Ausland eine Vertretung nach Artikel 14 bezeichnet.
Wenn das Bundesorgan oder die private Person während der Untersuchung die erforderlichen Massnahmen getroffen hat, um die Einhaltung der Datenschutzvorschriften wiederherzustellen, muss der EDÖB nicht zwingend weitergehende Anordnungen treffen. In diesem Fall kann er sich darauf beschränken, eine Verwarnung auszusprechen. Entscheidend ist damit auch, ob die festgestellte Verletzung bereits wirksam behoben wurde und ob die Einhaltung der Datenschutzvorschriften wiederhergestellt ist.[1]
Diese Antwort fasst den zitierten Gesetzestext in der auf Fedlex veröffentlichten Fassung zusammen. Prüfen Sie vor jedem Handeln die aktuell in Kraft stehende Bestimmung und jede spätere Änderung.[1]