104
}
Sie kann die Abberufung des Beauftragten für den Datenschutz
verlangen, wenn er die zur Erfüllung seiner Aufgaben erforderliche
Fachkunde und Zuverlässigkeit nicht besitzt.
3.5.2.3
Besondere Genehmigungspflichten
Nach deutschem Datenschutzrecht ist die grenzüberschreitende
Datenübertragung wie eingangs erwähnt grundsätzlich nicht
genehmigungspflichtig. Das deutsche Recht kennt allerdings die Möglichkeit,
bei einem Datenempfänger in einem Drittstaat ein angemessenes
Datenschutzniveau neben Safe Harbor und dem EU-Standardvertrag
dadurch zu schaffen, dass der Datenempfänger aufgrund eines durch die
Datenschutzaufsichtsbehörde genehmigten Vertrags zur Sicherstellung eines
angemessenen Datenschutzniveaus verpflichtet wird.
3.5.3
Schweiz
3.5.3.1
Das System
Auch das CH-DSG kennt Meldepflichten und Registrierungspflichten.
Zu melden sind Datenexporte in einen unsicheren Drittstaat an einen
Empfänger, der sich im Wege eines Vertrags oder über binding corporate
rules zu einem der schweizerischen Rechtsordnung entsprechenden
Datenschutz verpflichtet hat (zum Cross-Border-Transfer siehe im Übrigen
Abschnitt 3.7). Die Meldung sorgt für Transparenz, erscheint manchmal
jedoch als bloße Formalität. Jedenfalls kann sie mit wenig Aufwand
vollzogen werden. Ein Formular steht nicht zur Verfügung. In der Regel
genügt ein einseitiges Dokument, um die Meldepflicht zu erfüllen. Es
handelt sich um eine bloße Meldepflicht, nicht um eine
Genehmigungspflicht. Beim Cloud-Computing finden häufig
grenzüberschreitende Datentransfers in unsichere Drittländer statt. Es
dürfte also gute Praxis sein, vom Anbieter standardmäßig vertragliche
Garantien einzuholen und den grenzüberschreitenden Transfer im Voraus
dem Datenschutzbeauftragten zu melden.
Daneben haben Datenbearbeiter die Pflicht, Datensammlungen in ein
öffentliches Register anzumelden, wenn sie damit regelmäßig besonders
schützenswerte Personendaten oder Persönlichkeitsprofile (Letzteres eine
Besonderheit des CH-DSG) bearbeiten oder regelmäßig irgendwelche
Personendaten Dritten bekannt geben. Von dieser Registrierungspflicht wird
der Bearbeiter entbunden, wenn er einen Datenschutzverantwortlichen
bezeichnet hat oder aufgrund eines Zertifizierungsverfahrens eine
Datenschutzzertifizierung erworben hat.
