Modernisierung des Datenschutzes

Im Anschluss an zwei parlamentarische Motionen legte der Bundesrat den Eidgenössischen Räten eine Botschaft vor, in der er eine Teilrevision des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG) sowie die Ratifizierung des Zusatzprotokolls zum Übereinkommen des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (Übereinkommen 108) beantragte. Der dem Parlament unterbreitete Entwurf des Öffentlichkeitsgesetzes wird ebenfalls zu einer Änderung des DSG führen. Schliesslich könnte sich je nach Verlauf der bilateralen Verhandlungen zwischen der Schweiz und der Europäischen Union bald eine substanziellere Revision des DSG als notwendig erweisen. Der EDSB ist insgesamt mit den beantragten Veränderungen einverstanden, bedauert indessen, dass keine weiter gehende Revision angestrebt wird.

Revision des Bundesgesetzes über den Datenschutz

Als Antwort auf die Motion 98.3529 der Geschäftsprüfungskommission des Ständerates «Erhöhter Schutz bei Online-Verbindungen» sowie auf die Motion 00.3000 der Kommission für Rechtsfragen des Ständerates «Erhöhte Transparenz bei der Erhebung von Personendaten» unterbreitete der Bundesrat den Eidgenössischen Räten am 19. Februar 2003 die Botschaft «zur Änderung des Bundesgesetzes über den Datenschutz (DSG) und zum Bundesbeschluss betreffend den Beitritt der Schweiz zum Zusatzprotokoll vom 8. November 2001 zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Aufsichtsbehörden und grenzüberschreitender Datenübermittlung» (BBl 2003 2101).

Der Revisionsentwurf stärkt durch die Einführung der Transparenzpflicht bei der Erhebung von Personendaten die Position der betroffenen Personen. Jegliches Beschaffen von Daten soll in Zukunft für die betroffene Person erkennbar sein. Die betroffene Person muss zumindest die Zwecke der Bearbeitung kennen. Wenn besonders schützenswerte Daten und Persönlichkeitsprofile beschafft werden, muss der Verantwortliche für die Datenbearbeitung die betroffenen Personen mindestens über die Identität des Inhabers der Datensammlung, über den Zweck der Datenbearbeitung und wenn die Daten bekannt gegeben werden sollen über die Kategorien der Datenempfänger aktiv informieren. Allerdings kann die Information der betroffenen Person wie beim Auskunftsrecht unter bestimmten Voraussetzungen eingeschränkt werden. Die betroffenen Personen müssen auch ausdrücklich informiert werden, wenn eine Entscheidung, die Rechtsfolgen für sie zeitigt oder sie wesentlich betrifft, einzig auf der Grundlage einer automatisierten Datenberarbeitung, die bestimmte Persönlichkeitsaspekte einschätzen soll, gefasst wird. Im privaten Sektor wird das Recht, sich der Bearbeitung zu widersetzen, wirksamer gestaltet, indem der Verantwortliche für die Datenbearbeitung aufgefordert wird, zu den Gesuchen von betroffenen Personen Stellung zu nehmen.

Der grenzüberschreitende Datenverkehr wird ebenfalls überarbeitet. Die Meldepflicht wird aufgehoben. Das Übermittlungsverbot bei gravierender Gefährdung der Persönlichkeitsrechte der betroffenen Personen wird beibehalten. Der Entwurf sieht jedoch Ausnahmeregelungen vor, vor allem wenn der Verantwortliche für die Datenbearbeitung angemessene Garantien (Rückgriff auf vertragliche Datenschutzklauseln, Datenschutzreglement für Unternehmensgruppen) anbietet. Diese Garantien sind dem EDSB zu melden, welcher dann gegebenenfalls einschreitet. Allerdings sollen Ausnahmen von der Meldepflicht im Gesetz verankert und das Meldeverfahren vereinfacht werden: In absehbarer Zukunft wird der Inhaber einer Datensammlung auch die Möglichkeit haben, seine Register online anzumelden. Das Register der Datensammlungen wird im Internet veröffentlicht, was die Einsicht erleichtert. Im Gesetzesentwurf wird neu die Zertifizierung der Produkte und der Personendaten-Bearbeitungssysteme (Audit, Datenschutz-Gütesiegel) als Anreizmassnahme eingeführt. Ausserdem kann der EDSB im Rahmen seiner Befugnisse nachprüfen, ob zum einen die zertifizierten Unternehmen die Datenschutzauflagen beachten und zum anderen die für die Zertifizierung und Labelerteilung verantwortlichen Unternehmen datenschutzkonform arbeiten. Der EDSB kann künftig den Evaluationsrahmen festlegen und gegebenenfalls Empfehlungen formulieren.

Ausserdem wird im Entwurf die Regelung zur Datenbearbeitung im Auftrag, d.h. wenn insbesondere Bundesstellen Daten durch Dritte bearbeiten lassen, präzisiert. In diesem Fall können die Bundesorgane Kontrollen bei diesen Dritten durchführen. Als Antwort auf die Motion «Online-Verbindungen» wird dem Bundesrat ermöglicht, während einer zeitlich beschränkten Versuchsphase die automatisierte Bearbeitung von besonders schützenswerten Daten oder Persönlichkeitsprofilen im Rahmen von «Pilotversuchen» zu bewilligen, bevor die diesbezügliche formellgesetzliche Grundlage in Kraft tritt. Ferner legt der Revisionsentwurf Minimalanforderungen fest, denen die kantonale Gesetzgebung genügen muss, wenn ein Kanton im Vollzug von Bundesrecht Daten bearbeitet. Schliesslich kann der EDSB gegenüber Verfügungen eines Departements bzw. der Bundeskanzlei bei der Eidgenössischen Datenschutzkommission Beschwerde einlegen, wenn die Verfügung nicht auf eine an ein Bundesorgan gerichtete, von diesem abgelehnte oder nicht befolgte Empfehlung eintritt. Die Interventionsbefugnis des EDSB im privaten Sektor wird gestärkt: Künftig kann er Ermittlungen zu Bearbeitungen von besonders schützenswerten Daten oder Persönlichkeitsprofilen sowie zu regelmässigen Datenbekanntgaben unabhängig davon durchführen, ob die bearbeitungsrelevanten Datensammlungen aufgrund der Erfassung im Register der Datensammlungen der Meldepflicht unterliegen.

Zusatzprotokoll zum Übereinkommen 108

Das erste Zusatzprotokoll zum Übereinkommen 108 wurde vom Ministerkomitee des Europarates am 23. Mai 2001 unterzeichnet und den Staaten am 8. November 2001 zur Unterschrift vorgelegt. Bislang haben drei Vertragsparteien des Übereinkommens 108 das Zusatzprotokoll ratifiziert, 18 weitere haben es unterzeichnet. Nach den positiven Ergebnissen des Vernehmlassungsverfahrens hat die Schweiz das Protokoll am 17. Oktober 2002 unterzeichnet. Ziel des Protokolls ist es, die Umsetzung der Grundsätze im Übereinkommen 108 zu stärken und dabei insbesondere die Zunahme der grenzüberschreitenden Datenflüsse an Empfänger in Ländern, die das Übereinkommen nicht unterzeichnet haben, zu berücksichtigen. Das Protokoll regelt zunächst die Verpflichtung der Vertragsparteien, eine bzw. mehrere Behörden für die Überwachung der Einhaltung der nationalen Datenschutzbestimmungen einzusetzen. Diese Behörden handeln unabhängig und verfügen über Untersuchungs- und Interventionsbefugnisse; sie bilden einen festen Bestandteil des Datenschutzkontrollsystems einer demokratischen Gesellschaft. Angesichts der internationalen Dimension des Transfers von Personendaten und zur Verbesserung der Harmonisierung der Datenschutzlösungen werden die Kontrollbehörden der Vertragsstaaten aufgefordert, Informationen auszutauschen und zusammenzuarbeiten, sofern dies für die Aufgabenerfüllung erforderlich ist.

Des Weiteren regelt das Protokoll den grenzüberschreitenden Datenfluss in Drittländer. Die Weitergabe von Personendaten an einen Datenempfänger, der vom Übereinkommen 108 nicht betroffen ist, kann nur erfolgen, wenn der Empfängerstaat bzw. die Empfängerorganisation ein für die fragliche Übermittlung geeignetes Schutzniveau gewährleistet. Das Protokoll sieht indessen Ausnahmen vom Erfordernis des angemessenen Schutzniveaus vor. So kann der Transfer beispielsweise bewilligt werden, wenn er im innerstaatlichen Recht des Vertragsstaates, aus welchem die Daten weitergegeben werden, im spezifischen Interesse der betroffenen Person oder aus legitimen, gegenüber jenen der betroffenen Person überwiegenden Interessen vorgesehen ist. Möglich ist der Transfer auch dann, wenn der Verantwortliche auf Vertragsklauseln beruhende Garantien anbietet. Die Garantien müssen die relevanten Aspekte des Datenschutzes enthalten und die Rechte der betroffenen Personen wahren. Ausserdem müssen die zuständigen Datenschutzbehörden sie für ausreichend befunden haben.

Der DSG-Revisionsentwurf trägt dazu bei, die Bundesgesetzgebung mit den Anforderungen des Zusatzprotokolls in Einklang zu bringen, und erlaubt der Schweiz, dieses zu ratifizieren. Die Ratifizierung des Protokolls spielt für die Schweiz insbesondere wegen der zahlreichen Informationsaustauschvorgänge mit den Mitgliedsstaaten der Europäischen Union eine Schlüsselrolle. Die Befolgung der Auflagen des Übereinkommens 108 und des Zusatzprotokolls soll künftig bei der Beurteilung des angemessenen Schutzniveaus von Drittstaaten mit den Ausschlag geben. Die Kantone müssen ihre Gesetze ebenfalls anpassen bzw. zum Teil die Befugnisse und die Unabhängigkeit der Kontrollbehörden stärken.

Bilaterale Verhandlungen II zwischen der Schweiz und der Europäischen Union

Die Schweiz und die Europäische Union haben neue bilaterale Verhandlungen in die Wege geleitet. Diese Verhandlungen betreffen insbesondere die Dienstleistungen, die Besteuerung der Zinserträge, die Schengener Abkommen und das Dubliner Übereinkommen über Asylfragen. Falls die Verhandlungen in ein Abkommen münden, muss die Schweiz einen Teil des europäischen «acquis» (gemeinschaftlicher Besitzstand) übernehmen. Dazu gehört die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr. Die Übernahme des «acquis» zieht eine weiter gehende Revision des DSG nach sich als jene, die der Bundesrat unterbreitet hat. Die Hauptunterschiede gegenüber dem Europarecht betreffen die Definitionen und die verwendete Terminologie, den Geltungsbereich (die Richtlinie geht weiter als das DSG), das Konzept der besonders schützenswerten Daten, welches im Europarecht für den privaten Sektor strikter geregelt wird, die für sämtliche Arten von Personendaten geltende ausdrückliche Information der betroffenen Personen bei der Datenerhebung, das (in der schweizerischen Gesetzgebung fehlende) Recht, keiner automatisierten individuellen Verfügung unterstellt zu werden, sowie das Auskunftsrecht, das in der europäischen Richtlinie ebenfalls breiter definiert wird. Auch das Anmeldungssystem der Bearbeitungen im europäischen Recht unterscheidet sich hinsichtlich der zu liefernden Informationen, der Tragweite der Anmeldung und der vorherigen Prüfung riskanter Bearbeitungen vom Schweizer Recht. Schliesslich sieht die europäische Richtlinie umfassendere Kompetenzen und Befugnisse für die Datenschutz-Kontrollbehörden vor. Die Gesetzgebungen mehrerer Mitgliedsstaaten der Europäischen Union verleihen den Datenschutzbehörden Entscheidungs- und Sanktionsbefugnisse. Auch die schweizerischen Kantone werden ihre Gesetze überarbeiten müssen. Dabei fragt sich, ob der Bund die Kompetenz erhalten sollte, das DSG – mangels eines angemessenen Datenschutzes – zumindest ersatzweise auf sämtliche von Kantons- oder Gemeindeorganen durchgeführten Datenbearbeitungen anzuwenden.

Entwurf eines Bundesgesetzes über die Öffentlichkeit der Verwaltung

Der Bundesrat verabschiedete am 12. Februar 2003 die Botschaft zum Bundesgesetz über die Öffentlichkeit der Verwaltung (BBl 2003 1963) und legte sie den Eidgenössischen Räten vor. Der Gesetzesentwurf soll der Öffentlichkeit Zugang zu amtlichen Dokumenten gewähren und die Transparenz der Verwaltung fördern. Der Zugang zu amtlichen Dokumenten bezieht sich auch auf Personendaten. Im Regelfall werden diese Dokumente anonymisiert, bevor sie den Gesuchstellern übermittelt werden. Eine Anonymisierung ist jedoch nicht immer möglich. Unter Umständen könnte die Verwaltung veranlasst werden, Personendaten an Dritte zu übermitteln. In solchen Fällen findet das DSG Anwendung; die Rechtmässigkeit des Zugangs richtet sich nach den Bestimmungen über die Weitergabe von Personendaten. Die betroffene Person kann verlangen, vor der Weitergabe der angeforderten Daten informiert zu werden; betrifft das Gesuch schützenswerte Daten oder Persönlichkeitsprofile, so ist die Information Pflicht. Der Gesetzesentwurf sieht für etwaige Konflikte zwischen Verwaltung und Bürgern wegen eines Zugangsgesuchs eine Schlichtungsstelle vor. Diese Schlichtung wird vom EDSB gewährleistet, der damit neue Aufgaben übernimmt. Dieses System entspricht dem Standpunkt, welchen der EDSB im Vernehmlassungsverfahrens vertrat (siehe 7. Tätigkeitsbericht, Kapitel II.7). Das Öffentlichkeitsgesetz sieht ausserdem eine Änderung des DSG vor: Personendaten, die im Rahmen der Information der Öffentlichkeit von den Behörden von Amtes wegen oder aufgrund des Öffentlichkeitsgesetzes zugänglich gemacht werden, dürfen weitergegeben werden, falls sie mit der Erfüllung öffentlicher Aufgaben in Zusammenhang stehen und falls ein überwiegendes Interesse an der Datenbekanntgabe besteht. Die Daten können ausserdem im Internet veröffentlicht werden. Die Verbreitung im Internet kommt auch in Betracht, wenn eine Gesetzesgrundlage die Veröffentlichung der Daten vorsieht. Allerdings dürfen die Daten nicht allein wegen der Veröffentlichung oder der allgemeinen Zugänglichkeit automatisch ins Internet gestellt werden; der Grundsatz der Verhältnismässigkeit ist zu beachten. Ferner müssen die Daten gelöscht werden, sobald das im öffentlichen Interesse liegende Ziel, das die Veröffentlichung rechtfertigte, erreicht ist. Damit soll insbesondere das Recht auf Vergessen gewährleistet werden. In bestimmten Fällen ist der Datenzugang durch die Einschränkung der Datensuchfunktionen zu begrenzen.

Stellungnahme des EDSB zur DSG-Revision

Insgesamt unterstützt der EDSB die in den beiden erwähnten Botschaften erläuterten Änderungsvorschläge des DSG. Wie wir bereits in unserem 8. Tätigkeitsbericht erwähnten (Kapitel I.12), hätten wir eine weiter gehende Revision des DSG und eine konsequentere Annäherung an das Europarecht befürwortet. Wir begrüssen die Einführung der Zertifizierung und des Datenschutz-Gütesiegels, welche die Autonomie und die Verantwortung der Inhaber von Datensammlungen weiter stärken. Ausserdem weisen wir darauf hin, dass im Öffentlichkeitsgesetz ein Gleichgewicht zwischen dem Zugang zu amtlichen Dokumenten und den Anforderungen an den Schutz des Privatlebens gefunden wurde. Dagegen melden wir Vorbehalte an der Einführung einer Bestimmung an, die dem Bundesrat erlaubt, die automatisierte Bearbeitung von besonders schützenswerten Daten oder von Persönlichkeitsprofilen vor dem Inkrafttreten eines formellen Gesetzes zu gestatten. Unseres Erachtens geht diese Bestimmung zum einen über die Motion «Online-Verbindungen» hinaus, welche eine Gesetzesgrundlage einzig für den Online-Zugang forderte. Zum anderen halten wir zwar eine Anpassung des Gesetzmässigkeitsprinzips auch für notwendig – namentlich um die Komplexität der Personendaten-Bearbeitungssysteme und die Entwicklungen bei der Aufgabenerfüllung der Bundesorgane zu berücksichtigen – , aber wir hätten eingehendere Überlegungen zu den Anforderungen des Gesetzmässigkeitsgrundsatzes und zu den Modalitäten der Umsetzung gewünscht. Wie in einigen europäischen Gesetzen könnten so bestimmte Bearbeitungsvorgänge der vorherigen Bewilligung durch den Eidgenössischen Datenschutzbeauftragten unterstellt werden. In einer späteren Phase sind unseres Erachtens die Stärkung der Rechte der betroffenen Person und die Erleichterung des Verfahrens im privaten Sektor unerlässlich, damit die Einzelpersonen ihre Rechte besser geltend machen können. Ausserdem soll der Einsatz von datenschutzfreundlichen Technologien gefördert werden beispielsweise mit der Pflicht für die Datenbearbeitungsverantwortlichen, Instrumente bereitzustellen, damit die Privatpersonen bei der Nutzung von Online-Dienstleistungen ihre Rechte ausüben können. Auch die Selbstregulierung könnte stärker entwickelt werden. Die grössere Autonomie der Verantwortlichen für die Datenbearbeitung muss indessen die Einführung von präventiven und im Missbrauchsfall repressiven Kontrollmitteln nach sich ziehen. Das bedeutet, dass der EDSB künftig eine aktivere Rolle spielt. Es gilt zu vermeiden, dass Einzelpersonen völlig schutzlos sind, wenn Daten über sie bearbeitet werden. Deshalb muss eine Politik entwickelt werden, welche die Anerkennung und die Achtung der Datenschutzgrundsätze fördert und den betroffenen Personen die effektive Ausübung ihrer Rechte erlaubt. Der EDSB hat darauf zu achten, dass die Regeln befolgt und in die Datenbearbeitungsabläufe integriert werden. Dieser Ansatz erfordert eine Überarbeitung der Befugnisse des EDSB. Der EDSB soll die Befolgung der Gesetzesauflagen nicht nur kontrollieren, sondern bei Verletzung auch die angemessenen Massnahmen ergreifen und gegebenenfalls Sanktionen verhängen können. Die Effizienz der Überwachung setzt (heute unzureichende) Ressourcen und Entscheidungsbefugnisse voraus (siehe auch Abschnitt 12.1 des vorliegenden Berichtes). Ähnlich wie andere Datenschutzbehörden in Europa und sonstige Überwachungsbehörden in der Schweiz, z.B. die Eidgenössische Wettbewerbskommission, sollte auch der EDSB ermächtigt werden, Sanktionen zu verhängen. Ausserdem könnte ein Beschwerderecht gegen Verfügungen von Bundesstellen (ähnlich wie im Datenschutzgesetz des Kantons Glarus vorgesehen) eingeführt werden.

[Juli 2003]

https://www.edoeb.admin.ch/content/edoeb/de/home/dokumentation/taetigkeitsberichte/aeltere-berichte/10--taetigkeitsbericht-2002-2003/modernisierung-des-datenschutzes.html