Sie finden hier eine Auswahl an Artikeln des 15. Tätigkeitsberichts des EDÖB. Den vollständigen Text können Sie als PDF-Dokument herunterladen oder aber beim Bundesamt für Bauten und Logistik bestellen. Informationen dazu finden Sie im Kästchen rechts auf dieser Seite.
Vorwort
Im letzten Tätigkeitsbericht habe ich die Rolle des Datenschützers mit jener des Sisyphos verglichen, der tragischen Gestalt aus der griechischen Mythologie, die immer wieder vergeblich denselben Stein den Berg hinauf stösst: Kaum glaubt man ein Datenschutzproblem gelöst, taucht ein neues auf. Auch wenn sich am Bild grundsätzlich nichts ändert, so gibt der jährliche Tätigkeitsbericht doch die Gelegenheit, Rückschau zu halten und sich an den Erfolgen zu freuen. Man kann es so auf den Punkt bringen: Vernünftiger Datenschutz ist erfolgreich.
Richtlinien des EDÖB für die Zertifizierung von Organisationen
Gemäss der Verordnung über die Datenschutzzertifizierungen hat der EDÖB Richtlinien über die Mindestanforderungen an das Datenschutzmanagementsystem zu erlassen. Er stützt sich dafür auf die internationalen Normen für Managementsysteme, insbesondere ISO/IEC 27001:2005. Diese Richtlinien beinhalten die wesentlichen Elemente der Norm 27001 mit Schwerpunkt auf dem Datenschutz und gleichzeitig basierend auf einem ergänzenden Leitfaden zur Umsetzung. Diese Broschüre im Anhang, die nach neun allgemeinen Grundsätzen des DSG aufgebaut ist und derzeit rund zwanzig konkrete Massnahmen enthält, ist das auf den Datenschutz anwendbare Gegenstück zur Norm 27002 (Leitfaden für die Informationssicherheit) in Verbindung mit der Norm 27001.
Einführung biometrischer Daten in Ausweisen
Die begrenzte und geregelte Verwendung biometrischer Daten für eine bessere Personen-Authentifizierung im Rahmen von Identitätskontrollen und für eine verstärkte Sicherheit der Ausweispapiere widerspricht den Datenschutzprinzipien nicht. Die Verwendung dieser Daten für Identifikationszwecke ist dagegen problematischer und stösst bei uns auf Vorbehalte.
Volkszählung 2010
Im Rahmen der Vorbereitungsarbeiten für die Volkszählung von 2010 haben wir die zu berücksichtigenden Datenschutzaspekte im Bereich der Statistik, der Registerharmonisierung und der Zählung untersucht. Wir haben mit dem Bundesamt für Statistik (BFS) zusammengearbeitet und zu den Entwürfen des Gesetzes über die eidgenössische Volkszählung und der Verordnung über die Registerharmonisierung Stellung bezogen.
Einsatz von Überwachungsgeräten an der Schweizer Grenze
Die Verordnung über den Einsatz von Bildaufnahme-, Bildaufzeichnungs- und anderen Überwachungsgeräten durch die Eidgenössische Zollverwaltung, die auf den 1. Mai 2007 in Kraft getreten ist, schafft detaillierte Ausführungsbestimmungen für den Einsatz von Überwachungsgeräten an der Schweizer Grenze. Sie bezeichnet die zulässigen Geräte sowie deren Einsatzbereiche und regelt die Verantwortlichkeiten und die Aufbewahrungsdauer der Aufzeichnungen.
Die Aussagekraft von Betreibungsregisterauszügen
Die Kreditwürdigkeit ist für die Teilnahme am Wirtschaftsleben von zentraler Bedeutung. Da der Betreibungsregisterauszug zu diesem Thema Auskunft gibt, ist er ein brisantes Dokument. Es wird bisweilen aber nicht richtig verstanden, dass einige der Einträge auf dem Auszug mit der Kreditwürdigkeit nichts zu tun haben. Der Versuch, die Gefahr von Fehlinterpretationen mittels einer parlamentarischen Initiative zu beseitigen, scheiterte an der Vielfalt der Auffassungen, auf welche Weise dies geschehen müsste.
Internet-Tauschbörsen und Datenschutz
Wir haben die Datenbearbeitung eines im Bereich der Bekämpfung von Urheberrechtsverletzungen tätigen Unternehmens untersucht und festgestellt, dass die Datenbeschaffung in den Peer-to-Peer-Tauschbörsen den Grundprinzipien des DSG nicht gerecht wird. Dabei stellen wir aber die Legitimität der strafrechtlichen Verfolgung von Urheberrechtsverletzungen keineswegs in Frage. Wie wir jedoch bemerkt haben, missbrauchen in der Praxis die Urheberrechtsinhaber ihr Akteneinsichtsrecht im Rahmen eines Strafverfahrens, um die Identität der Inhaber des Internetzugangs zu erfahren, und so umgehen sie das Telekommunikationsgeheimnis im Bereich des Privatrechts. Unseres Erachtens erfordert eine Verletzung des Telekommunikationsgeheimnisses im zivilen Bereich eine ausdrückliche Gesetzesgrundlage. Wir haben dem betreffenden Unternehmen empfohlen, die Datenbearbeitung einzustellen.
Datenschutz im Rahmen der Schengen-Evaluation
Die Umsetzung des Schengen-Assoziierungsabkommens wird von der Europäischen Union einer Evaluation unterzogen, bevor das Schengener Informationssystem (SIS) in der Schweiz zur Anwendung kommt. Anlässlich des Evaluationsbesuchs bei den schweizerischen Datenschutzbehörden werden die Kompetenzen des EDÖB und mehrerer kantonaler Datenschutzbehörden geprüft.
Hooliganismusbekämpfung
Im Bereich Hooliganismusbekämpfung sind in der Berichtsperiode verschiedene Gesetzgebungsarbeiten weitergeführt worden. Wir wurden in diesem Zusammenhang eingeladen, zu verschiedenen Vorlagen Stellung zu nehmen, die auf unterschiedlichen Stufen der Gesetzgebung – vom Entwurf zu einer Bestimmung in der Bundesverfassung bis zu Richtlinien über Datenbearbeitungen durch Private – angesiedelt waren.
Bundesgesetz über die polizeilichen Informationssysteme des Bundes
Der Nationalrat hat den Entwurf des Bundesgesetzes über die polizeilichen Informationssysteme des Bundes verabschiedet. Die von uns zu zahlreichen Punkten in dem Entwurf eingebrachten Vorschläge wurden indessen nicht berücksichtigt. Was die besondere Frage des so genannten «indirekten» Auskunftsrechtes anbelangt, so wurde die beschlossene Regelung vom Eidgenössischen Justiz- und Polizeidepartement und vom Bundesamt für Polizei vorgeschlagen. Diese Regelung stellt eine Verbesserung gegenüber der heutigen Situation dar, welche mit Artikel 13 der Bundesverfassung und den Artikeln 8 und 13 der Europäischen Menschenrechtskonvention, in denen der Schutz der Privatsphäre gewährleistet wird, nicht vereinbar ist. Unbefriedigend ist für uns indessen die Tatsache, dass die Information der betroffenen Person automatisch um drei Jahre aufgeschoben wird, wenn über sie keine Daten bearbeitet werden.
Die Erstellung von DNA-Profilen im Rahmen der Familienzusammenführung
Die Einführung von DNA-Tests für nachziehende Familienangehörige im Einwanderergesetz hat in Frankreich zu heftigen Diskussionen geführt. In der Schweiz existiert diese Praxis bereits: Ausnahmsweise kann die Erteilung einer Bewilligung von der Erstellung von DNA-Profilen abhängig gemacht werden, sofern die betroffene Person schriftlich zustimmt. Diese Praxis darf aber unseres Erachtens nur äusserst restriktiv angewandt werden.
Die Übermittlung von biologischen Proben in die USA im Rahmen der medizinischen Forschung
Biologische Proben können in die USA ausgeführt werden, wenn die betroffenen Personen vorab ihre Einwilligung gegeben haben. Ohne diese Einwilligung darf eine Datenbekanntgabe nur stattfinden, wenn ein angemessener Datenschutz im Empfängerland gewährleistet werden kann.
Internationaler Datenaustausch bei der Dopingbekämpfung
Die World Anti Doping Agency (WADA) befasst sich mit der Koordination und der Unterstützung von Massnahmen zur Dopingbekämpfung. Da in diesem Zusammenhang von der WADA auch in der Schweiz Daten gesammelt werden, haben wir diejenigen Tätigkeiten der WADA analysiert, die vom Schweizer Datenschutzgesetz (DSG) tangiert werden könnten. Wir kommen zum Schluss, dass eine Unterstellung der WADA unter das DSG in Teilbereichen nicht ausgeschlossen werden kann, und haben daher im Rahmen der Revision des Sportförderungsgesetzes eine gesetzliche Grundlage angeregt, um die internationale Zusammenarbeit in der Dopingbekämpfung zu vereinfachen.
Revision des Bundesgesetzes über die Förderung von Turnen und Sport
Der internationale Datentransfer zur Dopingbekämpfung und die Durchführung von Dopingkontrollen sind heute in der Schweiz noch nicht gesetzlich geregelt, was bei den beteiligten Akteuren häufig zu Rechtsunsicherheit führt. Mangels einer gesetzlichen Grundlage kann heute ein internationaler Datenaustausch zwischen einzelnen Dopingbekämpfungsstellen nur durchgeführt werden, wenn ein angemessener Datenschutz vertraglich oder gesetzlich gewährleistet wird. Auf der anderen Seite beruhen Dopingkontrollen in der Schweiz rein rechtlich auf einer freiwilligen Zustimmung des jeweiligen Sportlers, welche er in Form einer Erklärung abgibt. Diese Praxis ist umstritten, da eine Verweigerung zum Ausschluss des Sportlers von der Veranstaltung führt und daher von Freiwilligkeit keine Rede sein kann. Um diesen beiden Problematiken zu begegnen, haben wir zwei Gesetzesvorschläge in die Revision des Sportfördergesetzes eingebracht.
Die Umsetzung der 5. IV-Revision
Das revidierte Bundesgesetz über die Invalidenversicherung (IVG) und die zugehörige Verordnung (IVV) sind per 1. Januar 2008 in Kraft getreten. Eine der wesentlichen Neuerungen ist das Modell der Früherfassung von Invaliditätsfällen. Die Regelung der Anmeldung für Früherkennungsmassnahmen ist aus Sicht des Datenschutzes verbesserungswürdig.
Sachverhaltsabklärung beim vertrauensärztlichen Dienst im obligatorischen Krankenversicherungsbereich
Im Verlaufe des Jahres 2006 haben wir beim vertrauensärztlichen Dienst der CSS Kranken-Versicherung AG eine Sachverhaltsabklärung durchgeführt und dabei Mängel festgestellt. Das hat uns veranlasst, im Frühjahr 2007 sechs Empfehlungen zuhanden der CSS zu erlassen.
Erhebung über die datenschutzrechtliche Organisation des vertrauensärztlichen Dienstes der Krankenversicherer
Zusammen mit dem BAG führen wir seit Anfang Dezember 2007 eine Erhebung über die datenschutzrechtliche Organisation bei allen Krankenversicherern durch. Die Aktion hat insbesondere zum Ziel, die Aufsichtsorgane dabei zu unterstützen, Kriterien für eine datenschutzkonforme Organisationsstruktur der Versicherer zu erarbeiten.
Die Videoüberwachung bei der Post
Die Post kämpft mit dem Phänomen der durch eigene Angestellte begangenen Diebstähle. Ein Videoüberwachungssystem soll dabei Abhilfe schaffen. Durch den Einsatz moderner Verschlüsselungstechniken und dank restriktiver Entschlüsselung der Aufnahmen wird das Problem des Verhaltensüberwachungsverbots am Arbeitsplatz weitgehend gelöst.
Empfehlung zu den Drogentests der SBB
Im Frühjahr 2007 hat die Presse über Drogentests bei den SBB berichtet. Danach werden unter 40-jährige Mitarbeitende mit sicherheitsrelevanten Funktionen auf den Konsum illegaler Drogen getestet. Im Falle eines positiven Resultats müssen Betroffene eine Vereinbarung unterschreiben, nach der sie künftig auch in der Freizeit auf den Konsum von Cannabis verzichten. Wir haben u. a. empfohlen, Grenzwerte für Drogen- und Alkoholtests einzuführen, bei deren Unterschreitung keine Datenbearbeitungen erfolgen sollen.
Revision des Bundespersonalgesetzes
Das Bundespersonalgesetz wird zurzeit einer umfassenden Revision unterzogen. Dabei sollen auch die neuen Aufgaben des Personalinformationssystems der Bundesverwaltung (BV PLUS) gesetzlich verankert werden. Zu den neuen Aufgaben des BV PLUS zählen u. a. die Mitarbeiterbeurteilungen sowie die Zeiterfassung. Das entsprechende Abrufverfahren (E-Gate) und die neu zugriffsberechtigten Stellen sind ebenfalls im Bundespersonalgesetz vorzusehen.
Revision des Aktienrechts; Umgang mit Handelsregistereinträgen
Das neue Aktienrecht ermöglicht eine vereinfachte Kommunikation zwischen der Gesellschaft und ihren Anteilseignern durch die Nutzung elektronischer Medien. Zudem wird in diesem Rahmen die Transparenz und Aktualität des Handelsregisters erhöht, indem verbindliche Fristen zur Eintragung von Ereignissen festgesetzt wurden. Wir vertreten allerdings die Meinung, dass darüber hinaus auch Fristen für die Sperrung des öffentlichen Zugangs zu Handelsregistereinträgen festgesetzt werden müssen, wenn diese im Geschäftsverkehr ihre Relevanz verloren haben. Insbesondere bei Löschungen (wie beispielsweise nach Konkursen) überwiegt nach einer gewissen Zeit das persönliche Interesse, ein vorurteilfreies Leben zu führen (Recht auf Vergessen). Daher kann es nach unserer Meinung nicht angehen, dass sämtliche Handelsregistereinträge «bis in alle Ewigkeit» öffentlich frei zugänglich sind.
Die private Publikation von Handelsregisterdaten
Wer als Einzelunternehmung, als Personengesellschaft oder als juristische Person am Wirtschaftsleben teilnimmt, muss im Handelsregister eingetragen sein. Dabei sind die Vertretungsorgane mit vollem Namen anzugeben. Die Daten werden im Internet gesamthaft publiziert, von wo aus sie von einigen privaten Wirtschaftsauskunfteien integral übernommen werden. Diese reichern die Daten um andere Informationen an, strukturieren sie neu und veröffentlichen die Resultate ihrer Arbeit ebenfalls im Internet. Dies ist nicht nur dann problematisch, wenn die Daten nicht mehr aktuell sind. Die Wirtschaftsauskunfteien dürfen auch in anderem Zusammenhang nicht über die staatliche Datenbearbeitung hinausgehen.
Der gesetzeskonforme Umgang mit Bonitätsdaten
Bonitätsdaten sind all jene Personendaten, die über die Kreditwürdigkeit einer Person Auskunft geben. Sie werden von zahlreichen Akteuren bearbeitet. Dazu gehören vor allem Gläubiger, welche ihre Rechnungen nicht (oder zu spät) beglichen erhalten, die Inkassounternehmen, die mit der Einbringung der Forderungen beauftragt werden, und die Kreditauskunfteien, welche die Gefahr des Kreditausfalls durch Zentraldatenbanken zu verhindern suchen. Es sind in der Praxis bezüglich all dieser Datenbearbeitungsschritte rechtliche Unsicherheiten zu beobachten. Wir stehen mit Vertretern der Bonitätsdatendienstleister in einem konstruktiven Dialog, um die Rechtssicherheit zu verbessern.
Datenschutz im internationalen Zahlungsverkehr (SWIFT)
Durch den Bericht der «New York Times» vom 23. Juni 2006 wurde bekannt, dass die Society for Worldwide Interbank Financial Telecommunication (SWIFT) den USA zum Zweck der Terrorismusbekämpfung in begrenzten Umfang Zugang zu den im Operation Center in den USA befindlichen Daten gewährt hat. Die damit verbundenen Datenschutzprobleme konnten wir in Zusammenarbeit mit dem Bundesrat und den Schweizer Banken angehen, indem im Rahmen einer politischen Lösung mit den USA Sicherheitsgarantien vereinbart wurden und die Kundschaft von ihren Banken aktiv über die mögliche Weitergabe an die US-Behörden informiert wurden. Die SWIFT hat zudem angekündigt, in Zukunft nur noch die Transaktionsdaten in den USA zu bearbeiten, die den transatlantischen Zahlungsverkehr betreffen. Um diese Lösung technisch realisieren zu können, baut die SWIFT in der Schweiz ein drittes Operation Center auf.
Weitergabe von internationalen Zahlungsverkehrsdaten an ausländische Regierungen zum Zwecke der Durchsetzung von Sanktionsbestimmungen
Für Schweizer Kreditinstitute kann es im Rahmen ihrer internationalen Geschäftstätigkeit erforderlich sein, gegenüber fremden Staaten (insbesondere den USA) nachzuweisen, dass sie deren Sanktionsbestimmungen einhalten. Ansonsten kann ihnen der geschäftliche Zugang zu dem Staat unter Umständen erschwert werden. In diesem Rahmen zog ein Schweizer Kreditinstitut in Erwägung, im Rahmen des internationalen Zahlungsverkehrs, bei dem es als Transferbank fungierte, freiwillig Transferdaten an die USA zu übermitteln. Nach Abklärung des Sachverhalts und der rechtlichen Lage kamen wir zum Schluss, dass zum Nachweis der Einhaltung von Sanktionsbedingungen lediglich eine freiwillige Übermittlung von anonymisierten Transferdaten zulässig ist.
Erste Erfahrungen mit dem Öffentlichkeitsprinzip
Das Öffentlichkeitsprinzip etabliert sich in der Bundesverwaltung. Im letzten Jahr gewährten die Bundesämter bei zwei Dritteln der Gesuche einen vollständigen oder zumindest teilweisen Zugang zu den gewünschten Dokumenten. Bei den Schlichtungsverfahren konnte in fast allen Fällen ein für den Antragsteller günstigeres Resultat erreicht werden. Die Möglichkeiten des Öffentlichkeitsgesetzes wird insbesondere von Journalisten rege benutzt.
WebDatareg: das neue Programm für die Anmeldung und Abfrage von Datensammlungen über Internet
Gemäss dem neuen Artikel 11a des revidierten DSG führt der EDÖB ein Register der Datensammlungen, das über Internet zugänglich ist. Mit Unterstützung der Bundeskanzlei haben wir zunächst ein dreisprachiges Programm für die Online-Verwaltung der von den Bundesorganen und Privatpersonen eingereichten Anmeldungen von Datensammlungen definiert und danach abgenommen. Für alle betroffenen Akteure wird dadurch die für die Erfassung, Nachführung und Suche aufgewendete Zeit deutlich verkürzt werden. Ende 2007 und Anfang 2008 boten wir mehrere Schulungskurse für die Bundesorgane an, damit diese ihre bestehenden Anmeldungen wenn nötig aktualisieren können, bevor das Register zum voraussichtlichen Termin im Sommer 2008 ins Internet gestellt wird. Die Unternehmen werden dann übrigens ebenfalls die Möglichkeit haben, ihre Datensammlungen über Internet anzumelden.
Weiterführende Informationen
Dokument
Publikationen
Bestellung
Der Tätigkeitsbericht kann beim BBL, Vertrieb Publikationen, 3003 Bern bestellt werden.
Art. Nr. 410.015