Die Vernehmlassung zur Totalrevision des Datenschutzgesetzes (DSG) und zur Änderung weiterer Erlasse zum Datenschutz umfasste neben diesem Hauptentwurf auch einen Entwurf für einen Bundesbeschluss betreffend die Genehmigung und Umsetzung des Notenaustausches zwischen der Schweiz und der EU zur Übernahme der Richtlinie (EU) 2016/680 sowie einen Entwurf für die Revision des Übereinkommens SEV 108 des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. Im Zentrum des Gesetzgebungsprojektes stehen die Verbesserung der Transparenz von Datenbearbeitungen, die Förderung der Selbstregulierung bei den Verantwortlichen in Form von Empfehlungen der guten Praxis sowie die Stärkung der Position und Unabhängigkeit des EDÖB. Im Einklang mit den europäischen Datenschutzbestimmungen soll darüber hinaus der Schutz von Daten juristischer Personen aufgehoben werden, um insbesondere den Datenaustausch mit dem Ausland zu erleichtern. Einige Anforderungen der EU-Richtlinie 2016/680 erfordern ausserdem Anpassungen im Strafgesetzbuch, in der Strafprozessordnung, im Rechtshilfegesetz und im Schengen-Informationsaustauschgesetz.
Unter den insgesamt 222 Vernehmlassungsteilnehmerinnen und -teilnehmern befanden sich alle Kantone, acht politische Parteien (BDP, CVP, FDP, GLP, GP, SP, SVP, PP), drei eidgenössische Gerichte (Bundesgericht, Bundespatentgericht, Bundesverwaltungsgericht) sowie zahlreiche weitere Organisationen aus den betroffenen Kreisen. Während die Übernahme der EU-Richtlinie 2016/680 sowie der Anforderungen im SEV 108 unumstritten waren, wurde die Revision des DSG und weiterer Erlasse zum Datenschutz von der Mehrheit der Vernehmlasserinnen und Vernehmlasser im Grundsatz ebenfalls begrüsst. Vielerseits gelobt wurde beispielsweise das Vorhaben, das schweizerische Datenschutzrecht so weit an die europäischen Vorgaben anzupassen, dass die Schweiz von der EU weiterhin als Drittstaat mit angemessenem Datenschutzniveau anerkannt wird. Vorbehalte bestanden jedoch gegenüber dem – insbesondere für KMU – grossen Verwaltungsaufwand sowie gegenüber dem «Swiss Finish»: Rund die Hälfte der Teilnehmenden bemängelte, dass der Entwurf unnötigerweise über die europäischen Anforderungen hinaus gehe. Demgegenüber ging er rund einem Fünftel der Teilnehmenden – hauptsächlich aus Konsumentenschutzkreisen – zu wenig weit. Auf harsche Kritik von verschiedensten Seiten stiess das vorgesehene Sanktionensystem. Laut Bericht wünschten sich «sehr viele Teilnehmer» dessen «vollständige Überarbeitung», darunter BDP, CVP, FDP, GP und SP, 18 Kantone sowie Economiesuisse, der Verein Unternehmens-Datenschutz, die FRC, Privatim und die Stiftung für Konsumentenschutz. Hauptsächlich wurde kritisiert, dass keine direkte Strafbarkeit für Unternehmen vorgesehen ist, sondern strafrechtliche Sanktionen, die in erster Linie auf natürliche Personen ausgerichtet sind. In diesem Zusammenhang herrschte die Befürchtung, es könnten einfache Angestellte ohne Entscheidungs- und Vertretungsbefugnis verurteilt werden. Dies wiederum erschwere es den Unternehmen, qualifiziertes und motiviertes Personal – insbesondere Datenschutzverantwortliche – zu rekrutieren. Der häufigste Änderungsvorschlag zielte daher auf ein Modell mit Verwaltungssanktionen anstatt Strafverfahren, die direkt gegen die Unternehmen und nicht gegen Privatpersonen verhängt werden könnten. Verwaltungssanktionen, so die Hoffnung, hätten eine grössere Wirksamkeit als das bislang für die Strafbestimmungen im DSG nur selten angewandte Strafverfahren. Weitere umstrittene Punkte waren auch die Höhe der Bussen – welche einerseits als zu hoch und andererseits als zu niedrig kritisiert wurde – sowie der Katalog der strafbaren Verhaltensweisen, welcher ebenfalls wahlweise als unvollständig bzw. zu umfangreich bezeichnet wurde. Kritisiert wurden des Weiteren auch die mangelhafte Regulierungsfolgeabschätzung und die fehlenden Ausführungen zum Verhältnis zwischen dem Datenschutzrecht des Bundes und jenem auf kantonaler Ebene. Hierzu äusserten auch die Kantone Glarus, Solothurn und Zürich Bedenken, dass die Frist für die Anpassung des kantonalen Rechts zu kurz bemessen sei. Die SVP, die Kantone Schwyz und Waadt sowie einige betroffene Kreise – darunter der AGVS, Auto Schweiz, die FER, PharmaSuisse, Santésuisse sowie der VSV – lehnten den Vorentwurf in der vorliegenden Form ausdrücklich ab, befanden sich damit jedoch klar in der Minderheit aller Vernehmlassungsteilnehmenden.

In der Frühjahrssession 2017 behandelte der Nationalrat als Erstrat die Revision des Bundesgesetzes über die Unternehmens-Identifikationsnummer (UID). Dem BFS soll damit die Kompetenz gegeben werden, neben der inländischen UID auch den internationalen „legal entity identifier“ (LEI) zu vergeben. Der Entwurf des Bundesrates stiess in allen Punkten auf breite Unterstützung. Der Rat folgte mit grosser Mehrheit den einzigen zwei Änderungsanträgen seiner Kommissionsmehrheit und ergänzte die Vorlage an zwei Stellen dahingehend, dass der LEI von den Unternehmen (sog. UID-Einheiten) ausdrücklich beantragt werden muss. Dieses Vorgehen war vom Bundesrat ohnehin so vorgesehen worden, kam aber nach Meinung des Nationalrates im Gesetzesentwurf zu wenig deutlich zum Ausdruck. Einstimmig schickte die grosse Kammer die Vorlage an den Ständerat. Dieser stimmte der ersten Ergänzung des Nationalrates zu, die bekräftigt, dass das BFS einem Unternehmen nur auf Verlangen einen LEI zuweist. Die zweite von der grossen Kammer vorgenommene Anpassung sah der Ständerat jedoch als missverständlich, da die Ergänzung an jener Stelle den Eindruck erwecken könne, der LEI könne auch anders als auf Verlangen der Unternehmen zugeteilt werden. Eine solche Möglichkeit besteht jedoch nicht, weshalb der Ständerat diese Änderung verwarf und den Entwurf dann ebenfalls einstimmig guthiess. In der Schlussabstimmung im Sommer 2017 wurde das revidierte Gesetz vom Nationalrat mit einer Gegenstimme (Grunder, bdp, BE) und vom Ständerat einstimmig angenommen.

Der Bundesbeschluss über die Erneuerung der Systemplattform Biometriedatenerfassung mit dem darin enthaltenen Verpflichtungskredit von CHF 33 Mio. stand im Frühling 2017 auf der Agenda des Nationalrats. Als einzigen Änderungsantrag brachte seine Staatspolitische Kommission einen zusätzlichen Absatz ein, demnach Offerten im Rahmen des Möglichen vor allem von Schweizer Unternehmen einzuholen sind und die Vergabekriterien so ausgestaltet werden müssen, dass insbesondere Schweizer Unternehmen berücksichtigt werden können. Kommissionssprecher Balthasar Glättli (gp, ZH) betonte, die Ergänzung werde „nicht aus irgendwelchen Gründen des Heimatschutzes wirtschaftlicher Art, sondern aus Gründen der Sicherheit“ gewünscht, da es sich bei biometrischen Daten um besonders schützenswerte Daten handle. Die so abgeänderte Vorlage wurde mit 180 Ja- zu 5 Nein-Stimmen aus der SVP-Fraktion gutgeheissen.

In der Sommersession 2017 behandelte der Ständerat das Geschäft und strich den vom Nationalrat eingefügten Artikel wieder aus dem Entwurf, wie es ihm seine Kommission beantragt hatte. Kommissionssprecher Peter Föhn (svp, SZ) erklärte, das Vorhaben müsse sowieso WTO-konform ausgeschrieben und vergeben werden, weshalb diese Bestimmung nichts bringe. Einstimmig nahm der Ständerat den Bundesbeschluss, der jetzt wieder dem bundesrätlichen Entwurf entsprach, an.

Die Mehrheit der SPK-NR stellte sich weiterhin hinter den Passus, der Schweizer Unternehmen bevorzugen will, und beantragte ihrem Rat Festhalten. Eine Minderheit sah die Datensicherheit jedoch auch bei Berücksichtigung eines fremden Anbieters gewährleistet und wollte sich dem Beschluss des Ständerates anschliessen. Bundesrätin Sommaruga führte aus, dass gemäss einer zwischenzeitlich durchgeführten Risikoanalyse kein Risiko einer nachrichtendienstlichen Ausspähung dieser Daten bestehe, und wies darauf hin, dass eine Bevorzugung schweizerischer Unternehmen vor den WTO-Regeln nur gerechtfertigt werden könnte, wenn diese der Verhinderung oder Minimierung eines solchen Risikos diene. Mit 98 zu 66 Stimmen bei 4 Enthaltungen hielt der Nationalrat an seinem Beschluss fest.

Es war schliesslich der Ständerat, der einlenkte und dem Beschluss des Nationalrates stillschweigend zustimmte. Dies jedoch nicht, weil er von der nationalrätlichen Lösung überzeugt war, sondern weil der Zeitplan keinen weiteren Aufschub dieses Geschäfts duldete. Kommissionssprecher Föhn erläuterte, dass im Falle einer weiteren Behandlung dieses Geschäftes in der nächsten Session die fliessende Ablösung des Systems gefährdet werden könnte, was Kosten in Millionenhöhe verursachen würde. Ausserdem sei es „Hans was Heiri“, ob man diese Bestimmung aufnehme oder nicht, da die Beschaffung ohnehin WTO-konform erfolgen müsse. Andrea Caroni (fdp, AR) gab abschliessend noch zu Protokoll, dass man bei der künftigen Ratsplanung solche Eventualitäten vorsehen möge, damit auf politisch bessere Lösungen nicht verzichtet werden müsse, nur weil der Zeitplan nicht passe. Damit ist der Gesamtkredit von CHF 33 Mio. bewilligt und die erste Etappe von CHF 14,3 Mio. zur Konzeption und Realisierung der Systemplattform freigegeben. Die zweite Etappe von CHF 18,7 Mio. für den Kauf von Geräten, den Rollout und die Einführung wird der Bundesrat zu gegebener Zeit freigeben.

In der digital vernetzten Welt, in der wir leben, müsse auch die öffentliche Verwaltung die Chancen der Digitalisierung nutzen und Doppelspurigkeiten bei der Datenerhebung beseitigen, forderte die FDP-Fraktion in einer Motion. Unternehmen sollen von Statistik- und Kontrollaufwand entlastet werden, indem sie nicht die gleichen Informationen an verschiedene Behörden liefern müssen. Aus diesem Grund soll der Bundesrat dafür sorgen, dass die Koordination zwischen dem Bundesamt für Statistik und den anderen Bundesämtern sowie Kantons- und Gemeindebehörden verbessert wird. In seiner Stellungnahme erachtete der Bundesrat die Stossrichtung der Motion als mit den Zielen der Strategie Digitale Schweiz und der E-Government-Strategie vereinbar. Er teile das Anliegen, den Aufwand bei der Abwicklung von Behördengeschäften zu reduzieren, und beantragte die Motion folglich zur Annahme. Nachdem die Motion vom Nationalrat im März 2017 diskussionslos angenommen worden war, stimmte ihr im Sommer auch der Ständerat auf Antrag seiner einstimmigen WBK stillschweigend zu.

Mit der Annahme eines Postulates Reynard (sp, VS) beauftragte der Nationalrat den Bundesrat, Möglichkeiten zu prüfen, wie Daten zu Diskriminierungen aufgrund sexueller Orientierung oder Geschlechtsidentität erhoben werden könnten. Ein spezielles Augenmerk soll auch auf Mehrfachdiskriminierungen geworfen werden. Da Yves Nidegger (svp, GE) den Vorstoss bekämpfte, stellte sich die geschlossene SVP-Fraktion gegen das Anliegen und Roland Rino Büchel (svp, SG) brachte in der Diskussion ein Beispiel aus Schottland ein, das ihm Angst mache: In einer Primarschule gebe es nur noch eine Art Toiletten, weil die Kinder sich sonst entscheiden müssten, wohin sie gehen sollen. Daran anknüpfend richtete er die Frage an Bundesrätin Sommaruga, welche das Anliegen im Namen des Gesamtbundesrates unterstützte: „Können Sie bestätigen, dass wir uns nicht so wahnsinnig verhalten wie die Schotten?“ Es gehe ja nur darum, sich die Frage der Diskriminierung überhaupt einmal anzuschauen, und Hinschauen, das sei die Aufgabe des Bundesrates, führte Sommaruga aus. Mit 116 zu 73 Stimmen wurde das Postulat in der Sommersession 2017 überwiesen.

Die Motion der FDP-Fraktion „Gegen Doppelspurigkeiten im Datenschutz“ brachte, nachdem sie im Dezember 2016 vom Nationalrat stillschweigend angenommen worden war, auch im Ständerat keinen Diskussionsbedarf mit sich. Die SPK-SR erwägte in ihrer Vorberatung einzig, dass sie sich den Ausführungen des Bundesrates anschliesse und beantragte einstimmig die Annahme der Motion. In der Frühjahrssession 2017 hiess die Ständekammer den Vorstoss diskussionslos gut. Der Bundesrat muss nun mit der EU Sondierungsgespräche über Zuständigkeiten im Datenschutz aufnehmen.

Mit einer Motion forderte Claude Béglé (cvp, VD), dass bei der Revision des Datenschutzgesetzes zwei geltende Gesetzesbestimmungen beibehalten werden. Es handelt sich dabei einerseits um den Schutz von Personendaten juristischer Personen und andererseits um die Möglichkeit für Unternehmen, ihre Datensicherheit durch unabhängige Zertifizierungsstellen bewerten zu lassen. Béglés Ziel war, die Schweiz als universellen virtuellen Datentresor zu positionieren, um eine Führungsrolle in der weltweiten Datenspeicherung zu übernehmen. Durch die Gewährleistung eines hohen Datenschutzniveaus erhoffte sich der Motionär, dass ein „Ökosystem“ aus innovativen Unternehmen im Datenverarbeitungsbereich in der Schweiz entsteht. Der Bundesrat führte in seiner Stellungnahme zum ersten Punkt der Motion aus, dass er im revidierten Datenschutzgesetz gerade auf den Schutz von Personendaten juristischer Personen verzichten wolle. Damit werde der grenzüberschreitende Datenverkehr verbessert und zudem werde dem Stand des europäischen Datenschutzrechts – sowohl im Rahmen des Europarats als auch im Rahmen der EU – Rechnung getragen. Den zweiten Punkt beantragte der Bundesrat zur Annahme, da er nicht vorhabe, die Möglichkeit der Zertifizierung infrage zu stellen. Dementsprechend lehnte der Nationalrat im September 2016 den ersten Punkt der Motion ab und nahm die zweite Ziffer an. Im Februar 2017, als der Ständerat über den zweiten Punkt der Motion befinden sollte, war die Vernehmlassung zum revidierten Datenschutzgesetz bereits eröffnet worden. Die kleine Kammer lehnte das Anliegen demnach ab, da das Parlament im Zuge der Beratungen der DSG-Revision ohnehin die Möglichkeit haben werde, die Forderung zu prüfen.

Am 22. Februar 2017 eröffnete der Bundesrat die Vernehmlassung zu einem Bundesgesetz über anerkannte elektronische Identifizierungseinheiten (E-ID-Gesetz). Das Ziel dieses Gesetzgebungsprojektes ist es, Geschäfts- und Verwaltungsprozesse im Internet effizienter zu machen. Identifizierungsmittel im Sinne dieses Gesetzes sollen von geeigneten privaten oder öffentlichen, vom Bund anerkannten Dienstleistern herausgegeben werden können. Dabei könnte für den Bund auch die Möglichkeit geschaffen werden, bereits existierende Systeme wie etwa die Projekte von Post und SBB, von Banken und der Swisscom, anzuerkennen. Bezüglich der Sicherheitsanforderungen soll je nach Art des Geschäftsfalles zwischen den drei Sicherheitsniveaus «niedrig», «substanziell» und «hoch» unterschieden werden. Die Betreiber der Online-Dienste sollen jeweils selber entscheiden, welches Sicherheitsniveau für ihren Dienst erforderlich ist. Bei elektronischen Behördendienstleistungen sollen jeweils die einschlägigen gesetzlichen Grundlagen das erforderliche Niveau festlegen. Vorgesehen ist zudem, dass die staatlich anerkannten Anbieter die nötigen Personenidentifizierungsdaten aus den relevanten Datenbanken des Bundes erhalten. Für diese Übermittlung müssten die betroffenen Personen ihre ausdrückliche Zustimmung geben und eine Gebühr entrichten, welche zur Finanzierung der zwei neu zu schaffenden Bundesstellen – der Identitätsstelle und der Anerkennungsstelle – verwendet würde. Die Ausstellung einer solchen elektronischen Identität soll einerseits für Schweizer Bürgerinnen und Bürger und andererseits für Ausländerinnen und Ausländer mit einem gültigen Ausländerausweis möglich sein.

Um den Datenschutz zu stärken und an veränderte technologische und gesellschaftliche Verhältnisse anzupassen, soll das Bundesgesetz über den Datenschutz (DSG) totalrevidiert werden. Das revidierte Gesetz soll insbesondere auch die grenzüberschreitende Datenübermittlung weiterhin sicherstellen, indem es die Grundlagen für eine Schweizer Ratifikation der Datenschutzkonvention des Europarates sowie für die Übernahme der EU-Richtlinie über den Datenschutz im Bereich der Strafverfolgung schafft. Ende 2016 schickte der Bundesrat einen entsprechenden Vorentwurf in die Vernehmlassung, welche bis zum 4. April 2017 läuft.

Die Fraktion der FDP befürchtete, dass es im Nachgang der Revision des Bundesgesetzes über den Datenschutz sowie des Inkrafttretens der EU-Datenschutzgrundverordnung zu Doppelspurigkeiten im Datenschutz kommen werde, weil die Datenschutzaufsichten der EU und der Schweiz nicht aufeinander abgestimmt seien. Wenn in der Schweiz niedergelassene Personen Daten von Personen bearbeiten, die sich in der EU befinden, fällt diese Datenbearbeitung auch in den Anwendungsbereich der EU-Verordnung. Dadurch unterstünden Schweizer Unternehmen mit Kunden im EU-Raum nicht mehr nur der Aufsicht des EDÖB, sondern auch jener aller betroffenen EU-Datenschutzbehörden, was gerade in puncto Meldepflichten einen erheblichen, unnötigen Mehraufwand mit sich bringe. In einer Motion forderte die FDP-Fraktion den Bundesrat auf, mit der EU Sondierungsgespräche zu führen mit dem Ziel, die Anwendung des jeweils geltenden Datenschutzrechts zu koordinieren. Der Bundesrat betonte in seiner Stellungnahme, dass eine effiziente Zusammenarbeit in diesem Bereich sowohl im Interesse der Schweizer Behörden als auch der Behörden der EU liegen müsse und signalisierte auch seine Bereitschaft zur Aufnahme solcher Sondierungsgespräche mit der EU. Im Nationalrat erfuhr der Vorstoss in der Wintersession 2016 stillschweigende Zustimmung.

Das BFS soll künftig den einheitlichen internationalen Identifikator für an den Finanzmärkten teilnehmende Einheiten LEI ("Legal Entity Identifier") vergeben können. Der Bundesrat verabschiedete im Dezember 2016 eine entsprechende Botschaft für eine Revision des Bundesgesetzes über die Unternehmens-Identifikationsnummer (UID). Dabei soll in einem ersten Schritt den Finanztransaktionen vornehmenden Rechtseinheiten analog zur UID ein einheitlicher Identifikator zugewiesen werden. Als weiteres Ziel wird eine konsolidierte Datenbank angestrebt, mit deren Hilfe die Finanzbeziehungen zwischen den Einheiten aufgezeigt und potenzielle Risiken analysiert werden können. Bis jetzt kommt der LEI in der Schweiz bei Meldepflichten im Derivatehandel gemäss dem am 1. Januar 2016 in Kraft getretenen FinfraG zum Einsatz. Schweizer Unternehmen mussten den Identifikator bisher jedoch im Ausland anfordern.

In der Herbstsession 2016 überwies der Nationalrat stillschweigend zwei Postulate Béglé (cvp, VD) zum Thema Datenschutz. Das erste (Po. 16.3384) fordert den Bundesrat auf, Wege zu suchen, um im revidierten Datenschutzgesetz eine geschützte, transparente und zielgerichete Datenerhebung, insbesondere bei medizinischen Daten, sicherzustellen. So könnte beispielsweise das Prinzip der „tatsächlichen Einwilligung“ für besonders schützenswerte Daten die heute gebräuchliche Alibi-Einwilligung ersetzen und damit Transparenz für die Patientinnen und Patienten schaffen. Das zweite Postulat (Po. 16.3386) gibt dem Bundesrat den Auftrag, Möglichkeiten zur Förderung der informationellen Selbstbestimmung aufzuzeigen. Durch einen Paradigmenwechsel von „big data“ zu „self-data“ sollen die Bürgerinnen und Bürger die Kontrolle über ihre persönlichen Daten wiedererlangen, indem sie auf ihre Daten frei zugreifen und diese nach eigenem Ermessen weiterverwenden dürfen.

Voraussichtlich im Jahr 2020 soll nach einer Laufzeit von zehn Jahren die Systemplattform Biometriedatenerfassung erneuert werden. Die Biometriedatenerfassung kommt in den kantonalen Pass- und Migrationsämtern sowie den Schweizer Vertretungen im Ausland für den Schweizer Pass, die biometrischen Ausländerausweise, Reisedokumente für ausländische Personen und für Visa zur Anwendung. Mit seiner im September 2016 verabschiedeten Botschaft beantragt der Bundesrat einen Gesamtkredit von CHF 33 Mio. sowie die Freigabe von CHF 14,3 Mio. für die Realisierung der ersten Etappe, welche die Erneuerung der Biometrieerfassungsplattform beinhaltet. Die nächste Etappe zum Kauf der Systeme sowie deren Einführung bei EDA, EJPD und EFD wird der Bundesrat nach Vorliegen entprechender Ergebnisse bei den notwendigen Systemanpassungen und -erweiterungen freigeben.

Das Strafregistergesetz befand sich im Sommer 2016 in der Differenzbereinigung. Den Ständerat beschäftigten dabei hauptsächlich die Fragen, wie mit Einstellungsverfügungen umzugehen ist und welcher Deliktskatalog zu einem lebenslangen Eintrag im Strafregister führen soll. In Bezug auf die Einstellungsverfügungen beantragte die ständerätliche Rechtskommission, dem Nationalrat zu folgen und solche Verfügungen auch nicht in Ausnahmefällen ins Strafregister aufzunehmen. Damit gewichtete sie die Unschuldsvermutung höher als das Interesse der Strafverfolgungsbehörden an der Vorgeschichte eines Täters. Mit 40 zu einer Stimme schloss sich die kleine Kammer ihrer Kommission und dem Nationalrat an und schloss damit aus, dass in bestimmten Fällen Einstellungsverfügungen in VOSTRA erfasst werden. Bei den Delikten, die zu lebenslangen Strafregistereinträgen führen sollen, konnte sich nur eine Kommissionsminderheit für den vom Nationalrat definierten Katalog aus schweren Gewalt- und Sexualverbrechen begeistern. Die Kommissionsmehrheit wollte an der Version des Bundesrates festhalten und nur Urteile zu lebenslänglichen Haftstrafen bis zum Tod im Strafregister belassen. Der vom Nationalrat definierte Deliktkatalog enthalte Delikte unterschiedlicher Schwere und sei willkürlich zusammengestellt, argumentierte Bundesrätin Simonetta Sommaruga. Die Mehrheit des Rates liess sich jedoch davon überzeugen, dass schwere Gewaltdelikte aufgrund ihrer Schwere und Sexualdelikte aufgrund der Rückfallgefahr bis zum Tod der betreffenden Person für die Strafverfolgungsbehörden in VOSTRA einsehbar sein sollten. Mit 29 zu 14 Stimmen gewichtete die kleine Kammer das Interesse der Strafverfolgungsbehörden höher als das Recht auf Vergessen und räumte auch diese Differenz zum Nationalrat aus.
Der Nationalrat hatte in der Folge noch über einige redaktionelle Differenzen zu entscheiden, welche er stillschweigend annahm. In der Schlussabstimmung stimmte die grosse Kammer dem neuen Strafregistergesetz mit 127 zu 48 Stimmen zu; der Ständerat hiess die Vorlage mit 43 zu einer Stimme gut.

Nachdem der Ständerat als Erstrat im Sommer 2015 über das neue Strafregistergesetz beraten hatte, war im Frühling 2016 der Nationalrat als Zweitrat an der Reihe. In der RK-NR gaben vor allem die Komplexität des Gesetzes, der Datenschutz, die Verwendung der AHV-Nummer zur Identifizierung der Personen, das Unternehmensstrafregister und die Anpassung des DNA-Profil-Gesetzes Anlass zu Diskussionen. Von der Zweckmässigkeit der Vorlage dennoch überzeugt, beantragte die Kommissionsmehrheit ihrem Rat Eintreten. Ein Nichteintretens- und ein Rückweisungsantrag – beide mit der Begründung, das Gesetz sei zu komplex – fanden jeweils nur in der SVP-Fraktion Unterstützung und scheiterten klar. Gleich zu Beginn der Detailberatung widmete sich der Nationalrat dem inhaltlich bedeutsamsten Punkt der Vorlage, dem Strafregister für Unternehmen. Da sich die kleine Kammer im Vorjahr gegen die Einführung eines solchen Registers ausgesprochen hatte, forderte eine Minderheit um Margret Kiener Nellen (sp, BE), diese Bestimmungen wie vom Bundesrat ursprünglich vorgesehen wieder ins Gesetz aufzunehmen. Sie begründete ihren Antrag damit, dass die Einführung eines Unternehmensstrafregisters als Mittel zur Korruptionsbekämpfung ausdrücklich von der Greco empfohlen worden sei. Darüber hinaus sei die Idee auch in der Vernehmlassung überwiegend positiv aufgenommen worden und werde von juristischer Seite ebenfalls begrüsst. Obwohl sich auch Bundesrätin Sommaruga noch einmal klar für das Unternehmensstrafregister ausgesprochen hatte, folgte die bürgerliche Mehrheit im Nationalrat dem Ständerat und erteilte der Einführung eines solchen Registers mit 127 zu 55 Stimmen eine klare Absage. Die Personenidentifikation mittels AHV-Nummer war der SVP-Fraktion ein Dorn im Auge; ihr Sprecher Yves Nidegger (svp, GE) sah dadurch den Datenschutz gefährdet. Ausserhalb der SVP-Fraktion teilte jedoch niemand diese Ansicht, wodurch der entsprechende Antrag keine Mehrheit fand. Demgegenüber wurde mit der Gutheissung eines Minderheitsantrages Nidegger (svp, GE) mit 86 zu 83 Stimmen die Eintragung von Einstellungsverfügungen in VOSTRA verhindert. Für die äusserst knappe rechtsbürgerliche Mehrheit standen diese Strafregistereinträge in Konflikt mit der Unschuldsvermutung. Dasselbe Argument brachte SVP-Fraktionssprecher Nidegger auch gegen die Registrierung von laufenden Strafverfahren vor, hier jedoch ohne Erfolg. Das Wissen um laufende Strafverfahren sei für viele Behörden unverzichtbar, so die Meinung der Ratsmehrheit. Eine neue Differenz zum Ständerat schuf die grosse Kammer bei den Löschfristen für Strafregistereinträge. Während der Entwurf des Bundesrates vorgesehen hatte, dass nur Urteile zu lebenslänglichen Haftstrafen lebenslang im Strafregister verbleiben sollen, definierte der Nationalrat einen Deliktkatalog aus schweren Verbrechen gegen Leib und Leben, deren Einträge bis zum Tod des Täters nicht gelöscht werden sollen. Bundesrätin Sommaruga kritisierte den Katalog als "nicht mit rechtsstaatlichen Prinzipien vereinbar", was die bürgerliche Mehrheit jedoch nicht umzustimmen vermochte. Schliesslich entbrannte bei den Änderungen einzelner Normen des DNA-Profil-Gesetzes eine Debatte um die Löschfristen von DNA-Profilen, ausgelöst durch einen Minderheitsantrag Rickli (svp, ZH), demzufolge DNA-Daten in bestimmten Fällen gar nicht mehr gelöscht werden sollten. Ausserhalb des rechtsbürgerlichen Blocks war man aber der Ansicht, die Beratung des Strafregistergesetzes sei nicht der richtige Ort, um so weitreichende Grundrechtseinschränkungen sozusagen nebenbei vorzunehmen. Überdies hatte der Rat zu diesem Thema schon ein Postulat überwiesen, das den Bundesrat beauftragt, die Löschfristen der DNA-Profile zu evaluieren. Der Antrag wurde folglich abgelehnt. Bei den übrigen Bestimmungen folgte die grosse Kammer diskussionslos ihrer Kommission, welche in Differenz zum Ständerat noch einige Ergänzungen zur Umsetzung der Ausschaffungsinitiative in die Vorlage eingebracht hatte. In der Gesamtabstimmung wurde die Vorlage mit 150 zu 30 Stimmen aus der SVP-Fraktion bei einer Enthaltung angenommen.

Mit der diskussionslosen Überweisung eines Postulats Derder (fdp, VD) gab der Nationalrat in der Wintersession 2015 dem Bundesrat den Auftrag, ein „Recht auf Kopie“ personenbezogener Daten zu prüfen und aufzuzeigen, inwiefern sowohl der Einzelne als auch die Volkswirtschaft von der Weiterverwendung oder „Sekundärnutzung“ solcher Daten profitieren könnten. In seiner Stellungnahme hatte der Bundesrat angekündigt, die verlangte Prüfung im Rahmen der Revision des Datenschutzgesetzes vorzunehmen.

Mit einer 2013 eingereichten Standesinitiative forderte der Kanton Genf ein gesetzliches Verbot der Weitergabe von persönlichen Daten. Wie der Ständerat im Jahr zuvor gab in der Herbstsession 2015 auch der Nationalrat der Initiative keine Folge. Die Argumentation deckte sich mit jener des Ständerats: Die materiellen Forderungen des Vorstosses seien bereits erfüllt und eine wortgetreue Umsetzung käme der Aufhebung des gesamten Systems der Amtshilfe gleich, was nicht gewollt sein könne.

Im Datenschutz steht ein Paradigmenwechsel von der Missbrauchsbekämpfung hin zur informationellen Selbstbestimmung bevor: Die Beweislast soll zu Gunsten der Bürgerinnen und Bürger, und damit zu Lasten von Staat und Unternehmen, umgekehrt werden. Eine entsprechende Verfassungsänderung war das Ziel zweier parlamentarischer Initiativen Vischer (gp, ZH) (Pa.Iv. 14.413) und Derder (fdp, VD) (Pa.Iv. 14.434). Wie ihre Schwesterkommission zuvor stimmte im August 2015 auch die SPK-SR beiden Vorstössen zu. Damit hat die SPK-NR die Möglichkeit, einen Entwurf für eine entsprechende Änderung der Bundesverfassung auszuarbeiten, sollte der Bundesrat die Anliegen nicht in zufriedenstellender Weise in seinem Entwurf zur Revision des Datenschutzgesetzes berücksichtigen.

Weil die bestehenden Regelungen im Strafgesetzbuch, im Militärstrafgesetz und im Verordnungsrecht problematische Lücken und Unklarheiten – beispielsweise in Bezug auf die Zugriffsrechte – aufweisen, erachtete es der Bundesrat als sinnvoll, anstelle einer umfassenden Revision der einschlägigen Bestimmungen ein neues, eigenständiges Bundesgesetz über das Strafregister-Informationssystem VOSTRA zu schaffen. Hier werden nun in einem Erlass die Verantwortlichkeiten für die Daten, die Aufbewahrungsfristen, die Einsichts- und Zugriffsrechte sowie die Weitergabe der Daten geregelt und die Schnittstellen mit anderen Systemen geklärt. Das neue Strafregistergesetz verfolgt drei Ziele: Es soll erstens mehr Sicherheit für die Öffentlichkeit schaffen, zweitens die Datenqualität erhöhen und die Datenbearbeitung effizienter machen sowie drittens den Datenschutz verbessern. Für eine verbesserte Sicherheit werden die Zugriffsrechte von Behörden auf die Daten erweitert. So kann neu beispielsweise die Polizei Daten direkt abfragen und muss nicht mehr den Weg über die Staatsanwaltschaft nehmen. Zudem wird das absolute Verwertungsverbot von entfernten Eintragungen aufgehoben, was den Strafverfolgungsbehörden in gewissen Situationen eine bessere Rekonstruktion der Vorgeschichte ermöglichen soll. Durch die Personenidentifikation mittels AHV-Versichtertennummer sowie durch die bessere Nutzung von Schnittstellen zu anderen Datenbanken sollen die Datenqualität und die Effizienz gesteigert werden. Der Datenschutz soll schliesslich durch die Einführung von vier verschiedenen Strafregisterauszügen verbessert werden. So erhalten die Behörden nur jene Informationen, welche sie für den angestrebten Zweck wirklich brauchen. Ausserdem wird das Auskunftsrecht dahingehend ausgedehnt, dass eine Person nicht nur erfahren kann, welche Daten über sie gespeichert sind, sondern auch, ob eine Behörde in den letzten zwei Jahren Daten über sie abgefragt hat.

Die grösste Neuerung im Entwurf des Bundesrates liegt jedoch im Vorhaben, parallel zum Strafregister für natürliche Personen auch ein Strafregister für Unternehmen zu schaffen. Dies ist denn auch der Punkt, der bei der Behandlung des Geschäfts im Ständerat Anlass zu Diskussionen gab. Der Bundesrat begründete sein Vorhaben damit, dass auch bei Strafprozessen gegen Unternehmen die Vorgeschichte relevant sei und eine Wiederholungstat angemessen bestraft werden müsse. Für Unternehmen ohne Eintrag im Strafregister entstehe überdies ein Nutzen im Nachweis eines guten Unternehmensleumundes. Die Mehrheit der ständerätlichen Rechtskommission war jedoch anderer Ansicht und ortete keinen Handlungsbedarf in diesem Bereich. Sie beurteilte die Kosten als unverhältnismässig und stellte die Wirksamkeit eines solchen Registers in Frage. Da Unternehmen viel wandelbarer seien als natürliche Personen, könnten sie den Zweck des Strafregisters durch Umstrukturierungen leicht unterlaufen. Der Ständerat folgte den Anträgen der Kommissionsmehrheit und sprach sich mit 28 zu 13 Stimmen bei 2 Enthaltungen gegen die Schaffung eines Strafregisters für Unternehmen aus. Abgesehen von einigen Ergänzungen, welche die Kommission infolge des Inkrafttretens des Bundesgesetzes über das Tätigkeitsverbot und das Kontakt- und Rayonverbot am 1. Januar 2015 anbrachte, nahm der Ständerat keine weiteren Änderungen am Entwurf des Bundesrates vor und verabschiedete seine Version einstimmig zuhanden des Nationalrats.

Die zunehmende Nutzung von privaten Kameras, insbesondere von Smartphones, Dashcams, Drohnen und Datenbrillen, ist im Hinblick auf den Datenschutz sowie den Schutz der Privatsphäre im öffentlichen Raum problematisch. Diesem Thema trug der Ständerat in der Frühjahrssession 2015 mit der Annahme eines Postulats Comte (fdp, NE) Rechnung, welches den Bundesrat beauftragt, einen Bericht über die Risiken der Nutzung von privaten Kameras und entsprechende Lösungsvorschläge auszuarbeiten. Der Bericht soll in die nächste Revision des Bundesgesetzes über den Datenschutz einfliessen. Im Nationalrat wurde ein gleichlautendes Postulat (14.4137), eingereicht durch die FDP-Fraktion, ebenfalls angenommen.

Mit einer parlamentarischen Initiative „für wirklich abschreckende Sanktionen bei Datenschutzverletzungen“ wollte Jean Christophe Schwaab (sp, VD) groben Datenschutzverletzungen begegnen, indem der EDÖB mit einer Sanktionsbefugnis ausgestattet werden sollte. Im Nationalrat scheiterte das Anliegen mit 65 zu 107 Stimmen jedoch klar. Es bestehe zwar Handlungsbedarf im Bereich des Datenschutzes, jedoch wolle man sich diesem im Rahmen der bevorstehenden Revision des Datenschutzgesetzes annehmen.

Das Internet der Dinge bringt auch Datenschutzfragen mit sich. Mit der Überweisung eines Postulats Schwaab (sp, VD) im Dezember 2014 wollte der Nationalrat die Eigentumsrechte im Fall von unerwünschten Verbindungen stärken. Der Bundesrat soll prüfen, ob Personen, die in Besitz oder Eigentümer eines Gerätes sind, das sich mit dem Internet oder anderen Netzwerken verbinden kann, das unabdingbare Recht eingeräumt werden soll, diese Verbindungen zu trennen und bei Zulassen einer Verbindung selber zu entscheiden, welche Daten an Dritte weitergegeben werden. Die geforderte „Control by Design“ (Kontrolle ab der Herstellung) bedeutet auch, dass bereits bei der Herstellung solcher Geräte darauf geachtet werden müsste, dass unerwünschte Verbindungen jederzeit getrennt werden können.

Im Nachgang des Wirbels um die Weitergabe persönlicher Daten von Bankmitarbeitenden lancierte der Kanton Genf eine Standesinitiative, um die Betroffenen künftig besser zu schützen. Der Vorstoss sah vor, dass die Weitergabe von Personendaten ausserhalb von Rechtshilfeabkommen oder bestehenden internationalen Verträgen nicht mehr erlaubt wäre, und dass in künftigen Abkommen ausdrücklich das Recht auf Anhörung festgehalten würde. Da der Gegenstand der Initiative mit den nach dem Scheitern der Lex USA entworfenen Musterverfügungen bereits materiell erfüllt war, gab der Ständerat der Standesinitiative keine Folge. Wäre der Initiative Folge gegeben worden, so hätte dies auch eine Änderung der bisherigen Praxis zur Folge gehabt, da heute die Amtshilfeabkommen meist in Gesetzen und nicht in Rechtshilfeabkommen oder internationalen Verträgen geregelt sind.

Es soll keinen automatischen Adressdatenaustausch zwischen der Post und den Einwohnerdiensten geben. Ein solcher Austausch wäre nicht nur aus datenschützerischen Gründen heikel, sondern würde auch nur der Post dienen. Dies befand der Bundesrat in einem Bericht, den er in Erfüllung des Postulats „Adressdatenaustausch zwischen Einwohnerregistern, Post und anderen Dateninhabern“ der staatspolitischen Kommission des Nationalrats ausgearbeitet hatte. Prüfenswert fand die Regierung jedoch die Idee einer zentralen Adressdatenbank für die öffentliche Verwaltung und beauftragte das EJPD mit der Ausarbeitung möglicher Modelle.

Snowden, fortschreitende Digitalisierung, NSA-Skandale und Cyber-Crimes rückten den Datenschutz zuoberst auf die Politikagenda und verhalfen der Datenschutzproblematik zu einer hohen Medienpräsenz. Die zunehmende Angst vor dem „gläsernen Bürger“ erhielt daher in Gestalt verschiedener Vorstösse auch Einzug ins Parlament. Unter ihnen befand sich eine parlamentarische Initiative Vischer (gp, ZH), welche ein Grundrecht auf informationelle Selbstbestimmung verankern wollte. Die moderne Datenverarbeitung gefährde nicht nur die freie Entfaltung der Persönlichkeit, sondern durch die selbstbestimmte Mitwirkung der Bürger auch das Gemeinwohl. Aus diesem Grund soll der verfassungsrechtliche Datenschutz von einem Missbrauchsschutz zu einem Grundrecht auf informationelle Selbstbestimmung aufgewertet werden. Damit würde ein Paradigmenwechsel in der Beweislast zugunsten der Bürger und Bürgerinnen vorgenommen. Die sicherheitspolitische Kommission des Nationalrates gab dem Vorstoss mit 12 zu 8 Stimmen Folge.