Mitte Mai 2020 verabschiedete der Bundesrat die bis Ende Juni befristete «Verordnung über den Pilotversuch mit dem ‹Swiss Proximity-Tracing-System› zur Benachrichtigung von Personen, die potenziell dem Coronavirus (Covid-19) ausgesetzt waren». Darin werden gestützt auf das Datenschutzgesetz die Organisation, der Betrieb, die bearbeiteten Daten und die Nutzung der Proximity-Tracing-App für die Dauer der Pilotphase geregelt. Die App werde zunächst versuchsweise Mitarbeiterinnen und Mitarbeitern der ETHZ und der EPFL, Armeeangehörigen, Mitarbeitenden von Spitälern, der eidgenössischen und kantonalen Verwaltungen sowie weiteren ausgesuchten Organisationen zur Verfügung gestellt, damit diese allfällige technische Mängel und Probleme in der Benutzbarkeit aufdecken können, wie der Bundesrat per Medienmitteilung bekannt gab. Die Pilotphase startete schliesslich am 25. Mai. Spätestens Ende Juni soll sie beendet und die «SwissCovid»-App für die Bevölkerung freigegeben werden.
Zweck der App ist es, das klassische Contact Tracing der kantonalen Behörden zu ergänzen. Sie sei technisch nicht in der Lage, Standortdaten aufzuzeichnen, führte der Bundesrat aus, sondern tausche lediglich anonyme Codes mit anderen Smartphones in der Nähe aus. So könnten keine Personendaten rückverfolgt und die Privatsphäre bestmöglich geschützt werden. Diese Einschätzung teilte auch der EDÖB Adrian Lobsiger. Was er bisher vom Projekt gesehen habe, gebe keinen Anlass zu datenschutzrechtlichen Bedenken, sagte er in einem Interview mit «Le Temps». Das Entwicklerteam habe alles getan, um die Anonymität und die Privatsphäre der App-Nutzerinnen und -Nutzer zu gewährleisten, wobei er insbesondere die dezentrale Datenspeicherung und die freiwillige Nutzung der App lobend hervorhob. Er werde allerdings «sehr wachsam» sein, dass kein Druck zur App-Nutzung auf Arbeitnehmende oder Kundinnen und Kunden von Geschäften ausgeübt werde, fügte Lobsiger an.
Zusätzlich zur Funktionalitätstestphase kündigte der Bundesrat einen öffentlichen Sicherheitstest des Systems an. Zu diesem Zweck wurden alle Quellcodes der SwissCovid-App öffentlich zugänglich gemacht, sodass Fachleute und interessierte Personen das System auf Sicherheitslücken prüfen können. Die Ergebnisse werden vom Nationalen Zentrum für Cybersicherheit (NCSC) öffentlich einsehbar gesammelt, bewertet und gegebenenfalls zum Anlass für Anpassungen an der App genommen. Der Sicherheitstest sollte am 28. Mai starten und so lange dauern, bis ihn das NCSC für beendet erklärt.

Im Kampf gegen die Ausbreitung des Coronavirus setzten mehrere früh von der Pandemie betroffene Länder, beispielsweise China, Singapur, Südkorea oder Taiwan, auf staatlich verordnetes Mobiltelefon-Tracking, damit die Behörden den Standort einer Person verfolgen und so einerseits die Einhaltung von Isolation und Quarantäne überwachen und andererseits Passanten vor infizierten Personen warnen konnten. Ende März berichtete die Presse, dass auch in der Schweiz das BAG Handydaten zur Bewältigung der Pandemie nutze. Im Fokus stand dabei jedoch nicht das personalisierte Tracking, sondern die Auswertung anonymisierter Massendaten aus dem Mobilfunknetz der Swisscom, um zu überprüfen, ob sich die Bevölkerung an das Verbot von Ansammlungen von mehr als fünf Personen im öffentlichen Raum hielt und wo sich allenfalls zu grosse Menschenansammlungen bildeten. Auf Kritik aus Datenschutzkreisen entgegnete das BAG in der Presse, die Daten liessen keine Rückschlüsse auf einzelne Personen zu und würden nicht in Echtzeit verwendet, weshalb es sich nicht um eine Überwachung, sondern um eine verhältnismässige Massnahme handle.
Die permanente Mitverfolgung des Standorts aller Personen durch den Staat, mit der einige asiatische Länder schnelle Erfolge in der Eindämmung der Pandemie erzielten, war in Europa datenschutzrechtlich undenkbar. Ein paneuropäisches Konsortium von 130 Forschungseinrichtungen aus acht Ländern, darunter auch die ETHZ und die EPFL, das Anfang April in den Medien vorgestellt wurde, arbeitete daher an einer auf Europa zugeschnittenen, die Privatsphäre bewahrenden Lösung, um die Rückverfolgung der Kontakte infizierter Personen zu unterstützen. Ziel war eine Smartphone-App zum Proximity Tracing, d.h. zum Erkennen, welche Personen sich so nah waren, dass eine Übertragung des Coronavirus möglich gewesen wäre. Die europäische App setzte allerdings nicht auf die Standort-Lokalisierung der Nutzerinnen und Nutzer, sondern auf eine extra zu diesem Zweck von Apple und Google gemeinsam entwickelte Bluetooth-Schnittstelle. Über Bluetooth soll die App andere Smartphones in einem gewissen Umkreis erkennen, auf denen die Anwendung ebenfalls aktiviert ist, und diese Kontakte anonym speichern. Eine positiv auf das Coronavirus getestete Person kann dann über die App die registrierten Kontaktpersonen warnen, sodass sich diese frühzeitig in Quarantäne begeben und testen lassen können. Für den Bundesrat sei diese Anwendung «interessant», wie Karin Keller-Sutter gegenüber dem Tages-Anzeiger sagte. Man kläre derzeit ab, wie dieses System in der Schweiz zum Einsatz kommen könnte und wie die Rechtslage aussehe. Aus Datenschutzsicht hielt EDÖB Adrian Lobsiger diesen Weg gemäss Tages-Anzeiger für «gangbar», solange das Herunterladen der App freiwillig sei. Wie in den Medien erklärt wurde, sammle das System keine personalisierten Daten; vielmehr würden die Kontakte für eine begrenzte Zeit als verschlüsselte Codes abgespeichert.
Den beiden Schweizer Hochschulen erschien das europäische Projekt nach einiger Zeit jedoch zu wenig transparent und sie befanden, es lege zu wenig Wert auf den Schutz der Privatsphäre. Mitte April zogen sie sich daher – wie auch einige weitere Institutionen, die zum gleichen Schluss gekommen waren – daraus zurück und kündigten an, stattdessen eine eigene Lösung zu entwickeln, die im Gegensatz zum europäischen System keine Kontaktdaten sammle, sondern sie jeweils dezentral direkt auf dem Smartphone speichere. So könne weder nachverfolgt werden, welche Personen miteinander in Kontakt waren, noch welche sich infiziert und damit eine Warnung ausgelöst haben, selbst wenn die Server der App-Betreiber gehackt werden sollten, erklärten die Medien. Auch der EDÖB, das Nationale Zentrum für Cybersicherheit und die Nationale Ethikkommission zeigten sich in der Presse zufrieden mit dem gewählten dezentralen Ansatz: Damit werde die Privatsphäre bestmöglich geschützt.
In seiner Medienkonferenz vom 29. April bestätigte der Bundesrat schliesslich, dass er plane, der Bevölkerung zeitnah eine solche Corona-Warn-App zur Verfügung zu stellen; diese werde derzeit von der ETHZ und der EPFL gemeinsam mit dem Bund entwickelt. Weiter versicherte die Regierung, dass der Gebrauch der App freiwillig sein und sie nur für die Dauer der Krise eingesetzt werde. Bis anhin hatte sich der Bundesrat dazu nur sehr zurückhaltend geäussert, was in den Medien bereits für Spekulationen gesorgt hatte, weil vonseiten des BAG und der beteiligten Hochschulen bereits Tage zuvor ein konkretes Datum kommuniziert worden war, an dem die App bereitstehen sollte.
Gleichzeitig erörterte die Presse viele noch offene Fragen zur geplanten Corona-Warn-App. Vor dem Hintergrund einer Experteneinschätzung, wonach 60 Prozent der Bevölkerung die App nutzen müssten, damit sie wirksam sei, wurde debattiert, ob die Freiwilligkeit der richtige Weg sei. Dies wurde aus ethischen Gründen – namentlich, weil ein App-Zwang einen inakzeptablen Eingriff in die persönliche Selbstbestimmung darstellte – grösstenteils bejaht, aber gleichzeitig anerkannt, dass eine so weit verbreitete, freiwillige Verwendung der App eine grosse Akzeptanz und damit ein grosses Vertrauen seitens der Bevölkerung voraussetze. Dieses Vertrauen basiere seinerseits gerade auf der Freiwilligkeit und nur schon der geringste Anschein, der Staat wolle die Menschen zur Benutzung der App drängen, könnte es zerstören, warnte etwa die Zürcher GLP-Nationalrätin und Geschäftsführerin des IT-Verbandes Swico Judith Bellaïche im Tages-Anzeiger. Gegen die App wurde indessen das Argument ins Feld geführt, sie bringe nichts, weil sie das manuelle Contact Tracing nicht ersetzen könne. Dem widersprach der massgeblich an der Entwicklung der App beteiligte EPFL-Epidemiologe Marcel Salathé nicht, erklärte aber gegenüber dem «Blick», dass die Contact-Tracing-Stellen durch die App entscheidend entlastet werden könnten und dass jede Installation helfe, auch wenn weniger als 60 Prozent der Bevölkerung die App nutzten.
Eine Mitte April im Auftrag der NZZ durchgeführte Befragung, deren Ergebnisse die Zeitung Anfang Mai publizierte, hatte ergeben, dass knapp drei Viertel der Schweizer Bevölkerung sich bereit erklärten, eine Tracking-App zu installieren, wenn diese zur Eindämmung des Coronavirus und damit zur Verkürzung des Lockdowns beitragen könnte. Dabei würden die Befragten am ehesten eine App installieren, die vom Bundesrat herausgegeben würde – gut die Hälfte erklärte sich dazu bereit –, während das BAG, die Kantone und andere vorgeschlagene Institutionen deutlich weniger Vertrauen genossen. Bei den Bundesparlamentarierinnen und -parlamentariern, unter denen die NZZ eine ähnliche Umfrage durchgeführt hatte, konnte sich ebenfalls gut die Hälfte vorstellen, die Corona-App des Bundes zu installieren, wobei einzig in der Grünen Fraktion klar die Skepsis überwog. Ein Obligatorium für die Anwendung wurde von den Parlamentarierinnen und Parlamentariern hingegen grossmehrheitlich abgelehnt.

Der Totalrevision des Datenschutzgesetzes und der Änderung weiterer Erlasse zum Datenschutz nahm sich in der Herbstsession 2019 der Nationalrat als Erstrat an. Das ein Jahr zuvor verabschiedete und am 1. März 2019 in Kraft getretene Schengen-Datenschutzgesetz, das aus Gründen der zeitlichen Dringlichkeit zunächst nur die Schengen-relevanten Anpassungen umsetzte, wird mit der Annahme des totalrevidierten Gesetzes wieder ausser Kraft treten. Mit der Totalrevision sollen über die Schengen-Anforderungen hinausgehend einerseits die Schwächen des heutigen Datenschutzrechts, das noch aus einer Zeit vor dem Internet stammt, behoben und andererseits die Entwicklungen auf EU- und Europarats-Ebene aufgenommen werden. Besonders bedeutsam für die Schweiz ist hierbei, von der EU weiterhin als Drittstaat mit angemessenem Datenschutzniveau anerkannt zu werden. Ansonsten, so wurde befürchtet, wäre die Schweizer Wirtschaft mit erheblichen Wettbewerbsnachteilen konfrontiert, da Schweizer Unternehmen nicht mehr so einfach Daten mit Firmen in der EU austauschen könnten. Bis im Mai 2020 wird die EU die Äquivalenz des Schweizer Datenschutzes beurteilen, was eine gewisse Dringlichkeit für die Revision gebietet.
Wie schwierig dieses Unterfangen werden würde, hatte sich schon in der vorberatenden SPK-NR abgezeichnet: Nur mit Stichentscheid des Präsidenten Kurt Fluri (fdp, SO) hatte sich die Kommission im August 2019 durchgerungen, die Vorlage nach mehr als einem Jahr Arbeit überhaupt vors Ratsplenum zu bringen. Die wichtigsten Anpassungen der Kommission am bundesrätlichen Entwurf waren die neu einzuführende Direktwahl des EDÖB durch die Bundesversammlung, die Einführung eines Rechts auf Datenportabilität, die Anpassung der Definition der besonders schützenswerten Personendaten sowie der Verzicht auf eine besondere Regelung für den Umgang mit Daten verstorbener Personen und auf eine ausdrücklich erforderliche Einwilligung zum Profiling. Im Rahmen ihrer Beratungen hatte die SPK-NR zudem sechs Motionen zur Vervollständigung der Datenschutzbestimmungen in weiteren Gesetzen eingereicht.
Kurz vor der Debatte im Nationalrat hatte das Bundesamt für Justiz überdies eine Liste dazu veröffentlicht, welche problematischen Differenzen es zwischen dem Kommissionsvorschlag und den Anforderungen der EU sehe. Auch EDÖB Adrian Lobsiger hatte in der Presse bezweifelt, dass das von der Kommissionsmehrheit vorgeschlagene Gesetz mit dem verlangten Niveau der EU-Datenschutzgrundverordnung (DSGVO) mithalten könne; beim Entwurf des Bundesrates hätte er indes keine Probleme gesehen.
Während der strittige Vorschlag der Kommissionsmehrheit für die SVP bereits zu weit ging, bemängelten SP, Grüne und GLP, er sei zu lasch. Wirtschaftsverbände drängten unterdessen auf eine möglichst rasche, EU-konforme Lösung. So wurde im Vorfeld der nationalrätlichen Debatte von den Mitte- und Linksparteien noch fieberhaft nach Kompromissen gesucht, um den drohenden Absturz der Revision zu verhindern.

In der Eintretensdebatte in der grossen Kammer wurde von allen Seiten – ausser von der SVP-Fraktion – betont, wie wichtig und notwendig das vorliegende Revisionsprojekt sei, sowohl um den Datenschutz dem Internetzeitalter anzupassen als auch um den Datenschutz auf ein der EU gleichwertiges Niveau zu bringen, auch wenn man in den Details der Ausgestaltung verschiedene Ansichten vertrat. Die SVP betrieb hingegen Fundamentalopposition gegen «diesen bürokratischen Unsinn», wie Fraktionsvertreter Gregor Rutz (svp, ZH) das neue Gesetz nannte, denn es sei insgesamt, vor allem für KMU, schlechter als das geltende Datenschutzgesetz – ein Argument, das wenig später durch das Votum von FDP-Vertreter Kurt Fluri (fdp, SO) entkräftet werden sollte, der berichtete, dass der Gewerbeverband die Stossrichtung der Kommissionsmehrheit begrüsse und die Rückweisung nicht unterstütze. Mit der DSGVO verkaufe die EU laut Rutz ihre Bürger für dumm, da sie «kein Mensch» verstehe. «Wir haben langsam genug davon, jeden Unsinn aus der EU ungesehen zu übernehmen!», ärgerte sich der SVP-Vertreter und rief das Ratsplenum auf, die Vorlage an den Bundesrat zurückzuweisen mit dem Auftrag, sie zu entschlacken und EU-Vorschriften nur dort zu übernehmen, wo es unumgänglich sei. Auch eine linke Minderheit hatte ursprünglich die Rückweisung, allerdings an die Kommission, beantragt und diese beauftragen wollen, die Vereinbarkeit der Vorlage mit dem Übereinkommen SEV 108 des Europarats, die Äquivalenz mit dem EU-Datenschutzrecht, die Kompatibilität mit den Schengen-Verträgen und die Nicht-Unterschreitung des heute geltenden Schutzniveaus sicherzustellen. Um die doch eher dringliche Revision nicht unnötig zu verlangsamen und um sich einer «produktiven Diskussion» nicht zu verschliessen, zog Cédric Wermuth (sp, AG) diesen Antrag jedoch «im Sinne eines Vorschussvertrauensbeweises» zurück und hoffte, das Gesetz während der Beratung noch auf eine den genannten Forderungen nähere Linie bringen zu können. Der Rückweisungsantrag der SVP-Minderheit wurde mit 120 zu 66 Stimmen (1 Enthaltung) deutlich verworfen; ausserhalb der geschlossenen SVP-Fraktion sah niemand eine Rückweisung als den richtigen Weg an.

Im Laufe der Detailberatung musste der Nationalrat über 45 Minderheits- und mehrere Einzelanträge befinden, die zu einem beträchtlichen Teil die Unterstützung des Bundesrates genossen – hauptsächlich immer dort, wo die Kommissionsmehrheit mit ihrem Vorschlag einen schwächeren Datenschutz wollte als der Bundesrat und somit das heute geltende Schutzniveau oder die Anforderungen der EU und/oder des Europarats unterschreiten wollte. So war die Kommissionsmehrheit bestrebt, sowohl die Daten über gewerkschaftliche Ansichten und Tätigkeiten als auch die Daten über Massnahmen der sozialen Hilfe aus dem Katalog der besonders schützenswerten Daten, für deren Bearbeitung besondere Anforderungen gelten, zu streichen. Während eine bürgerliche Ratsmehrheit die Streichung der Daten über gewerkschaftliche Ansichten und Tätigkeiten guthiess, schwenkte der Nationalrat bei den Daten über Massnahmen der sozialen Hilfe – neben Sozialhilfedaten sind davon auch solche über Sozialversicherungsmassnahmen bei Krankheit oder Unfall, Massnahmen der Vormundschaftsbehörden oder KESB, die fürsorgerische Unterbringung in psychiatrischen Kliniken, Ergänzungsleistungen und Prämienverbilligungen erfasst – auf die Linie des Bundesrates zurück und beliess sie im Katalog. Grünen-Vertreter Balthasar Glättli (gp, ZH) hatte zuvor mit Nachdruck klargemacht, dass deren Streichung für die Grünen und die SP ein Grund wäre, dem Gesetz die Zustimmung zu verweigern. Eine ähnliche Drohung sprach SVP-Fraktionssprecher Gregor Rutz aus, als die Einschränkung des Geltungsbereichs des DSG auf natürliche Personen zur Debatte stand: Einem Gesetz, das – anders als bisher – keinen Datenschutz für juristische Personen mehr vorsehe, werde man «nie im Leben» zustimmen können. Alle anderen Fraktionen befanden den Schutz für juristische Personen durch andere gesetzliche Bestimmungen jedoch als ausreichend und so glich der Nationalrat das DSG mit der Streichung des Schutzes juristischer Personen an die europäischen Regeln an. Bei der Frage der Anforderungen für das sogenannte Profiling zeichnete sich während der Diskussion ab, dass man an diesem Tag keine zufriedenstellende Lösung finden würde. Für jegliche Formen des Profilings, das die Aargauer Zeitung treffend als die «automatisierte Auswertung von Daten, mit denen bestimmte Merkmale einer Person bewertet werden, um etwa Vorhersagen über ihr künftiges Verhalten zu treffen» definierte, hatte der Bundesrat eine ausdrückliche Einwilligung der betroffenen Person voraussetzen wollen, wie sie auch zur Bearbeitung besonders schützenswerter Personendaten vorgesehen war. Da das geltende Recht so eine Regelung für das Erstellen von Persönlichkeitsprofilen umfasst, würde eine komplette Streichung der ausdrücklichen Einwilligung zum Profiling, wie es die Kommissionsmehrheit vorgeschlagen hatte, ein Rückschritt vom aktuellen Schutzniveau darstellen. In der Diskussion wurde mehrheitlich anerkannt, dass verschiedene Formen des Profilings unterschieden werden müssten, da es, wie es Balthasar Glättli erklärte, durchaus einen Unterschied mache, ob Profiling zur Erstellung von passenden Bücherempfehlungen, zur Abschätzung des Risikos für eine Versicherung oder zur Vorhersage der politischen Entscheidungen einer Person gebraucht werde. Der Bundesrat unterstützte folglich einen Einzelantrag Glättli, der eine ausdrückliche Einwilligung nur für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person vorsah. Die Fraktionen der Grünen, SP und GLP unterstützten diesen Antrag ebenfalls, unterlagen jedoch der bürgerlichen Ratsmehrheit, die beim Vorschlag der Kommissionsmehrheit ohne besondere Anforderungen für das Profiling blieb. Der Nachhall der Diskussion war jedoch klar, dass sich der Ständerat noch einmal intensiv mit dieser Frage auseinandersetzen müsse.
Betreffend die Informationspflicht bei der Beschaffung von Personendaten, die Regeln für die Bekanntgabe von Personendaten ins Ausland, die Rechenschaftspflicht für datenbearbeitende Unternehmen über die Einhaltung des Datenschutzrechts sowie das Auskunftsrecht einer Person zu den über sie gesammelten oder bearbeiteten Daten lehnte die Volkskammer einige von der Kommissionsmehrheit vorgeschlagene Lockerungen ab und umschiffte somit ein paar der vielen Klippen im Hinblick auf den Angemessenheitsbeschluss der EU. Die vom Bundesrat eingefügten Regelungen über Daten von verstorbenen Personen erachtete der Rat jedoch als nicht notwendig und strich mit bürgerlicher Mehrheit alle entsprechenden Bestimmungen aus dem Gesetz. Ganz neu und weitgehend unbestritten verankerte der Nationalrat auf Vorschlag seiner Kommissionsmehrheit ein Recht auf Datenportabilität, das heisst auf Datenherausgabe und -übertragung, im Gesetz. Wie Bundesrätin Karin Keller-Sutter erklärte, habe der Bundesrat mit dieser Neuerung eigentlich noch zuwarten wollen, bis erste Erkenntnisse aus der konkreten Umsetzung dieses Rechts in der EU vorlägen; nichtsdestotrotz unterstützte er den Vorschlag der Kommissionsmehrheit, einen Anspruch jeder Person auf «die Herausgabe ihrer Personendaten in einem gängigen elektronischen Format oder sogar deren Übertragung auf einen anderen Verantwortlichen zu verlangen», wie Keller-Sutter das neue Recht erläuterte.
Zurückgehend auf eine entsprechende parlamentarische Initiative Leutenegger Oberholzer (sp, BL; Pa.Iv. 16.409) änderte die grosse Kammer das Wahlverfahren des EDÖB dahingehend, dass er neu von der Bundesversammlung gewählt und nicht mehr durch den Bundesrat ernannt und vom Parlament nur bestätigt werden sollte. Gleichzeitig wurden die Aufsichts- und Untersuchungskompetenzen des EDÖB bei Datenschutzverstössen gestärkt. Diese Änderung sei von wesentlicher Bedeutung im Hinblick auf den Angemessenheitsbeschluss der EU, wie Bundesrätin Keller-Sutter betonte, denn nach bisher geltendem Recht besitze der EDÖB nicht nur weniger Kompetenzen als die Datenschutzbehörden in Europa, sondern auch als andere Aufsichtsbehörden des Bundes, zum Beispiel die Finma oder die Weko. Bei den Strafbestimmungen legte der Nationalrat eine maximale Busse von CHF 250'000 für Datenschutzverstösse fest. Ein neuer Straftatbestand für die Nichteinhaltung der Mindestanforderungen an die Datensicherheit im Sinne einer Sorgfaltspflichtverletzung wurde von der bürgerlichen Ratsmehrheit jedoch nicht goutiert, was laut Bundesrätin Keller-Sutter für die EU-Angemessenheit problematisch sein könnte. Der letzte grosse Zankapfel der Vorlage verbarg sich in den Schlussbestimmungen, namentlich in der Frage zum Inkrafttreten des Gesetzes. Während die Kommissionsmehrheit das Inkrafttreten um zwei Jahre nach Annahme des Gesetzes beziehungsweise nach Verstreichen der Referendumsfrist verzögern wollte, beantragte eine Minderheit Humbel (cvp, AG), wie üblich den Bundesrat das Inkrafttreten bestimmen zu lassen. Eine solche Verzögerung sei bereits wegen der Schengen-relevanten Bestimmungen des Gesetzes ein Problem und daher nicht im Interesse der Wirtschaft, was das Argument der Kommissionsmehrheit gewesen war. Auf Empfehlung des Bundesrates und entgegen der geschlossenen SVP-Fraktion erteilte die grosse Kammer der zweijährigen Inkrafttretensfrist eine Absage.

In der Gesamtabstimmung nahm der Nationalrat das totalrevidierte Datenschutzgesetz mit 98 zu 68 Stimmen bei 27 Enthaltungen an. In den ablehnenden Stimmen spiegelte sich vor allem die Opposition der SVP gegen das Gesetz. Demgegenüber hatte sich die SP-Fraktion mehrheitlich enthalten und damit signalisiert, dass sie noch weitere Nachbesserungen erwartete. Wirklich zufrieden mit dem Gesetz in vorliegender Form war wohl niemand; in dieser Hinsicht sprach das Fazit von Kommissionssprecher Matthias Jauslin (fdp, AG) Bände: «Wir haben jetzt eine Vorlage, die aus Sicht der Kommission durchaus bearbeitbar ist.»

Die Totalrevision des Datenschutzgesetzes (DSG) verfolgt gemäss der Mitte September 2017 verabschiedeten Botschaft des Bundesrates hauptsächlich zwei Ziele: Erstens sollen die der rasanten technologischen Entwicklung in jüngster Zeit geschuldeten Schwächen des bestehenden Gesetzes behoben werden und zweitens soll das revidierte Gesetz den diesbezüglichen Entwicklungen im Europarat und in der EU Rechnung tragen. Im Rahmen der Revision ihres Datenschutzrechts erliess die EU u.a. die Richtlinie 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten im Bereich des Strafrechts, die auch Teil des Schengen-Acquis ist. Die DSG-Revisionsvorlage soll daher die Anforderungen der genannten EU-Richtlinie übernehmen, um sicherzustellen, dass die Schweiz ihre Schengen-Verpflichtungen wahrnehmen kann. Der Europarat erarbeitete indes ein Protokoll zur Revision des Übereinkommens SEV 108 zum Schutz des Menschen bei der automatisierten Verarbeitung personenbezogener Daten, womit das schweizerische DSG nach der Revision ebenfalls vereinbar sein soll. Aus Sicht des Bundesrates bilden die Ratifikation dieses Übereinkommens einerseits und die Annäherung an das Datenschutzrecht der EU andererseits die zentralen Voraussetzungen dafür, dass die Europäische Kommission der Schweiz weiterhin ein angemessenes Datenschutzniveau attestiert. Vor allem für die Schweizer Wirtschaft ist dieser sogenannte Angemessenheitsbeschluss von zentraler Bedeutung, da die Schweiz in allen Bereichen, die nicht der Schengen-Zusammenarbeit unterstehen, von der EU als Drittstaat angesehen wird und ein Datenaustausch zwischen EU-Mitgliedstaaten und Drittstaaten nur erlaubt ist, wenn Letzterer ein angemessenes Datenschutzniveau gewährleistet.
Zu den wichtigsten inhaltlichen Änderungen im DSG zählt neben dem Verzicht auf den Schutz der Daten juristischer Personen eine grundsätzliche Informationspflicht bei der Datenbeschaffung für alle Bearbeitungen durch Private, um die Transparenz der Datenbearbeitung generell zu verbessern. Überdies soll bei den für die Datenbearbeitung Verantwortlichen über entsprechende, von den Branchen erarbeitete Verhaltenskodizes die Selbstregulierung gefördert werden. Auch der EDÖB soll in seiner Position und Unabhängigkeit gestärkt werden und neu wie seine europäischen Amtskollegen Untersuchungen gegenüber Datenbearbeitern eröffnen sowie Verfügungen erlassen können. Letztlich sollen auch die Strafbestimmungen gegenüber heute verschärft werden. Zur Umsetzung der EU-Richtlinie 2016/680 umfasst die Vorlage zusätzlich Anpassungen in weiteren Gesetzen, namentlich im Strafgesetzbuch, in der Strafprozessordnung, im Rechtshilfegesetz sowie im Schengen-Informationsaustauschgesetz.
Mit seinem Entwurf kam der Bundesrat vor allem der Wirtschaft entgegen, die in der Vernehmlassung Kritik an der weitgehenden Regulierung geübt hatte. So wurde nun auf ein «Swiss Finish» verzichtet; d.h. es sind keine Anpassungen vorgesehen, die über den EU-Standard hinausgehen. Insbesondere das Sanktionensystem kommt im Vergleich zur Vernehmlassung abgeschwächt daher, soll die maximale Busse doch nur noch CHF 250'000 und nicht wie ursprünglich vorgeschlagen CHF 500'000 betragen. In den Augen des SGV sind die Bussen dennoch zu hoch und die Position des EDÖB zu stark. Der EDÖB Adrian Lobsiger selbst zeigte sich im Grossen und Ganzen zufrieden mit dem Entwurf des Bundesrates und bedauerte einzig, dass ihm nicht die Kompetenz zugestanden wird, ohne Strafprozess direkt Bussen zu verhängen.