Nachdem die Referendumsfrist zur Änderung des AHV-Gesetzes, die den Behörden die systematische Verwendung der AHV-Nummer als Personenidentifikator ermöglicht, ungenutzt abgelaufen war, beschloss der Bundesrat im November 2021, die Gesetzesänderung auf den 1. Januar 2022 in Kraft zu setzen. Damit ist es nicht mehr notwendig, für jede neue systematische Verwendung der AHV-Nummer durch Behörden eine spezialgesetzliche Grundlage zu schaffen.

In der Volksabstimmung vom 7. März 2021 wurde das Bundesgesetz über elektronische Identifizierungsdienste (E-ID-Gesetz) mit 64.4 Prozent Nein-Stimmen schweizweit wuchtig abgelehnt. Kein Kanton stimmte dem Gesetz zu; den höchsten Ja-Anteil erzielte es im Tessin mit 44.2 Prozent. Am deutlichsten fiel die «Ohrfeige», wie die Presse das Resultat vielfach betitelte, im Kanton Basel-Stadt aus, wo sich nur 29.3 Prozent der Stimmberechtigten für die Vorlage aussprachen. Die Stimmbeteiligung lag schweizweit bei 51.3 Prozent.
Das ausgesprochen klare Nein bedurfte in den Medien denn auch nicht langer Interpretation: «Durchgefallen» lautete das Verdikt im St. Galler Tagblatt und im «Corriere del Ticino»; die Stimmbevölkerung habe die E-ID «versenkt», urteilten die Westschweizer Zeitungen «La Liberté», «L'Express» und «Le Nouvelliste». Wahlweise als «Schlappe», «Klatsche», «Abfuhr», «Bruchlandung» oder «Debakel» wurde das Resultat in verschiedenen Deutschschweizer Zeitungen bezeichnet. Im Hinblick auf die vorgesehene Lösung mit privaten E-ID-Anbieterinnen und -Anbietern erkannte die NZZ darin ein «Misstrauensvotum gegen die Banken, Versicherungen und bundeseigenen Unternehmen», die sich im Konsortium SwissSign zusammengeschlossen und auf die Herausgabe der E-ID vorbereitet hatten.
Einig waren sich das unterlegene Befürwortendenlager und die siegreiche Gegnerschaft darin, dass sich das Votum nicht gegen die Idee einer E-ID an sich richtete – von der Notwendigkeit einer solchen im digitalen Zeitalter zeigten sich alle überzeugt –, sondern gegen die Ausgestaltung mit privaten Anbieterinnen und Anbietern. «Das Misstrauen gegenüber einer nicht staatlichen Lösung reichte weit ins bürgerliche Lager, obwohl die offiziellen Parteidevisen jeweils eindeutig schienen», resümierte die Aargauer Zeitung. Der «Blick» fasste zusammen: «Alle wollen die E-ID – aber vom Staat!»
So kündigte die Contra-Seite bereits am Abstimmungssonntag an, im Parlament schnellstmöglich auf ein neues Projekt mit einer staatlichen E-ID hinarbeiten zu wollen. SP, Grüne und GLP wollten in der Folgewoche zwei entsprechende Vorstösse einreichen, liess die Zürcher SP-Nationalrätin Min Li Marti in der NZZ verlauten. Die für das gescheiterte Gesetz zuständige Bundesrätin Karin Keller-Sutter wollte ihrerseits dem Bundesrat ein Aussprachepapier vorlegen, um über das weitere Vorgehen zu entscheiden, wie sie gegenüber den Medien bekanntgab. Es sei nun wichtig, dass die Regierung und die Parteien die Unsicherheiten und Ängste der Bevölkerung ernst nehmen würden. Unterdessen bedeute das Abstimmungsresultat aber nicht, dass eine rein staatliche Lösung automatisch eine Mehrheit erzielen würde, gab sie zu Bedenken.


Abstimmung vom 7. März 2021

Beteiligung: 51.29%
Ja: 984'574 (35.6%)
Nein: 1'778'196 (64.4%)

Parolen:
– Ja: EVP (2*), FDP, KVP, Mitte (Junge Mitte: 2*), SVP (2*; JSVP: 1*); KdK, SGV, SSV, Economiesuisse, SAV, SGV, Baumeisterverband, Swissmem, SwissICT, SwissBanking, VöV
– Nein: EDU, GLP (6*; JGLP: 1*), GP (1*), PdA, Piratenpartei, SD, SP (1*); SGB, Travail.Suisse, VPOD, Syndicom, Schweizerischer Seniorenrat, Schweizerischer Verband für Seniorenfragen, Vereinigung aktiver Senioren- und Selbsthilfeorganisationen in der Schweiz (VASOS)
– Stimmfreigabe: Pro Senectute
* Anzahl abweichender Kantonalsektionen

In der Wintersession 2020 verabschiedeten die eidgenössischen Räte das Bundesgesetz über die Bearbeitung von Personendaten durch das EDA. Der Ständerat hatte es in der ersten Sessionswoche seiner Schwesterkammer gleichgetan und den unveränderten Entwurf einstimmig angenommen. Damit erhalte das EDA eine formell-gesetzliche Grundlage, um zur Erledigung seiner Aufgaben auch besonders schützenswerte Personendaten bearbeiten zu können, wie sie das Datenschutzgesetz – sowohl in der alten als auch in der neuen, totalrevidierten Fassung – eigentlich schon längst verlangte, so SPK-Sprecher Daniel Fässler (cvp, AI). Die Schlussabstimmungen passierte die Vorlage im Ständerat ebenfalls einstimmig und im Nationalrat mit einer Gegenstimme (Marcel Dettling; svp, SZ).

In der Wintersession 2020 nahm sich der Nationalrat als Zweitrat der Änderung des AHV-Gesetzes an, mit der den Behörden die systematische Verwendung der AHV-Nummer als Personenidentifikator erlaubt werden sollte. Die Grüne Fraktion beantragte die Rückweisung des Geschäfts an den Bundesrat, damit dieser statt der systematischen Erlaubnis zur Verwendung der AHV-Nummer die systematische Erlaubnis zur Verwendung einer nicht zurückrechenbaren Personennummer auf Basis der AHV-Nummer ins Auge fassen solle. Werde aus der AHV-Nummer zuerst eine registerspezifische, andere einmalige Nummer berechnet, aus der es jedoch umgekehrt nicht möglich ist, die AHV-Nummer zurückzurechnen, werde die unerlaubte Verknüpfung verschiedener Registerdaten zusätzlich erschwert und damit der Datenschutz besser gewahrt, begründete Grünen-Sprecher Balthasar Glättli (gp, ZH) das Anliegen seiner Fraktion. Den Mehraufwand für die registerspezifischen Identifikationsnummern erachtete eine breite Ratsmehrheit im Vergleich zum Sicherheitsgewinn – schliesslich habe nicht einmal der EDÖB etwas gegen die geplante systematische Verwendung der AHV-Nummer einzuwenden gehabt, so SP-Fraktionssprecher Cédric Wermuth (sp, AG) – jedoch als nicht verhältnismässig, wie es GLP-Fraktionssprecherin Corina Gredig (glp, ZH) zusammenfasste, und lehnte die Rückweisung mit 144 zu 37 Stimmen bei einer Enthaltung ab. Ebenso erfolglos blieben zwei Minderheitsanträge Barrile (sp, ZH), die beabsichtigten, den Kreis der zur systematischen Verwendung der AHV-Nummer berechtigten Stellen weiter einzuschränken als vom Bundesrat vorgesehen. Demgegenüber stimmte die grosse Kammer einem Einzelantrag Romano (cvp, TI) mit 160 zu 20 Stimmen bei 2 Enthaltungen zu und übernahm damit die vom Ständerat eingefügte Erweiterung der Befugnis zur systematischen Verwendung der AHV-Nummer auf tripartite Kommissionen, die die Einhaltung von allgemeinverbindlichen Gesamtarbeitsverträgen kontrollieren. Die vorberatende SPK-NR hatte auf diese Ergänzung verzichten und dem Bundesrat folgen wollen, weil sie befürchtete, diese Ausnahme vom Grundsatz, dass die Verwendung der AHV-Nummer staatlichen Akteuren vorbehalten ist, könnte auch bei anderen Privaten Begehrlichkeiten wecken. In der Gesamtabstimmung nahm der Nationalrat die somit differenzbereinigte Vorlage mit 145 zu 38 Stimmen bei 4 Enthaltungen an. Nebst den geschlossenen Grünen lehnte auch ein Teil der SVP-Fraktion den Entwurf ab. Zudem schrieb die Volkskammer das Postulat 17.3968 betreffend ein Sicherheitskonzept für Personenidentifikatoren stillschweigend ab. In der Schlussabstimmung hiess der Nationalrat das Gesetz mit 148 zu 44 Stimmen bei 2 Enthaltungen gut, während die Ständekammer dem Entwurf mit 39 zu 3 Stimmen zustimmte.

In der Vernehmlassung wurde das Vorhaben des Bundesrates, einen nationalen Adressdienst (NAD) zu schaffen, mehrheitlich befürwortet. Von den 55 eingegangenen Vernehmlassungsantworten äusserten sich 35 positiv zum Vorentwurf, darunter 21 Kantone sowie die BDP, die SP und die SVP. Zehn Teilnehmende positionierten sich nicht eindeutig oder zogen ein gemischtes Fazit, wobei nicht der Nutzen des Dienstes, sondern dessen konkrete Ausgestaltung in Frage gestellt wurde. Zu dieser Gruppe zählten die Kantone Appenzell Ausserrhoden und Graubünden, die CVP, der Gemeinde- und der Städteverband sowie der Gewerbeverband. Überwiegend ablehnend äusserten sich ebenfalls zehn Teilnehmende, darunter die Kantone Tessin und Waadt sowie die FDP. Während einige Organisationen die Notwendigkeit des neuen Registers in Frage stellten und Datenschutzbedenken äusserten (SKS, HEV, Privatim, Centre Patronal), forderte auf der anderen Seite der Verband der Einwohnerdienste die Schaffung eines zentralen Einwohnerregisters, das alle Daten der Einwohnerregister umfasst und nicht nur die Wohnadressen.
Die Stellungnahmen hätten insgesamt bestätigt, dass der geplante nationale Adressdienst einem Bedürfnis entspreche, gab der Bundesrat im Dezember 2020 per Medienmitteilung bekannt. Mit dem NAD sollen Schweizer Behörden die Wohnadresse der Einwohnerinnen und Einwohner auch über Kantonsgrenzen hinweg suchen und bestehende Adressdaten aktualisieren können. Das geplante Adressdienstgesetz (ADG) enthält die gesetzliche Grundlage für einen solchen Dienst und soll unter anderem den Inhalt, die Zugriffsmöglichkeiten und den Datenschutz regeln.
Die Vernehmlassungsergebnisse veranlassten den Bundesrat dazu, das Vorhaben weiterzuverfolgen, aber zuvor noch einige aufgeworfene Fragen zu klären. Er kündigte an, die Datenschutzbestimmungen und die Regelung der Datenhoheit zu präzisieren sowie die Abfragemöglichkeiten und die Rolle der Kantone und Gemeinden noch vertieft zu prüfen. Überdies wolle er bereits vor der Inbetriebnahme des NAD geklärt haben, ob und mit welchen zusätzlichen Datenquellen von Bund, Kantonen oder Gemeinden die Aktualität der bereitgestellten Daten verbessert werden könnte. Die Regierung beauftragte das EDI, die notwendigen Abklärungen zu treffen und anschliessend eine Botschaft auszuarbeiten.

In der Herbstsession 2020 ging die Totalrevision des Datenschutzgesetzes in die dritte Runde der Differenzbereinigung. Zunächst hatte sich der Nationalrat mit den drei aus der letzten Runde verbleibenden Differenzen sowie einem Minderheitsantrag aus seiner SPK zu befassen. Die erste Differenz, welche die Definition der besonders schützenswerten Personendaten betraf, legte die grosse Kammer auf einstimmigen Antrag ihrer Kommission stillschweigend bei, indem sie sich der Definition des Ständerates anschloss. Demnach sind alle genetischen Daten, und nicht nur jene, die eine natürliche Person eindeutig identifizieren, besonders schützenswert.
Die zweite Differenz – und wie sich schon länger abgezeichnet hatte, der Hauptstreitpunkt des Geschäfts – war die Definition des Profilings. Cédric Wermuth (sp, AG) zeigte sich als Vertreter der Kommissionsminderheit enttäuscht über die Abkehr der Mehrheit vom gefunden geglaubten Kompromiss und bedauerte, dass seine links-grüne Ratsseite mit der Bereitschaft zur gemeinsamen Lösungssuche wohl «einen taktischen Fehler gemacht» habe. Die Kommissionsminderheit setzte sich für die ständerätliche Lösung ein, die einen risikobasierten Ansatz beim Profiling verfolgte und erhöhte Anforderungen für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person vorsehen wollte. Ein solch hohes Risiko wäre dann gegeben, wenn eine Verknüpfung von Daten eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer Person erlauben würde. Die Mehrheit der SPK-NR war indessen auf den ersten Beschluss des Nationalrats – und damit auf den Stand vor Beginn der Kompromissfindung zwischen den Parlamentskammern – zurückgeschwenkt, obwohl der Nationalrat in seiner zweiten Beratung der Gesetzesvorlage den risikobasierten Ansatz noch unterstützt hatte. Die Kommissionsmehrheit wollte nun doch keine verschiedenen Risikostufen für das Profiling festlegen, weil die EU-DSGVO keine solche Unterscheidung vornehme und das sogenannte «Swiss Finish» die Schweizer Wirtschaft unnötig einschränke. Die Minderheit Wermuth und der Bundesrat waren jedoch der Ansicht, dass die Fassung der Kommissionsmehrheit das Schutzniveau gegenüber der heutigen Regelung für Persönlichkeitsprofile senke, weil sie gar keine besonderen Anforderungen für das Profiling mehr stelle. Das Konzept der Mehrheit definiere zwar den Begriff Profiling, sehe dann aber gar keine Rechtsfolgen, beispielsweise das Verlangen einer Einwilligung der betroffenen Person, vor; «genau die gleiche Wirkung» erzielte man, wenn man im Gesetz definierte, «was ein blauer Pavian sei», echauffierte sich Wermuth über den «absurden» Mehrheitsvorschlag. Die links-grüne Ratsseite betonte zudem noch einmal, dass sie einem Gesetz, welches das geltende Schutzniveau unterschreite, auf keinen Fall zustimmen werde; der risikobasierte Ansatz beim Profiling sei für seine Fraktion «eine Conditio sine qua non», so Wermuth. Dennoch folgte der Nationalrat mit 98 zu 88 Stimmen bei 5 Enthaltungen seiner Kommissionsmehrheit. Die Fraktionen der SP, der Grünen und der GLP hatten sich trotz vereinzelter Unterstützung aus der Mitte und der FDP nicht durchsetzen können.
Als Drittes scheiterte ein Minderheitsantrag Glättli (gp, ZH), der ein explizites Widerspruchsrecht zum Profiling im Gesetz verankern wollte, mit 105 zu 84 Stimmen bei 2 Enthaltungen. Nach Ansicht der Mehrheit, die auch der Bundesrat unterstützte, war eine solche ausdrückliche Nennung nicht nötig, weil sich ein allgemeines Widerspruchsrecht gegen die Bearbeitung der eigenen Personendaten bereits aus anderen Bestimmungen des Datenschutzgesetzes ergebe.
Die letzte Differenz betraf die Frage, wie alt die bearbeiteten Daten sein dürfen, damit eine Kreditwürdigkeitsprüfung keine widerrechtliche Persönlichkeitsverletzung darstellt. Während die Kommissionsmehrheit hier am letzten nationalrätlichen Beschluss von zehn Jahren festhalten wollte, beantragte eine Minderheit Gredig (glp, ZH), dem Ständerat zu folgen und fünf Jahre zu beschliessen. Die Minderheitsvertreterin argumentierte, dass «ein Blick fünf Jahre in die Vergangenheit eines Menschen» ausreichen sollte, um dessen Kreditwürdigkeit zu prüfen. Auch hier setzte sich aber die bürgerliche Ratsseite durch und stimmte mit 104 zu 87 Stimmen bei einer Enthaltung dem Antrag der Kommissionsmehrheit zu.

Es verblieben für die letzte Beratung im Ständerat damit die zwei Differenzen bezüglich des Profilings und der zulässigen Daten für die Kreditwürdigkeitsprüfung. Letztere räumte die kleine Kammer aus, indem sie sich stillschweigend dem Nationalrat anschloss, wie es ihre SPK einstimmig beantragt hatte. Damit dürfen für eine Kreditwürdigkeitsprüfung bis zu zehn Jahre alte Daten beigezogen werden. Der Bundesrat, der fünf Jahre vorgeschlagen hatte, könne «gut damit leben», kommentierte EJPD-Vorsteherin Karin Keller-Sutter diesen Beschluss. Beim Profiling hielt der Ständerat hingegen ebenso stillschweigend an seinem Entscheid für die risikobasierte Variante fest, womit er eine Einigungskonferenz nötig machte, bei der sich die Ständekammer gute Erfolgschancen ausrechnete. Kommissionssprecher Daniel Fässler (cvp, AI) erklärte, weshalb die nationalrätliche Variante nicht DSGVO-konform und damit kein gangbarer Weg sei: Die DSGVO verbiete grundsätzlich jede Verarbeitung personenbezogener Daten, ausser es liege die Zustimmung der betroffenen Person oder ein anderer Rechtfertigungsgrund vor. Das Schweizer Datenschutzgesetz sei umgekehrt konzipiert, indem es die Verarbeitung von Personendaten grundsätzlich zulasse, sofern keine Ausnahme vorliege. Die Verankerung von qualifizierten Rechtsfolgen bei Profiling mit hohem Risiko sei daher notwendig, um das vorgegebene Schutzniveau zu halten.

Wie erwartet entschied sich die Einigungskonferenz im letzten Streitpunkt um das Profiling für die ständerätliche Version, dergemäss für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person erhöhte datenschutzrechtliche Anforderungen gelten. Der Nationalrat stimmte dem Antrag der Einigungskonferenz mit 134 zu 42 Stimmen bei einer Enthaltung zu, wobei sich nur die SVP-Fraktion grossmehrheitlich dagegen stellte. Kommissionssprecher Matthias Jauslin (fdp, AG) hatte das Ratsplenum um Zustimmung gebeten, weil die Schweiz – sowohl für ihre Bürgerinnen und Bürger als auch für die Wirtschaft – dringend ein modernes und von der EU in seiner Gleichwertigkeit anerkanntes Datenschutzgesetz brauche. Der Ständerat nahm den Antrag der Einigungskonferenz einstimmig an. In den Schlussabstimmungen zeigte sich dasselbe Stimmmuster: Der Nationalrat stimmte mit 141 zu 54 Stimmen (alle SVP) bei einer Enthaltung für das totalrevidierte Datenschutzgesetz, während es der Ständerat einstimmig annahm. Damit kamen die parlamentarischen Beratungen des Datenschutzgesetzes nach über drei Jahren mit zum Teil emotional ausgetragenen Meinungsverschiedenheiten doch noch zu einem mehrheitlich versöhnlichen Abschluss.

Einstimmig und unverändert nahm der Nationalrat in der Herbstsession das totalrevidierte Bundesgesetz über die Bearbeitung von Personendaten durch das EDA an. Das Gesetz enthalte keine neuen Datenbearbeitungen oder neue Kompetenzen für das EDA, hielt Kommissionssprecher Gerhard Pfister (cvp, ZG) im Ratsplenum fest. Der Entwurf bilde aber im Hinblick auf die neuen technologischen Möglichkeiten und Herausforderungen im Bereich der Datenbearbeitung einen klareren Rechtsrahmen als bisher und nehme einige Tätigkeiten des EDA, die bis anhin in einer Verordnung geregelt waren, ins formelle Gesetz auf. Bundesrat Ignazio Cassis betonte, in einer Demokratie sei es wichtig, dass sich das Regierungshandeln auf klare und transparente Rechtsgrundlagen abstütze. Das neue Gesetz, das mit der laufenden Totalrevision des Datenschutzgesetzes vereinbar sei, verbessere die Vorhersehbarkeit der Datenverarbeitung für aussenpolitische Zwecke und verleihe ihr die demokratische Legitimität und parlamentarische Kontrolle, die sie verdiene.

Der Streit um die datenschutzrechtlichen Anforderungen für das Profiling wird sich auch über die dritte Runde der Differenzbereinigung beim totalrevidierten Datenschutzgesetz hinziehen, wie sich nach der Sitzung der SPK-NR im Juli 2020 abzeichnete. Mit 13 zu 12 Stimmen beschloss die Kommission, ihrem Rat die Rückkehr zur ursprünglichen Lösung des Nationalrates zu beantragen und kehrte sich damit wieder von der jüngsten Einigung der beiden Kammern auf einen risikobasierten Ansatz ab. Nach dem Willen der knappen Kommissionsmehrheit soll demnach auf jegliche besondere Voraussetzungen – etwa auf die ausdrückliche Einwilligung der betroffenen Person – für Profiling verzichtet werden, und zwar ungeachtet des Risikos, das dieses für die Persönlichkeit oder die Grundrechte der betroffenen Person darstellt. Die risikobasierte Unterscheidung verschiedener Arten von Profiling sei ein «Swiss Finish» und gefährde die Schweizer Wirtschaft, so die Argumentation. Die starke Minderheit zeigte sich hingegen mit dem Kompromissvorschlag des Ständerats zufrieden, da er das heutige Datenschutzniveau garantiere und Rechtssicherheit schaffe. Auch die Differenz in der Frage, welche Daten für die Kreditwürdigkeitsprüfung verwendet werden dürfen, wollte die Kommissionsmehrheit mit 15 zu 10 Stimmen aufrechterhalten, indem sie an der zehnjährigen Frist festhielt, während die Minderheit hier ebenso beantragte, sich dem Ständerat, der fünf Jahre beschlossen hatte, anzuschliessen.

Ebenfalls noch im Mai 2020 verabschiedete der Bundesrat die Botschaft zur dringlichen Änderung des Epidemiengesetzes betreffend das Proximity-Tracing-System, mit der die Rechtsgrundlage für die Corona-Warn-App geschaffen werden soll. Eine solche hatten die eidgenössichen Räte mit der Annahme zweier Motionen der Staatspolitischen Kommissionen (Mo. 20.3144 und 20.3168) ausdrücklich verlangt. Zweck der SwissCovid-App ist es, das herkömmliche Contact-Tracing der Kantone zu ergänzen. Die Nutzung der App soll ausdrücklich freiwillig sein und aus der Teilnahme oder Nicht-Teilnahme dürften keine Vor- oder Nachteile erwachsen, versicherte der Bundesrat in der entsprechenden Medienmitteilung. Der Datenschutz werde gewahrt, indem die Daten dezentral gespeichert würden und das System keine Standortdaten erfasse. Zudem seien die technischen Details und der Quellcode der App öffentlich zugänglich. Überdies verpflichtete sich der Bundesrat dazu, die App ausser Betrieb zu nehmen, sobald sie für die Bekämpfung des Coronavirus nicht mehr erforderlich ist.
Die SGK-SR, die sich als erste mit der Vorlage auseinandersetzte, nahm die Botschaft positiv auf und zeigte sich erfreut, dass der Bundesrat die Forderungen des Parlaments bezüglich Freiwilligkeit, dezentraler Datenspeicherung, Open Source und Diskriminierungsverbot aufgenommen habe. Sie beantragte ihrem Rat zwei Änderungen am Entwurf: Erstens müsse sichergestellt sein, dass die App nachweislich aus dem veröffentlichen Quellcode erstellt worden sei. Zweitens wollte sie die Ausserbetriebnahme der App nicht nur bei nicht mehr gegebener Notwendigkeit, sondern auch bei erwiesener ungenügender Wirksamkeit vorsehen. Die SGK-NR hiess den Entwurf mit den Änderungen ihrer Schwesterkommission ebenfalls gut und beantragte zusätzlich, dass der Corona-Test für Personen, die von der App über eine mögliche Ansteckung benachrichtigt worden sind, kostenlos sein müsse. Die beiden Kommissionen ersuchten den Bundesrat ausserdem in einem Schreiben, eine Erwerbsausfallentschädigung für Personen zu prüfen, die sich aufgrund einer Benachrichtigung der App freiwillig in Quarantäne begeben. Damit soll ein Anreiz für die breite Nutzung der App geschaffen werden.
Ständerat Damian Müller (fdp, LU) übernahm den Antrag der SGK-NR auf kostenlose Tests und brachte ihn in der Sommersession in der Kantonskammer als Einzelantrag ein, wo er auch mit grosser Mehrheit angenommen wurde. Der Ständerat hoffte, durch diese Vorwegnahme der einzigen inhaltlichen Differenz zwischen den Kommissionen die Beratung des dringlichen Geschäfts zu beschleunigen. In den anderen Punkten stimmte die kleine Kammer stillschweigend den Anträgen ihrer Kommission zu und nahm die Vorlage in der Gesamtabstimmung mit 43 zu 1 Stimmen bei einer Enthaltung an. Anschliessend schrieb sie die Motionen 20.3144 und 20.3168, mit denen die Staatspolitischen Kommissionen beider Räte das nun vorliegende Gesetz verlangt hatten, stillschweigend ab.
Nationalrat Thomas de Courten (svp, BL) äusserte in der grossen Kammer indes Zweifel, ob man «diese Gesetzesgrundlage für ein Informationssystem, staatlich betrieben zur Überwachung der Bürgerinnen und Bürger, einfach so durchwinken» solle, und beantragte Nichteintreten, fand dafür jedoch ausserhalb seiner Fraktion keine Unterstützung. Die Volkskammer trat mit 164 zu 26 Stimmen bei 6 Enthaltungen auf das Geschäft ein und lehnte daraufhin alle von der Kommissionsmehrheit abweichenden Anträge ab. Es handelte sich dabei um diverse Einzelanträge sowohl für eine Verschärfung – wodurch gemäss Mehrheitsmeinung jedoch die Funktionalität der App beeinträchtigt würde – als auch für eine Lockerung des Datenschutzes – zur Vereinfachung der Interoperabilität mit anderen Anwendungen und der wissenschaftlichen Nutzung der Daten – sowie um einen Minderheitsantrag Wasserfallen (sp, BE) zur Garantie von Erwerbsersatz während der freiwilligen Quarantäne, den die Ratsmehrheit aber als nicht ausgereift ansah; der Bundesrat sei aufgefordert, hier eine Regelung zu treffen. In der Gesamtabstimmung stimmte der Nationalrat der somit bereinigten Vorlage mit 156 zu 22 Stimmen bei 13 Enthaltungen zu, wobei sich die Fraktionen der SVP und der Grünen grossteils skeptisch zeigten, und schrieb die beiden Kommissionsmotionen für eine gesetzliche Grundlage für die Corona-Warn-App stillschweigend ab.
Ebenfalls noch in derselben Session nahmen beide Räte die Dringlichkeitsklausel an und verabschiedeten die dringliche Gesetzesänderung sodann mit 154 zu 23 Stimmen bei 18 Enthaltungen im Nationalrat und mit 42 zu 1 Stimmen bei 2 Enthaltungen im Ständerat.

In den Medien wurde die parlamentarische durch eine lebhafte gesellschaftliche Debatte über Sinn und Unsinn beziehungsweise Chancen und Gefahren von Corona-Warn-Apps im Allgemeinen sowie der SwissCovid-App im Speziellen begleitet. Ein Teil der Bevölkerung konnte die offizielle Lancierung der SwissCovid-App, die nach der Genehmigung der Gesetzesgrundlage durch das Parlament erfolgen sollte, kaum erwarten. Wie «Le Temps» Anfang Juni berichtete, verzeichnete die App zu diesem Zeitpunkt schon rund 50'000 Downloads, obwohl sie sich noch in der Testphase befand und für die Öffentlichkeit noch gar nicht freigegeben war. Auch zeigten sich nicht alle Parlamentarierinnen und Parlamentarier über ihr Mitspracherecht bei der Rechtsgrundlage für die App erfreut, vielmehr gehe durch die parlamentarische Beratung wertvolle Zeit verloren, liess sich etwa GLP-Nationalrat Martin Bäumle (glp, ZH) im «Blick» zitieren. Einwände gegen die App betrafen vor allem den Datenschutz und im Spezifischen die Rolle der US-amerikanischen Tech-Konzerne Amazon, Apple und Google bei deren Entwicklung und Betrieb. Während Amazon das sogenannte Content Delivery Network zur Verteilung der anonymen Codes an alle teilnehmenden Smartphones bereitstellt, hatten Apple und Google eigens eine spezielle Bluetooth-Schnittstelle entwickelt, die von der App für das Proximity-Tracing genutzt wird. Dabei schwang aber auch ein wenig Stolz mit, dass das Entwicklerteam der EPFL es geschafft hatte, die Tech-Riesen Apple und Google von ihrer Anwendung zu überzeugen und so den Stein für die gemeinsame Bluetooth-Schnittstelle ins Rollen zu bringen. Gleichzeitig erhielt die Schweizer App – nicht zuletzt im internationalen Vergleich – Lob für ihre vorbildliche, datensparsame und sichere Struktur. Die Datensicherheit wurde, wie die NZZ berichtete, auch von zwei Cybersicherheitsstellen des Bundes, dem Computer Security Incident Response Team am BIT sowie dem Swiss Government Computer Emergency Response Team, bestätigt. Dieselbe Zeitung resümierte jedoch, dass die «höchste Hürde» der SwissCovid-App noch bevorstehe, indem sie in der Bevölkerung tatsächlich Fuss fassen müsse.

In der Sommersession 2020 genehmigte der Ständerat einstimmig (bei 2 Enthaltungen) das Protokoll vom 10. Oktober 2018 zur Änderung des Übereinkommens SEV 108 des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. Noch im Juni 2020 werde die EU über die Angemessenheit des schweizerischen Datenschutzniveaus entscheiden, und weil die eidgenössischen Räte das Datenschutzgesetz bis dahin noch nicht fertig beraten haben werden, spiele die Ratifikation des Änderungsprotokolls eine zentrale Rolle für den Entscheid der EU, betonte Bundesrätin Karin Keller-Sutter neuerlich die Bedeutung des Abkommens. In den Schlussabstimmungen sprachen sich der Nationalrat mit 143 zu 6 Stimmen bei 49 Enthaltungen (alle Gegenstimmen und Enthaltungen aus der SVP-Fraktion) und der Ständerat wiederum einstimmig bei 2 Enthaltungen für die Genehmigung des Europaratsprotokolls aus. Damit kann der Bundesrat, unter Vorbehalt des fakultativen Referendums, das Änderungsprotokoll zum Übereinkommen SEV 108 ratifizieren.

Die Änderung des AHVG mit dem Ziel, den Behörden die systematische Verwendung der AHV-Nummer als Personenidentifikator zu ermöglichen und dadurch die Verwaltungsarbeit effizienter zu machen, wurde in der Sommersession 2020 vom Ständerat als Erstrat behandelt. Als Sprecher der SPK-SR, die die Vorlage mit 7 zu 4 Stimmen gutgeheissen hatte, wies Andrea Caroni (fdp, AR) zu Beginn der Debatte noch einmal darauf hin, dass der Datenschutz jederzeit gewährleistet sei und dass sich hinter den Neuerungen eben nicht «ein massiver Schritt in Richtung behördlicher Überwachung», sondern eine «sanfte technische Optimierung ohne nennenswerte Schwierigkeiten» verberge. Eine Minderheit um Daniel Fässler (cvp, AI) befand die Vorlage dagegen für unnötig und beantragte Nichteinreten. Es gehe gar nicht darum, ob die Verwaltungsbehörden die AHV-Nummer als Personenidentifikator verwenden dürfen oder nicht, sondern lediglich darum, ob es dafür in jedem Bereich einer spezialgesetzlichen Grundlage bedarf oder ob eine generelle Ermächtigung im AHVG geschaffen wird, führte Fässler aus. Falls in Zukunft ein neuer Anwendungsbereich dazukommen sollte, könne dafür eine spezialgesetzliche Grundlage geschaffen werden, weshalb man auf die vorliegende Revision «getrost verzichten» könne, schloss der Minderheitsvertreter. Bundesrat Alain Berset gestand der Kommissionsminderheit zu, dass die Vorlage keine grosse Veränderung gegenüber der heutigen Praxis mit sich bringe, vielmehr stelle sie aber für die Behörden aller drei Staatsebenen zweifelsfrei klar, wer wozu die AHV-Nummer verwenden dürfe – im Moment glichen die verschiedenen gesetzlichen Grundlagen einem «Dschungel». Man könne das Problem schon immer wieder unter den Teppich kehren, aber dadurch werde es nicht gelöst. Er appellierte deshalb an den Rat, «den Teppich ein letztes Mal anzuheben» und eine «vernünftige Lösung» zu finden, auch wenn kein grosser Enthusiasmus dafür vorhanden sei. Die kleine Kammer trat schliesslich mit 37 zu 6 Stimmen auf das Geschäft ein.
Inhaltlich hatte die Kommission eine einzige Änderung am bundesrätlichen Entwurf vorgenommen. Sie wollte, dass im Sinne einer Ausnahme auch tripartite Kommissionen, die die Einhaltung der allgemeinverbindlichen Gesamtarbeitsverträge überwachen, die AHV-Nummer verwenden dürfen, obwohl dies für private Zwecke generell untersagt ist. Bundesrat Berset sprach sich deutlich gegen eine solche Ausnahme aus, da die AHV-Nummer im Kampf gegen Schwarzarbeit nichts nütze, solange sie nicht mit anderen Daten ausser Name und Geburtsdatum verknüpft werden könne; so eine Möglichkeit für tripartite Kommissionen sei jedoch nicht vorgesehen und verlangte gegebenenfalls nach einer Aufsicht zur Sicherstellung des Datenschutzes, da es sich um private Akteure handle. Angesichts des einstimmigen Kommissionsantrags verzichtete der Innenminister jedoch auf einen Gegenantrag, womit die Änderung stillschweigend angenommen wurde. In der Gesamtabstimmung stimmte die kleine Kammer dem Gesetz mit 37 zu 5 Stimmen bei einer Enthaltung zu.

In der Sommersession 2020 setzte der Ständerat die Differenzbereinigung bei der Totalrevision des Datenschutzgesetzes fort. In zwei Punkten, die das Auskunftsrecht der von einer Datenbearbeitung betroffenen Person und die Informationspflicht der datenbearbeitenden Stelle betrafen, fügte sich die kleine Kammer stillschweigend und diskussionslos den Beschlüssen des Nationalrates. So muss die betroffene Person nicht zwingend über die Liste ihrer Rechte und die allfällige Absicht, eine Kreditwürdigkeitsprüfung vorzunehmen, informiert werden. Eine angeforderte Auskunft muss zudem «die bearbeiteten Personendaten als solche» beinhalten, wobei die SPK-SR zum Schluss gekommen war, dass die vom Nationalrat eingefügte Ergänzung «als solche» nichts nütze, aber auch nichts schade, wie deren Berichterstatter Daniel Fässler (cvp, AI) vor dem Plenum erläuterte. Stillschweigend hielt der Ständerat hingegen an seinem Entscheid fest, dass alle genetischen Daten als besonders schützenswerte Personendaten gelten sollen, da die einschränkende Definition des Nationalrates gemäss dem Kommissionssprecher wohl nicht EU-konform wäre.
Für eine kurze Debatte sorgte die Frage, welche Daten für eine an sich persönlichkeitsverletzende Kreditwürdigkeitsprüfung verwendet werden dürfen. Eine Minderheit Müller (fdp, LU) schlug vor, den Einbezug von bis zu zehn Jahre alten Daten zu erlauben – dies hatte der Nationalrat so entschieden –, wobei aber Daten aus öffentlich zugänglichen staatlichen Registern von dieser Beschränkung ausdrücklich auszunehmen seien. Mit einer kurzen und starren Frist würden die Interessen der Gläubiger zu wenig berücksichtigt, begründete Damian Müller den Antrag. Der Rat folgte mit 25 zu 17 Stimmen jedoch seiner Kommissionsmehrheit und hielt an seinem letzten Beschluss fest, wonach die verwendeten Daten nicht älter als fünf Jahre sein dürfen, wie es auch der Bundesrat ursprünglich vorgesehen hatte. Kommissionssprecher Fässler argumentierte, dass ältere Daten mitunter ungenau seien und daher nicht als Rechtfertigungsgrund für eine Persönlichkeitsverletzung zugelassen werden sollten.
Gerungen wurde in der Ständekammer indes immer noch um die Definition von «Profiling mit hohem Risiko», nachdem der Nationalrat dem risikobasierten Ansatz zur Regulierung des Profilings zugestimmt, sich aber mit der Abgrenzung der Risikostufen nicht zufrieden gezeigt hatte. Die Kommission schlug ihrem Rat einstimmig eine neue Formulierung vor, die sich am heute geltenden Konzept des Persönlichkeitsprofils orientierte und die die Idee der grossen Kammer aufnahm, das Risiko am Ergebnis der Datenbearbeitung anstatt am Prozess festzumachen. Mit einem Einzelantrag wollte Ständerat Ruedi Noser (fdp, ZH) der Formulierung des Nationalrats den Vorzug geben, weil der Vorschlag der ständerätlichen SPK das Profiling faktisch verbiete und den unklaren und veralteten Begriff «wesentliche Aspekte der Persönlichkeit» verwende. Kommissionssprecher Fässler und Bundesrätin Karin Keller-Sutter widersprachen dieser Darstellung jedoch: Profiling mit hohem Risiko werde nicht verboten, sondern lediglich höheren Anforderungen unterworfen, der kritisierte Begriff sei im geltenden Recht bereits etabliert und der Vorschlag Noser käme einer Nicht-Regulierung des Profilings gleich, wie sie wohl kaum mit dem EU-Datenschutzniveau vereinbar wäre. Zudem hätten der von Noser gewünschten Lösung im Nationalrat nur 65 Mitglieder zugestimmt, während 57 sie abgelehnt und sich 65 der Stimme enthalten hatten, weshalb darin kaum der endgültige Wille der grossen Kammer zum Ausdruck gekommen sei. Der Ständerat folgte mit 39 zu 5 Stimmen (1 Enthaltung) klar seiner Kommission und schrieb die neue Formulierung ins Gesetz, wonach Profiling dann mit hohem Risiko verbunden ist, wenn es «die Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt». Damit wird das heutige Schutzniveau bei der automatisierten Datenbearbeitung gehalten, aber weder erhöht, wie es im Sinne der Ständeratsmehrheit und der linken Seite des Nationalrats gewesen wäre, noch gesenkt, was dem bürgerlichen Ansinnen entsprochen hätte. Mit noch drei inhaltlichen Differenzen ging die Vorlage wieder an den Nationalrat.

Einstimmig bei sechs Enthaltungen genehmigte der Nationalrat in der Frühjahrssession 2020 das Änderungsprotokoll vom 10. Oktober 2018 zum Übereinkommen SEV 108 des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. Die Beratungen des Datenschutzgesetzes seien mittlerweile weit genug fortgeschritten, um vorherzusehen, dass es mit dem vorliegenden Übereinkommen kompatibel sein werde, erklärte Kommissionssprecher Matthias Jauslin (fdp, AG) vor dem Ratsplenum. Bundesrätin Karin Keller-Sutter unterstrich, die Schweiz sende mit der Ratifikation des Abkommens ein positives Signal an die EU, für die das «ein wichtiges Indiz für den Entscheid über den Angemessenheitsbeschluss» darstelle.

Bei der Totalrevision des Datenschutzgesetzes begann in der Frühjahrssession 2020 der Nationalrat mit der Differenzbereinigung. Als Kernpunkt der Vorlage identifizierte Kommissionssprecher Matthias Jauslin (fdp, AG) die Bestimmungen zum sogenannten Profiling (d.h. automatisierte Datenbearbeitung zur Bewertung bestimmter Aspekte einer Person). Einig war man sich hier inzwischen geworden, dass im Sinne eines risikobasierten Ansatzes irgendwie zwischen verschiedenen Arten von Profiling unterschieden werden muss. Weder der Ansatz des Bundesrates, an alle Arten von Profiling erhöhte Datenschutzanforderungen zu stellen, noch der vom Nationalrat als Erstrat beschlossene Verzicht auf jegliche Regulierung des Profilings wurden nunmehr als gangbare Wege betrachtet. Um die richtige Lösung für die Definition der verschiedenen Risikostufen wurde allerdings noch gerungen. Der ständerätliche Vorschlag, Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person von gewöhnlichem Profiling zu unterscheiden, war in der SPK-NR auf Skepsis gestossen, weil in der Praxis fast jedes Profiling die einschlägigen Kriterien – die bearbeiteten Personendaten stammen entweder aus verschiedenen Quellen oder betreffen verschiedene Lebensbereiche – für hohes Risiko erfülle. Während die SP- und die Grüne Fraktion den Minderheitsantrag Glättli (gp, ZH) auf Beibehaltung der ständerätlichen Lösung unterstützten, sprach sich die Ratsmehrheit für einen Minderheitsantrag Jauslin aus, der es mit einer anderen Risikodefinition versuchte. Jedoch wurde auch dieser Vorschlag nicht als ausgereift angesehen. Im Prinzip war es einerlei, ob die Kommissionsmehrheit oder die Minderheit Jauslin obsiegte; das Hauptanliegen der Ratsmehrheit war es, hier die Differenz aufrechtzuerhalten, damit die Diskussion dieser Problematik weitergeführt werde. Die linke Ratsseite machte indes klar, dass diese Bestimmungen die «Pièce de Résistance» dieses Gesetzes seien, wie es deren Wortführer Cédric Wermuth (sp, AG) und Balthasar Glättli ausdrückten. Eine laschere Regelung als diejenige des Ständerates wollten sie nicht akzeptieren. Zusammen mit der SVP, die das Gesetz ohnehin als «Meisterwerk der Bürokratie» (Gregor Rutz, svp, ZH) ablehnte, könnte diese Drohung, je nach Entscheid des Ständerats, im Hinblick auf die Schlussabstimmungen noch brisant werden, mutmasste der Tages-Anzeiger.
Bei einigen weiteren umstrittenen Punkten erhielt der Nationalrat die Differenz zum Ständerat aufrecht, indem er an seinen Beschlüssen als Erstrat festhielt. So definierte die grosse Kammer nach wie vor nur jene genetischen Daten als besonders schützenswerte Personendaten, die eine Person eindeutig identifizieren. Der besondere Schutz aller genetischen Daten schaffe Rechtsunsicherheit für die Forschung, so das Argument der Kommissionsmehrheit, die den entsprechenden Antrag gestellt hatte. Des Weiteren sah die Volkskammer keine Notwendigkeit, dass der betroffenen Person bei der Beschaffung von Personendaten zwingend die Liste ihrer Rechte und gegebenenfalls die Absicht des Bearbeitenden, eine Kreditwürdigkeitsprüfung vorzunehmen, mitgeteilt werden müssen, um die der Ständerat die Informationspflicht ergänzt hatte. An der als Erstrat noch eingefügten Ausnahme von der Informationspflicht bei unverhältnismässigem Aufwand hielt der Nationalrat hingegen nicht mehr fest, weil sie wohl nicht mit den EU-Kriterien für ein angemessenes Datenschutzniveau vereinbar wäre. Hinsichtlich der Kreditwürdigkeitsprüfung beharrte die grosse Kammer jedoch darauf, dass dafür Daten der letzten zehn, anstatt wie vom Bundesrat und vom Ständerat vorgesehen nur der letzten fünf, Jahre beigezogen werden dürfen.
In zwei weiteren wichtigen Punkten räumte der Nationalrat die Differenzen aus, indem er dem Beschluss des Ständerates folgte. Er hiess einerseits das vom Ständerat eingeführte «Konzernprivileg» gut, das die Datenweitergabe innerhalb von Konzernen erleichtert, indem die Weitergabe zwischen Unternehmen, die von derselben juristischen Person kontrolliert werden, nicht als Weitergabe an Dritte betrachtet wird. Auch hier bestehe aber noch Nachbesserungsbedarf, stellte Kommissionssprecher Jauslin fest, da die Erleichterung bei sehr grossen Konzernen, deren Unternehmen zwar durch die gleiche juristische Person kontrolliert werden, aber verschiedene Geschäftstätigkeiten ausüben, eventuell zu weit gehe. SP-Vertreter Cédric Wermuth hatte anhand von Alphabet, dem Mutterkonzern von Google, auf dieses Problem aufmerksam gemacht, da zu Alphabet «inzwischen die halbe Internetinfrastruktur» gehöre. Der Kommissionssprecher drückte indes seine Hoffnung aus, dass der Bundesrat in der Verordnung eine Lösung für solche Fälle finde. Andererseits beliess der Nationalrat die Strafbestimmung, die bei Verletzung der Sorgfaltspflichten für die Datensicherheit eine Busse von bis zu CHF 250'000 androht, im Gesetz. In seiner ersten Beratung hatte er diese noch gestrichen, vom Ständerat war sie dann aber wieder eingefügt worden, da eine solche Strafbestimmung zu den Anforderungen für die Datenschutzäquivalenz der EU gehöre. Mit einer Handvoll verbliebener der anfänglich elf Differenzen überwies die Volkskammer den Entwurf wieder an die Ständekammer.

Die Beratung der Totalrevision des Datenschutzgesetzes, wofür sich die Staatspolitische Kommission des Nationalrates zwei Jahre Zeit gelassen hatte, schloss die SPK-SR nach nur zwei Monaten Ende November 2019 ab. Mit dem hohen Tempo wollte Kommissionspräsidentin Pascale Bruderer Wyss (sp, AG) es möglich machen, dass die Schlussabstimmungen zur Revision noch im Frühjahr 2020 – und damit noch bevor die EU Ende Mai über die Angemessenheit des schweizerischen Datenschutzes entscheiden wird – stattfinden können. Eine Analyse des Bundesamtes für Justiz zuhanden der Kommission hatte vier Punkte zutage gefördert, in denen das DSG nach den Beschlüssen des Erstrates noch nicht den europäischen Anforderungen entsprach und wo die SPK-SR ihrem Rat deshalb eine Abweichung vom Nationalrat beantragte. Erstens sei die Ausnahme der gewerkschaftlichen Ansichten von den besonders schützenswerten Personendaten gemäss den Kriterien für die Äquivalenzprüfung unzulässig. Ebenso problematisch sei zweitens der Verzicht auf eine ausdrückliche Einwilligung beim Profiling. Drittens dürfe nicht, wie vom Nationalrat vorgesehen, auf die Informationspflicht verzichtet werden, weil die Information einen unverhältnismässigen Aufwand erfordere, und viertens forderten die EU-Regeln wirksame und abschreckende Sanktionen für den Fall der Sorgfaltspflichtverletzung; der Beschluss des Nationalrates, solche Verstösse nicht zu ahnden, sei daher «mehr als nur problematisch», wie Kommissionssprecher Daniel Fässler (cvp, AI) in der Wintersession 2019 dem Ständeratsplenum erläuterte.
Im Gegensatz zum Nationalrat war Eintreten im Ständerat unbestritten und die Debatte wenig kontrovers – was wahrscheinlich nicht zuletzt dem Umstand geschuldet war, dass die Urheber der meisten Minderheitsanträge dem Rat mittlerweile nicht mehr angehörten. Insgesamt brachte die kleine Kammer die Vorlage wieder näher an den Entwurf des Bundesrats und damit zum von Berichterstatter Fässler genannten Ziel, die Vereinbarkeit des schweizerischen Datenschutzrechts mit der Datenschutzgesetzgebung der EU sowie mit der inzwischen vom Bundesrat unterzeichneten Europarats-Konvention SEV 108+ sicherzustellen. Bei drei der vier vom BJ als problematisch identifizierten Punkte schwenkte der Ständerat stillschweigend auf die Linie des Bundesrats zurück. So fügte er die gewerkschaftlichen Daten wieder in den Katalog der besonders schützenswerten Personendaten ein, strich die Ausnahme von der Informationspflicht bei unverhältnismässigem Aufwand wieder aus dem Gesetz und nahm die Strafandrohung von einer Busse bis zu CHF 250'000 bei vorsätzlicher Verletzung der Datensicherheit wieder auf. Ausführlicher debattierte die kleine Kammer die Frage, ob für das Profiling (d.h. die automatisierte Bearbeitung von Personendaten, um aufgrund bestimmter Merkmale einer Person deren Verhalten analysieren oder voraussagen zu können) in jedem Fall – wie es der Bundesrat vorgesehen hatte – oder nur bei Profiling mit hohem Risiko eine ausdrückliche Einwilligung erforderlich sein soll. Dem Beschluss des Nationalrats zu folgen und gar keine ausdrückliche Einwilligung für Profiling zu verlangen, war für die Kantonskammer indes keine Option. Mit 19 zu 14 Stimmen bei einer Enthaltung hiess sie den risikobasierten Ansatz, den die Kommissionsmehrheit als Mittelweg zwischen Bundesrat und Nationalrat präsentiert hatte, gut. Damit soll Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person nur mit deren ausdrücklicher Einwilligung erlaubt sein, wobei sich das hohe Risiko beispielsweise an der Verknüpfung von Daten verschiedener Herkunft oder an der Möglichkeit, Rückschlüsse auf verschiedene Lebensbereiche der betroffenen Person zu ziehen, bemisst. Eine weitere, im Hinblick auf die Erfüllung der EU-Anforderungen wichtige Differenz schuf die Kantonskammer beim Auskunftsrecht, das sich nun nicht mehr wie vom Nationalrat beschlossen auf eine abschliessende Liste von Informationen beschränken soll. In der Gesamtabstimmung nahm die Ständekammer die Vorlage mit 29 zu 4 Stimmen an, wobei alle Gegenstimmen aus den Reihen der SVP-Fraktion stammten.

Zusammen mit der Revision des Datenschutzgesetzes hatte der Bundesrat im Dezember 2016 auch einen Entwurf zur Genehmigung des Änderungsprotokolls zum Übereinkommen SEV 108 des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten in die Vernehmlassung gegeben. Gemäss der im Dezember 2019 verabschiedeten Botschaft stelle die Ratifizierung dieses Änderungsprotokolls durch die Schweiz «ein zentrales Kriterium» für den Angemessenheitsbeschluss der EU dar, weshalb der Bundesrat das Abkommen zeitnah ratifizieren möchte. Das revidierte Datenschutzgesetz wird voraussichtlich, so wie es vom Bundesrat vorgesehen wurde, den Anforderungen des Protokolls Rechnung tragen, womit zur Umsetzung des Abkommens keine weiteren Anpassungen des schweizerischen Rechts nötig sind. Der Bundesrat hatte das Protokoll des Europarates Ende Oktober 2019 unterzeichnet und unterbreitete dem Parlament nun die Botschaft zu dessen Genehmigung.

In der im Februar 2019 zu Ende gegangenen Vernehmlassung kam die Einführung einer generellen Erlaubnisnorm zur systematischen Verwendung der AHV-Nummer durch Behörden grundsätzlich gut an. Begrüsst wurde die Vereinfachung des Verfahrens zur systematischen Verwendung der AHV-Nummer einerseits in Bezug auf die Effizienz der Verwaltungsabläufe sowie andererseits im Hinblick auf die Weiterentwicklung der E-Government-Strategie. Einwände äusserten jedoch viele Teilnehmende zum Datenschutz. Während die SP, die Grünen, die Piratenpartei, Arbeitnehmer- und Arbeitgeberverbände, Privatim, das Centre Patronal und der Hauseigentümerverband Defizite beim Persönlichkeitsschutz befürchteten, waren neun Kantonen und der Konferenz der kantonalen Ausgleichskassen die diesbezüglichen Vorgaben im Gesetz zu detailliert, sodass ihrer Meinung nach die zusätzlichen administrativen Aufgaben die Vereinfachung zunichtemachen könnten. Mehrere Teilnehmende forderten den Bundesrat in diesem Zusammenhang auf, die Erkenntnisse aus dem Postulat 17.3968 für ein Sicherheitskonzept für Personenidentifikatoren in das Gesetzgebungsvorhaben einfliessen zu lassen. Auf Ablehnung bei der grossen Mehrheit der Teilnehmenden stiess hingegen die vorgesehene Verschärfung der Strafbestimmungen; diese sei unverhältnismässig und schaffe Rechtsunsicherheit für die Behörden, kritisierten insbesondere die Kantone.
So war dies denn auch der einzige Punkt, wo der Bundesrat seinen Entwurf nach der Vernehmlassung inhaltlich noch anpasste, indem er auf die Verschärfung der Strafbestimmungen verzichtete. Ende Oktober 2019 verabschiedete er die Botschaft zuhanden des Parlaments.

In der Herbstsession 2019 ging das Bundesgesetz über elektronische Identifizierungsdienste (E-ID-Gesetz) in die Differenzbereinigung. In der ersten Runde konnte sich die bürgerliche Mehrheit im Nationalrat bei allen Streitpunkten durchsetzen, womit die Volkskammer an ihren ursprünglichen Positionen festhielt und keine grosse Kompromissbereitschaft an den Tag legte. Obwohl sich die Frage um das Vertrauen der Bürgerinnen und Bürger in die E-ID wie ein roter Faden durch die Debatte zog, schienen die diesbezüglichen Überlegungen die Entscheidungen des Rats nur wenig zu beeinflussen. So lehnte der Nationalrat sowohl den von einer Minderheit Arslan (basta, BS) geforderten Zwang als auch die vom Ständerat eingeführte, vorbedingungslose Möglichkeit für den Staat zur Herausgabe einer E-ID ab und hielt an der rein subsidiären staatlichen Herausgabe fest, obwohl sich Bundesrätin Karin Keller-Sutter für den ständerätlichen Kompromiss ausgesprochen hatte. Der Staat sollte sich auch nicht wie vom Ständerat vorgesehen an privaten E-ID-Anbietern (Identity Providern) beteiligen können. Des Weiteren hielt die grosse Kammer an der Nennung der Sorgfaltspflichten im E-ID-Gesetz fest und strich lediglich die Delegationsnorm, welche die Konkretisierung der Sorgfaltspflichten durch den Bundesrat vorgesehen hätte. Eine Minderheit Flach (glp, AG) blieb mit dem Vorschlag eines Mittelwegs erfolglos, der das explizite Verbot der Weitergabe der E-ID streichen, die abstrakte Beschreibung der Sorgfaltspflichten aber beibehalten wollte. Ebenfalls erfolglos blieb die durch Beat Flach eingebrachte Forderung des Konsumentenschutzes, dass Dienstleistungen, für die eine E-ID der Sicherheitsstufe «niedrig» ausreicht, auch ohne E-ID genutzt werden können müssen. Da die Angst, im Internet eine Datenspur zu hinterlassen, nachvollziehbar sei, hatte sich Bundesrätin Keller-Sutter auch hierfür vergebens stark gemacht. Die vom Ständerat neu eingeführte E-ID-Kommission (Eidcom) als unabhängige Stelle zur Anerkennung und Kontrolle der Identity Provider blieb im Nationalrat vorerst ebenso chancenlos wie die von der Schwesterkammer verschärften Datenschutzbestimmungen.
Im Ständerat erklärte es Kommissionssprecher Beat Vonlanthen (cvp, FR) zum Ziel dieses Gesetzgebungsprozesses, dass das Gesetz bzw. die E-ID «vertrauenswürdig sein und in einer allfälligen Volksabstimmung bestehen können» müssten. In diesem Lichte hielt die Kantonskammer an ihren Positionen zur Möglichkeit für eine staatliche Herausgabe der E-ID und für eine staatliche Beteiligung an Identity Providern sowie zur Einführung der Eidcom, die sie allesamt als zentral für die Vertrauensbildung in der Bevölkerung erachtete, stillschweigend fest. Einen Schritt auf ihre Schwesterkammer zu machte sie bei den Sorgfaltspflichten, wo sie sich für den zuvor im Nationalrat diskutierten, aber dort noch abgelehnten Mittelweg Flach entschied. Mit der im Nationalrat abgelehnten, zwingenden Alternative zur E-ID bei Dienstleistungen, die nur Sicherheitsstufe «niedrig» verlangen, fand das Anliegen des Konsumentenschutzes im Ständerat Gehör und wurde ins Gesetz aufgenommen. Zugeständnisse an den Nationalrat machte die kleine Kammer auch beim Datenschutz, indem sie einen Kompromiss einführte, wonach die Zweckbindung der Datenverarbeitung erhalten bleiben, eine Bearbeitung durch Dritte im Rahmen des Datenschutzgesetzes aber erlaubt sein soll, um die konzerninterne Arbeitsteilung und das Outsourcing der Datenbearbeitung nicht zu verunmöglichen.
Während sich der Nationalrat bei den Sorgfaltspflichten schliesslich auf den Mittelweg Flach einliess und diese Differenz damit ausräumte, brachte die RK-NR einen neuen Vorschlag betreffend die Rolle des Staates vor. Demnach soll der Staat nur dann selber ein E-ID-System betreiben dürfen, wenn die Zwecke der E-ID gemäss Art. 1 BGEID nicht erfüllt werden. Der Bundesrat unterstützte diese Subsidiaritätsregel nun, da sie die Voraussetzungen für das Tätigwerden des Staates klar formuliere und der Bund auch ohne diese Einschränkung ohnehin nur mit gebührender Zurückhaltung agiert hätte. Entgegen einer Minderheit Min Li Marti (sp, ZH), die von der SP-, der Grünen- sowie einzelnen Mitgliedern der FDP-Fraktion getragen wurde und an der ständerätlichen Version festhalten wollte, entschied sich die grosse Kammer für diesen neuen Kompromiss. Bezüglich der Eidcom hatte sich die Mehrheit der RK-NR seit der letzten Beratung umstimmen lassen; sie setzte sich nun gemeinsam mit dem Bundesrat für deren Einführung als unabhängige Aufsicht ein, da der Staat, würde er subsidiär tätig, sich im Falle der Aufsicht durch das Informatiksteuerungsorgan des Bundes letztlich selber beaufsichtigen würde. Die Mehrheit des Nationalratsplenums liess sich davon überzeugen und schloss sich mit 113 zu 69 Stimmen dem Ständerat an, während die SVP- und die BDP-Fraktionen sowie einige FDP-Vertreterinnen und -vertreter dagegen votierten. Dem ständerätlichen Kompromiss beim Datenschutz stimmte die grosse Kammer stillschweigend ebenfalls zu.
In der einen verbleibenden Differenz zum subsidiären E-ID-System des Bundes schloss sich der Ständerat schliesslich stillschweigend dem neuen nationalrätlichen Vorschlag an. Die so bereinigte Vorlage passierte die Schlussabstimmung im Nationalrat mit 144 zu 51 Stimmen bei 2 Enthaltungen und jene im Ständerat mit 35 zu 2 Stimmen bei 8 Enthaltungen. Wie bereits seit längerem angekündigt, zeigten sich die SP und die Grünen nicht zufrieden mit dem Gesetz, weil sie sich die Herausgabe der E-ID durch den Staat gewünscht hätten. Das letzte Wort in dieser Angelegenheit dürfte wohl das Volk haben, mutmasste die Presse.

Der Totalrevision des Datenschutzgesetzes und der Änderung weiterer Erlasse zum Datenschutz nahm sich in der Herbstsession 2019 der Nationalrat als Erstrat an. Das ein Jahr zuvor verabschiedete und am 1. März 2019 in Kraft getretene Schengen-Datenschutzgesetz, das aus Gründen der zeitlichen Dringlichkeit zunächst nur die Schengen-relevanten Anpassungen umsetzte, wird mit der Annahme des totalrevidierten Gesetzes wieder ausser Kraft treten. Mit der Totalrevision sollen über die Schengen-Anforderungen hinausgehend einerseits die Schwächen des heutigen Datenschutzrechts, das noch aus einer Zeit vor dem Internet stammt, behoben und andererseits die Entwicklungen auf EU- und Europarats-Ebene aufgenommen werden. Besonders bedeutsam für die Schweiz ist hierbei, von der EU weiterhin als Drittstaat mit angemessenem Datenschutzniveau anerkannt zu werden. Ansonsten, so wurde befürchtet, wäre die Schweizer Wirtschaft mit erheblichen Wettbewerbsnachteilen konfrontiert, da Schweizer Unternehmen nicht mehr so einfach Daten mit Firmen in der EU austauschen könnten. Bis im Mai 2020 wird die EU die Äquivalenz des Schweizer Datenschutzes beurteilen, was eine gewisse Dringlichkeit für die Revision gebietet.
Wie schwierig dieses Unterfangen werden würde, hatte sich schon in der vorberatenden SPK-NR abgezeichnet: Nur mit Stichentscheid des Präsidenten Kurt Fluri (fdp, SO) hatte sich die Kommission im August 2019 durchgerungen, die Vorlage nach mehr als einem Jahr Arbeit überhaupt vors Ratsplenum zu bringen. Die wichtigsten Anpassungen der Kommission am bundesrätlichen Entwurf waren die neu einzuführende Direktwahl des EDÖB durch die Bundesversammlung, die Einführung eines Rechts auf Datenportabilität, die Anpassung der Definition der besonders schützenswerten Personendaten sowie der Verzicht auf eine besondere Regelung für den Umgang mit Daten verstorbener Personen und auf eine ausdrücklich erforderliche Einwilligung zum Profiling. Im Rahmen ihrer Beratungen hatte die SPK-NR zudem sechs Motionen zur Vervollständigung der Datenschutzbestimmungen in weiteren Gesetzen eingereicht.
Kurz vor der Debatte im Nationalrat hatte das Bundesamt für Justiz überdies eine Liste dazu veröffentlicht, welche problematischen Differenzen es zwischen dem Kommissionsvorschlag und den Anforderungen der EU sehe. Auch EDÖB Adrian Lobsiger hatte in der Presse bezweifelt, dass das von der Kommissionsmehrheit vorgeschlagene Gesetz mit dem verlangten Niveau der EU-Datenschutzgrundverordnung (DSGVO) mithalten könne; beim Entwurf des Bundesrates hätte er indes keine Probleme gesehen.
Während der strittige Vorschlag der Kommissionsmehrheit für die SVP bereits zu weit ging, bemängelten SP, Grüne und GLP, er sei zu lasch. Wirtschaftsverbände drängten unterdessen auf eine möglichst rasche, EU-konforme Lösung. So wurde im Vorfeld der nationalrätlichen Debatte von den Mitte- und Linksparteien noch fieberhaft nach Kompromissen gesucht, um den drohenden Absturz der Revision zu verhindern.

In der Eintretensdebatte in der grossen Kammer wurde von allen Seiten – ausser von der SVP-Fraktion – betont, wie wichtig und notwendig das vorliegende Revisionsprojekt sei, sowohl um den Datenschutz dem Internetzeitalter anzupassen als auch um den Datenschutz auf ein der EU gleichwertiges Niveau zu bringen, auch wenn man in den Details der Ausgestaltung verschiedene Ansichten vertrat. Die SVP betrieb hingegen Fundamentalopposition gegen «diesen bürokratischen Unsinn», wie Fraktionsvertreter Gregor Rutz (svp, ZH) das neue Gesetz nannte, denn es sei insgesamt, vor allem für KMU, schlechter als das geltende Datenschutzgesetz – ein Argument, das wenig später durch das Votum von FDP-Vertreter Kurt Fluri (fdp, SO) entkräftet werden sollte, der berichtete, dass der Gewerbeverband die Stossrichtung der Kommissionsmehrheit begrüsse und die Rückweisung nicht unterstütze. Mit der DSGVO verkaufe die EU laut Rutz ihre Bürger für dumm, da sie «kein Mensch» verstehe. «Wir haben langsam genug davon, jeden Unsinn aus der EU ungesehen zu übernehmen!», ärgerte sich der SVP-Vertreter und rief das Ratsplenum auf, die Vorlage an den Bundesrat zurückzuweisen mit dem Auftrag, sie zu entschlacken und EU-Vorschriften nur dort zu übernehmen, wo es unumgänglich sei. Auch eine linke Minderheit hatte ursprünglich die Rückweisung, allerdings an die Kommission, beantragt und diese beauftragen wollen, die Vereinbarkeit der Vorlage mit dem Übereinkommen SEV 108 des Europarats, die Äquivalenz mit dem EU-Datenschutzrecht, die Kompatibilität mit den Schengen-Verträgen und die Nicht-Unterschreitung des heute geltenden Schutzniveaus sicherzustellen. Um die doch eher dringliche Revision nicht unnötig zu verlangsamen und um sich einer «produktiven Diskussion» nicht zu verschliessen, zog Cédric Wermuth (sp, AG) diesen Antrag jedoch «im Sinne eines Vorschussvertrauensbeweises» zurück und hoffte, das Gesetz während der Beratung noch auf eine den genannten Forderungen nähere Linie bringen zu können. Der Rückweisungsantrag der SVP-Minderheit wurde mit 120 zu 66 Stimmen (1 Enthaltung) deutlich verworfen; ausserhalb der geschlossenen SVP-Fraktion sah niemand eine Rückweisung als den richtigen Weg an.

Im Laufe der Detailberatung musste der Nationalrat über 45 Minderheits- und mehrere Einzelanträge befinden, die zu einem beträchtlichen Teil die Unterstützung des Bundesrates genossen – hauptsächlich immer dort, wo die Kommissionsmehrheit mit ihrem Vorschlag einen schwächeren Datenschutz wollte als der Bundesrat und somit das heute geltende Schutzniveau oder die Anforderungen der EU und/oder des Europarats unterschreiten wollte. So war die Kommissionsmehrheit bestrebt, sowohl die Daten über gewerkschaftliche Ansichten und Tätigkeiten als auch die Daten über Massnahmen der sozialen Hilfe aus dem Katalog der besonders schützenswerten Daten, für deren Bearbeitung besondere Anforderungen gelten, zu streichen. Während eine bürgerliche Ratsmehrheit die Streichung der Daten über gewerkschaftliche Ansichten und Tätigkeiten guthiess, schwenkte der Nationalrat bei den Daten über Massnahmen der sozialen Hilfe – neben Sozialhilfedaten sind davon auch solche über Sozialversicherungsmassnahmen bei Krankheit oder Unfall, Massnahmen der Vormundschaftsbehörden oder KESB, die fürsorgerische Unterbringung in psychiatrischen Kliniken, Ergänzungsleistungen und Prämienverbilligungen erfasst – auf die Linie des Bundesrates zurück und beliess sie im Katalog. Grünen-Vertreter Balthasar Glättli (gp, ZH) hatte zuvor mit Nachdruck klargemacht, dass deren Streichung für die Grünen und die SP ein Grund wäre, dem Gesetz die Zustimmung zu verweigern. Eine ähnliche Drohung sprach SVP-Fraktionssprecher Gregor Rutz aus, als die Einschränkung des Geltungsbereichs des DSG auf natürliche Personen zur Debatte stand: Einem Gesetz, das – anders als bisher – keinen Datenschutz für juristische Personen mehr vorsehe, werde man «nie im Leben» zustimmen können. Alle anderen Fraktionen befanden den Schutz für juristische Personen durch andere gesetzliche Bestimmungen jedoch als ausreichend und so glich der Nationalrat das DSG mit der Streichung des Schutzes juristischer Personen an die europäischen Regeln an. Bei der Frage der Anforderungen für das sogenannte Profiling zeichnete sich während der Diskussion ab, dass man an diesem Tag keine zufriedenstellende Lösung finden würde. Für jegliche Formen des Profilings, das die Aargauer Zeitung treffend als die «automatisierte Auswertung von Daten, mit denen bestimmte Merkmale einer Person bewertet werden, um etwa Vorhersagen über ihr künftiges Verhalten zu treffen» definierte, hatte der Bundesrat eine ausdrückliche Einwilligung der betroffenen Person voraussetzen wollen, wie sie auch zur Bearbeitung besonders schützenswerter Personendaten vorgesehen war. Da das geltende Recht so eine Regelung für das Erstellen von Persönlichkeitsprofilen umfasst, würde eine komplette Streichung der ausdrücklichen Einwilligung zum Profiling, wie es die Kommissionsmehrheit vorgeschlagen hatte, ein Rückschritt vom aktuellen Schutzniveau darstellen. In der Diskussion wurde mehrheitlich anerkannt, dass verschiedene Formen des Profilings unterschieden werden müssten, da es, wie es Balthasar Glättli erklärte, durchaus einen Unterschied mache, ob Profiling zur Erstellung von passenden Bücherempfehlungen, zur Abschätzung des Risikos für eine Versicherung oder zur Vorhersage der politischen Entscheidungen einer Person gebraucht werde. Der Bundesrat unterstützte folglich einen Einzelantrag Glättli, der eine ausdrückliche Einwilligung nur für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person vorsah. Die Fraktionen der Grünen, SP und GLP unterstützten diesen Antrag ebenfalls, unterlagen jedoch der bürgerlichen Ratsmehrheit, die beim Vorschlag der Kommissionsmehrheit ohne besondere Anforderungen für das Profiling blieb. Der Nachhall der Diskussion war jedoch klar, dass sich der Ständerat noch einmal intensiv mit dieser Frage auseinandersetzen müsse.
Betreffend die Informationspflicht bei der Beschaffung von Personendaten, die Regeln für die Bekanntgabe von Personendaten ins Ausland, die Rechenschaftspflicht für datenbearbeitende Unternehmen über die Einhaltung des Datenschutzrechts sowie das Auskunftsrecht einer Person zu den über sie gesammelten oder bearbeiteten Daten lehnte die Volkskammer einige von der Kommissionsmehrheit vorgeschlagene Lockerungen ab und umschiffte somit ein paar der vielen Klippen im Hinblick auf den Angemessenheitsbeschluss der EU. Die vom Bundesrat eingefügten Regelungen über Daten von verstorbenen Personen erachtete der Rat jedoch als nicht notwendig und strich mit bürgerlicher Mehrheit alle entsprechenden Bestimmungen aus dem Gesetz. Ganz neu und weitgehend unbestritten verankerte der Nationalrat auf Vorschlag seiner Kommissionsmehrheit ein Recht auf Datenportabilität, das heisst auf Datenherausgabe und -übertragung, im Gesetz. Wie Bundesrätin Karin Keller-Sutter erklärte, habe der Bundesrat mit dieser Neuerung eigentlich noch zuwarten wollen, bis erste Erkenntnisse aus der konkreten Umsetzung dieses Rechts in der EU vorlägen; nichtsdestotrotz unterstützte er den Vorschlag der Kommissionsmehrheit, einen Anspruch jeder Person auf «die Herausgabe ihrer Personendaten in einem gängigen elektronischen Format oder sogar deren Übertragung auf einen anderen Verantwortlichen zu verlangen», wie Keller-Sutter das neue Recht erläuterte.
Zurückgehend auf eine entsprechende parlamentarische Initiative Leutenegger Oberholzer (sp, BL; Pa.Iv. 16.409) änderte die grosse Kammer das Wahlverfahren des EDÖB dahingehend, dass er neu von der Bundesversammlung gewählt und nicht mehr durch den Bundesrat ernannt und vom Parlament nur bestätigt werden sollte. Gleichzeitig wurden die Aufsichts- und Untersuchungskompetenzen des EDÖB bei Datenschutzverstössen gestärkt. Diese Änderung sei von wesentlicher Bedeutung im Hinblick auf den Angemessenheitsbeschluss der EU, wie Bundesrätin Keller-Sutter betonte, denn nach bisher geltendem Recht besitze der EDÖB nicht nur weniger Kompetenzen als die Datenschutzbehörden in Europa, sondern auch als andere Aufsichtsbehörden des Bundes, zum Beispiel die Finma oder die Weko. Bei den Strafbestimmungen legte der Nationalrat eine maximale Busse von CHF 250'000 für Datenschutzverstösse fest. Ein neuer Straftatbestand für die Nichteinhaltung der Mindestanforderungen an die Datensicherheit im Sinne einer Sorgfaltspflichtverletzung wurde von der bürgerlichen Ratsmehrheit jedoch nicht goutiert, was laut Bundesrätin Keller-Sutter für die EU-Angemessenheit problematisch sein könnte. Der letzte grosse Zankapfel der Vorlage verbarg sich in den Schlussbestimmungen, namentlich in der Frage zum Inkrafttreten des Gesetzes. Während die Kommissionsmehrheit das Inkrafttreten um zwei Jahre nach Annahme des Gesetzes beziehungsweise nach Verstreichen der Referendumsfrist verzögern wollte, beantragte eine Minderheit Humbel (cvp, AG), wie üblich den Bundesrat das Inkrafttreten bestimmen zu lassen. Eine solche Verzögerung sei bereits wegen der Schengen-relevanten Bestimmungen des Gesetzes ein Problem und daher nicht im Interesse der Wirtschaft, was das Argument der Kommissionsmehrheit gewesen war. Auf Empfehlung des Bundesrates und entgegen der geschlossenen SVP-Fraktion erteilte die grosse Kammer der zweijährigen Inkrafttretensfrist eine Absage.

In der Gesamtabstimmung nahm der Nationalrat das totalrevidierte Datenschutzgesetz mit 98 zu 68 Stimmen bei 27 Enthaltungen an. In den ablehnenden Stimmen spiegelte sich vor allem die Opposition der SVP gegen das Gesetz. Demgegenüber hatte sich die SP-Fraktion mehrheitlich enthalten und damit signalisiert, dass sie noch weitere Nachbesserungen erwartete. Wirklich zufrieden mit dem Gesetz in vorliegender Form war wohl niemand; in dieser Hinsicht sprach das Fazit von Kommissionssprecher Matthias Jauslin (fdp, AG) Bände: «Wir haben jetzt eine Vorlage, die aus Sicht der Kommission durchaus bearbeitbar ist.»

Im August 2019 gab der Bundesrat eine Vorlage zum Aufbau eines nationalen Adressdienstes in die Vernehmlassung. Gemäss dem vorgeschlagenen Adressdienstgesetz (ADG) soll das BFS einen nationalen Adressdienst bereitstellen, damit Gemeinden, Kantone, die Bundesverwaltung und zugriffsberechtigte Dritte – beispielsweise Krankenkassen – auf die aktuellen und ehemaligen Wohnadressen der Schweizer Einwohnerinnen und Einwohner zugreifen können. Bereits 2014 war die Regierung in einem Postulatsbericht zum Schluss gekommen, dass eine solche zentrale Adressdatenbank für die öffentliche Hand grossen Nutzen brächte. Zur Erfüllung vieler Verwaltungsaufgaben sei es nötig, Kenntnis vom Wohnsitz einer Person zu haben – sei es, um die Person schriftlich zu kontaktieren oder überhaupt festzustellen, welche regionale Behörde für ein bestimmtes Verfahren zuständig ist. Heute seien die Behörden, die keinen Zugriff auf die Einwohnerregister haben, unter Umständen dazu gezwungen, aufwändige Recherchen bei anderen Gemeinden und Kantonen anzustellen, um an die Wohnadresse einer Person zu gelangen. Gegebenenfalls müssten sie sogar das Rechercheangebot privater Dienstleister – etwa der Post oder local.ch – in Anspruch nehmen, führte der Bundesrat im erläuternden Bericht aus. Könne eine Person «mit vernünftigem Aufwand nicht mehr aufgefunden werden», drohten bei Zahlungsausständen dadurch Abschreibungen, die eigentlich vermeidbar wären. Vom nationalen Adressdienst erhoffte sich der Bundesrat die Vereinfachung administrativer Prozesse und die effizientere Erledigung öffentlicher Aufgaben. Das Gesetz soll insbesondere die Nutzungsbedingungen der Datenbank regeln, deren Abfrage über die AHV-Nummer vorgesehen ist. Jede registrierte Person soll zudem die Möglichkeit haben nachzuvollziehen, wer wann ihre Adressdaten abgefragt hat. Sara Stalder von der Stiftung für Konsumentenschutz äusserte gegenüber der Presse Bedenken bezüglich Datenschutz und Datensicherheit bei der zentralen Datenbank. Gleichzeitig sah sie im Vorhaben allerdings auch eine Chance, die Datenherausgabe und den Verwendungszweck genau zu regeln, was von den Gemeinden bisher sehr unterschiedlich gehandhabt werde. Seitens des EDÖB wurde der Vorlage die Konformität mit dem Datenschutz bestätigt.

Dass die Schweiz eine E-ID schaffen soll, war im Ständerat genauso unbestritten wie im Nationalrat. Die Frage aber, ob die E-ID ein rein staatliches Produkt sein soll oder ob der Staat dafür mit privatwirtschaftlichen Anbietern zusammenarbeiten darf, war in der ständerätlichen Debatte zum E-ID-Gesetz in der Sommersession 2019 mindestens genauso umstritten. Ähnlich wie der Nationalrat befasste sich also auch der Ständerat zuerst mit einem Rückweisungsantrag, demzufolge der Bundesrat die Vorlage dahingehend anpassen müsste, dass die Ausstellung einer E-ID als öffentliche Aufgabe definiert und eine Verwaltungsstelle mit deren Ausstellung beauftragt wird. Für Antragstellerin Anita Fetz (sp, BS) war klar, dass die E-ID «genauso wie der rote Pass» allein vom Staat herausgegeben werden dürfe. Da mit der E-ID zentrale Staatsaufgaben wie Steuern, elektronische Patientendossiers oder vielleicht einmal E-Voting verknüpft sein werden, fielen bei deren Verwendung sensible Daten an, die «nicht in private Hände, auch nicht in datengeschützte private Hände» gelegt werden sollten. Umfragen hätten gezeigt, dass die Bevölkerung dem Staat diesbezüglich das grössere Vertrauen entgegenbringe als der Privatwirtschaft. Das vom Bundesrat vorgebrachte Argument, der Staat könne dem technologischen Wandel nicht genügend folgen, sei im 21. Jahrhundert gar fragwürdig, denn wenn das tatsächlich so wäre, «dann würde er [der Staat] sich abschaffen». Wäre der Staat tatsächlich technologisch inkompetent, fragte Fetz rhetorisch, wie sollte er dann Cybersicherheit schaffen oder ein sicheres E-Voting-System anbieten können? Überdies befürchtete sie, dass man bestimmte Dienstleistungen aus dem Kreise der E-ID-anbietenden Firmen nur noch mit einer E-ID nutzen werden könne, weil diese ein zu starkes Interesse daran hätten, die E-ID zu promoten. Diese Fehler solle man besser jetzt mittels Rückweisung korrigieren, als das Scheitern in einer Referendumsabstimmung in Kauf zu nehmen, begründete Fetz ihr Begehren. Die anschliessende Diskussion um die Machtverteilung zwischen Staat und Markt bei der E-ID verlief überhaupt nicht entlang der klassischen, parteipolitischen Links-Rechts-Konfliktlinie. Während sich die SP-Fraktion selbst gespalten zeigte und Claude Janiak (sp, BL), der noch in der Kommission mit seinem Rückweisungsantrag gescheitert war, im Rat auf die Unterstützung des Antrags Fetz verzichtete, pflichtete SVP-Vertreter Hannes Germann (svp, SH) seinem SP-Ratskollegen Paul Rechsteiner (sp, SG) in dessen Votum für eine staatliche Lösung bei. «Es kommt ja nicht alle Tage vor [...], dass wir gleicher Meinung sind», kommentierte Germann dies.
Auf der anderen Seite plädierten Kommissionssprecher Beat Vonlanthen (cvp, FR), FDP-Ständerat Ruedi Noser (fdp, ZH) sowie Bundesrätin Karin Keller-Sutter für Eintreten. Es handle sich bei der E-ID eben – anders als in den Medien oft kommuniziert – nicht um einen Ausweis, sondern um ein «qualifiziertes Login», das besonders vertrauenswürdig sein soll, aber keinen digitalen Pass darstelle, so Keller-Sutter. Als weiteres Argument gegen die Rückweisung wurde angeführt, schnelles Handeln sei erforderlich, da die Schweiz im Bereich digitale Identität den Anschluss zu verlieren drohe und internationale Lösungen, beispielsweise von Google, Facebook oder Apple, diese Funktion übernehmen könnten, wenn die Schweiz nicht zeitnah eine E-ID anbiete. Beispiele aus anderen Ländern zeigten zudem, dass rein staatliche Lösungen wie in Deutschland oder Grossbritannien mit einer Marktdurchdringung von drei Prozent nicht sehr erfolgreich seien. Demgegenüber erreichten skandinavische Länder, die mit einer privatwirtschaftlichen Lösung arbeiteten, Marktdurchdringungsraten von bis zu 90 Prozent, was zeige, dass dies auch für die Schweiz der richtige Weg sei. Die Hoheit über die Personenidentifizierungsdaten bleibe auch bei diesem Modell vollumfänglich beim Staat, nur müsse der Staat nicht alle Kosten für die technologische Umsetzung selber tragen. Mit 32 zu 7 Stimmen bei 3 Enthaltungen lehnte der Ständerat den Rückweisungsantrag schliesslich deutlich ab.
Als Eintreten einmal beschlossen war, verlief die weitere Detailberatung des Gesetzesentwurfs ausgesprochen unspektakulär. Die grösste Änderung, die der Ständerat einbrachte, war die Einführung einer unabhängigen, vom Bundesrat zu wählenden E-ID-Kommission (Eidcom), die anstelle des ursprünglich dafür vorgesehenen Informatiksteuerungsorgans des Bundes die Anerkennung und Kontrolle der Identity Provider übernehmen wird. Diese Neuerung, die schon von der Kommission geschlossen unterstützt worden war, wurde vom Ständerat stillschweigend gutgeheissen. Zudem strich die kleine Kammer den Artikel über die Sorgfaltspflichten aus dem Entwurf – ein Anliegen, das im Nationalrat noch gescheitert war – mit der Begründung, es sei so klarer, dass ohnehin die Sorgfaltspflichten des OR gelten. Um der Kritik am privatwirtschaftlichen Modell etwas entgegenzukommen, wurde dem Bund überdies die Möglichkeit gegeben, jederzeit ein eigenes E-ID-System anzubieten, und nicht nur ausdrücklich subsidiär zum Markt, sowie sich an privaten Anbietern zu beteiligen – um diese beispielsweise aufzukaufen, wenn ansonsten die Übernahme durch ein ausländisches Unternehmen bevorstünde. Mit 33 zu 4 Stimmen bei 2 Enthaltungen stimmte der Ständerat dem Entwurf zu und übergab ihn mit den geschaffenen Differenzen zurück an den Nationalrat. Am Konzept der staatlich-privatwirtschaftlichen Aufgabenteilung bei der E-ID wird das Parlament wohl nichts mehr ändern. Medienberichten zufolge befinde sich die «Allianz gegen die private E-ID» schon in den Startlöchern für das Referendum.

Wie schon in der Vernehmlassung stellte sich auch im Nationalrat die Frage der Aufgabenteilung zwischen Staat und Privatwirtschaft als der zentrale Knackpunkt des Bundesgesetzes über elektronische Identifizierungsdienste (E-ID-Gesetz) heraus. Während Eintreten in der Frühjahrssession 2018 unbestritten war, wurde lange und ausführlich über einen Rückweisungsantrag der links-grünen Kommissionsminderheit diskutiert, mit dem der Bundesrat beauftragt werden sollte, eine Vorlage auszuarbeiten, die die Ausstellung der E-ID als öffentliche Aufgabe definiert, die der Bund allenfalls mittels Leistungsauftrag an Private übertragen könnte. Die SP- und die Grüne Fraktion unterstützten die Rückweisung mit dem Argument, analoge Ausweise wie der Pass und die Identitätskarte würden auch vom Staat ausgegeben. Alle übrigen Fraktionen sprachen sich jedoch für die vom Bundesrat vorgeschlagene Lösung aus, wonach die Prüfung und Bestätigung der Identität einer Person dem Staat zufallen, die technologische Umsetzung der E-ID hingegen von der Privatwirtschaft übernommen werden soll. Sie betonten, privatwirtschaftliche Anbieter könnten besser auf die technologischen Entwicklungen und die Bedürfnisse der Anwenderinnen und Anwender reagieren, was die E-ID sicherer und nutzerfreundlicher mache; die Innovation werde durch den Wettbewerb gefördert. Mit 131 zu 53 Stimmen bei 2 Enthaltungen wurde das links-grüne Lager überstimmt und der Rückweisungsantrag abgelehnt.
Auch in der Detailberatung stand das links-grüne Lager mehr oder weniger isoliert; alle dessen Minderheitsanträge wurden mit grosser Mehrheit abgelehnt. Die Streichung der Sorgfaltspflichten für E-ID-Inhaberinnen und -Inhaber aus dem Gesetz, wie erstens von einer Minderheit Arslan (basta, BS) gefordert, ändere nichts an der Rechtslage, so die Ansicht der ablehnenden Ratsmehrheit, da die Verschuldenshaftung des OR ohnehin zum Tragen komme – d.h. haftbar ist grundsätzlich, wer in Verletzung von Sorgfaltspflichten einen Schaden verursacht. Um die E-ID nutzen zu können, müssen die Antragstellerinnen und Antragsteller zweitens einwilligen, dass ihre persönlichen Daten ans Fedpol übermittelt werden, damit dieses die Identität bestätigen kann. Ebenfalls eine Minderheit Arslan beantragte, diese Einwilligung durch eine Kenntnisnahme der Übermittlung zu ersetzen, da man sie nicht verweigern könne, sofern man die E-ID nutzen möchte, und unterlag damit der Mehrheit, die fand, die Formulierung mache hier letztendlich keinen Unterschied, wobei die Einwilligung einfacher verständlich sei. Drittens wollte eine Minderheit Marti (sp, ZH) dem Bund die Möglichkeit einräumen, ein eigenes E-ID-System zu betreiben bzw. sich an einem bestehenden System zu beteiligen, und zwar nicht nur wie im Entwurf vorgesehen, wenn der Markt kein Angebot mit den für behördliche Applikationen geforderten Sicherheitsniveaus «substanziell» und «hoch» bereitstellt. Damit sollte verhindert werden, dass bei Nichtfunktionieren der Marktlösung, z.B. infolge Vertrauensverlust nach Hackerangriffen oder Ausstieg der Anbieter aufgrund zu geringer Rentabilität, gar keine E-ID mehr angeboten wird. Der Ratsmehrheit zufolge sei jedoch ein Staatseingriff nur subsidiär zum Markt akzeptabel und eine Mehrheitsbeteiligung von Bundesunternehmen an E-ID-Anbietern nicht wünschenswert, weshalb es keine solche Bestimmung brauche; mit Minderheitsanteilen seien die SBB, die Post und die Swisscom auch ohne explizite gesetzliche Grundlage bereits am SwissSign-Konsortium beteiligt. Viertens solle die Beantragung einer E-ID nicht nur wie vom Bundesrat vorgesehen online direkt beim Anbieter, sondern auch analog auf der Gemeindekanzlei oder beim Passbüro eingeleitet werden können, um Nicht-Digital-Natives den Zugang zu erleichtern, so ein Minderheitsantrag Flach (glp, AG). Die ablehnende Mehrheit argumentierte jedoch, man wolle den Gemeinden und Kantonen keine Zusatzaufgaben aufbürden und ohnehin würden Personen, die nicht mit dem Internet vertraut sind, keine E-ID benutzen. Weitere Minderheiten forderten vergebens die sofortige Vernichtung der Daten durch die Identity Provider, statt wie vorgesehen die Löschung nach sechs Monaten, ein explizites Verbot der kommerziellen Nutzung dieser Daten (beide Arlsan), die Anbindung der Preise an die tatsächlich anfallenden Kosten (Marti) und ausdrückliche Garantien, dass staatliche Dienstleistungen auch weiterhin ohne E-ID zugänglich und eine E-ID auch ohne Kundenbeziehung zum Anbieter erhältlich sein müssen (beide Mazzone, gp, GE).
Als Einzige mit ihrem Minderheitsantrag erfolgreich war Andrea Gmür-Schönenberger (cvp, LU), die Bundesrätin Karin Keller-Sutter sowie eine knappe Ratsmehrheit von der Notwendigkeit überzeugen konnte, den barrierefreien Zugang zur E-ID im Gesetz zu verankern, sodass Menschen mit Behinderung bei der Beantragung einer E-ID nicht benachteiligt werden. Als zweite substanzielle Änderung am bundesrätlichen Entwurf ergänzte der Nationalrat das Gesetz auf Antrag seiner Kommission dahingehend, dass die Identity Provider allen Personen, die einen Antrag stellen und die Voraussetzungen erfüllen, eine E-ID ausstellen müssen. Der Bundesrat plädierte vergeblich für die Wirtschaftsfreiheit der privaten Anbieter. Mit 181 zu 1 Stimme war die grosse Kammer der Ansicht, dass niemand von der E-ID ausgeschlossen werden soll. Das viel und heftig diskutierte, am Ende gegenüber dem Entwurf des Bundesrates aber nur leicht angepasste Gesetz passierte die Gesamtabstimmung im Nationalrat schliesslich mit 128 zu 48 Stimmen bei 4 Enthaltungen; dagegen votierten die Fraktionen der Grünen und der SP – letztere mit einer Ausnahme – geschlossen.

Um Verwaltungsabläufe effizienter zu gestalten und damit letztlich eine einfachere und kostengünstigere Verwaltungsarbeit erreichen zu können, sollen Behörden systematisch die AHV-Nummer als Personenidentifikator verwenden dürfen. Der Bundesrat schickte eine entsprechende Änderung des AHVG Anfang November 2018 in die Vernehmlassung. Im Gegensatz zu den Behörden von Bund, Kantonen und Gemeinden sollen aber Institutionen ohne Behördencharakter, die mit der Erfüllung einer öffentlichen Aufgabe betraut sind, die AHV-Nummer weiterhin nur mit spezialgesetzlicher Ermächtigung verwenden dürfen. Es soll dem Gesetzgeber zudem möglich sein, für bestimmte Verwendungszwecke sektorielle Personenidentifikatoren vorzuschreiben.
Mit der AHV-Nummer reiche ein einziges Merkmal, um eine Person zu identifizieren, was nicht nur die Datenbearbeitung vereinfache, sondern auch Verwechslungen vorbeuge, so der Bundesrat in seiner Medienmitteilung. Für den Datenschutz und die Informationssicherheit sehe der Vorentwurf wirksame Massnahmen vor; zusätzlich zu den üblichen Sicherheitsmassnahmen bei Informatiksystemen des Bundes müsse einerseits der Zugang zu den Datenbanken optimal gesichert werden, andererseits werde das Unterlassen oder die unsorgfältige oder nicht fachgerechte Ausführung von Sicherheitsmassnahmen unter Strafe gestellt. Ausserdem würden die gesetzlichen Bestimmungen zur Verknüpfung verschiedener Datenbanken nicht geändert; die Verwaltung verknüpfe also nicht mehr Daten der Bürgerinnen und Bürger als bisher. Die breitere Verwendung der AHV-Nummer gehe nicht einmal mit einem erhöhten Anreiz zu häufigerem illegalem Verknüpfen verschiedener Datenbanken einher, da bereits mit den bisher erfassten Identitätsmerkmalen in 99.98 Prozent der Fälle eine erfolgreiche Verknüpfung erreicht werden könnte, wie das BSV in einem Hintergrunddokument zum Datenschutz erläuterte. Die Vernehmlassung läuft bis am 22. Februar 2019.

In der Herbstsession 2018 beschäftigte sich der Ständerat als Zweitrat mit der ersten Etappe der DSG-Revision, welche nur die Schengen-relevanten Bestimmungen des Gesetzgebungsprojektes umfasste. Die Schweiz hätte ihr Datenschutzrecht eigentlich bis zum 1. August 2018 an die EU-Richtlinie 2016/680 betreffend den Datenschutz in Strafsachen anpassen müssen, war damit im September also schon leicht im Verzug. Obwohl sich Kommissionssprecherin Pascale Bruderer Wyss (sp, AG) nicht sonderlich begeistert von der Etappierung der Vorlage zeigte – der Schengen-relevante Teil sei nicht der einzige, der zügig abgeschlossen werden sollte, denn die übrigen Bestimmungen seien zwar nicht für das Fortbestehen der Schengen-Assoziierung, aber sehr wohl für den Angemessenheitsbeschluss relevant und somit nicht weniger wichtig –, appellierte sie an den Rat, das Beste daraus zu machen und den eingeschlagenen Weg möglichst rasch weiterzugehen.
Nachdem die kleine Kammer ohne Gegenantrag auf die Vorlage eingetreten war, wurde auch hier, wie zuvor im Nationalrat, die Diskussion geführt, ob die gewerkschaftlichen Ansichten in der Definition der besonders schützenswerten Personendaten explizit aufgeführt werden müssten oder ob man diese streichen könne, da sie von den politischen und weltanschaulichen Ansichten erfasst würden. Wie der Nationalrat sprach sich auch der Ständerat mehrheitlich für die Streichung der gewerkschaftlichen Ansichten aus, obwohl, wie von Bundesrätin Sommaruga und Minderheitsvertreter Stöckli (sp, BE) angemerkt, dieser Antrag gar nie begründet worden sei. Materiell änderte sich damit nichts im Vergleich zum geltenden Recht, weshalb sowohl die Justizministerin als auch der Minderheitsvertreter letztlich vergebens die Notwendigkeit dieser Anpassung – notabene in einem ohnehin befristeten Gesetz – angezweifelt hatten. Als zweite Änderung und damit neue Differenz zum Nationalrat verbot der Ständerat dem EDÖB grundsätzlich die Ausübung jeglicher Nebentätigkeiten, unabhängig davon, ob diese vergütet werden oder nicht. Abweichend vom Grundsatz soll der Bundesrat eine solche jedoch gestatten können, wenn der EDÖB dadurch nicht in der Ausübung seiner Tätigkeit, seiner Unabhängigkeit und seinem Ansehen beeinträchtigt wird. Diese Absicht hatte bereits der Bundesrat in seinem Entwurf gezeigt, der Ständerat habe jetzt aber die «richtige Perspektive» und die «richtige Formulierung» gefunden, so Bundesrätin Sommaruga. Einstimmig verabschiedete die kleine Kammer das Schengen-Datenschutzgesetz mit dieser einen verbleibenden Differenz. Ebenfalls einstimmig genehmigte sie auch den Notenaustausch zwischen der Schweiz und der EU betreffend die Übernahme der EU-Richtlinie 2016/680 zum Datenschutz in Strafsachen.
Der Nationalrat räumte die Differenz daraufhin oppositionslos aus und nahm das Schengen-Datenschutzgesetz in der Schlussabstimmung mit 182 zu 11 Stimmen an. Der Genehmigung des Notenaustausches stimmte er mit 139 zu 45 Stimmen zu; dagegen opponierte ein Grossteil der SVP-Fraktion. Im Ständerat passierten beide Entwürfe die Schlussabstimmung einstimmig.

Darüber, dass das mittlerweile in die Jahre gekommene Schweizer Datenschutzrecht revidiert werden muss, bestand in der Sommersession 2018 im Nationalrat Einigkeit, jedoch nicht unbedingt darüber, wie diese Revision vonstattengehen soll. Die SPK-NR hatte die Vorlage des Bundesrates zweigeteilt, sodass in einem ersten Schritt alle Bestimmungen zur Umsetzung der Schengen-relevanten EU-Richtlinie 2016/680 «zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung» möglichst zeitnah verabschiedet werden können, bevor in der zweiten Etappe die Revision des Datenschutzgesetzes (DSG) unter Einbezug der EU-Datenschutz-Grundverordnung und der revidierten Datenschutzkonvention des Europarates ohne Zeitdruck angegangen werden kann. Nicht einverstanden mit diesem Plan wollte Cédric Wermuth (sp, AG) das Geschäft mittels Minderheitsantrag an die Kommission zurückweisen, damit diese die Teilung rückgängig mache und die Vorlage integral berate. Er hielt es für ineffizient, dass sich das Parlament innert kurzer Zeit zweimal mit dem Datenschutzrecht befassen müsste. Bevor darüber abgestimmt werden konnte, zog Wermuth seinen Antrag jedoch mit der Begründung zurück, zum jetzigen Zeitpunkt könne die Rückweisung nicht mehr zu einer Beschleunigung des Verfahrens führen; es sei nun vielmehr schneller, den eingeschlagenen Weg weiterzugehen und das Geschäft in der kommenden Herbstsession dem Ständerat zu unterbreiten. Somit trat die grosse Kammer ohne Gegenantrag auf die Vorlage ein und genehmigte deren Teilung. Damit wurden die für die Schengen-Zusammenarbeit im Strafrechtsbereich relevanten Bestimmungen in das neue Schengen-Datenschutzgesetz (SDSG) ausgelagert, das als Anhang des bestehenden DSG konzipiert ist. Das SDSG wird nach der Totalrevision des DSG hinfällig werden und war in seinem Inhalt im Nationalrat unbestritten. Im Zuge eines einzigen Minderheitsantrags befasste er sich mit der Frage, ob gewerkschaftliche Ansichten ausdrücklich in der Definition von besonders schützenswerten Daten natürlicher Personen erwähnt werden sollen oder ob diese automatisch unter den besonderen Schutz der politischen und weltanschaulichen Ansichten fallen, wie die Kommissionsmehrheit argumentierte. Bundesrätin Simonetta Sommaruga stellte fest, dass es keine materielle Differenz zwischen den beiden Vorschlägen gebe. Die Minderheit wollte im Einklang an die Formulierung im bestehenden DSG sowie in der EU-Richtlinie die gewerkschaftlichen Ansichten explizit beibehalten, doch der Nationalrat folgte in diesem Streitpunkt der Kommissionsmehrheit. In der Gesamtabstimmung nahm die grosse Kammer die Änderungen der ersten Etappe der Revision des Datenschutzgesetzes mit 174 zu 5 Stimmen bei 2 Enthaltungen an. Mit ebenso grosser Mehrheit (170 zu 5 Stimmen bei 2 Enthaltungen) stimmte sie der Genehmigung des Notenaustauschs zwischen der Schweiz und der EU betreffend die Übernahme der EU-Richtlinie zu.