In der Herbstsession 2020 ging die Totalrevision des Datenschutzgesetzes in die dritte Runde der Differenzbereinigung. Zunächst hatte sich der Nationalrat mit den drei aus der letzten Runde verbleibenden Differenzen sowie einem Minderheitsantrag aus seiner SPK zu befassen. Die erste Differenz, welche die Definition der besonders schützenswerten Personendaten betraf, legte die grosse Kammer auf einstimmigen Antrag ihrer Kommission stillschweigend bei, indem sie sich der Definition des Ständerates anschloss. Demnach sind alle genetischen Daten, und nicht nur jene, die eine natürliche Person eindeutig identifizieren, besonders schützenswert.
Die zweite Differenz – und wie sich schon länger abgezeichnet hatte, der Hauptstreitpunkt des Geschäfts – war die Definition des Profilings. Cédric Wermuth (sp, AG) zeigte sich als Vertreter der Kommissionsminderheit enttäuscht über die Abkehr der Mehrheit vom gefunden geglaubten Kompromiss und bedauerte, dass seine links-grüne Ratsseite mit der Bereitschaft zur gemeinsamen Lösungssuche wohl «einen taktischen Fehler gemacht» habe. Die Kommissionsminderheit setzte sich für die ständerätliche Lösung ein, die einen risikobasierten Ansatz beim Profiling verfolgte und erhöhte Anforderungen für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person vorsehen wollte. Ein solch hohes Risiko wäre dann gegeben, wenn eine Verknüpfung von Daten eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer Person erlauben würde. Die Mehrheit der SPK-NR war indessen auf den ersten Beschluss des Nationalrats – und damit auf den Stand vor Beginn der Kompromissfindung zwischen den Parlamentskammern – zurückgeschwenkt, obwohl der Nationalrat in seiner zweiten Beratung der Gesetzesvorlage den risikobasierten Ansatz noch unterstützt hatte. Die Kommissionsmehrheit wollte nun doch keine verschiedenen Risikostufen für das Profiling festlegen, weil die EU-DSGVO keine solche Unterscheidung vornehme und das sogenannte «Swiss Finish» die Schweizer Wirtschaft unnötig einschränke. Die Minderheit Wermuth und der Bundesrat waren jedoch der Ansicht, dass die Fassung der Kommissionsmehrheit das Schutzniveau gegenüber der heutigen Regelung für Persönlichkeitsprofile senke, weil sie gar keine besonderen Anforderungen für das Profiling mehr stelle. Das Konzept der Mehrheit definiere zwar den Begriff Profiling, sehe dann aber gar keine Rechtsfolgen, beispielsweise das Verlangen einer Einwilligung der betroffenen Person, vor; «genau die gleiche Wirkung» erzielte man, wenn man im Gesetz definierte, «was ein blauer Pavian sei», echauffierte sich Wermuth über den «absurden» Mehrheitsvorschlag. Die links-grüne Ratsseite betonte zudem noch einmal, dass sie einem Gesetz, welches das geltende Schutzniveau unterschreite, auf keinen Fall zustimmen werde; der risikobasierte Ansatz beim Profiling sei für seine Fraktion «eine Conditio sine qua non», so Wermuth. Dennoch folgte der Nationalrat mit 98 zu 88 Stimmen bei 5 Enthaltungen seiner Kommissionsmehrheit. Die Fraktionen der SP, der Grünen und der GLP hatten sich trotz vereinzelter Unterstützung aus der Mitte und der FDP nicht durchsetzen können.
Als Drittes scheiterte ein Minderheitsantrag Glättli (gp, ZH), der ein explizites Widerspruchsrecht zum Profiling im Gesetz verankern wollte, mit 105 zu 84 Stimmen bei 2 Enthaltungen. Nach Ansicht der Mehrheit, die auch der Bundesrat unterstützte, war eine solche ausdrückliche Nennung nicht nötig, weil sich ein allgemeines Widerspruchsrecht gegen die Bearbeitung der eigenen Personendaten bereits aus anderen Bestimmungen des Datenschutzgesetzes ergebe.
Die letzte Differenz betraf die Frage, wie alt die bearbeiteten Daten sein dürfen, damit eine Kreditwürdigkeitsprüfung keine widerrechtliche Persönlichkeitsverletzung darstellt. Während die Kommissionsmehrheit hier am letzten nationalrätlichen Beschluss von zehn Jahren festhalten wollte, beantragte eine Minderheit Gredig (glp, ZH), dem Ständerat zu folgen und fünf Jahre zu beschliessen. Die Minderheitsvertreterin argumentierte, dass «ein Blick fünf Jahre in die Vergangenheit eines Menschen» ausreichen sollte, um dessen Kreditwürdigkeit zu prüfen. Auch hier setzte sich aber die bürgerliche Ratsseite durch und stimmte mit 104 zu 87 Stimmen bei einer Enthaltung dem Antrag der Kommissionsmehrheit zu.

Es verblieben für die letzte Beratung im Ständerat damit die zwei Differenzen bezüglich des Profilings und der zulässigen Daten für die Kreditwürdigkeitsprüfung. Letztere räumte die kleine Kammer aus, indem sie sich stillschweigend dem Nationalrat anschloss, wie es ihre SPK einstimmig beantragt hatte. Damit dürfen für eine Kreditwürdigkeitsprüfung bis zu zehn Jahre alte Daten beigezogen werden. Der Bundesrat, der fünf Jahre vorgeschlagen hatte, könne «gut damit leben», kommentierte EJPD-Vorsteherin Karin Keller-Sutter diesen Beschluss. Beim Profiling hielt der Ständerat hingegen ebenso stillschweigend an seinem Entscheid für die risikobasierte Variante fest, womit er eine Einigungskonferenz nötig machte, bei der sich die Ständekammer gute Erfolgschancen ausrechnete. Kommissionssprecher Daniel Fässler (cvp, AI) erklärte, weshalb die nationalrätliche Variante nicht DSGVO-konform und damit kein gangbarer Weg sei: Die DSGVO verbiete grundsätzlich jede Verarbeitung personenbezogener Daten, ausser es liege die Zustimmung der betroffenen Person oder ein anderer Rechtfertigungsgrund vor. Das Schweizer Datenschutzgesetz sei umgekehrt konzipiert, indem es die Verarbeitung von Personendaten grundsätzlich zulasse, sofern keine Ausnahme vorliege. Die Verankerung von qualifizierten Rechtsfolgen bei Profiling mit hohem Risiko sei daher notwendig, um das vorgegebene Schutzniveau zu halten.

Wie erwartet entschied sich die Einigungskonferenz im letzten Streitpunkt um das Profiling für die ständerätliche Version, dergemäss für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person erhöhte datenschutzrechtliche Anforderungen gelten. Der Nationalrat stimmte dem Antrag der Einigungskonferenz mit 134 zu 42 Stimmen bei einer Enthaltung zu, wobei sich nur die SVP-Fraktion grossmehrheitlich dagegen stellte. Kommissionssprecher Matthias Jauslin (fdp, AG) hatte das Ratsplenum um Zustimmung gebeten, weil die Schweiz – sowohl für ihre Bürgerinnen und Bürger als auch für die Wirtschaft – dringend ein modernes und von der EU in seiner Gleichwertigkeit anerkanntes Datenschutzgesetz brauche. Der Ständerat nahm den Antrag der Einigungskonferenz einstimmig an. In den Schlussabstimmungen zeigte sich dasselbe Stimmmuster: Der Nationalrat stimmte mit 141 zu 54 Stimmen (alle SVP) bei einer Enthaltung für das totalrevidierte Datenschutzgesetz, während es der Ständerat einstimmig annahm. Damit kamen die parlamentarischen Beratungen des Datenschutzgesetzes nach über drei Jahren mit zum Teil emotional ausgetragenen Meinungsverschiedenheiten doch noch zu einem mehrheitlich versöhnlichen Abschluss.

Nachdem beide Räte den Bundesbeschluss über die Genehmigung und Umsetzung des Europarats-Übereinkommens zur Terrorismusverhütung und des dazugehörigen Zusatzprotokolls sowie über die Verstärkung des strafrechtlichen Instrumentariums gegen Terrorismus und organisierte Kriminalität einmal beraten hatten, wies die Vorlage noch zwei inhaltliche Differenzen auf. Die erste betraf die explizite Ausnahme der Tätigkeit humanitärer Organisationen aus dem Straftatbestand der organisierten Kriminalität, die zweite die Voraussetzungen für die dynamische Rechtshilfe.
Der Ständerat behielt in der Herbstsession 2020 zunächst beide Differenzen bei, wobei er dem Nationalrat in der Frage der Ausnahme für humanitäre Organisationen ein Stück weit entgegenkam. Die Ratsmehrheit gewichtete die Gefahr der Kriminalisierung von humanitären Aktionen höher als jene, dass die Unterstützung einer kriminellen oder terroristischen Organisation als humanitäre Hilfe getarnt werden könnte und folgte mit 23 zu 17 Stimmen bei einer Enthaltung einer Minderheit Juillard (cvp, JU), die das Anliegen des Nationalrats aufnahm, aber neu formulierte und das IKRK nicht mehr explizit nannte. Die vorzeitige Übermittlung von Informationen und Beweismitteln an ausländische Ermittlungsbehörden (sogenannte dynamische Rechtshilfe) wollte die Ständekammer im Gegensatz zum Nationalrat aber nicht generell, wenn die ausländischen Ermittlungen sonst unverhältnismässig erschwert würden, sondern nur zur Abwendung schwerer und unmittelbarer Gefahr für Leib und Leben sowie nur nach schriftlicher Verpflichtung der ausländischen Behörden, sich an die Einschränkungen zur Verwendung der übermittelten Informationen zu halten, erlauben. Damit liess der Ständerat seine Kommissionsmehrheit mit 23 zu 19 Stimmen und einer Enthaltung auch hier im Regen stehen und hielt an seinem letzten Beschluss fest, wie es eine Minderheit Zopfi (gp, GL) beantragt hatte.
Der Nationalrat konnte mit der Version des Ständerates indes wenig anfangen und entschied mit 111 zu 75 Stimmen bei 9 Enthaltungen, an seiner Ausnahmenorm für humanitäre Organisationen, die das IKRK beispielhaft erwähnt, festzuhalten. Bundesrätin Karin Keller-Sutter hatte sich abermals für die gänzliche Streichung der Bestimmung ausgesprochen und gewarnt, die explizite Ausnahme humanitärer Organisationen könnte ungewollt zur Straflosigkeit führen – etwa wenn ein Fahrer einer humanitären Organisation nicht nur Personen transportiere, sondern auch Waffen für eine Konfliktpartei schmuggle –, blieb damit jedoch Ruferin in der Wüste. Allerdings bewegte sich die grosse Kammer bei der zweiten Differenz etwas auf ihre Schwesterkammer zu, indem sie die dynamische Rechtshilfe auf Fälle von organisierter Kriminalität oder Terrorismus beschränkte. Die darüber hinausgehenden Einschränkungen des Ständerates waren indes gar nicht zur Diskussion gestanden; der Kompromissvorschlag der Kommissionsmehrheit setzte sich mit 140 zu 55 Stimmen gegen eine Minderheit Addor (svp, VS) durch, die beim Entwurf des Bundesrats bleiben wollte. Justizministerin Keller-Sutter erklärte ihre Unterstützung für die Mehrheit «im Sinne der Differenzbereinigung», bedauerte aber, dass die dynamische Rechtshilfe damit in wichtigen Kriminalitätsfeldern wie Drogenhandel, Geldwäscherei und bei Sexualdelikten ausgeschlossen sei.
Da sich die beiden Räte nun in beiden Streitpunkten einen Schritt näher gekommen waren, unterstützte die SiK-SR die vorliegende «Einigungsversion», wie Kommissionssprecher Daniel Jositsch (sp, ZH) erklärte. Sie beantragte ihrem Rat, beide Differenzen auszuräumen, was dieser dann auch stillschweigend tat. In den Schlussabstimmungen wurde der Bundesbeschluss vom Nationalrat mit 128 zu 34 Stimmen bei 34 Enthaltungen und vom Ständerat mit 37 zu 5 Stimmen bei 2 Enthaltungen angenommen. Die Fraktionen der SP und der Grünen vertraten damit auch hier konsequent ihren bereits in der Eintretensdebatte geäusserten Standpunkt, für die Einführung des Gesinnungsstrafrechts, die ihrer Ansicht nach mit dem Verbot des Anwerbens, Ausbildens und Reisens im Hinblick auf eine terroristische Straftat erfolge, nicht Hand zu bieten.

In der Sommersession 2020 genehmigte der Ständerat einstimmig (bei 2 Enthaltungen) das Protokoll vom 10. Oktober 2018 zur Änderung des Übereinkommens SEV 108 des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. Noch im Juni 2020 werde die EU über die Angemessenheit des schweizerischen Datenschutzniveaus entscheiden, und weil die eidgenössischen Räte das Datenschutzgesetz bis dahin noch nicht fertig beraten haben werden, spiele die Ratifikation des Änderungsprotokolls eine zentrale Rolle für den Entscheid der EU, betonte Bundesrätin Karin Keller-Sutter neuerlich die Bedeutung des Abkommens. In den Schlussabstimmungen sprachen sich der Nationalrat mit 143 zu 6 Stimmen bei 49 Enthaltungen (alle Gegenstimmen und Enthaltungen aus der SVP-Fraktion) und der Ständerat wiederum einstimmig bei 2 Enthaltungen für die Genehmigung des Europaratsprotokolls aus. Damit kann der Bundesrat, unter Vorbehalt des fakultativen Referendums, das Änderungsprotokoll zum Übereinkommen SEV 108 ratifizieren.

In der Sommersession 2020 beriet der Nationalrat als Zweitrat die Vorlage zur Verstärkung des strafrechtlichen Instrumentariums gegen Terrorismus und organisierte Kriminalität, die auch die Genehmigung des Europarats-Übereinkommens über die Terrorismusprävention und dessen Zusatzprotokolls beinhaltete. Während die vorberatende SiK-NR die Stossrichtung des Geschäfts mehrheitlich unterstützte, wie deren Sprecher Mauro Tuena (svp, ZH) dem Ratsplenum bekannt gab, beantragte eine Minderheit Schlatter (gp, ZH) die Rückweisung an den Bundesrat, weil sie eine klare Definition von terroristischen Organisationen vermisste und diese nicht der Rechtsprechung überlassen wollte. Welche Organisation terroristisch sei, sei keine juristische, sondern eine politische Entscheidung, begründete die Grüne Nationalrätin ihren Antrag. Zudem forderte sie, dass sich die Strafrechtsverschärfung darauf beschränken müsse, was das internationale Abkommen zwingend verlange. Votantinnen und Votanten gegen die Rückweisung wandten ein, es gebe keine allgemeingültige, globale Definition von Terrorismus, auf die man sich stützen könnte, und betonten das Vertrauen in die Schweizer Justizbehörden. So einig wie die Fraktionen der SP und der Grünen die Rückweisung unterstützen, stellten sich jene der GLP, der Mitteparteien, der FDP und der SVP dagegen, sodass der Antrag mit 127 zu 67 Stimmen deutlich abgelehnt wurde.
In der Detailberatung wandte sich die grosse Kammer in einem ersten Block den Änderungen im Nachrichtendienstgesetz zu und erörterte die Frage, unter welchen Voraussetzungen der Bundesrat eine Organisation, die die innere oder äussere Sicherheit der Schweiz bedroht, verbieten können soll. Eine Minderheit Addor (svp, VS) blieb mit der Forderung, dass der Bundesrat dies im Sinne von mehr Sicherheit und Souveränität allein entscheiden können müsse, erfolglos. Die Mehrheit blieb beim Entwurf des Bundesrates, demgemäss sich ein Verbot auf einen Verbots- oder Sanktionsbeschluss der UNO gegen die fragliche Gruppierung stützen muss. Diese Bedingung sei wichtig für die Neutralität der Schweiz, erläuterte Bundesrätin Karin Keller-Sutter, weil sonst andere Staaten die Schweiz politisch oder diplomatisch unter Druck setzen könnten, eine bestimmte Organisation zu verbieten.
Im zweiten Block widmete sich der Nationalrat den Anpassungen im Strafrecht. Der mit sechs Minderheitsanträgen meistdiskutierte Artikel 260ter StGB definiert den Tatbestand der Beteiligung an und Unterstützung einer kriminellen bzw. terroristischen Organisation und legt das einschlägige Strafmass fest. Die Kommissionsmehrheit wich mit ihrem Vorschlag insofern von der ständerätlichen Fassung ab, als sie humanitäre Dienste einer unparteiischen humanitären Organisation wie dem IKRK explizit von der Strafbarkeit ausschliessen wollte. Dieser Vorschlag setzte sich deutlich gegen alle Minderheitsanträge durch, sowohl jene, die diese Ausnahmebestimmung für humanitäre Organisationen einerseits als überflüssig oder andererseits mit der Nennung des IKRK als zu eng gefasst in Frage stellten, als auch jene, die den Strafrahmen insgesamt verkleinern, den Kampf für Demokratie und Rechtsstaatlichkeit nicht als Terrorismus klassifizieren, die zusätzliche Bestrafung für weitere im Rahmen einer Organisation begangene Straftaten explizit machen oder die Definition terroristischer Organisationen ganz streichen wollten. Der zweite grosse Streitpunkt der Vorlage lag im neuen Art. 260sexies StGB, der die Anwerbung und Ausbildung sowie das Reisen im Hinblick auf eine terroristische Straftat unter Strafe stellt. Eine Minderheit Seiler Graf (sp, ZH) wollte den ganzen Artikel streichen, weil sie diese Vorverlagerung der Strafbarkeit als rechtsstaatlich problematisch ansah. Man befinde sich hier «definitiv im Gesinnungsstrafrecht», urteilte die Antragstellerin. Terroristen liessen sich kaum durch eine Strafandrohung abschrecken; Prävention und Ursachenbekämpfung – etwa gestützt auf den Nationalen Aktionsplan zur Verhinderung und Bekämpfung von Radikalisierung und gewalttätigem Extremismus – wären an dieser Stelle zielführender als repressive Massnahmen, schloss sie. Im Gegensatz dazu bezeichnete Justizministerin Keller-Sutter den umstrittenen Artikel als «de[n] zentrale[n] Pfeiler des Europaratsübereinkommens» und dessen Streichung als «empfindlich[e] Schwächung des Strafrechts». Gegen die bis auf eine Ausnahme (Philipp-Matthias Bregy, cvp/VS) geschlossen stimmenden Fraktionen der bürgerlichen Parteien sowie der Grünliberalen blieb das links-grüne Lager schliesslich chancenlos.
Der dritte und letzte Block betraf die Änderungen im Rechtshilfegesetz. Auch hier folgte der Nationalrat in allen Punkten seiner Kommissionsmehrheit und lehnte drei Minderheitsanträge Roth (sp, SO) hochkant ab, die internationale Rechtshilfe bei Steuerhinterziehung zulassen, die Voraussetzungen für die vorzeitige Übermittlung von Informationen und Beweismitteln an ausländische Ermittlungsbehörden (sog. dynamische Rechtshilfe) erhöhen und grenzüberschreitende Ermittlungsgruppen der Aufsichtsbehörde über die Bundesanwaltschaft unterstellen wollten. Bei den Bedingungen für die dynamische Rechtshilfe kehrte der Nationalrat diskussionslos zu den lockereren Voraussetzungen des Bundesrats zurück, anstatt sich der vom Ständerat beschlossenen Verschärfung anzuschliessen.
In der Gesamtabstimmung nahm die grosse Kammer die gegenüber dem Ständerat in zwei Punkten veränderte Vorlage mit 127 zu 54 Stimmen bei 13 Enthaltungen an. Die Fraktionen der SP und der Grünen machten damit ihre bereits in der Eintretensdebatte geäusserte Drohung wahr, dem Entwurf ihre Zustimmung zu verweigern, sollten die Tatbestände des Anwerbens, Ausbildens und Reisens im Hinblick auf einen Terrorakt im Strafgesetzbuch festgeschrieben werden. Stillschweigend schrieb der Nationalrat zudem die beiden Motionen 14.4187 für die Ratifizierung des Europaratseinkommens zur Terrorismusverhütung und 15.3008 für wirksamere Strafbestimmungen zur Verfolgung der organisierten Kriminalität ab.

In der Sommersession 2020 setzte der Ständerat die Differenzbereinigung bei der Totalrevision des Datenschutzgesetzes fort. In zwei Punkten, die das Auskunftsrecht der von einer Datenbearbeitung betroffenen Person und die Informationspflicht der datenbearbeitenden Stelle betrafen, fügte sich die kleine Kammer stillschweigend und diskussionslos den Beschlüssen des Nationalrates. So muss die betroffene Person nicht zwingend über die Liste ihrer Rechte und die allfällige Absicht, eine Kreditwürdigkeitsprüfung vorzunehmen, informiert werden. Eine angeforderte Auskunft muss zudem «die bearbeiteten Personendaten als solche» beinhalten, wobei die SPK-SR zum Schluss gekommen war, dass die vom Nationalrat eingefügte Ergänzung «als solche» nichts nütze, aber auch nichts schade, wie deren Berichterstatter Daniel Fässler (cvp, AI) vor dem Plenum erläuterte. Stillschweigend hielt der Ständerat hingegen an seinem Entscheid fest, dass alle genetischen Daten als besonders schützenswerte Personendaten gelten sollen, da die einschränkende Definition des Nationalrates gemäss dem Kommissionssprecher wohl nicht EU-konform wäre.
Für eine kurze Debatte sorgte die Frage, welche Daten für eine an sich persönlichkeitsverletzende Kreditwürdigkeitsprüfung verwendet werden dürfen. Eine Minderheit Müller (fdp, LU) schlug vor, den Einbezug von bis zu zehn Jahre alten Daten zu erlauben – dies hatte der Nationalrat so entschieden –, wobei aber Daten aus öffentlich zugänglichen staatlichen Registern von dieser Beschränkung ausdrücklich auszunehmen seien. Mit einer kurzen und starren Frist würden die Interessen der Gläubiger zu wenig berücksichtigt, begründete Damian Müller den Antrag. Der Rat folgte mit 25 zu 17 Stimmen jedoch seiner Kommissionsmehrheit und hielt an seinem letzten Beschluss fest, wonach die verwendeten Daten nicht älter als fünf Jahre sein dürfen, wie es auch der Bundesrat ursprünglich vorgesehen hatte. Kommissionssprecher Fässler argumentierte, dass ältere Daten mitunter ungenau seien und daher nicht als Rechtfertigungsgrund für eine Persönlichkeitsverletzung zugelassen werden sollten.
Gerungen wurde in der Ständekammer indes immer noch um die Definition von «Profiling mit hohem Risiko», nachdem der Nationalrat dem risikobasierten Ansatz zur Regulierung des Profilings zugestimmt, sich aber mit der Abgrenzung der Risikostufen nicht zufrieden gezeigt hatte. Die Kommission schlug ihrem Rat einstimmig eine neue Formulierung vor, die sich am heute geltenden Konzept des Persönlichkeitsprofils orientierte und die die Idee der grossen Kammer aufnahm, das Risiko am Ergebnis der Datenbearbeitung anstatt am Prozess festzumachen. Mit einem Einzelantrag wollte Ständerat Ruedi Noser (fdp, ZH) der Formulierung des Nationalrats den Vorzug geben, weil der Vorschlag der ständerätlichen SPK das Profiling faktisch verbiete und den unklaren und veralteten Begriff «wesentliche Aspekte der Persönlichkeit» verwende. Kommissionssprecher Fässler und Bundesrätin Karin Keller-Sutter widersprachen dieser Darstellung jedoch: Profiling mit hohem Risiko werde nicht verboten, sondern lediglich höheren Anforderungen unterworfen, der kritisierte Begriff sei im geltenden Recht bereits etabliert und der Vorschlag Noser käme einer Nicht-Regulierung des Profilings gleich, wie sie wohl kaum mit dem EU-Datenschutzniveau vereinbar wäre. Zudem hätten der von Noser gewünschten Lösung im Nationalrat nur 65 Mitglieder zugestimmt, während 57 sie abgelehnt und sich 65 der Stimme enthalten hatten, weshalb darin kaum der endgültige Wille der grossen Kammer zum Ausdruck gekommen sei. Der Ständerat folgte mit 39 zu 5 Stimmen (1 Enthaltung) klar seiner Kommission und schrieb die neue Formulierung ins Gesetz, wonach Profiling dann mit hohem Risiko verbunden ist, wenn es «die Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt». Damit wird das heutige Schutzniveau bei der automatisierten Datenbearbeitung gehalten, aber weder erhöht, wie es im Sinne der Ständeratsmehrheit und der linken Seite des Nationalrats gewesen wäre, noch gesenkt, was dem bürgerlichen Ansinnen entsprochen hätte. Mit noch drei inhaltlichen Differenzen ging die Vorlage wieder an den Nationalrat.

Im Kampf gegen die Ausbreitung des Coronavirus setzten mehrere früh von der Pandemie betroffene Länder, beispielsweise China, Singapur, Südkorea oder Taiwan, auf staatlich verordnetes Mobiltelefon-Tracking, damit die Behörden den Standort einer Person verfolgen und so einerseits die Einhaltung von Isolation und Quarantäne überwachen und andererseits Passanten vor infizierten Personen warnen konnten. Ende März berichtete die Presse, dass auch in der Schweiz das BAG Handydaten zur Bewältigung der Pandemie nutze. Im Fokus stand dabei jedoch nicht das personalisierte Tracking, sondern die Auswertung anonymisierter Massendaten aus dem Mobilfunknetz der Swisscom, um zu überprüfen, ob sich die Bevölkerung an das Verbot von Ansammlungen von mehr als fünf Personen im öffentlichen Raum hielt und wo sich allenfalls zu grosse Menschenansammlungen bildeten. Auf Kritik aus Datenschutzkreisen entgegnete das BAG in der Presse, die Daten liessen keine Rückschlüsse auf einzelne Personen zu und würden nicht in Echtzeit verwendet, weshalb es sich nicht um eine Überwachung, sondern um eine verhältnismässige Massnahme handle.
Die permanente Mitverfolgung des Standorts aller Personen durch den Staat, mit der einige asiatische Länder schnelle Erfolge in der Eindämmung der Pandemie erzielten, war in Europa datenschutzrechtlich undenkbar. Ein paneuropäisches Konsortium von 130 Forschungseinrichtungen aus acht Ländern, darunter auch die ETHZ und die EPFL, das Anfang April in den Medien vorgestellt wurde, arbeitete daher an einer auf Europa zugeschnittenen, die Privatsphäre bewahrenden Lösung, um die Rückverfolgung der Kontakte infizierter Personen zu unterstützen. Ziel war eine Smartphone-App zum Proximity Tracing, d.h. zum Erkennen, welche Personen sich so nah waren, dass eine Übertragung des Coronavirus möglich gewesen wäre. Die europäische App setzte allerdings nicht auf die Standort-Lokalisierung der Nutzerinnen und Nutzer, sondern auf eine extra zu diesem Zweck von Apple und Google gemeinsam entwickelte Bluetooth-Schnittstelle. Über Bluetooth soll die App andere Smartphones in einem gewissen Umkreis erkennen, auf denen die Anwendung ebenfalls aktiviert ist, und diese Kontakte anonym speichern. Eine positiv auf das Coronavirus getestete Person kann dann über die App die registrierten Kontaktpersonen warnen, sodass sich diese frühzeitig in Quarantäne begeben und testen lassen können. Für den Bundesrat sei diese Anwendung «interessant», wie Karin Keller-Sutter gegenüber dem Tages-Anzeiger sagte. Man kläre derzeit ab, wie dieses System in der Schweiz zum Einsatz kommen könnte und wie die Rechtslage aussehe. Aus Datenschutzsicht hielt EDÖB Adrian Lobsiger diesen Weg gemäss Tages-Anzeiger für «gangbar», solange das Herunterladen der App freiwillig sei. Wie in den Medien erklärt wurde, sammle das System keine personalisierten Daten; vielmehr würden die Kontakte für eine begrenzte Zeit als verschlüsselte Codes abgespeichert.
Den beiden Schweizer Hochschulen erschien das europäische Projekt nach einiger Zeit jedoch zu wenig transparent und sie befanden, es lege zu wenig Wert auf den Schutz der Privatsphäre. Mitte April zogen sie sich daher – wie auch einige weitere Institutionen, die zum gleichen Schluss gekommen waren – daraus zurück und kündigten an, stattdessen eine eigene Lösung zu entwickeln, die im Gegensatz zum europäischen System keine Kontaktdaten sammle, sondern sie jeweils dezentral direkt auf dem Smartphone speichere. So könne weder nachverfolgt werden, welche Personen miteinander in Kontakt waren, noch welche sich infiziert und damit eine Warnung ausgelöst haben, selbst wenn die Server der App-Betreiber gehackt werden sollten, erklärten die Medien. Auch der EDÖB, das Nationale Zentrum für Cybersicherheit und die Nationale Ethikkommission zeigten sich in der Presse zufrieden mit dem gewählten dezentralen Ansatz: Damit werde die Privatsphäre bestmöglich geschützt.
In seiner Medienkonferenz vom 29. April bestätigte der Bundesrat schliesslich, dass er plane, der Bevölkerung zeitnah eine solche Corona-Warn-App zur Verfügung zu stellen; diese werde derzeit von der ETHZ und der EPFL gemeinsam mit dem Bund entwickelt. Weiter versicherte die Regierung, dass der Gebrauch der App freiwillig sein und sie nur für die Dauer der Krise eingesetzt werde. Bis anhin hatte sich der Bundesrat dazu nur sehr zurückhaltend geäussert, was in den Medien bereits für Spekulationen gesorgt hatte, weil vonseiten des BAG und der beteiligten Hochschulen bereits Tage zuvor ein konkretes Datum kommuniziert worden war, an dem die App bereitstehen sollte.
Gleichzeitig erörterte die Presse viele noch offene Fragen zur geplanten Corona-Warn-App. Vor dem Hintergrund einer Experteneinschätzung, wonach 60 Prozent der Bevölkerung die App nutzen müssten, damit sie wirksam sei, wurde debattiert, ob die Freiwilligkeit der richtige Weg sei. Dies wurde aus ethischen Gründen – namentlich, weil ein App-Zwang einen inakzeptablen Eingriff in die persönliche Selbstbestimmung darstellte – grösstenteils bejaht, aber gleichzeitig anerkannt, dass eine so weit verbreitete, freiwillige Verwendung der App eine grosse Akzeptanz und damit ein grosses Vertrauen seitens der Bevölkerung voraussetze. Dieses Vertrauen basiere seinerseits gerade auf der Freiwilligkeit und nur schon der geringste Anschein, der Staat wolle die Menschen zur Benutzung der App drängen, könnte es zerstören, warnte etwa die Zürcher GLP-Nationalrätin und Geschäftsführerin des IT-Verbandes Swico Judith Bellaïche im Tages-Anzeiger. Gegen die App wurde indessen das Argument ins Feld geführt, sie bringe nichts, weil sie das manuelle Contact Tracing nicht ersetzen könne. Dem widersprach der massgeblich an der Entwicklung der App beteiligte EPFL-Epidemiologe Marcel Salathé nicht, erklärte aber gegenüber dem «Blick», dass die Contact-Tracing-Stellen durch die App entscheidend entlastet werden könnten und dass jede Installation helfe, auch wenn weniger als 60 Prozent der Bevölkerung die App nutzten.
Eine Mitte April im Auftrag der NZZ durchgeführte Befragung, deren Ergebnisse die Zeitung Anfang Mai publizierte, hatte ergeben, dass knapp drei Viertel der Schweizer Bevölkerung sich bereit erklärten, eine Tracking-App zu installieren, wenn diese zur Eindämmung des Coronavirus und damit zur Verkürzung des Lockdowns beitragen könnte. Dabei würden die Befragten am ehesten eine App installieren, die vom Bundesrat herausgegeben würde – gut die Hälfte erklärte sich dazu bereit –, während das BAG, die Kantone und andere vorgeschlagene Institutionen deutlich weniger Vertrauen genossen. Bei den Bundesparlamentarierinnen und -parlamentariern, unter denen die NZZ eine ähnliche Umfrage durchgeführt hatte, konnte sich ebenfalls gut die Hälfte vorstellen, die Corona-App des Bundes zu installieren, wobei einzig in der Grünen Fraktion klar die Skepsis überwog. Ein Obligatorium für die Anwendung wurde von den Parlamentarierinnen und Parlamentariern hingegen grossmehrheitlich abgelehnt.

Einstimmig bei sechs Enthaltungen genehmigte der Nationalrat in der Frühjahrssession 2020 das Änderungsprotokoll vom 10. Oktober 2018 zum Übereinkommen SEV 108 des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. Die Beratungen des Datenschutzgesetzes seien mittlerweile weit genug fortgeschritten, um vorherzusehen, dass es mit dem vorliegenden Übereinkommen kompatibel sein werde, erklärte Kommissionssprecher Matthias Jauslin (fdp, AG) vor dem Ratsplenum. Bundesrätin Karin Keller-Sutter unterstrich, die Schweiz sende mit der Ratifikation des Abkommens ein positives Signal an die EU, für die das «ein wichtiges Indiz für den Entscheid über den Angemessenheitsbeschluss» darstelle.

Wie vom Ständerat im Rahmen der Rückweisung gefordert, wiederholte die SiK-SR im Februar 2020 die Detailberatung der Vorlage zur Verstärkung des strafrechtlichen Instrumentariums gegen Terrorismus und organisierte Kriminalität (Genehmigung und Umsetzung des Übereinkommens des Europarats zur Verhütung des Terrorismus mit dem dazugehörigen Zusatzprotokoll) unter Einbezug eines Mitberichts der RK-SR. Im Zuge dessen beschloss sie, an allen ihren ursprünglichen Anträgen festzuhalten, wobei die Anträge der RK-SR zum Teil von Minderheiten der SiK-SR vertreten wurden.
Der Ständerat beugte sich somit in der Frühjahrssession 2020 als Erstrat über den Entwurf. Die Debatte beschränkte sich auf fünf neuralgische Punkte: Erstens stand die Frage im Raum, ob beim Strafmass zwischen der Beteiligung an einer kriminellen und der Beteiligung an einer terroristischen Organisation unterschieden werden soll, wie es im Entwurf des Bundesrates mit Höchststrafen von fünf bzw. zehn Jahren vorgesehen war, oder ob die Beteiligung an beiden Arten von Organisationen einheitlich mit Freiheitsstrafe bis zu zehn Jahren geahndet werden soll, wie es die Mehrheit der SiK-SR beantragte. Die Ratsmehrheit war der Ansicht, dass zwischen «gewöhnlichen» kriminellen und terroristischen Organisationen kein grundsätzlicher Unterschied in der Gefährlichkeit für die Gesellschaft bestehe und unterstützte den Antrag der Kommissionsmehrheit.
Zweitens entschied die Kantonskammer, dass die Unterstützung einer solchen Organisation in ihrer Tätigkeit generell, und nicht nur spezifisch «in ihrer verbrecherischen Tätigkeit», strafbar sein soll. Sie folgte damit ihrer Kommissionsmehrheit und dem Bundesrat und lehnte den entsprechenden Minderheitsantrag Sommaruga (sp, GE), der beim geltenden Recht bleiben wollte und auch von der Mehrheit der RK-SR unterstützt worden war, ab. Der Genfer Ständerat hatte sich besorgt gezeigt, dass humanitäre Organisationen der Unterstützung einer terroristischen Organisation beschuldigt werden könnten, wenn sie humanitäre Hilfe leisteten, die vielleicht indirekt auch einer terroristischen Organisation zugutekomme. Bundesrätin Karin Keller-Sutter hatte jedoch versichert, die neutrale und unabhängige Hilfe an die Opfer von Konflikten bleibe straflos, denn der Vorsatz zur Unterstützung der Organisation – in Form von Wissen und Willen – müsse zur Erfüllung des Tatbestands gegeben sein.
Drittens bestätigte die Ständekammer den neuen Tatbestand des Anwerbens, Ausbildens und Reisens im Hinblick auf eine terroristische Straftat und lehnte eine Minderheit Zopfi (gp, GL) ab, für die die neue Bestimmung zu nah am Gesinnungsstrafrecht lag. Die Justizministerin hatte dieses Argument nicht gelten lassen, da nur das Anwerben, nicht aber das Sich-anwerben-lassen unter Strafe gestellt werde, und damit eine breite Ratsmehrheit überzeugt.
Viertens erörterte die kleine Kammer die Möglichkeit zur vorzeitigen Übermittlung von Informationen und Beweismitteln an ausländische Behörden zur Ermittlung in einem Terrorismusverfahren, die der Bundesrat neu im Rechtshilfegesetz vorgesehen hatte. Ständerat Beat Rieder (cvp, VS) verlieh mit seinem Einzelantrag den Einwänden des Anwaltsverbands Ausdruck, diese neue Regelung gleiche einem «Dammbruch» beim Rechtsschutz im Rechtshilfeverfahren, weil die Übermittlung von Informationen so nicht mehr oder erst viel später richterlich überprüft werden könne und somit faktisch alleine die Staatsanwälte über die Gewährung von Rechtshilfe entscheiden könnten. Um den Rechtsschutz besser zu garantieren, beantragte er, die vorzeitige Übermittlung nur zur Abwehr von schweren, unmittelbaren Gefahren für Leib und Leben – da sei, so räumte er ein, «schnelles Handeln angesagt» – und nicht zur Abwehr jeglicher auslieferungsfähiger Straftaten zu erlauben. Mit 26 zu 17 Stimmen folgte die Ständekammer diesem Antrag Rieder; Bundesrätin Keller-Sutter hatte vergeblich argumentiert, dass nicht alle Terrorakte eine direkte Gefahr für Leib und Leben darstellten, so etwa Cyberattacken oder Angriffe auf die Infrastruktur, aber dennoch enormen Schaden verursachen könnten.
Fünftens bestätigte die Ständeratsmehrheit den neuen Abschnitt über internationale gemeinsame Ermittlungsgruppen im Rechtshilfegesetz und lehnte einen Einzelantrag Hefti (fdp, GL) auf Streichung der entsprechenden Bestimmungen ab, nachdem die EJPD-Vorsteherin erklärt hatte, es handle sich hierbei um die Niederschrift der bereits gängigen Praxis.
In der Gesamtabstimmung nahm die kleine Kammer die gegenüber dem Bundesratsentwurf in zwei Punkten veränderte Vorlage einstimmig (bei acht Enthaltungen) an. Stillschweigend stimmte sie auch der Abschreibung der beiden Motionen 14.4187 zur Ratifizierung des Europaratseinkommens zur Verhütung von Terrorismus und 15.3008 für wirksamere Strafbestimmungen zur Verfolgung der organisierten Kriminalität zu.

Der Totalrevision des Datenschutzgesetzes und der Änderung weiterer Erlasse zum Datenschutz nahm sich in der Herbstsession 2019 der Nationalrat als Erstrat an. Das ein Jahr zuvor verabschiedete und am 1. März 2019 in Kraft getretene Schengen-Datenschutzgesetz, das aus Gründen der zeitlichen Dringlichkeit zunächst nur die Schengen-relevanten Anpassungen umsetzte, wird mit der Annahme des totalrevidierten Gesetzes wieder ausser Kraft treten. Mit der Totalrevision sollen über die Schengen-Anforderungen hinausgehend einerseits die Schwächen des heutigen Datenschutzrechts, das noch aus einer Zeit vor dem Internet stammt, behoben und andererseits die Entwicklungen auf EU- und Europarats-Ebene aufgenommen werden. Besonders bedeutsam für die Schweiz ist hierbei, von der EU weiterhin als Drittstaat mit angemessenem Datenschutzniveau anerkannt zu werden. Ansonsten, so wurde befürchtet, wäre die Schweizer Wirtschaft mit erheblichen Wettbewerbsnachteilen konfrontiert, da Schweizer Unternehmen nicht mehr so einfach Daten mit Firmen in der EU austauschen könnten. Bis im Mai 2020 wird die EU die Äquivalenz des Schweizer Datenschutzes beurteilen, was eine gewisse Dringlichkeit für die Revision gebietet.
Wie schwierig dieses Unterfangen werden würde, hatte sich schon in der vorberatenden SPK-NR abgezeichnet: Nur mit Stichentscheid des Präsidenten Kurt Fluri (fdp, SO) hatte sich die Kommission im August 2019 durchgerungen, die Vorlage nach mehr als einem Jahr Arbeit überhaupt vors Ratsplenum zu bringen. Die wichtigsten Anpassungen der Kommission am bundesrätlichen Entwurf waren die neu einzuführende Direktwahl des EDÖB durch die Bundesversammlung, die Einführung eines Rechts auf Datenportabilität, die Anpassung der Definition der besonders schützenswerten Personendaten sowie der Verzicht auf eine besondere Regelung für den Umgang mit Daten verstorbener Personen und auf eine ausdrücklich erforderliche Einwilligung zum Profiling. Im Rahmen ihrer Beratungen hatte die SPK-NR zudem sechs Motionen zur Vervollständigung der Datenschutzbestimmungen in weiteren Gesetzen eingereicht.
Kurz vor der Debatte im Nationalrat hatte das Bundesamt für Justiz überdies eine Liste dazu veröffentlicht, welche problematischen Differenzen es zwischen dem Kommissionsvorschlag und den Anforderungen der EU sehe. Auch EDÖB Adrian Lobsiger hatte in der Presse bezweifelt, dass das von der Kommissionsmehrheit vorgeschlagene Gesetz mit dem verlangten Niveau der EU-Datenschutzgrundverordnung (DSGVO) mithalten könne; beim Entwurf des Bundesrates hätte er indes keine Probleme gesehen.
Während der strittige Vorschlag der Kommissionsmehrheit für die SVP bereits zu weit ging, bemängelten SP, Grüne und GLP, er sei zu lasch. Wirtschaftsverbände drängten unterdessen auf eine möglichst rasche, EU-konforme Lösung. So wurde im Vorfeld der nationalrätlichen Debatte von den Mitte- und Linksparteien noch fieberhaft nach Kompromissen gesucht, um den drohenden Absturz der Revision zu verhindern.

In der Eintretensdebatte in der grossen Kammer wurde von allen Seiten – ausser von der SVP-Fraktion – betont, wie wichtig und notwendig das vorliegende Revisionsprojekt sei, sowohl um den Datenschutz dem Internetzeitalter anzupassen als auch um den Datenschutz auf ein der EU gleichwertiges Niveau zu bringen, auch wenn man in den Details der Ausgestaltung verschiedene Ansichten vertrat. Die SVP betrieb hingegen Fundamentalopposition gegen «diesen bürokratischen Unsinn», wie Fraktionsvertreter Gregor Rutz (svp, ZH) das neue Gesetz nannte, denn es sei insgesamt, vor allem für KMU, schlechter als das geltende Datenschutzgesetz – ein Argument, das wenig später durch das Votum von FDP-Vertreter Kurt Fluri (fdp, SO) entkräftet werden sollte, der berichtete, dass der Gewerbeverband die Stossrichtung der Kommissionsmehrheit begrüsse und die Rückweisung nicht unterstütze. Mit der DSGVO verkaufe die EU laut Rutz ihre Bürger für dumm, da sie «kein Mensch» verstehe. «Wir haben langsam genug davon, jeden Unsinn aus der EU ungesehen zu übernehmen!», ärgerte sich der SVP-Vertreter und rief das Ratsplenum auf, die Vorlage an den Bundesrat zurückzuweisen mit dem Auftrag, sie zu entschlacken und EU-Vorschriften nur dort zu übernehmen, wo es unumgänglich sei. Auch eine linke Minderheit hatte ursprünglich die Rückweisung, allerdings an die Kommission, beantragt und diese beauftragen wollen, die Vereinbarkeit der Vorlage mit dem Übereinkommen SEV 108 des Europarats, die Äquivalenz mit dem EU-Datenschutzrecht, die Kompatibilität mit den Schengen-Verträgen und die Nicht-Unterschreitung des heute geltenden Schutzniveaus sicherzustellen. Um die doch eher dringliche Revision nicht unnötig zu verlangsamen und um sich einer «produktiven Diskussion» nicht zu verschliessen, zog Cédric Wermuth (sp, AG) diesen Antrag jedoch «im Sinne eines Vorschussvertrauensbeweises» zurück und hoffte, das Gesetz während der Beratung noch auf eine den genannten Forderungen nähere Linie bringen zu können. Der Rückweisungsantrag der SVP-Minderheit wurde mit 120 zu 66 Stimmen (1 Enthaltung) deutlich verworfen; ausserhalb der geschlossenen SVP-Fraktion sah niemand eine Rückweisung als den richtigen Weg an.

Im Laufe der Detailberatung musste der Nationalrat über 45 Minderheits- und mehrere Einzelanträge befinden, die zu einem beträchtlichen Teil die Unterstützung des Bundesrates genossen – hauptsächlich immer dort, wo die Kommissionsmehrheit mit ihrem Vorschlag einen schwächeren Datenschutz wollte als der Bundesrat und somit das heute geltende Schutzniveau oder die Anforderungen der EU und/oder des Europarats unterschreiten wollte. So war die Kommissionsmehrheit bestrebt, sowohl die Daten über gewerkschaftliche Ansichten und Tätigkeiten als auch die Daten über Massnahmen der sozialen Hilfe aus dem Katalog der besonders schützenswerten Daten, für deren Bearbeitung besondere Anforderungen gelten, zu streichen. Während eine bürgerliche Ratsmehrheit die Streichung der Daten über gewerkschaftliche Ansichten und Tätigkeiten guthiess, schwenkte der Nationalrat bei den Daten über Massnahmen der sozialen Hilfe – neben Sozialhilfedaten sind davon auch solche über Sozialversicherungsmassnahmen bei Krankheit oder Unfall, Massnahmen der Vormundschaftsbehörden oder KESB, die fürsorgerische Unterbringung in psychiatrischen Kliniken, Ergänzungsleistungen und Prämienverbilligungen erfasst – auf die Linie des Bundesrates zurück und beliess sie im Katalog. Grünen-Vertreter Balthasar Glättli (gp, ZH) hatte zuvor mit Nachdruck klargemacht, dass deren Streichung für die Grünen und die SP ein Grund wäre, dem Gesetz die Zustimmung zu verweigern. Eine ähnliche Drohung sprach SVP-Fraktionssprecher Gregor Rutz aus, als die Einschränkung des Geltungsbereichs des DSG auf natürliche Personen zur Debatte stand: Einem Gesetz, das – anders als bisher – keinen Datenschutz für juristische Personen mehr vorsehe, werde man «nie im Leben» zustimmen können. Alle anderen Fraktionen befanden den Schutz für juristische Personen durch andere gesetzliche Bestimmungen jedoch als ausreichend und so glich der Nationalrat das DSG mit der Streichung des Schutzes juristischer Personen an die europäischen Regeln an. Bei der Frage der Anforderungen für das sogenannte Profiling zeichnete sich während der Diskussion ab, dass man an diesem Tag keine zufriedenstellende Lösung finden würde. Für jegliche Formen des Profilings, das die Aargauer Zeitung treffend als die «automatisierte Auswertung von Daten, mit denen bestimmte Merkmale einer Person bewertet werden, um etwa Vorhersagen über ihr künftiges Verhalten zu treffen» definierte, hatte der Bundesrat eine ausdrückliche Einwilligung der betroffenen Person voraussetzen wollen, wie sie auch zur Bearbeitung besonders schützenswerter Personendaten vorgesehen war. Da das geltende Recht so eine Regelung für das Erstellen von Persönlichkeitsprofilen umfasst, würde eine komplette Streichung der ausdrücklichen Einwilligung zum Profiling, wie es die Kommissionsmehrheit vorgeschlagen hatte, ein Rückschritt vom aktuellen Schutzniveau darstellen. In der Diskussion wurde mehrheitlich anerkannt, dass verschiedene Formen des Profilings unterschieden werden müssten, da es, wie es Balthasar Glättli erklärte, durchaus einen Unterschied mache, ob Profiling zur Erstellung von passenden Bücherempfehlungen, zur Abschätzung des Risikos für eine Versicherung oder zur Vorhersage der politischen Entscheidungen einer Person gebraucht werde. Der Bundesrat unterstützte folglich einen Einzelantrag Glättli, der eine ausdrückliche Einwilligung nur für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person vorsah. Die Fraktionen der Grünen, SP und GLP unterstützten diesen Antrag ebenfalls, unterlagen jedoch der bürgerlichen Ratsmehrheit, die beim Vorschlag der Kommissionsmehrheit ohne besondere Anforderungen für das Profiling blieb. Der Nachhall der Diskussion war jedoch klar, dass sich der Ständerat noch einmal intensiv mit dieser Frage auseinandersetzen müsse.
Betreffend die Informationspflicht bei der Beschaffung von Personendaten, die Regeln für die Bekanntgabe von Personendaten ins Ausland, die Rechenschaftspflicht für datenbearbeitende Unternehmen über die Einhaltung des Datenschutzrechts sowie das Auskunftsrecht einer Person zu den über sie gesammelten oder bearbeiteten Daten lehnte die Volkskammer einige von der Kommissionsmehrheit vorgeschlagene Lockerungen ab und umschiffte somit ein paar der vielen Klippen im Hinblick auf den Angemessenheitsbeschluss der EU. Die vom Bundesrat eingefügten Regelungen über Daten von verstorbenen Personen erachtete der Rat jedoch als nicht notwendig und strich mit bürgerlicher Mehrheit alle entsprechenden Bestimmungen aus dem Gesetz. Ganz neu und weitgehend unbestritten verankerte der Nationalrat auf Vorschlag seiner Kommissionsmehrheit ein Recht auf Datenportabilität, das heisst auf Datenherausgabe und -übertragung, im Gesetz. Wie Bundesrätin Karin Keller-Sutter erklärte, habe der Bundesrat mit dieser Neuerung eigentlich noch zuwarten wollen, bis erste Erkenntnisse aus der konkreten Umsetzung dieses Rechts in der EU vorlägen; nichtsdestotrotz unterstützte er den Vorschlag der Kommissionsmehrheit, einen Anspruch jeder Person auf «die Herausgabe ihrer Personendaten in einem gängigen elektronischen Format oder sogar deren Übertragung auf einen anderen Verantwortlichen zu verlangen», wie Keller-Sutter das neue Recht erläuterte.
Zurückgehend auf eine entsprechende parlamentarische Initiative Leutenegger Oberholzer (sp, BL; Pa.Iv. 16.409) änderte die grosse Kammer das Wahlverfahren des EDÖB dahingehend, dass er neu von der Bundesversammlung gewählt und nicht mehr durch den Bundesrat ernannt und vom Parlament nur bestätigt werden sollte. Gleichzeitig wurden die Aufsichts- und Untersuchungskompetenzen des EDÖB bei Datenschutzverstössen gestärkt. Diese Änderung sei von wesentlicher Bedeutung im Hinblick auf den Angemessenheitsbeschluss der EU, wie Bundesrätin Keller-Sutter betonte, denn nach bisher geltendem Recht besitze der EDÖB nicht nur weniger Kompetenzen als die Datenschutzbehörden in Europa, sondern auch als andere Aufsichtsbehörden des Bundes, zum Beispiel die Finma oder die Weko. Bei den Strafbestimmungen legte der Nationalrat eine maximale Busse von CHF 250'000 für Datenschutzverstösse fest. Ein neuer Straftatbestand für die Nichteinhaltung der Mindestanforderungen an die Datensicherheit im Sinne einer Sorgfaltspflichtverletzung wurde von der bürgerlichen Ratsmehrheit jedoch nicht goutiert, was laut Bundesrätin Keller-Sutter für die EU-Angemessenheit problematisch sein könnte. Der letzte grosse Zankapfel der Vorlage verbarg sich in den Schlussbestimmungen, namentlich in der Frage zum Inkrafttreten des Gesetzes. Während die Kommissionsmehrheit das Inkrafttreten um zwei Jahre nach Annahme des Gesetzes beziehungsweise nach Verstreichen der Referendumsfrist verzögern wollte, beantragte eine Minderheit Humbel (cvp, AG), wie üblich den Bundesrat das Inkrafttreten bestimmen zu lassen. Eine solche Verzögerung sei bereits wegen der Schengen-relevanten Bestimmungen des Gesetzes ein Problem und daher nicht im Interesse der Wirtschaft, was das Argument der Kommissionsmehrheit gewesen war. Auf Empfehlung des Bundesrates und entgegen der geschlossenen SVP-Fraktion erteilte die grosse Kammer der zweijährigen Inkrafttretensfrist eine Absage.

In der Gesamtabstimmung nahm der Nationalrat das totalrevidierte Datenschutzgesetz mit 98 zu 68 Stimmen bei 27 Enthaltungen an. In den ablehnenden Stimmen spiegelte sich vor allem die Opposition der SVP gegen das Gesetz. Demgegenüber hatte sich die SP-Fraktion mehrheitlich enthalten und damit signalisiert, dass sie noch weitere Nachbesserungen erwartete. Wirklich zufrieden mit dem Gesetz in vorliegender Form war wohl niemand; in dieser Hinsicht sprach das Fazit von Kommissionssprecher Matthias Jauslin (fdp, AG) Bände: «Wir haben jetzt eine Vorlage, die aus Sicht der Kommission durchaus bearbeitbar ist.»

Im Zuge der Beratungen zum Bundesbeschluss über die Genehmigung des Übereinkommens des Europarats über einen ganzheitlichen Ansatz für Sicherheit, Schutz und Dienstleistungen bei Fussballspielen und anderen Sportveranstaltungen führte die SiK-SR im Mai 2019 Anhörungen mit den Vorsteherinnen des EJPD, Karin Keller-Sutter, und des VBS, Viola Amherd, sowie mit je einer Vertretung der KKJPD und der KKPKS durch. Auf dieser Grundlage kam die Kommission zum Schluss, dass die geltenden gesetzlichen Grundlagen – insbesondere mit dem Hooligan-Konkordat von 2012 – ein breites Instrumentarium gegen Gewalt bei Sportveranstaltungen umfassten, das aber bedauerlicherweise nicht ausgeschöpft bzw. nicht mit ausreichender Konsequenz angewandt werde. An der unbefriedigenden Sicherheitssituation rund um Sportveranstaltungen habe sich trotz des Konkordats kaum etwas geändert, da die Kantone, Vereine und Verbände zu zurückhaltend agierten. Die SiK-SR verabschiedete deshalb ein Postulat (19.3533) mit dem Auftrag an den Bundesrat zu prüfen, wie die Kantone, Vereine und Verbände diesbezüglich stärker in die Pflicht genommen werden können, wie die Bekämpfung des Hooliganismus generell und insbesondere im Rahmen des Hooligan-Konkordats durch den Bund koordiniert, unterstützt, gefördert und wie die Umsetzung des Konkordats kontrolliert werden kann. Einen Antrag auf Sistierung der Genehmigung des Europaratsabkommens lehnte sie hingegen ab, da für die Umsetzung des Abkommens kein gesetzgeberischer Handlungsbedarf bestehe.
In der ständerätlichen Debatte über den Bundesbeschluss zur Genehmigung des Abkommens in der Sommersession 2019 war man sich einig, dass sich im Bereich der Sicherheit bei Sportveranstaltungen etwas tun müsse. Der Appell richtete sich aber nicht an den Bund, sondern an die Kantone, in deren Verantwortung die öffentliche Sicherheit liegt. Die Kantone wurden wiederholt dazu aufgefordert, ihre Verantwortung in diesem Bereich endlich wahrzunehmen, denn an rechtlichen Instrumenten mangle es nicht. Insofern könne auch die Unterzeichnung des Europaratsabkommens nicht zur Lösung des Problems beitragen, stellte etwa Daniel Jositsch (sp, ZH) fest. Da die Schweiz alle Anforderungen des internationalen Abkommens bereits erfüllte und deshalb dessen Ratifikation keine Gesetzesanpassungen nötig machen würde, stimmte die kleine Kammer dem Bundesbeschluss nach dem Motto «nützt es nichts, so schadet es nichts» mit 38 zu 2 Stimmen zu.
Die Schlussabstimmungen passierte das Geschäft mit 40 zu 4 Stimmen im Ständerat und 135 zu 56 Stimmen (5 Enthaltungen) im Nationalrat, wobei ausschliesslich Mitglieder der SVP-Fraktion ihm ihre Zustimmung verweigerten. Damit ist der Bundesrat ermächtigt, das Übereinkommen des Europarats über einen ganzheitlichen Ansatz für Sicherheit, Schutz und Dienstleistungen bei Fussballspielen und anderen Sportveranstaltungen zu ratifizieren.

Im März 2019 fand die 7. Cyber-Landsgemeinde des Sicherheitsverbundes Schweiz statt. Im Zentrum der Veranstaltung und des Interesses stand die im April des Vorjahres vom Bundesrat verabschiedete zweite Nationale Strategie zum Schutz vor Cyberrisiken (NCS). Auf dem Programm der Konferenz stand eine Reihe von Themen aus der Umsetzungsagenda, beispielsweise die Risikoanalyse zur Verbesserung der IKT-Resilienz oder die Ausgestaltung einer übergreifenden Austauschplattform zu aktuellen Bedrohungen aus dem Cyber-Raum. Die institutionalisierte Einbindung der Kantone in die Organisationsstruktur für Cyber-Sicherheit auf Stufe Bund stellte gar eines der Kernthemen dar, mit denen sich der SVS über die vergangenen Jahre beschäftigt hatte.

Im Mai stand ferner die vierte Konferenz des Sicherheitsverbundes Schweiz an. Der Fokus des Zusammentreffens verschiedener Akteure lag auf der Zusammenarbeit zwischen staatlichen Sicherheitsorganen und privaten Unternehmen. Mit Verweis auf die bisherigen Erfahrungen wurde festgehalten, dass auch staatliche Sicherheitsakteure auf private Dienstleister zurückgreifen. Diese hätten die Kapazitäten, um die staatlichen Organe zu ergänzen, wurde betont. In Anwesenheit von Bundesrätin Karin Keller-Sutter konnten die Kantone Erfahrungen austauschen, aber auch ihre Vorstellungen äussern. So pochte Regierungsrat Norman Gobbi (TI, lega) auf eine flexible Gesetzgebung, die dem Subsidiaritätsprinzip gerecht werde und den Kantonen in den betreffenden Feldern ihre Kompetenzen überlässt.

Das Übereinkommen des Europarats über einen ganzheitlichen Ansatz für Sicherheit, Schutz und Dienstleistungen bei Fussballspielen und anderen Sportveranstaltungen ist die vollständig überarbeitete Weiterentwicklung des «Europäischen Übereinkommens über Gewalttätigkeiten und Ausschreitungen von Zuschauern bei Sportanlässen, insbesondere bei Fussballspielen» von 1985, dem die Schweiz 1990 beigetreten war. Zusätzlich zu den Sicherheits- und Schutzmassnahmen des alten Vertrags enthält das neue Abkommen einen präventiven Dienstleistungsansatz: Friedliche Fans, Anwohnerinnen und Anwohner sowie Passantinnen und Passanten sollen von den Sicherheits- und Schutzmassnahmen so wenig wie möglich betroffen sein. Zentral dafür ist die umfassende Zusammenarbeit zwischen Behörden, Sportorganisationen, Fanorganisationen und Transportunternehmen. Der Bundesrat bezeichnete das Übereinkommen in seiner Botschaft, mit der er es dem Parlament zur Genehmigung vorlegte, als wichtigen Schritt zur Aktualisierung und Vereinheitlichung der nationalen Regeln unter Berücksichtigung von internationaler Good Practice. Eine Anpassung des schweizerischen Rechts sei nicht vonnöten, um den Erfordernissen des Vertrags nachzukommen.
Mit Ausnahme der SVP, die einen Nichteintretensantrag stellte, sprachen sich im Nationalrat alle Fraktionen für die Ratifizierung des Abkommens aus. Es sei für die Schweiz mit keinerlei Kosten verbunden, verbessere die internationale Zusammenarbeit und könne bestenfalls sogar verhindern, dass ausländische Hooligans an Sportveranstaltungen in der Schweiz teilnehmen, wenn die übrigen Vertragsstaaten von der Möglichkeit Gebrauch machen, Hooligans ihrerseits mit Ausreisesperren zu belegen, so der Grundtenor der Wortmeldungen. Die SVP stand mit ihrer Forderung, diesem «Stück Papier, das unter dem Strich nichts bringt», wie Fraktionssprecher Mauro Tuena (svp, ZH) das Übereinkommen bezeichnete, «eine Abfuhr zu erteilen», auf verlorenem Posten. Mit 125 zu 56 Stimmen und 3 Enthaltungen – alle Gegenstimmen und Enthaltungen aus der SVP-Fraktion – stimmte die grosse Kammer in der Frühjahrssession 2019 dem Abkommen zu.

Wie im vergangenen Dezember schon der Ständerat und dessen sicherheitspolitische Kommission stellte im Frühjahr 2018 auch die SiK-NR Handlungsbedarf im Informationssicherheitsmanagement des Bundes fest. Anders als ihre Schwesterkommission, der die kleine Kammer widerstandslos gefolgt war, zweifelte die nationalrätliche Kommission jedoch am Mehrwert, den das Informationssicherheitsgesetz mit sich brächte. Die bedeutendsten Unbekannten im Gesetzgebungsprojekt waren nach wie vor die Kosten und der Personalaufwand im Zusammenhang mit der Umsetzung. Während sich der Ständerat mit der Zusicherung zufriedengegeben hatte, zu den Kosten später noch einmal konsultiert zu werden, beauftragte die SiK-NR die Verwaltung, die Kosten und den Personalaufwand für verschiedene mögliche Sicherheitsniveaus zu beziffern. Es wurden also drei mögliche Szenarien vorgestellt: Ambitionsniveau 1 mit Kosten von CHF 5 Mio. und 9,5 bis 15,5 zusätzlichen Stellen, Ambitionsniveau 2 mit Kosten von CHF 33 bis 58 Mio. und 42 zusätzlichen Stellen sowie Ambitionsniveau 3 mit Kosten von CHF 62 bis 87 Mio. und 78 zusätzlichen Stellen. Für die Kommissionsmehrheit standen diese beträchtlichen Kosten in einem ungenügenden Verhältnis zum Ertrag und darüber hinaus befürchtete sie, der neu geschaffene, komplexe Informationsschutzapparat könnte eine Eigendynamik entwickeln und sich zunehmend der Kontrolle durch das Parlament entziehen. Aus diesen Gründen beantragte die Mehrheit der SiK-NR ihrem Rat Nichteintreten. Eine Minderheit erachtete hingegen den gesamtheitlichen Ansatz der Vorlage als zentral, um die Informationssicherheit beim Bund zu verbessern. Sie hielt die Kosten für vertretbar, da dadurch Sicherheitslücken geschlossen und die Koordination erheblich verbessert werden könne. Einen drohenden Kontrollverlust des Parlaments sah sie nicht und beantragte folglich Eintreten. Die Eintretensdebatte gestaltete sich dementsprechend umfangreich, kontrovers und emotionsgeladen.

Die bürgerlichen Fraktionen machten sich – mit Ausnahme der BDP – für den Nichteintretensantrag stark. Die Kosten entsprächen einer «Blackbox» und es sei «unseriös», nur auf Annahmen gestützt zu entscheiden; anstatt Experimente zu machen, sollten besser bestehende Gesetze angepasst werden, um die Sicherheit zu gewährleisten, so Ida Glanzmann-Hunkeler (cvp, LU) als Vertreterin der CVP-Fraktion. David Zuberbühler (svp, AR) legte die Ansicht der SVP-Fraktion dar: Das Gesetz sei ein neues «Bürokratiemonster», biete nur «Scheinsicherheit» und sei einen konkreten Nutzennachweis bisher schuldig geblieben, weshalb es «brandgefährlich» sei, darauf einzutreten. Für die FDP-Fraktion waren vor allem die Bedenken bezüglich der Kostenfolgen ausschlaggebend dafür, dass man nicht auf das überladene Gesetz und den damit verbundenen «Blindflug» eintrete. Demgegenüber stellte BDP-Fraktionssprecherin Rosmarie Quadranti (bdp, ZH) Eintreten als alternativlos dar; angesichts des Handlungsbedarfs sei Nichtstun jetzt «fahrlässig». Priska Seiler Graf (sp, ZH) hielt als Vertreterin der SP-Fraktion eine regelrechte Brandrede für Eintreten: Das Gesetz werde dringend benötigt und es sei «fatal», dass anstelle der Sicherheitsfragen vielmehr die finanziellen Folgen im Zentrum der Beratungen in der sicherheitspolitischen Kommission gestanden hätten. Sie warf der SiK «Arbeitsverweigerung» vor und wies darauf hin, dass man nach dem Eintreten die Möglichkeit hätte, das – je nach Ansicht überladene, unberechenbare oder lückenhafte – Gesetz zu «entrümpeln». Arbeitsscheue sei in diesem Fall jedoch «geradezu verantwortungslos», denn auch ein Versäumnis ziehe unbezifferbare Kosten nach sich. Ins gleiche Horn blies auch der Grünen-Vertreter Balthasar Glättli (gp, ZH), indem er Nichteintreten als «Dienstverweigerung» bezeichnete und argumentierte, dass Informationssicherheitslecks sowohl Reputations- als auch Finanzschäden zur Folge hätten. Auch Beat Flach (glp, AG) als Sprecher der GLP-Fraktion erschien es unverständlich, weshalb trotz erkanntem Handlungsbedarf nicht eingetreten werden sollte; ein weiteres Mal fiel das Wort «Arbeitsverweigerung». Die Abstimmung ergab schliesslich 117 zu 68 Stimmen für Nichteintreten (8 Enthaltungen). Obschon die Fraktionen der BDP, der SP, der Grünen und der GLP geschlossen für Eintreten votierten, besiegelte die geballte Stimmkraft des SVP-/FDP-/CVP-Blocks mit nur drei Abweichlern den Nichteintretensentscheid.