Im Nationalrat verlief die Beratung des Bundesgesetzes über die Digitalisierung im Notariat nicht annähernd so harmonisch wie zuvor in der Ständekammer. So hatte sich der Zweitrat in der Frühjahrssession 2023 zunächst mit einem Nichteintretensantrag einer Minderheit Addor (svp, VS) zu befassen. Wie der Minderheitssprecher ausführte, bestehe keine nachgewiesene praktische Notwendigkeit für ein solches Gesetz. Die Abwesenheit eines Bundesregisters für Urkunden schaffe aktuell keinerlei Schwierigkeiten und es bestehe kein Bedarf, ein solches zu schaffen. Zudem sei der Entwurf zu detailliert und gehe zu weit über die Frage der Digitalisierung hinaus, sodass er zu stark ins kantonale Notariatswesen eingreife. Nicht zuletzt bringe ein zentralisiertes Urkundenregister auch neue Datenschutzprobleme mit sich, gerade wenn der Zugang zu diesem Register wie im vorliegenden Entwurf unzureichend geregelt sei. Demgegenüber beantragte die Mehrheit der vorberatenden RK-NR Eintreten. Der digitale Geschäfts- und Amtsverkehr könne nur dann sinnvoll genutzt werden, wenn auch die entsprechenden Belege, bei denen es sich in vielen Fällen um öffentliche Urkunden handle, in elektronischer Form eingereicht werden können, hob Kommissionssprecher Beat Flach (glp, AG) den Zweck des Gesetzes hervor. Der Bund stelle nur das Urkundenregister zur Verfügung und greife ansonsten nicht in den notariellen Prozess ein. Die Kantone könnten das zentrale Register dann als Modul in ihre eigenen Softwarelösungen integrieren. Es sei aber «zentral, dass die Sicherheit und Langlebigkeit der Urkunden im ganzen Land einheitlich geregelt wird», erklärte der Berichterstatter. Im Gesetz seien nur die Grundsätze zu elektronischen öffentlichen Urkunden festgelegt, damit die detaillierten Ausführungsbestimmungen, die auf Verordnungsstufe geregelt werden sollen, einfacher den technischen Veränderungen angepasst werden können, so Flach weiter. Der Sensibilität der betreffenden Daten sei sich die Kommission durchaus bewusst, weshalb sie in diesem Bereich noch an der Vorlage nachgebessert habe. Nach ausführlicher Debatte trat der Nationalrat mit 134 zu 54 Stimmen bei einer Enthaltung auf den Entwurf ein. Für Nichteintreten votierten die geschlossene SVP-Fraktion sowie der Tessiner Mitte-Vertreter Marco Romano.
Die bereits erwähnten Präzisierungen zum Datenschutz, die die Kommissionsmehrheit vorschlug, wurden von einer Minderheit als unnötig erachtet, weil diese Fragen bereits im Datenschutzgesetz geregelt seien, so die Minderheitssprecherin Christa Markwalder (fdp, BE). Die Kommissionsmehrheit wollte im Gesetz explizit festschreiben, dass das Bundesamt für Justiz das zentrale Urkundenregister aufbaut und führt sowie dessen Betrieb, Weiterentwicklung und Sicherheit gewährleistet. Sowohl das BJ als auch die Stellen, die das System nutzen, sollen zudem ausdrücklich für die Gewährleistung des Datenschutzes und der Datensicherheit verantwortlich gemacht werden. Die Volkskammer hiess die vorgeschlagenen Ergänzungen mit 157 zu 38 Stimmen gegen den Widerstand aus den Fraktionen der GLP und der FDP gut. Eine Minderheit Kamerzin (mitte, VS), die noch weiter gehen wollte als die Kommissionsmehrheit und im Gesetz zusätzlich festschreiben wollte, dass sämtliche Zugriffe auf das Urkundenregister mit Angabe der Uhrzeit und der Identität der zugreifenden Person protokolliert werden müssen, scheiterte im Rat jedoch mit 113 zu 82 Stimmen. Sie wurde nur von den Fraktionen der SVP und der Mitte unterstützt. Kommissionssprecher Flach versicherte, die Zugriffsrechte würden auf dem Verordnungsweg geregelt und die Kommission werde «dann gewiss auch das Recht beanspruchen, diese Verordnungen anzuschauen». Alle übrigen Bestimmungen nahm der Nationalrat stillschweigend gemäss Antrag seiner Rechtskommission an. In der Gesamtabstimmung hiess er den Entwurf mit 142 zu 53 Stimmen gut. Abgelehnt wurde er von der geschlossenen SVP-Fraktion, die zu Beginn schon nicht darauf hatte eintreten wollen.

In Anbetracht der steigenden Vernetzung und Zahl von Datenbanken auf Bundes- und Kantonsebene forderte Beat Flach (glp, AG) mittels eines Postulats einen Bericht, welcher die Risiken der Datenbanken und den Handlungsbedarf bezüglich des Datenschutzes aufzeigen soll. Ferner solle der Bericht auch als Gesamtübersicht über die bestehenden Datenbanken, deren Art, Umfang und Zweck, deren Vernetzung und Zugriffe dienen. Um hohe Kosten im Schadensfall zu verhindern, sei es unerlässlich, die Risiken des Datentransfers zu kennen und Sicherheitslücken vorsorglich zu schliessen, argumentierte der Postulant. Der Bundesrat beantragte mit dem Argument des Legalitätsprinzips die Ablehnung des Postulats: Staatliche Datenbanken müssten demnach zwingend auf einer gesetzlichen Grundlage basieren, die deren Zweck, die Zugriffe und das Auskunftsrecht regle. Ausserdem sei die Transparenz solcher Datenbanken auf Bundesebene durch die Meldepflicht nach dem Datenschutzgesetz gewährleistet. Bezüglich kantonaler Datenbanken lägen die Kompetenzen hingegen vollständig bei den Kantonen. Justizministerin Karin Keller-Sutter merkte im Nationalratsplenum an, dass gewisse Herausforderungen bezüglich der Datensicherheit in Datenbanken bereits 2018 und 2019 in den Berichten «Zukunft der Datenbearbeitung und Datensicherheit» respektive «Herausforderungen der künstlichen Intelligenz» dokumentiert worden seien. Entgegen dem Antrag des Bundesrats nahm der Nationalrat das Postulat in der Herbstsession 2021 mit 167 zu 24 Stimmen bei 3 Enthaltungen an.

Der Nationalrat schrieb das Postulat Glättli (gp, ZH) zur Prüfung von Sicherheitsstandards für Internet-of-Things-Geräte in der Sommersession 2021 ab, nachdem es der Bundesrat mit einem Bericht erfüllt hatte.

Nachdem der Bundesrat im Januar 2021 den Entwurf der SPK-NR zur Änderung des Asylgesetzes (AsylG), gutgeheissen hatte, widmete sich der Nationalrat in der Sondersession 2021 als Erstrat dem Entwurf. Konkret schlug die SPK-NR vor, dem SEM das Recht zu erteilen, im Rahmen des Asyl- oder Wegweisungsverfahrens die mobilen Datenträger von Asylbewerbenden zu verwenden, deren Identität nicht anders festgestellt werden kann. Die Feststellung der Identität, der Staatsangehörigkeit und des Fluchtweges sei ein wichtiger Faktor für die Geschwindigkeit der Asylverfahren, insbesondere bei Personen, die keine Papiere mit sich tragen – was auf 70 bis 80 Prozent der Asylbewerbenden zutreffe. Die Möglichkeit zur Nutzung von Mobiltelefonen im Rahmen der Mitwirkungspflicht würde diesen Vorgang und somit das gesamte Verfahren beschleunigen, was wünschenswert sei, erklärte Marco Romano (mitte, TI) im Namen der Kommissionsmehrheit. Der zweite Kommissionssprecher, Damien Cottier (fdp, NE), erläuterte weiter, dass es das Ziel dieses Entwurfes sei, eine Brücke zu schlagen zwischen dem nötigen Zugang zu verlässlichen Informationen über die Identität der Antragstellenden und deren Privatsphäre. Letztere werde unter anderem dadurch sichergestellt, dass die Herausgabe der Datenträger nur als Ultima Ratio vorgesehen sei. Weiter solle die betroffene Person über die genauen Massnahmen und die Vorgehensweise informiert werden und in Begleitung eines Rechtsbeistandes bei der Auswertung persönlich anwesend sein. Ausserdem dürfe die Aushändigung nicht erzwungen werden und der Bundesrat solle nach drei Jahren eine Evaluation dieser Massnahmen vornehmen und einen entsprechenden Bericht veröffentlichen. Gregor Rutz (svp, ZH), auf dessen parlamentarische Initiative dieser Gesetzesentwurf zurückging, betonte im Namen der SVP-Fraktion, dass die Daten dabei helfen könnten, den Kampf gegen Schlepper-Netzwerke voranzubringen, und vielleicht sogar dabei, Kriegsverbrechen aufzudecken. Auch der Bundesrat sprach sich für die beantragte Gesetzesrevision aus, wobei er insbesondere die Regeln zur Wahrung der Verhältnismässigkeit und des Datenschutzes befürworte, wie Bundesrätin Karin Keller-Sutter ausführte.
Eine Minderheit um Balthasar Glättli (gp, ZH) wollte nicht auf die Vorlage eintreten, weil es das offensichtliche Ziel dieser Vorlage sei, dass Asylsuchende leichter abgewiesen und zurückgeführt werden können. Daten aus Deutschland zeigten, dass das Auswerten von mobilen Datenträgern fehleranfällig sei und oft nicht den gewünschten Effekt bringe. So habe nur in seltenen Fällen ein Widerspruch zu den Aussagen der betroffenen Personen aufgedeckt werden können. Für einen solch kleinen «materiellen Bonus» sei das Verfahren schlicht zu teuer und zu aufwendig, wie Glättli erklärte. Ada Marra (sp, VD) ergänzte, es sei höchst problematisch, dass mit dieser Gesetzesänderung den Asylsuchenden faktisch mehr Privatsphäre abgesprochen werde als Schwerverbrecherinnen und Schwerverbrechern; um die Daten der mobilen Datenträger in einem Strafverfahren durchsuchen zu dürfen, sei nämlich ein richterlicher Entscheid nötig, was hier nicht vorgesehen sei. Ähnlich schien es auch das UNHCR zu sehen, welcher sich in einer Stellungnahme kritisch zur vorgeschlagenen Gesetzesänderung geäussert hatte. Das Hochkommissariat hatte moniert, der starke Eingriff in die Privatsphäre der Schutzsuchenden, welche völkerrechtlich sowie durch die Bundesverfassung geschützt sei, werde zu wenig gut geregelt. Des Weiteren sei es – mit Blick auf die auch von Balthasar Glättli angesprochenen Evaluationen aus Deutschland – zu bezweifeln, dass die Massnahme wirklich das gewünschte Ziel erreiche. Gegen den Widerstand von Links-Grün trat der Nationalrat schliesslich mit 122 zu 65 Stimmen auf die Vorlage ein.
In der Detailberatung forderte Gregor Rutz, dass die mobilen Geräte bei Asylverfahren und Wegweisungsverfahren für fünf Tage zwangsweise entzogen werden dürfen, sollte eine betroffene Person diese nicht freiwillig abgeben. Rutz argumentierte, dieser Zwang könne auch präventiv wirken und die Gesuchstellenden dazu bewegen, von selbst aktiv mitzuwirken. Da dies lediglich die Klärung der Identität betreffe, gehe dieser Vorschlag zu weit, fand jedoch Kurt Fluri (fdp, SO), insbesondere da bereits die Verweigerung per se in den Asylentscheid mit einfliessen werde. Céline Widmer (sp, ZH) fügte an, dass auch der EDÖB klar vermerkt habe, dass die Durchsuchung der Daten nie unter Zwang geschehen dürfe. Und auch der Bundesrat habe in seiner Stellungnahme deutlich gemacht, dass ein Zwang die Verhältnismässigkeit verletzen würde, die nötig ist, um ein Grundrecht einzuschränken, führte Damien Cottier weiter aus. In der Folge lehnte der Nationalrat diese Forderung mit 117 zu 70 Stimmen bei einer Enthaltung ab, wobei sich neben der geschlossenen SVP-Fraktion auch die Hälfte der Mitte-Fraktion sowie einzelne Stimmen aus der FDP.Liberalen-Fraktion dafür aussprachen. Auf der anderen Seite versuchte Ada Marra ebenso erfolglos, die Regelung, dass Mobiltelefone beim Asylverfahren oder bei Rückweisungen genutzt werden dürfen, ganz zu streichen. Unterstützung erhielt sie aus der eigenen sowie der Grünen Fraktion. Ihre beiden Einzelanträge wurden somit mit 121 zu 65 Stimmen bei einer Enthaltung abgelehnt.
In einem zweiten Block wurde in insgesamt fünf Anträgen geklärt, welche Daten erhoben, wie lange sie gespeichert und wie sie verarbeitet werden dürfen. Auch hier lehnte der Nationalrat alle Minderheiten und Einzelanträge ab und stimmte somit dem Entwurf der SPK-NR unverändert zu. Gregor Rutz forderte etwa zum einen, dass die Notwendigkeit und die Verhältnismässigkeit des Verfahrens nicht in jedem Einzelfall neu geprüft werden müssen, und zum anderen, dass die betroffene Person nicht über das Verfahren aufgeklärt werden muss. Das Verfahren solle laut Rutz nicht zuletzt im Sinne der Betroffenen «fair, korrekt, aber auch effizient» sein, weshalb diese zeitintensiven Bedingungen zu streichen seien. Ausserhalb der Fraktionen der SVP und der Mitte erhielten die Anträge von Rutz allerdings keine Zustimmung. Es sei wichtig, dass die Menschen verstünden, worum es gehe und was mit ihren Daten passiere, verteidigte Kommissionssprecher Cottier die Auflagen. Céline Widmer (sp, ZH) übernahm zudem zwei Minderheitsanträge von Angelo Barrile (sp, ZH) für eine Verstärkung des Datenschutzes, die allerdings ebenfalls ausschliesslich von Mitgliedern der SP-, der Grünen- und der Grünliberalen-Fraktion unterstützt wurden und somit mit 111 zu 79 Stimmen abgelehnt wurden.
In der Gesamtabstimmung nahm der Nationalrat den Entwurf der SPK-NR mit 123 zu 65 Stimmen gegen den Willen der SP- und der Grünen-Fraktion sowie einem Mitglied der Grünliberalen an. Damit ging das Geschäft weiter an den Ständerat.

In der Wintersession 2020 nahm sich der Nationalrat als Zweitrat der Änderung des AHV-Gesetzes an, mit der den Behörden die systematische Verwendung der AHV-Nummer als Personenidentifikator erlaubt werden sollte. Die Grüne Fraktion beantragte die Rückweisung des Geschäfts an den Bundesrat, damit dieser statt der systematischen Erlaubnis zur Verwendung der AHV-Nummer die systematische Erlaubnis zur Verwendung einer nicht zurückrechenbaren Personennummer auf Basis der AHV-Nummer ins Auge fassen solle. Werde aus der AHV-Nummer zuerst eine registerspezifische, andere einmalige Nummer berechnet, aus der es jedoch umgekehrt nicht möglich ist, die AHV-Nummer zurückzurechnen, werde die unerlaubte Verknüpfung verschiedener Registerdaten zusätzlich erschwert und damit der Datenschutz besser gewahrt, begründete Grünen-Sprecher Balthasar Glättli (gp, ZH) das Anliegen seiner Fraktion. Den Mehraufwand für die registerspezifischen Identifikationsnummern erachtete eine breite Ratsmehrheit im Vergleich zum Sicherheitsgewinn – schliesslich habe nicht einmal der EDÖB etwas gegen die geplante systematische Verwendung der AHV-Nummer einzuwenden gehabt, so SP-Fraktionssprecher Cédric Wermuth (sp, AG) – jedoch als nicht verhältnismässig, wie es GLP-Fraktionssprecherin Corina Gredig (glp, ZH) zusammenfasste, und lehnte die Rückweisung mit 144 zu 37 Stimmen bei einer Enthaltung ab. Ebenso erfolglos blieben zwei Minderheitsanträge Barrile (sp, ZH), die beabsichtigten, den Kreis der zur systematischen Verwendung der AHV-Nummer berechtigten Stellen weiter einzuschränken als vom Bundesrat vorgesehen. Demgegenüber stimmte die grosse Kammer einem Einzelantrag Romano (cvp, TI) mit 160 zu 20 Stimmen bei 2 Enthaltungen zu und übernahm damit die vom Ständerat eingefügte Erweiterung der Befugnis zur systematischen Verwendung der AHV-Nummer auf tripartite Kommissionen, die die Einhaltung von allgemeinverbindlichen Gesamtarbeitsverträgen kontrollieren. Die vorberatende SPK-NR hatte auf diese Ergänzung verzichten und dem Bundesrat folgen wollen, weil sie befürchtete, diese Ausnahme vom Grundsatz, dass die Verwendung der AHV-Nummer staatlichen Akteuren vorbehalten ist, könnte auch bei anderen Privaten Begehrlichkeiten wecken. In der Gesamtabstimmung nahm der Nationalrat die somit differenzbereinigte Vorlage mit 145 zu 38 Stimmen bei 4 Enthaltungen an. Nebst den geschlossenen Grünen lehnte auch ein Teil der SVP-Fraktion den Entwurf ab. Zudem schrieb die Volkskammer das Postulat 17.3968 betreffend ein Sicherheitskonzept für Personenidentifikatoren stillschweigend ab. In der Schlussabstimmung hiess der Nationalrat das Gesetz mit 148 zu 44 Stimmen bei 2 Enthaltungen gut, während die Ständekammer dem Entwurf mit 39 zu 3 Stimmen zustimmte.

In der Herbstsession 2020 ging die Totalrevision des Datenschutzgesetzes in die dritte Runde der Differenzbereinigung. Zunächst hatte sich der Nationalrat mit den drei aus der letzten Runde verbleibenden Differenzen sowie einem Minderheitsantrag aus seiner SPK zu befassen. Die erste Differenz, welche die Definition der besonders schützenswerten Personendaten betraf, legte die grosse Kammer auf einstimmigen Antrag ihrer Kommission stillschweigend bei, indem sie sich der Definition des Ständerates anschloss. Demnach sind alle genetischen Daten, und nicht nur jene, die eine natürliche Person eindeutig identifizieren, besonders schützenswert.
Die zweite Differenz – und wie sich schon länger abgezeichnet hatte, der Hauptstreitpunkt des Geschäfts – war die Definition des Profilings. Cédric Wermuth (sp, AG) zeigte sich als Vertreter der Kommissionsminderheit enttäuscht über die Abkehr der Mehrheit vom gefunden geglaubten Kompromiss und bedauerte, dass seine links-grüne Ratsseite mit der Bereitschaft zur gemeinsamen Lösungssuche wohl «einen taktischen Fehler gemacht» habe. Die Kommissionsminderheit setzte sich für die ständerätliche Lösung ein, die einen risikobasierten Ansatz beim Profiling verfolgte und erhöhte Anforderungen für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person vorsehen wollte. Ein solch hohes Risiko wäre dann gegeben, wenn eine Verknüpfung von Daten eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer Person erlauben würde. Die Mehrheit der SPK-NR war indessen auf den ersten Beschluss des Nationalrats – und damit auf den Stand vor Beginn der Kompromissfindung zwischen den Parlamentskammern – zurückgeschwenkt, obwohl der Nationalrat in seiner zweiten Beratung der Gesetzesvorlage den risikobasierten Ansatz noch unterstützt hatte. Die Kommissionsmehrheit wollte nun doch keine verschiedenen Risikostufen für das Profiling festlegen, weil die EU-DSGVO keine solche Unterscheidung vornehme und das sogenannte «Swiss Finish» die Schweizer Wirtschaft unnötig einschränke. Die Minderheit Wermuth und der Bundesrat waren jedoch der Ansicht, dass die Fassung der Kommissionsmehrheit das Schutzniveau gegenüber der heutigen Regelung für Persönlichkeitsprofile senke, weil sie gar keine besonderen Anforderungen für das Profiling mehr stelle. Das Konzept der Mehrheit definiere zwar den Begriff Profiling, sehe dann aber gar keine Rechtsfolgen, beispielsweise das Verlangen einer Einwilligung der betroffenen Person, vor; «genau die gleiche Wirkung» erzielte man, wenn man im Gesetz definierte, «was ein blauer Pavian sei», echauffierte sich Wermuth über den «absurden» Mehrheitsvorschlag. Die links-grüne Ratsseite betonte zudem noch einmal, dass sie einem Gesetz, welches das geltende Schutzniveau unterschreite, auf keinen Fall zustimmen werde; der risikobasierte Ansatz beim Profiling sei für seine Fraktion «eine Conditio sine qua non», so Wermuth. Dennoch folgte der Nationalrat mit 98 zu 88 Stimmen bei 5 Enthaltungen seiner Kommissionsmehrheit. Die Fraktionen der SP, der Grünen und der GLP hatten sich trotz vereinzelter Unterstützung aus der Mitte und der FDP nicht durchsetzen können.
Als Drittes scheiterte ein Minderheitsantrag Glättli (gp, ZH), der ein explizites Widerspruchsrecht zum Profiling im Gesetz verankern wollte, mit 105 zu 84 Stimmen bei 2 Enthaltungen. Nach Ansicht der Mehrheit, die auch der Bundesrat unterstützte, war eine solche ausdrückliche Nennung nicht nötig, weil sich ein allgemeines Widerspruchsrecht gegen die Bearbeitung der eigenen Personendaten bereits aus anderen Bestimmungen des Datenschutzgesetzes ergebe.
Die letzte Differenz betraf die Frage, wie alt die bearbeiteten Daten sein dürfen, damit eine Kreditwürdigkeitsprüfung keine widerrechtliche Persönlichkeitsverletzung darstellt. Während die Kommissionsmehrheit hier am letzten nationalrätlichen Beschluss von zehn Jahren festhalten wollte, beantragte eine Minderheit Gredig (glp, ZH), dem Ständerat zu folgen und fünf Jahre zu beschliessen. Die Minderheitsvertreterin argumentierte, dass «ein Blick fünf Jahre in die Vergangenheit eines Menschen» ausreichen sollte, um dessen Kreditwürdigkeit zu prüfen. Auch hier setzte sich aber die bürgerliche Ratsseite durch und stimmte mit 104 zu 87 Stimmen bei einer Enthaltung dem Antrag der Kommissionsmehrheit zu.

Es verblieben für die letzte Beratung im Ständerat damit die zwei Differenzen bezüglich des Profilings und der zulässigen Daten für die Kreditwürdigkeitsprüfung. Letztere räumte die kleine Kammer aus, indem sie sich stillschweigend dem Nationalrat anschloss, wie es ihre SPK einstimmig beantragt hatte. Damit dürfen für eine Kreditwürdigkeitsprüfung bis zu zehn Jahre alte Daten beigezogen werden. Der Bundesrat, der fünf Jahre vorgeschlagen hatte, könne «gut damit leben», kommentierte EJPD-Vorsteherin Karin Keller-Sutter diesen Beschluss. Beim Profiling hielt der Ständerat hingegen ebenso stillschweigend an seinem Entscheid für die risikobasierte Variante fest, womit er eine Einigungskonferenz nötig machte, bei der sich die Ständekammer gute Erfolgschancen ausrechnete. Kommissionssprecher Daniel Fässler (cvp, AI) erklärte, weshalb die nationalrätliche Variante nicht DSGVO-konform und damit kein gangbarer Weg sei: Die DSGVO verbiete grundsätzlich jede Verarbeitung personenbezogener Daten, ausser es liege die Zustimmung der betroffenen Person oder ein anderer Rechtfertigungsgrund vor. Das Schweizer Datenschutzgesetz sei umgekehrt konzipiert, indem es die Verarbeitung von Personendaten grundsätzlich zulasse, sofern keine Ausnahme vorliege. Die Verankerung von qualifizierten Rechtsfolgen bei Profiling mit hohem Risiko sei daher notwendig, um das vorgegebene Schutzniveau zu halten.

Wie erwartet entschied sich die Einigungskonferenz im letzten Streitpunkt um das Profiling für die ständerätliche Version, dergemäss für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person erhöhte datenschutzrechtliche Anforderungen gelten. Der Nationalrat stimmte dem Antrag der Einigungskonferenz mit 134 zu 42 Stimmen bei einer Enthaltung zu, wobei sich nur die SVP-Fraktion grossmehrheitlich dagegen stellte. Kommissionssprecher Matthias Jauslin (fdp, AG) hatte das Ratsplenum um Zustimmung gebeten, weil die Schweiz – sowohl für ihre Bürgerinnen und Bürger als auch für die Wirtschaft – dringend ein modernes und von der EU in seiner Gleichwertigkeit anerkanntes Datenschutzgesetz brauche. Der Ständerat nahm den Antrag der Einigungskonferenz einstimmig an. In den Schlussabstimmungen zeigte sich dasselbe Stimmmuster: Der Nationalrat stimmte mit 141 zu 54 Stimmen (alle SVP) bei einer Enthaltung für das totalrevidierte Datenschutzgesetz, während es der Ständerat einstimmig annahm. Damit kamen die parlamentarischen Beratungen des Datenschutzgesetzes nach über drei Jahren mit zum Teil emotional ausgetragenen Meinungsverschiedenheiten doch noch zu einem mehrheitlich versöhnlichen Abschluss.

Nachdem der Nationalrat im zweiten Anlauf im Sommer 2020 doch noch auf das Geschäft eingetreten war, widmeten sich die eidgenössischen Räte in der Herbstsession der Differenzbereinigung beim Informationssicherheitsgesetz. Der Ständerat, der als Erstes an der Reihe war, zeigte sich in zwei Punkten nicht bereit, den Beschlüssen des Nationalrats zu folgen. Mit stillschweigender Zustimmung strich er erstens den von der Volkskammer eingefügten Absatz, dass der Bundesrat seine Ziele und die Kosten für die Informationssicherheit zwingend den sicherheitspolitischen Kommissionen zur Konsultation vorlegen muss, wieder aus dem Gesetz. Nach Ansicht der SiK-SR war diese Bestimmung überflüssig, was auch Bundesrätin Viola Amherd bekräftigte: Die Fachkommissionen könnten wie die Finanzkommission und die Finanzdelegation jederzeit verlangen, dass sie zu einem Thema konsultiert würden, und dieser Forderung werde immer nachgekommen. Zweitens hielt die Kantonskammer an ihrem Beschluss fest, dass die AHV-Nummer systematisch zur Personenidentifikation im Rahmen des Informationssicherheitsgesetzes verwendet werden darf. Eine Minderheit Zopfi (gp, GL) hatte beantragt, den Beschluss des Nationalrats zu übernehmen, dass die AHV-Nummer nur vorübergehend zur Erzeugung einer nicht zurückrechenbaren Personennummer verwendet werden darf, unterlag jedoch mit 31 zu 10 Stimmen bei einer Enthaltung klar. VBS-Vorsteherin Viola Amherd hatte dem Rat in Erinnerung gerufen, dass er im Juni der Änderung des AHV-Gesetzes zugestimmt habe, das den Behörden generell die systematische Verwendung der AHV-Nummer erlaube; es mache darum keinen Sinn, hier jetzt eine andere Regelung festzuschreiben. In den übrigen, redaktionellen Differenzen schloss sich der Ständerat stillschweigend dem Nationalrat an.
Die zwei vom Ständerat aufrechterhaltenen Differenzen waren anschliessend im Nationalrat hochumstritten. Während die Mehrheit der SiK-NR sich bereit erklärte, auf die ausdrückliche Erwähnung der Konsultationspflicht des Bundesrates zu verzichten, beantragte eine Minderheit Hurter (svp, SH) deren Beibehaltung. Es handle sich dabei um eine «Notbremse», um zu verhindern, dass die Kosten aus dem Ruder laufen, und er verstehe nicht, so Hurter, «warum Sie sich weigern, Informationen zu erhalten». Abgesehen von der geschlossenen SVP-Fraktion und drei Abweichlern aus der Mitte hielt die grosse Kammer diesen Passus jedoch für unnötig und strich ihn endgültig aus dem Gesetz. Während sich eine Minderheit Riniker (fdp, AG) für die systematische Verwendung der AHV-Nummer und damit die Bereinigung auch dieser Differenz starkmachte, wollte die Kommissionsmehrheit am Beschluss festhalten, dass die AHV-Nummer nur einmalig zur Erzeugung einer nicht zurückrechenbaren Identifikationsnummer verwendet werden darf und aus Gründen des Datenschutzes nachher gelöscht werden muss. Die Grundsatzfrage der systematischen Verwendung der AHV-Nummer durch alle Behörden solle im Rahmen der entsprechenden Revision des AHV-Gesetzes geklärt und nicht bereits hier vorweggenommen werden, argumentierte etwa Grünen-Sprecher Balthasar Glättli (gp, ZH). Äusserst knapp mit 90 zu 87 Stimmen bei 9 Enthaltungen erhielt die grosse Kammer diese Differenz aufrecht, womit sich der Ständerat noch einmal damit befassen muss.

In der Sommersession 2020 beugte sich der Nationalrat, nachdem er bei seiner ersten Beratung im Frühling 2018 nicht auf das Geschäft eingetreten war, zum zweiten Mal über den Entwurf zum Informationssicherheitsgesetz (ISG). Die SiK-NR hatte in der Zwischenzeit die angeforderten Verbesserungsvorschläge vom VBS bezüglich der Kosten für öffentliche und private Unternehmen, zur verstärkten Kontrolle des Parlaments bei der Anwendung und Überwachung des Gesetzes, zur Abstimmung des ISG auf die Nationale Strategie zum Schutz der Schweiz vor Cyberrisiken sowie zur Möglichkeit, den Bereich Personensicherheitsüberprüfung in einen separaten Erlass auszulagern, erhalten und diskutiert. Sie beantragte ihrem Rat nun, auf die Vorlage einzutreten. Vertreterinnen und Vertreter sämtlicher Fraktionen ausser der SVP – deren Sprecher David Zuberbühler (svp, AR) das Gesetz als «umfangreiches und komplexes Bürokratiemonster» bezeichnete und die hohen Umsetzungskosten kritisierte – betonten unisono die dringende Notwendigkeit des Gesetzes im Zeitalter der Digitalisierung und sahen die Kosten angesichts des hohen Schadenspotenzials bei Cyberangriffen als verhältnismässig an. Auch Bundesrätin Viola Amherd hob hervor, dass die Kosten zur Umsetzung des ISG «im Verhältnis zu dessen Nutzen gering und gerechtfertigt» seien, denn das ISG werde «zahlreiche wesentliche Sicherheitslücken schliessen, Einheitlichkeit schaffen und gleichzeitig die Effizienz und Wirksamkeit der bestehenden Sicherheitsmassnahmen erhöhen». Nicht zuletzt sei auch die international tätige Wirtschaft auf das Gesetz angewiesen, da sich die entsprechenden Unternehmen sonst nicht mehr zertifizieren lassen und keine Aufträge im sicherheitsrelevanten Bereich mehr ausführen könnten; «das wäre dann der Schaden für die Wirtschaft, nicht die etwas vermehrten Kosten, die sich durch dieses Gesetz ergeben», so die VBS-Chefin weiter. So trat der Nationalrat diesmal ohne Gegenantrag auf die Vorlage ein.
In der Detailberatung schuf die grosse Kammer zwei Differenzen zum Ständerat. Erstens ergänzte sie auf Antrag ihrer Kommission einen Absatz, wonach der Bundesrat seine Ziele und die Kosten für die Informationssicherheit den sicherheitspolitischen Kommissionen vorlegen muss. Damit sollen diese auf jeden Fall zu einem allfällig geplanten Wechsel des Sicherheits-Ambitionsniveaus, das vom Bundesrat festgelegt wird, konsultiert werden, weil der Wechsel auf eine höhere Sicherheitsstufe beträchtliche Mehrkosten nach sich ziehen würde. Der Bundesrat hatte diese Änderung abgelehnt, weil sie angesichts der ohnehin umfassenden Kontrollrechte des Parlaments über den Bundesrat und die Verwaltung in seinen Augen überflüssig sei, unterlag mit diesem Antrag jedoch deutlich. Zweitens schloss sich der Nationalrat in der Frage der Verwendung der AHV-Nummer als Personenidentifikator wieder dem Entwurf des Bundesrats an, nachdem der Ständerat hier weiter gegangen war und die systematische Verwendung der AHV-Nummer hatte erlauben wollen. In der bundesrätlichen Version, für die sich die Kommissionsmehrheit stark gemacht hatte, darf die AHV-Nummer einmalig zur Personenidentifikation verwendet werden, muss nach der Erzeugung einer nicht zurückrechenbaren Personennummer aber gelöscht werden. Eine Minderheit Keller-Inhelder (svp, SG), die gar keine Verwendung der AHV-Nummer erlauben wollte, und eine Minderheit Flach (glp, AG), die den ständerätlichen Beschluss stützte, blieben chancenlos – letztere sogar, obwohl sich der Bundesrat mittlerweile ebenso für die systematische Verwendung der AHV-Nummer aussprach, weil diese mit einer Revision des AHV-Gesetzes sowieso eingeführt werden sollte. Mit diesen zwei inhaltlichen Änderungen sowie einigen redaktionellen Anpassungen übergab der Nationalrat die Vorlage in der Gesamtabstimmung mit 131 zu 53 Stimmen bei einer Enthaltung – sämtliche Opposition aus der SVP-Fraktion – wieder an den Ständerat.

In Erfüllung zweier Postulate Glättli (gp, ZH; Po. 17.4295) und Reynard (sp, VS; Po. 19.3199) erstellte der Bundesrat einen Bericht zu Sicherheitsstandards für Internet-of-Things-Geräte. Er hielt darin mehrere Ansatzpunkte für die Gewährleistung der Sicherheit des Internet of Things (IoT) fest. Erstens seien es oft die Nutzerinnen und Nutzer selber, die die Sicherheit ihrer IoT-Geräte durch leichtfertigen Gebrauch oder Einsatz unsicherer Produkte negativ beeinflussten. Hier gelte es, die Bevölkerung verstärkt zu sensibilisieren und zur Einhaltung grundlegender Verhaltensgrundsätze für einen sicheren Betrieb zu motivieren. Zweitens sei es für den sicheren Einsatz von IoT-Geräten in Unternehmen entscheidend, das IoT als integralen Bestandteil der IT-Infrastruktur zu sehen und bestehende Standards für die IT-Sicherheit auch darauf anzuwenden. Hierzu könnten vom Staat Leitfäden erstellt und der Austausch unter Anwenderinnen und Anwendern gefördert werden. Drittens müssten auch die Hersteller von IoT-Geräten ihre Verantwortung wahrnehmen und Mindestanforderungen an die Informationssicherheit und den Datenschutz erfüllen. Der Staat könne dies durch Erlassen entsprechender Richtlinien und Vorschriften unterstützen. Allerdings müssten neue Vorgaben in internationaler Zusammenarbeit erarbeitet werden, da Vorschriften einzelner Staaten keine ausreichende Wirkung auf die Hersteller hätten und damit höchstens zu Marktverzerrungen führen würden. Alles in allem könne bei konsequenter Umsetzung der bestehenden Richtlinien für IoT-Geräte bereits ein hohes Mass an Cybersicherheit erreicht werden. Das Thema werde vom NCSC im Rahmen der NCS weiterverfolgt, kündigte der Bundesrat abschliessend an. Dabei solle geprüft werden, inwiefern Lösungsansätze wirtschaftsverträglich realisiert werden können.

Wie bereits anlässlich der Überweisung des Postulats Reynard (sp, VS) zur Verbesserung der Sicherheit von mit dem Internet verbundenen Produkten angekündigt, erfüllte der Bundesrat das Anliegen im selben Bericht wie das thematisch verwandte Postulat Glättli (gp, ZH; Po. 17.4295). Der entsprechende Bericht zu Sicherheitsstandards für Internet-of-Things-Geräte wurde Ende April 2020 veröffentlicht.

Bei der Totalrevision des Datenschutzgesetzes begann in der Frühjahrssession 2020 der Nationalrat mit der Differenzbereinigung. Als Kernpunkt der Vorlage identifizierte Kommissionssprecher Matthias Jauslin (fdp, AG) die Bestimmungen zum sogenannten Profiling (d.h. automatisierte Datenbearbeitung zur Bewertung bestimmter Aspekte einer Person). Einig war man sich hier inzwischen geworden, dass im Sinne eines risikobasierten Ansatzes irgendwie zwischen verschiedenen Arten von Profiling unterschieden werden muss. Weder der Ansatz des Bundesrates, an alle Arten von Profiling erhöhte Datenschutzanforderungen zu stellen, noch der vom Nationalrat als Erstrat beschlossene Verzicht auf jegliche Regulierung des Profilings wurden nunmehr als gangbare Wege betrachtet. Um die richtige Lösung für die Definition der verschiedenen Risikostufen wurde allerdings noch gerungen. Der ständerätliche Vorschlag, Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person von gewöhnlichem Profiling zu unterscheiden, war in der SPK-NR auf Skepsis gestossen, weil in der Praxis fast jedes Profiling die einschlägigen Kriterien – die bearbeiteten Personendaten stammen entweder aus verschiedenen Quellen oder betreffen verschiedene Lebensbereiche – für hohes Risiko erfülle. Während die SP- und die Grüne Fraktion den Minderheitsantrag Glättli (gp, ZH) auf Beibehaltung der ständerätlichen Lösung unterstützten, sprach sich die Ratsmehrheit für einen Minderheitsantrag Jauslin aus, der es mit einer anderen Risikodefinition versuchte. Jedoch wurde auch dieser Vorschlag nicht als ausgereift angesehen. Im Prinzip war es einerlei, ob die Kommissionsmehrheit oder die Minderheit Jauslin obsiegte; das Hauptanliegen der Ratsmehrheit war es, hier die Differenz aufrechtzuerhalten, damit die Diskussion dieser Problematik weitergeführt werde. Die linke Ratsseite machte indes klar, dass diese Bestimmungen die «Pièce de Résistance» dieses Gesetzes seien, wie es deren Wortführer Cédric Wermuth (sp, AG) und Balthasar Glättli ausdrückten. Eine laschere Regelung als diejenige des Ständerates wollten sie nicht akzeptieren. Zusammen mit der SVP, die das Gesetz ohnehin als «Meisterwerk der Bürokratie» (Gregor Rutz, svp, ZH) ablehnte, könnte diese Drohung, je nach Entscheid des Ständerats, im Hinblick auf die Schlussabstimmungen noch brisant werden, mutmasste der Tages-Anzeiger.
Bei einigen weiteren umstrittenen Punkten erhielt der Nationalrat die Differenz zum Ständerat aufrecht, indem er an seinen Beschlüssen als Erstrat festhielt. So definierte die grosse Kammer nach wie vor nur jene genetischen Daten als besonders schützenswerte Personendaten, die eine Person eindeutig identifizieren. Der besondere Schutz aller genetischen Daten schaffe Rechtsunsicherheit für die Forschung, so das Argument der Kommissionsmehrheit, die den entsprechenden Antrag gestellt hatte. Des Weiteren sah die Volkskammer keine Notwendigkeit, dass der betroffenen Person bei der Beschaffung von Personendaten zwingend die Liste ihrer Rechte und gegebenenfalls die Absicht des Bearbeitenden, eine Kreditwürdigkeitsprüfung vorzunehmen, mitgeteilt werden müssen, um die der Ständerat die Informationspflicht ergänzt hatte. An der als Erstrat noch eingefügten Ausnahme von der Informationspflicht bei unverhältnismässigem Aufwand hielt der Nationalrat hingegen nicht mehr fest, weil sie wohl nicht mit den EU-Kriterien für ein angemessenes Datenschutzniveau vereinbar wäre. Hinsichtlich der Kreditwürdigkeitsprüfung beharrte die grosse Kammer jedoch darauf, dass dafür Daten der letzten zehn, anstatt wie vom Bundesrat und vom Ständerat vorgesehen nur der letzten fünf, Jahre beigezogen werden dürfen.
In zwei weiteren wichtigen Punkten räumte der Nationalrat die Differenzen aus, indem er dem Beschluss des Ständerates folgte. Er hiess einerseits das vom Ständerat eingeführte «Konzernprivileg» gut, das die Datenweitergabe innerhalb von Konzernen erleichtert, indem die Weitergabe zwischen Unternehmen, die von derselben juristischen Person kontrolliert werden, nicht als Weitergabe an Dritte betrachtet wird. Auch hier bestehe aber noch Nachbesserungsbedarf, stellte Kommissionssprecher Jauslin fest, da die Erleichterung bei sehr grossen Konzernen, deren Unternehmen zwar durch die gleiche juristische Person kontrolliert werden, aber verschiedene Geschäftstätigkeiten ausüben, eventuell zu weit gehe. SP-Vertreter Cédric Wermuth hatte anhand von Alphabet, dem Mutterkonzern von Google, auf dieses Problem aufmerksam gemacht, da zu Alphabet «inzwischen die halbe Internetinfrastruktur» gehöre. Der Kommissionssprecher drückte indes seine Hoffnung aus, dass der Bundesrat in der Verordnung eine Lösung für solche Fälle finde. Andererseits beliess der Nationalrat die Strafbestimmung, die bei Verletzung der Sorgfaltspflichten für die Datensicherheit eine Busse von bis zu CHF 250'000 androht, im Gesetz. In seiner ersten Beratung hatte er diese noch gestrichen, vom Ständerat war sie dann aber wieder eingefügt worden, da eine solche Strafbestimmung zu den Anforderungen für die Datenschutzäquivalenz der EU gehöre. Mit einer Handvoll verbliebener der anfänglich elf Differenzen überwies die Volkskammer den Entwurf wieder an die Ständekammer.

In der Herbstsession 2019 ging das Bundesgesetz über elektronische Identifizierungsdienste (E-ID-Gesetz) in die Differenzbereinigung. In der ersten Runde konnte sich die bürgerliche Mehrheit im Nationalrat bei allen Streitpunkten durchsetzen, womit die Volkskammer an ihren ursprünglichen Positionen festhielt und keine grosse Kompromissbereitschaft an den Tag legte. Obwohl sich die Frage um das Vertrauen der Bürgerinnen und Bürger in die E-ID wie ein roter Faden durch die Debatte zog, schienen die diesbezüglichen Überlegungen die Entscheidungen des Rats nur wenig zu beeinflussen. So lehnte der Nationalrat sowohl den von einer Minderheit Arslan (basta, BS) geforderten Zwang als auch die vom Ständerat eingeführte, vorbedingungslose Möglichkeit für den Staat zur Herausgabe einer E-ID ab und hielt an der rein subsidiären staatlichen Herausgabe fest, obwohl sich Bundesrätin Karin Keller-Sutter für den ständerätlichen Kompromiss ausgesprochen hatte. Der Staat sollte sich auch nicht wie vom Ständerat vorgesehen an privaten E-ID-Anbietern (Identity Providern) beteiligen können. Des Weiteren hielt die grosse Kammer an der Nennung der Sorgfaltspflichten im E-ID-Gesetz fest und strich lediglich die Delegationsnorm, welche die Konkretisierung der Sorgfaltspflichten durch den Bundesrat vorgesehen hätte. Eine Minderheit Flach (glp, AG) blieb mit dem Vorschlag eines Mittelwegs erfolglos, der das explizite Verbot der Weitergabe der E-ID streichen, die abstrakte Beschreibung der Sorgfaltspflichten aber beibehalten wollte. Ebenfalls erfolglos blieb die durch Beat Flach eingebrachte Forderung des Konsumentenschutzes, dass Dienstleistungen, für die eine E-ID der Sicherheitsstufe «niedrig» ausreicht, auch ohne E-ID genutzt werden können müssen. Da die Angst, im Internet eine Datenspur zu hinterlassen, nachvollziehbar sei, hatte sich Bundesrätin Keller-Sutter auch hierfür vergebens stark gemacht. Die vom Ständerat neu eingeführte E-ID-Kommission (Eidcom) als unabhängige Stelle zur Anerkennung und Kontrolle der Identity Provider blieb im Nationalrat vorerst ebenso chancenlos wie die von der Schwesterkammer verschärften Datenschutzbestimmungen.
Im Ständerat erklärte es Kommissionssprecher Beat Vonlanthen (cvp, FR) zum Ziel dieses Gesetzgebungsprozesses, dass das Gesetz bzw. die E-ID «vertrauenswürdig sein und in einer allfälligen Volksabstimmung bestehen können» müssten. In diesem Lichte hielt die Kantonskammer an ihren Positionen zur Möglichkeit für eine staatliche Herausgabe der E-ID und für eine staatliche Beteiligung an Identity Providern sowie zur Einführung der Eidcom, die sie allesamt als zentral für die Vertrauensbildung in der Bevölkerung erachtete, stillschweigend fest. Einen Schritt auf ihre Schwesterkammer zu machte sie bei den Sorgfaltspflichten, wo sie sich für den zuvor im Nationalrat diskutierten, aber dort noch abgelehnten Mittelweg Flach entschied. Mit der im Nationalrat abgelehnten, zwingenden Alternative zur E-ID bei Dienstleistungen, die nur Sicherheitsstufe «niedrig» verlangen, fand das Anliegen des Konsumentenschutzes im Ständerat Gehör und wurde ins Gesetz aufgenommen. Zugeständnisse an den Nationalrat machte die kleine Kammer auch beim Datenschutz, indem sie einen Kompromiss einführte, wonach die Zweckbindung der Datenverarbeitung erhalten bleiben, eine Bearbeitung durch Dritte im Rahmen des Datenschutzgesetzes aber erlaubt sein soll, um die konzerninterne Arbeitsteilung und das Outsourcing der Datenbearbeitung nicht zu verunmöglichen.
Während sich der Nationalrat bei den Sorgfaltspflichten schliesslich auf den Mittelweg Flach einliess und diese Differenz damit ausräumte, brachte die RK-NR einen neuen Vorschlag betreffend die Rolle des Staates vor. Demnach soll der Staat nur dann selber ein E-ID-System betreiben dürfen, wenn die Zwecke der E-ID gemäss Art. 1 BGEID nicht erfüllt werden. Der Bundesrat unterstützte diese Subsidiaritätsregel nun, da sie die Voraussetzungen für das Tätigwerden des Staates klar formuliere und der Bund auch ohne diese Einschränkung ohnehin nur mit gebührender Zurückhaltung agiert hätte. Entgegen einer Minderheit Min Li Marti (sp, ZH), die von der SP-, der Grünen- sowie einzelnen Mitgliedern der FDP-Fraktion getragen wurde und an der ständerätlichen Version festhalten wollte, entschied sich die grosse Kammer für diesen neuen Kompromiss. Bezüglich der Eidcom hatte sich die Mehrheit der RK-NR seit der letzten Beratung umstimmen lassen; sie setzte sich nun gemeinsam mit dem Bundesrat für deren Einführung als unabhängige Aufsicht ein, da der Staat, würde er subsidiär tätig, sich im Falle der Aufsicht durch das Informatiksteuerungsorgan des Bundes letztlich selber beaufsichtigen würde. Die Mehrheit des Nationalratsplenums liess sich davon überzeugen und schloss sich mit 113 zu 69 Stimmen dem Ständerat an, während die SVP- und die BDP-Fraktionen sowie einige FDP-Vertreterinnen und -vertreter dagegen votierten. Dem ständerätlichen Kompromiss beim Datenschutz stimmte die grosse Kammer stillschweigend ebenfalls zu.
In der einen verbleibenden Differenz zum subsidiären E-ID-System des Bundes schloss sich der Ständerat schliesslich stillschweigend dem neuen nationalrätlichen Vorschlag an. Die so bereinigte Vorlage passierte die Schlussabstimmung im Nationalrat mit 144 zu 51 Stimmen bei 2 Enthaltungen und jene im Ständerat mit 35 zu 2 Stimmen bei 8 Enthaltungen. Wie bereits seit längerem angekündigt, zeigten sich die SP und die Grünen nicht zufrieden mit dem Gesetz, weil sie sich die Herausgabe der E-ID durch den Staat gewünscht hätten. Das letzte Wort in dieser Angelegenheit dürfte wohl das Volk haben, mutmasste die Presse.

Der Totalrevision des Datenschutzgesetzes und der Änderung weiterer Erlasse zum Datenschutz nahm sich in der Herbstsession 2019 der Nationalrat als Erstrat an. Das ein Jahr zuvor verabschiedete und am 1. März 2019 in Kraft getretene Schengen-Datenschutzgesetz, das aus Gründen der zeitlichen Dringlichkeit zunächst nur die Schengen-relevanten Anpassungen umsetzte, wird mit der Annahme des totalrevidierten Gesetzes wieder ausser Kraft treten. Mit der Totalrevision sollen über die Schengen-Anforderungen hinausgehend einerseits die Schwächen des heutigen Datenschutzrechts, das noch aus einer Zeit vor dem Internet stammt, behoben und andererseits die Entwicklungen auf EU- und Europarats-Ebene aufgenommen werden. Besonders bedeutsam für die Schweiz ist hierbei, von der EU weiterhin als Drittstaat mit angemessenem Datenschutzniveau anerkannt zu werden. Ansonsten, so wurde befürchtet, wäre die Schweizer Wirtschaft mit erheblichen Wettbewerbsnachteilen konfrontiert, da Schweizer Unternehmen nicht mehr so einfach Daten mit Firmen in der EU austauschen könnten. Bis im Mai 2020 wird die EU die Äquivalenz des Schweizer Datenschutzes beurteilen, was eine gewisse Dringlichkeit für die Revision gebietet.
Wie schwierig dieses Unterfangen werden würde, hatte sich schon in der vorberatenden SPK-NR abgezeichnet: Nur mit Stichentscheid des Präsidenten Kurt Fluri (fdp, SO) hatte sich die Kommission im August 2019 durchgerungen, die Vorlage nach mehr als einem Jahr Arbeit überhaupt vors Ratsplenum zu bringen. Die wichtigsten Anpassungen der Kommission am bundesrätlichen Entwurf waren die neu einzuführende Direktwahl des EDÖB durch die Bundesversammlung, die Einführung eines Rechts auf Datenportabilität, die Anpassung der Definition der besonders schützenswerten Personendaten sowie der Verzicht auf eine besondere Regelung für den Umgang mit Daten verstorbener Personen und auf eine ausdrücklich erforderliche Einwilligung zum Profiling. Im Rahmen ihrer Beratungen hatte die SPK-NR zudem sechs Motionen zur Vervollständigung der Datenschutzbestimmungen in weiteren Gesetzen eingereicht.
Kurz vor der Debatte im Nationalrat hatte das Bundesamt für Justiz überdies eine Liste dazu veröffentlicht, welche problematischen Differenzen es zwischen dem Kommissionsvorschlag und den Anforderungen der EU sehe. Auch EDÖB Adrian Lobsiger hatte in der Presse bezweifelt, dass das von der Kommissionsmehrheit vorgeschlagene Gesetz mit dem verlangten Niveau der EU-Datenschutzgrundverordnung (DSGVO) mithalten könne; beim Entwurf des Bundesrates hätte er indes keine Probleme gesehen.
Während der strittige Vorschlag der Kommissionsmehrheit für die SVP bereits zu weit ging, bemängelten SP, Grüne und GLP, er sei zu lasch. Wirtschaftsverbände drängten unterdessen auf eine möglichst rasche, EU-konforme Lösung. So wurde im Vorfeld der nationalrätlichen Debatte von den Mitte- und Linksparteien noch fieberhaft nach Kompromissen gesucht, um den drohenden Absturz der Revision zu verhindern.

In der Eintretensdebatte in der grossen Kammer wurde von allen Seiten – ausser von der SVP-Fraktion – betont, wie wichtig und notwendig das vorliegende Revisionsprojekt sei, sowohl um den Datenschutz dem Internetzeitalter anzupassen als auch um den Datenschutz auf ein der EU gleichwertiges Niveau zu bringen, auch wenn man in den Details der Ausgestaltung verschiedene Ansichten vertrat. Die SVP betrieb hingegen Fundamentalopposition gegen «diesen bürokratischen Unsinn», wie Fraktionsvertreter Gregor Rutz (svp, ZH) das neue Gesetz nannte, denn es sei insgesamt, vor allem für KMU, schlechter als das geltende Datenschutzgesetz – ein Argument, das wenig später durch das Votum von FDP-Vertreter Kurt Fluri (fdp, SO) entkräftet werden sollte, der berichtete, dass der Gewerbeverband die Stossrichtung der Kommissionsmehrheit begrüsse und die Rückweisung nicht unterstütze. Mit der DSGVO verkaufe die EU laut Rutz ihre Bürger für dumm, da sie «kein Mensch» verstehe. «Wir haben langsam genug davon, jeden Unsinn aus der EU ungesehen zu übernehmen!», ärgerte sich der SVP-Vertreter und rief das Ratsplenum auf, die Vorlage an den Bundesrat zurückzuweisen mit dem Auftrag, sie zu entschlacken und EU-Vorschriften nur dort zu übernehmen, wo es unumgänglich sei. Auch eine linke Minderheit hatte ursprünglich die Rückweisung, allerdings an die Kommission, beantragt und diese beauftragen wollen, die Vereinbarkeit der Vorlage mit dem Übereinkommen SEV 108 des Europarats, die Äquivalenz mit dem EU-Datenschutzrecht, die Kompatibilität mit den Schengen-Verträgen und die Nicht-Unterschreitung des heute geltenden Schutzniveaus sicherzustellen. Um die doch eher dringliche Revision nicht unnötig zu verlangsamen und um sich einer «produktiven Diskussion» nicht zu verschliessen, zog Cédric Wermuth (sp, AG) diesen Antrag jedoch «im Sinne eines Vorschussvertrauensbeweises» zurück und hoffte, das Gesetz während der Beratung noch auf eine den genannten Forderungen nähere Linie bringen zu können. Der Rückweisungsantrag der SVP-Minderheit wurde mit 120 zu 66 Stimmen (1 Enthaltung) deutlich verworfen; ausserhalb der geschlossenen SVP-Fraktion sah niemand eine Rückweisung als den richtigen Weg an.

Im Laufe der Detailberatung musste der Nationalrat über 45 Minderheits- und mehrere Einzelanträge befinden, die zu einem beträchtlichen Teil die Unterstützung des Bundesrates genossen – hauptsächlich immer dort, wo die Kommissionsmehrheit mit ihrem Vorschlag einen schwächeren Datenschutz wollte als der Bundesrat und somit das heute geltende Schutzniveau oder die Anforderungen der EU und/oder des Europarats unterschreiten wollte. So war die Kommissionsmehrheit bestrebt, sowohl die Daten über gewerkschaftliche Ansichten und Tätigkeiten als auch die Daten über Massnahmen der sozialen Hilfe aus dem Katalog der besonders schützenswerten Daten, für deren Bearbeitung besondere Anforderungen gelten, zu streichen. Während eine bürgerliche Ratsmehrheit die Streichung der Daten über gewerkschaftliche Ansichten und Tätigkeiten guthiess, schwenkte der Nationalrat bei den Daten über Massnahmen der sozialen Hilfe – neben Sozialhilfedaten sind davon auch solche über Sozialversicherungsmassnahmen bei Krankheit oder Unfall, Massnahmen der Vormundschaftsbehörden oder KESB, die fürsorgerische Unterbringung in psychiatrischen Kliniken, Ergänzungsleistungen und Prämienverbilligungen erfasst – auf die Linie des Bundesrates zurück und beliess sie im Katalog. Grünen-Vertreter Balthasar Glättli (gp, ZH) hatte zuvor mit Nachdruck klargemacht, dass deren Streichung für die Grünen und die SP ein Grund wäre, dem Gesetz die Zustimmung zu verweigern. Eine ähnliche Drohung sprach SVP-Fraktionssprecher Gregor Rutz aus, als die Einschränkung des Geltungsbereichs des DSG auf natürliche Personen zur Debatte stand: Einem Gesetz, das – anders als bisher – keinen Datenschutz für juristische Personen mehr vorsehe, werde man «nie im Leben» zustimmen können. Alle anderen Fraktionen befanden den Schutz für juristische Personen durch andere gesetzliche Bestimmungen jedoch als ausreichend und so glich der Nationalrat das DSG mit der Streichung des Schutzes juristischer Personen an die europäischen Regeln an. Bei der Frage der Anforderungen für das sogenannte Profiling zeichnete sich während der Diskussion ab, dass man an diesem Tag keine zufriedenstellende Lösung finden würde. Für jegliche Formen des Profilings, das die Aargauer Zeitung treffend als die «automatisierte Auswertung von Daten, mit denen bestimmte Merkmale einer Person bewertet werden, um etwa Vorhersagen über ihr künftiges Verhalten zu treffen» definierte, hatte der Bundesrat eine ausdrückliche Einwilligung der betroffenen Person voraussetzen wollen, wie sie auch zur Bearbeitung besonders schützenswerter Personendaten vorgesehen war. Da das geltende Recht so eine Regelung für das Erstellen von Persönlichkeitsprofilen umfasst, würde eine komplette Streichung der ausdrücklichen Einwilligung zum Profiling, wie es die Kommissionsmehrheit vorgeschlagen hatte, ein Rückschritt vom aktuellen Schutzniveau darstellen. In der Diskussion wurde mehrheitlich anerkannt, dass verschiedene Formen des Profilings unterschieden werden müssten, da es, wie es Balthasar Glättli erklärte, durchaus einen Unterschied mache, ob Profiling zur Erstellung von passenden Bücherempfehlungen, zur Abschätzung des Risikos für eine Versicherung oder zur Vorhersage der politischen Entscheidungen einer Person gebraucht werde. Der Bundesrat unterstützte folglich einen Einzelantrag Glättli, der eine ausdrückliche Einwilligung nur für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person vorsah. Die Fraktionen der Grünen, SP und GLP unterstützten diesen Antrag ebenfalls, unterlagen jedoch der bürgerlichen Ratsmehrheit, die beim Vorschlag der Kommissionsmehrheit ohne besondere Anforderungen für das Profiling blieb. Der Nachhall der Diskussion war jedoch klar, dass sich der Ständerat noch einmal intensiv mit dieser Frage auseinandersetzen müsse.
Betreffend die Informationspflicht bei der Beschaffung von Personendaten, die Regeln für die Bekanntgabe von Personendaten ins Ausland, die Rechenschaftspflicht für datenbearbeitende Unternehmen über die Einhaltung des Datenschutzrechts sowie das Auskunftsrecht einer Person zu den über sie gesammelten oder bearbeiteten Daten lehnte die Volkskammer einige von der Kommissionsmehrheit vorgeschlagene Lockerungen ab und umschiffte somit ein paar der vielen Klippen im Hinblick auf den Angemessenheitsbeschluss der EU. Die vom Bundesrat eingefügten Regelungen über Daten von verstorbenen Personen erachtete der Rat jedoch als nicht notwendig und strich mit bürgerlicher Mehrheit alle entsprechenden Bestimmungen aus dem Gesetz. Ganz neu und weitgehend unbestritten verankerte der Nationalrat auf Vorschlag seiner Kommissionsmehrheit ein Recht auf Datenportabilität, das heisst auf Datenherausgabe und -übertragung, im Gesetz. Wie Bundesrätin Karin Keller-Sutter erklärte, habe der Bundesrat mit dieser Neuerung eigentlich noch zuwarten wollen, bis erste Erkenntnisse aus der konkreten Umsetzung dieses Rechts in der EU vorlägen; nichtsdestotrotz unterstützte er den Vorschlag der Kommissionsmehrheit, einen Anspruch jeder Person auf «die Herausgabe ihrer Personendaten in einem gängigen elektronischen Format oder sogar deren Übertragung auf einen anderen Verantwortlichen zu verlangen», wie Keller-Sutter das neue Recht erläuterte.
Zurückgehend auf eine entsprechende parlamentarische Initiative Leutenegger Oberholzer (sp, BL; Pa.Iv. 16.409) änderte die grosse Kammer das Wahlverfahren des EDÖB dahingehend, dass er neu von der Bundesversammlung gewählt und nicht mehr durch den Bundesrat ernannt und vom Parlament nur bestätigt werden sollte. Gleichzeitig wurden die Aufsichts- und Untersuchungskompetenzen des EDÖB bei Datenschutzverstössen gestärkt. Diese Änderung sei von wesentlicher Bedeutung im Hinblick auf den Angemessenheitsbeschluss der EU, wie Bundesrätin Keller-Sutter betonte, denn nach bisher geltendem Recht besitze der EDÖB nicht nur weniger Kompetenzen als die Datenschutzbehörden in Europa, sondern auch als andere Aufsichtsbehörden des Bundes, zum Beispiel die Finma oder die Weko. Bei den Strafbestimmungen legte der Nationalrat eine maximale Busse von CHF 250'000 für Datenschutzverstösse fest. Ein neuer Straftatbestand für die Nichteinhaltung der Mindestanforderungen an die Datensicherheit im Sinne einer Sorgfaltspflichtverletzung wurde von der bürgerlichen Ratsmehrheit jedoch nicht goutiert, was laut Bundesrätin Keller-Sutter für die EU-Angemessenheit problematisch sein könnte. Der letzte grosse Zankapfel der Vorlage verbarg sich in den Schlussbestimmungen, namentlich in der Frage zum Inkrafttreten des Gesetzes. Während die Kommissionsmehrheit das Inkrafttreten um zwei Jahre nach Annahme des Gesetzes beziehungsweise nach Verstreichen der Referendumsfrist verzögern wollte, beantragte eine Minderheit Humbel (cvp, AG), wie üblich den Bundesrat das Inkrafttreten bestimmen zu lassen. Eine solche Verzögerung sei bereits wegen der Schengen-relevanten Bestimmungen des Gesetzes ein Problem und daher nicht im Interesse der Wirtschaft, was das Argument der Kommissionsmehrheit gewesen war. Auf Empfehlung des Bundesrates und entgegen der geschlossenen SVP-Fraktion erteilte die grosse Kammer der zweijährigen Inkrafttretensfrist eine Absage.

In der Gesamtabstimmung nahm der Nationalrat das totalrevidierte Datenschutzgesetz mit 98 zu 68 Stimmen bei 27 Enthaltungen an. In den ablehnenden Stimmen spiegelte sich vor allem die Opposition der SVP gegen das Gesetz. Demgegenüber hatte sich die SP-Fraktion mehrheitlich enthalten und damit signalisiert, dass sie noch weitere Nachbesserungen erwartete. Wirklich zufrieden mit dem Gesetz in vorliegender Form war wohl niemand; in dieser Hinsicht sprach das Fazit von Kommissionssprecher Matthias Jauslin (fdp, AG) Bände: «Wir haben jetzt eine Vorlage, die aus Sicht der Kommission durchaus bearbeitbar ist.»

Mit dem Internet verbundene Produkte – etwa «smarte» Haushaltsgeräte, Spielzeuge oder Fahrzeuge und digitale Heimassistenten wie «Siri» oder «Alexa» – erfassen und übermitteln individuelle Daten über ihre Nutzerinnen und Nutzer. Diese Daten seien oft schlecht gesichert und leichte Beute für eine zweckentfremdete Nutzung, stellte Nationalrat Mathias Reynard (sp, VS) fest. Sein Postulat mit dem Auftrag, zu prüfen, wie der Datenschutz in diesem Bereich verbessert werden könnte, überwies die grosse Kammer in der Sommersession 2019 stillschweigend. Der Bundesrat hatte die Annahme des Postulats beantragt, weil er den Auftrag zusammen mit einem bereits 2017 überwiesenen Postulat Glättli (gp, ZH; Po. 17.4295) erfüllen könne.

La numérisation entraîne un abolissement progressif des frontières étatiques sur internet. Une telle situation complexifie l'application du droit sur internet. Afin de garantir les droits fondamentaux, notamment le droit de la personnalité et le droit de la protection des données, Balthasar Glättli (verts, ZH) préconise un renforcement de l’application du droit sur internet en obligeant les grandes plateformes commerciales à avoir un domicile de notification en Suisse.
La Commission des affaires juridiques du Conseil des Etats (CAJ-CE) s'est penchée sur la motion. Elle estime qu'il est urgent d'agir afin de garantir les droits des citoyens helvétiques sur Internet. Elle explique qu'une motion de commission, qu'elle a déposée en mars 2018, a déjà été adoptée par les deux chambres. Au final, elle préconise l'adoption de la motion qu'elle juge comme un complément pertinent à la motion 18.3379 préalablement acceptée. En chambre, le Conseil des Etats a adopté la motion à l'unanimité.

Wie schon in der Vernehmlassung stellte sich auch im Nationalrat die Frage der Aufgabenteilung zwischen Staat und Privatwirtschaft als der zentrale Knackpunkt des Bundesgesetzes über elektronische Identifizierungsdienste (E-ID-Gesetz) heraus. Während Eintreten in der Frühjahrssession 2018 unbestritten war, wurde lange und ausführlich über einen Rückweisungsantrag der links-grünen Kommissionsminderheit diskutiert, mit dem der Bundesrat beauftragt werden sollte, eine Vorlage auszuarbeiten, die die Ausstellung der E-ID als öffentliche Aufgabe definiert, die der Bund allenfalls mittels Leistungsauftrag an Private übertragen könnte. Die SP- und die Grüne Fraktion unterstützten die Rückweisung mit dem Argument, analoge Ausweise wie der Pass und die Identitätskarte würden auch vom Staat ausgegeben. Alle übrigen Fraktionen sprachen sich jedoch für die vom Bundesrat vorgeschlagene Lösung aus, wonach die Prüfung und Bestätigung der Identität einer Person dem Staat zufallen, die technologische Umsetzung der E-ID hingegen von der Privatwirtschaft übernommen werden soll. Sie betonten, privatwirtschaftliche Anbieter könnten besser auf die technologischen Entwicklungen und die Bedürfnisse der Anwenderinnen und Anwender reagieren, was die E-ID sicherer und nutzerfreundlicher mache; die Innovation werde durch den Wettbewerb gefördert. Mit 131 zu 53 Stimmen bei 2 Enthaltungen wurde das links-grüne Lager überstimmt und der Rückweisungsantrag abgelehnt.
Auch in der Detailberatung stand das links-grüne Lager mehr oder weniger isoliert; alle dessen Minderheitsanträge wurden mit grosser Mehrheit abgelehnt. Die Streichung der Sorgfaltspflichten für E-ID-Inhaberinnen und -Inhaber aus dem Gesetz, wie erstens von einer Minderheit Arslan (basta, BS) gefordert, ändere nichts an der Rechtslage, so die Ansicht der ablehnenden Ratsmehrheit, da die Verschuldenshaftung des OR ohnehin zum Tragen komme – d.h. haftbar ist grundsätzlich, wer in Verletzung von Sorgfaltspflichten einen Schaden verursacht. Um die E-ID nutzen zu können, müssen die Antragstellerinnen und Antragsteller zweitens einwilligen, dass ihre persönlichen Daten ans Fedpol übermittelt werden, damit dieses die Identität bestätigen kann. Ebenfalls eine Minderheit Arslan beantragte, diese Einwilligung durch eine Kenntnisnahme der Übermittlung zu ersetzen, da man sie nicht verweigern könne, sofern man die E-ID nutzen möchte, und unterlag damit der Mehrheit, die fand, die Formulierung mache hier letztendlich keinen Unterschied, wobei die Einwilligung einfacher verständlich sei. Drittens wollte eine Minderheit Marti (sp, ZH) dem Bund die Möglichkeit einräumen, ein eigenes E-ID-System zu betreiben bzw. sich an einem bestehenden System zu beteiligen, und zwar nicht nur wie im Entwurf vorgesehen, wenn der Markt kein Angebot mit den für behördliche Applikationen geforderten Sicherheitsniveaus «substanziell» und «hoch» bereitstellt. Damit sollte verhindert werden, dass bei Nichtfunktionieren der Marktlösung, z.B. infolge Vertrauensverlust nach Hackerangriffen oder Ausstieg der Anbieter aufgrund zu geringer Rentabilität, gar keine E-ID mehr angeboten wird. Der Ratsmehrheit zufolge sei jedoch ein Staatseingriff nur subsidiär zum Markt akzeptabel und eine Mehrheitsbeteiligung von Bundesunternehmen an E-ID-Anbietern nicht wünschenswert, weshalb es keine solche Bestimmung brauche; mit Minderheitsanteilen seien die SBB, die Post und die Swisscom auch ohne explizite gesetzliche Grundlage bereits am SwissSign-Konsortium beteiligt. Viertens solle die Beantragung einer E-ID nicht nur wie vom Bundesrat vorgesehen online direkt beim Anbieter, sondern auch analog auf der Gemeindekanzlei oder beim Passbüro eingeleitet werden können, um Nicht-Digital-Natives den Zugang zu erleichtern, so ein Minderheitsantrag Flach (glp, AG). Die ablehnende Mehrheit argumentierte jedoch, man wolle den Gemeinden und Kantonen keine Zusatzaufgaben aufbürden und ohnehin würden Personen, die nicht mit dem Internet vertraut sind, keine E-ID benutzen. Weitere Minderheiten forderten vergebens die sofortige Vernichtung der Daten durch die Identity Provider, statt wie vorgesehen die Löschung nach sechs Monaten, ein explizites Verbot der kommerziellen Nutzung dieser Daten (beide Arlsan), die Anbindung der Preise an die tatsächlich anfallenden Kosten (Marti) und ausdrückliche Garantien, dass staatliche Dienstleistungen auch weiterhin ohne E-ID zugänglich und eine E-ID auch ohne Kundenbeziehung zum Anbieter erhältlich sein müssen (beide Mazzone, gp, GE).
Als Einzige mit ihrem Minderheitsantrag erfolgreich war Andrea Gmür-Schönenberger (cvp, LU), die Bundesrätin Karin Keller-Sutter sowie eine knappe Ratsmehrheit von der Notwendigkeit überzeugen konnte, den barrierefreien Zugang zur E-ID im Gesetz zu verankern, sodass Menschen mit Behinderung bei der Beantragung einer E-ID nicht benachteiligt werden. Als zweite substanzielle Änderung am bundesrätlichen Entwurf ergänzte der Nationalrat das Gesetz auf Antrag seiner Kommission dahingehend, dass die Identity Provider allen Personen, die einen Antrag stellen und die Voraussetzungen erfüllen, eine E-ID ausstellen müssen. Der Bundesrat plädierte vergeblich für die Wirtschaftsfreiheit der privaten Anbieter. Mit 181 zu 1 Stimme war die grosse Kammer der Ansicht, dass niemand von der E-ID ausgeschlossen werden soll. Das viel und heftig diskutierte, am Ende gegenüber dem Entwurf des Bundesrates aber nur leicht angepasste Gesetz passierte die Gesamtabstimmung im Nationalrat schliesslich mit 128 zu 48 Stimmen bei 4 Enthaltungen; dagegen votierten die Fraktionen der Grünen und der SP – letztere mit einer Ausnahme – geschlossen.

Étant donné l’absence de frontière sur l’internet, de nombreuses plateformes commerciales sont actives en Suisse, mais n’y ont pas de domicile de notification. Selon Balthasar Glättli (verts, ZH) une telle situation peut devenir problématique en cas de violation du droit de la personnalité ou du droit de la protection des données. Il a donc déposé une motion pour renforcer l’application du droit sur internet en obligeant les grandes plateformes commerciales à avoir un domicile de notification. Dans cette optique, il propose notamment la modification des articles 140 CPC et 87 CPP.
D'un côté, la motion a été combattue par Philippe Bauer (plr, NE). S'il estime que la question du for des grandes firmes commerciales sur Internet pose un problème, il considère que la solution avancée par le parlementaire vert n'était pas satisfaisante. D'un autre côté, la motion a reçu l'appui du gouvernement, par la conseillère fédérale Simonetta Sommaruga (DFJP). Le gouvernement reconnaît qu'un problème existe, et surtout, estime qu'aucune solution satisfaisante n'a encore été trouvée. Ainsi, il est favorable à la motion afin que des discussions soient lancées pour trouver une solution. Lors du vote, la motion a été adoptée par 141 voix contre 46 et 4 abstentions. L'opposition libérale des voix de la majorité du PLR (24 voix) a été complétée par une minorité UDC. La motion passe à la chambre des cantons.

Wie im vergangenen Dezember schon der Ständerat und dessen sicherheitspolitische Kommission stellte im Frühjahr 2018 auch die SiK-NR Handlungsbedarf im Informationssicherheitsmanagement des Bundes fest. Anders als ihre Schwesterkommission, der die kleine Kammer widerstandslos gefolgt war, zweifelte die nationalrätliche Kommission jedoch am Mehrwert, den das Informationssicherheitsgesetz mit sich brächte. Die bedeutendsten Unbekannten im Gesetzgebungsprojekt waren nach wie vor die Kosten und der Personalaufwand im Zusammenhang mit der Umsetzung. Während sich der Ständerat mit der Zusicherung zufriedengegeben hatte, zu den Kosten später noch einmal konsultiert zu werden, beauftragte die SiK-NR die Verwaltung, die Kosten und den Personalaufwand für verschiedene mögliche Sicherheitsniveaus zu beziffern. Es wurden also drei mögliche Szenarien vorgestellt: Ambitionsniveau 1 mit Kosten von CHF 5 Mio. und 9,5 bis 15,5 zusätzlichen Stellen, Ambitionsniveau 2 mit Kosten von CHF 33 bis 58 Mio. und 42 zusätzlichen Stellen sowie Ambitionsniveau 3 mit Kosten von CHF 62 bis 87 Mio. und 78 zusätzlichen Stellen. Für die Kommissionsmehrheit standen diese beträchtlichen Kosten in einem ungenügenden Verhältnis zum Ertrag und darüber hinaus befürchtete sie, der neu geschaffene, komplexe Informationsschutzapparat könnte eine Eigendynamik entwickeln und sich zunehmend der Kontrolle durch das Parlament entziehen. Aus diesen Gründen beantragte die Mehrheit der SiK-NR ihrem Rat Nichteintreten. Eine Minderheit erachtete hingegen den gesamtheitlichen Ansatz der Vorlage als zentral, um die Informationssicherheit beim Bund zu verbessern. Sie hielt die Kosten für vertretbar, da dadurch Sicherheitslücken geschlossen und die Koordination erheblich verbessert werden könne. Einen drohenden Kontrollverlust des Parlaments sah sie nicht und beantragte folglich Eintreten. Die Eintretensdebatte gestaltete sich dementsprechend umfangreich, kontrovers und emotionsgeladen.

Die bürgerlichen Fraktionen machten sich – mit Ausnahme der BDP – für den Nichteintretensantrag stark. Die Kosten entsprächen einer «Blackbox» und es sei «unseriös», nur auf Annahmen gestützt zu entscheiden; anstatt Experimente zu machen, sollten besser bestehende Gesetze angepasst werden, um die Sicherheit zu gewährleisten, so Ida Glanzmann-Hunkeler (cvp, LU) als Vertreterin der CVP-Fraktion. David Zuberbühler (svp, AR) legte die Ansicht der SVP-Fraktion dar: Das Gesetz sei ein neues «Bürokratiemonster», biete nur «Scheinsicherheit» und sei einen konkreten Nutzennachweis bisher schuldig geblieben, weshalb es «brandgefährlich» sei, darauf einzutreten. Für die FDP-Fraktion waren vor allem die Bedenken bezüglich der Kostenfolgen ausschlaggebend dafür, dass man nicht auf das überladene Gesetz und den damit verbundenen «Blindflug» eintrete. Demgegenüber stellte BDP-Fraktionssprecherin Rosmarie Quadranti (bdp, ZH) Eintreten als alternativlos dar; angesichts des Handlungsbedarfs sei Nichtstun jetzt «fahrlässig». Priska Seiler Graf (sp, ZH) hielt als Vertreterin der SP-Fraktion eine regelrechte Brandrede für Eintreten: Das Gesetz werde dringend benötigt und es sei «fatal», dass anstelle der Sicherheitsfragen vielmehr die finanziellen Folgen im Zentrum der Beratungen in der sicherheitspolitischen Kommission gestanden hätten. Sie warf der SiK «Arbeitsverweigerung» vor und wies darauf hin, dass man nach dem Eintreten die Möglichkeit hätte, das – je nach Ansicht überladene, unberechenbare oder lückenhafte – Gesetz zu «entrümpeln». Arbeitsscheue sei in diesem Fall jedoch «geradezu verantwortungslos», denn auch ein Versäumnis ziehe unbezifferbare Kosten nach sich. Ins gleiche Horn blies auch der Grünen-Vertreter Balthasar Glättli (gp, ZH), indem er Nichteintreten als «Dienstverweigerung» bezeichnete und argumentierte, dass Informationssicherheitslecks sowohl Reputations- als auch Finanzschäden zur Folge hätten. Auch Beat Flach (glp, AG) als Sprecher der GLP-Fraktion erschien es unverständlich, weshalb trotz erkanntem Handlungsbedarf nicht eingetreten werden sollte; ein weiteres Mal fiel das Wort «Arbeitsverweigerung». Die Abstimmung ergab schliesslich 117 zu 68 Stimmen für Nichteintreten (8 Enthaltungen). Obschon die Fraktionen der BDP, der SP, der Grünen und der GLP geschlossen für Eintreten votierten, besiegelte die geballte Stimmkraft des SVP-/FDP-/CVP-Blocks mit nur drei Abweichlern den Nichteintretensentscheid.

In der Wintersession beugte sich der Nationalrat über die vom Büro-NR vorgeschlagenen Gesetzesänderungen, die dabei helfen sollen, mit der Entwicklung der parlamentsinternen Informations- und Dokumentationsangebote Schritt halten zu können. Der Bundesrat hatte in der Zwischenzeit eine Stellungnahme abgegeben und die Vorschläge des Büros erweitert. Unter anderem regte die Regierung an, dass auch die Grundlage für einen gegenseitigen Austausch zwischen Datenbanken der Bundesverwaltung und solchen des Parlaments bzw. der Parlamentsdienste geschaffen werden solle. Balthasar Glättli (gp, ZH) machte als Sprecher des Büros ein konkretes Beispiel: Persönliche Vorstösse, die aufgrund der Zweijahresfrist abgeschrieben werden, müssten in der Verwaltung mühsam von Hand aussortiert werden, da eine Verknüpfung von CURIA VISTA mit Listen aus der Verwaltung heute eigentlich nicht erlaubt sei. Die Vorschläge des Büros wurden mit den entsprechenden Ergänzungen des Bundesrats vom Nationalrat einstimmig mit 182 zu 0 Stimmen (Bundesgesetz über die Bundesversammlung) bzw. 181 zu 0 Stimmen (Verordnung zum Parlamentsgesetz) angenommen. Enthaltungen gab es in beiden Fällen keine.

Die Schaffung eines Cybersecurity-Kompetenzzentrums auf Stufe Bund war im Ständerat kaum bestritten und auch im Vorfeld an die Plenardebatte in der grossen Kammer wurden die Zeichen auf grün gesetzt. Das auf eine Motion Eder (fdp, ZG) zurück gehende Anliegen fand einstimmige Unterstützung in der sicherheitspolitischen Kommission des Nationalrates. Sie kam nach Gesprächen mit Cybersicherheits-Fachpersonen aus der Bundesverwaltung sowie unter Berücksichtigung der bereits laufenden Arbeiten im Bereich der Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken (NCS) und dem entsprechenden Aktionsplan zum Schluss, dass die Motion unterstützt werden soll, denn tiefer greifende Koordination sei im Cyberbereich notwendig. Ein Kompetenzzentrum für Cybersicherheit sei hierzu der richtige Weg.
Kommissionssprecher Glättli (gp, ZH) präzisierte in seiner Einleitung zur Debatte, dass die MELANI nur über beschränkte Personalressourcen verfüge und zudem ihr Auftrag limitiert sei. MELANI, als verwaltungsinterne Koordinationsstelle auch für Cyberkriminalität zuständig, leiste gute Arbeit, so Glättli weiter, es bedürfe aber weiter reichender Kompetenzen für ein eigentliches Kompetenzzentrum. Der anwesende Bundesrat Maurer vertrat auch im Nationalrat die ablehnende Haltung des Siebnerkollegiums: Es werde bereits viel im Cyberbereich unternommen und diverse Expertengruppen würden bald ihre Arbeiten abschliessen. Insofern bat Maurer die Nationalrätinnen und Nationalräte, nicht vorzugreifen. Im Wesentlichen zielten die gegenwärtig angestossenen Prozesse in die gleiche Richtung, wie der Motionär vorgebe, und dies ohne Aufblähung der Verwaltung. Letzteres befürchtete Maurer, falls eine zusätzliche Verwaltungseinheit geschaffen werden müsste. Kommissionssprecher Glättli entgegnete hierauf, dass mit der Motion noch keine operativen Beschlüsse gefasst und die Ausgestaltung und Umsetzung eines solchen Cyber-Kompetenzzentrums Gegenstand weiterer Diskussionen sein würden.
Das Ratsplenum folgte seiner Kommission und hiess die Motion mit 177 zu 2 Stimmen ohne Enthaltungen deutlich gut.

Der Bundesbeschluss über die Erneuerung der Systemplattform Biometriedatenerfassung mit dem darin enthaltenen Verpflichtungskredit von CHF 33 Mio. stand im Frühling 2017 auf der Agenda des Nationalrats. Als einzigen Änderungsantrag brachte seine Staatspolitische Kommission einen zusätzlichen Absatz ein, demnach Offerten im Rahmen des Möglichen vor allem von Schweizer Unternehmen einzuholen sind und die Vergabekriterien so ausgestaltet werden müssen, dass insbesondere Schweizer Unternehmen berücksichtigt werden können. Kommissionssprecher Balthasar Glättli (gp, ZH) betonte, die Ergänzung werde „nicht aus irgendwelchen Gründen des Heimatschutzes wirtschaftlicher Art, sondern aus Gründen der Sicherheit“ gewünscht, da es sich bei biometrischen Daten um besonders schützenswerte Daten handle. Die so abgeänderte Vorlage wurde mit 180 Ja- zu 5 Nein-Stimmen aus der SVP-Fraktion gutgeheissen.

In der Sommersession 2017 behandelte der Ständerat das Geschäft und strich den vom Nationalrat eingefügten Artikel wieder aus dem Entwurf, wie es ihm seine Kommission beantragt hatte. Kommissionssprecher Peter Föhn (svp, SZ) erklärte, das Vorhaben müsse sowieso WTO-konform ausgeschrieben und vergeben werden, weshalb diese Bestimmung nichts bringe. Einstimmig nahm der Ständerat den Bundesbeschluss, der jetzt wieder dem bundesrätlichen Entwurf entsprach, an.

Die Mehrheit der SPK-NR stellte sich weiterhin hinter den Passus, der Schweizer Unternehmen bevorzugen will, und beantragte ihrem Rat Festhalten. Eine Minderheit sah die Datensicherheit jedoch auch bei Berücksichtigung eines fremden Anbieters gewährleistet und wollte sich dem Beschluss des Ständerates anschliessen. Bundesrätin Sommaruga führte aus, dass gemäss einer zwischenzeitlich durchgeführten Risikoanalyse kein Risiko einer nachrichtendienstlichen Ausspähung dieser Daten bestehe, und wies darauf hin, dass eine Bevorzugung schweizerischer Unternehmen vor den WTO-Regeln nur gerechtfertigt werden könnte, wenn diese der Verhinderung oder Minimierung eines solchen Risikos diene. Mit 98 zu 66 Stimmen bei 4 Enthaltungen hielt der Nationalrat an seinem Beschluss fest.

Es war schliesslich der Ständerat, der einlenkte und dem Beschluss des Nationalrates stillschweigend zustimmte. Dies jedoch nicht, weil er von der nationalrätlichen Lösung überzeugt war, sondern weil der Zeitplan keinen weiteren Aufschub dieses Geschäfts duldete. Kommissionssprecher Föhn erläuterte, dass im Falle einer weiteren Behandlung dieses Geschäftes in der nächsten Session die fliessende Ablösung des Systems gefährdet werden könnte, was Kosten in Millionenhöhe verursachen würde. Ausserdem sei es „Hans was Heiri“, ob man diese Bestimmung aufnehme oder nicht, da die Beschaffung ohnehin WTO-konform erfolgen müsse. Andrea Caroni (fdp, AR) gab abschliessend noch zu Protokoll, dass man bei der künftigen Ratsplanung solche Eventualitäten vorsehen möge, damit auf politisch bessere Lösungen nicht verzichtet werden müsse, nur weil der Zeitplan nicht passe. Damit ist der Gesamtkredit von CHF 33 Mio. bewilligt und die erste Etappe von CHF 14,3 Mio. zur Konzeption und Realisierung der Systemplattform freigegeben. Die zweite Etappe von CHF 18,7 Mio. für den Kauf von Geräten, den Rollout und die Einführung wird der Bundesrat zu gegebener Zeit freigeben.

Lange bevor der Bundesrat Mitte Juni 2016 mit seiner Medienkonferenz den Abstimmungskampf zum Nachrichtendienstgesetz offiziell eröffnete, wurde das Thema breit in der Öffentlichkeit diskutiert. Anlass dazu boten etwa die Terroranschläge in Brüssel vom 22. März 2016, in deren Nachgang bürgerliche Sicherheitspolitikerinnen und -politiker den Bundesrat dazu aufforderten, dem Nachrichtendienst per dringlichem Bundesbeschluss schleunigst zu den notwendigen Kompetenzen zu verhelfen. Man könne nicht warten, bis das neue NDG nach der Referendumsabstimmung vom September in Kraft treten könne; die jüngsten Anschläge hätten gezeigt, «dass die Bedrohung durch Terrorismus real ist», erklärte die Präsidentin der SiK-NR, Ida Glanzmann-Hunkeler (cvp, LU), gegenüber der NZZ. In Zeiten wie diesen sei es «unsinnig», dass der NDB in seiner Arbeit behindert werde, zitierte die «Tribune de Genève» dazu SiK-SR-Präsident Isidor Baumann (cvp, UR). Der NDB sei momentan «blind und taub», mahnte der Genfer Sicherheitsdirektor Pierre Maudet (GE, fdp) an gleicher Stelle. Obschon die Forderung unerfüllt verhallte, lagen die Hauptargumente für das neue Nachrichtendienstgesetz damit schon einmal auf dem Tisch.

Dass ein grosser Teil der Schweizer Bevölkerung ähnlich dachte, zeigte die im Mai veröffentlichte Studie «Sicherheit 2016» der ETH Zürich. Darin schätzten rund drei Viertel der Befragten die weltpolitische Lage (eher) pessimistisch ein, wobei die Erhebungen bereits im Januar und damit vor den Terrorattacken in Brüssel stattgefunden hatten. Damit einher gingen ein gegenüber dem Vorjahr gestiegenes subjektives Unsicherheitsempfinden sowie die klare Unterstützung von Massnahmen zur Wahrung der inneren Sicherheit wie Datensammlungen über verdächtige Personen, Armeeeinsätze zur Sicherstellung von Ruhe und Ordnung, die Aufstockung der Polizeikorps, Videoüberwachung im öffentlichen Raum oder vorsorgliche Verhaftungen. Von einer gewissen Ambivalenz zeugten die Antworten zum Verhältnis von Freiheit und Sicherheit: 55 Prozent der Befragten waren der Meinung, dass der Staat die Sicherheit der Bevölkerung auch auf Kosten der persönlichen Freiheit garantieren solle, gleichzeitig würden sich aber ebenfalls 55 Prozent für Freiheit statt Sicherheit entscheiden, wenn sie gezwungen wären, eins der beiden zu wählen. Zwei Drittel befürworteten aber die Terrorismusbekämpfung auch unter Einschränkung der persönlichen Freiheit – ein Ergebnis, das «Wasser auf die Mühlen der Befürworter» des neuen NDG sei, wie das St. Galler Tagblatt resümierte.

Weiteren Impetus fand die Befürworterseite in der Tatsache, dass sich offenbar auch der IZRS an der Unterschriftensammlung gegen das NDG beteiligt hatte, wie die Luzerner Zeitung Mitte Juni bekannt machte. Die umstrittene islamische Organisation sehe im NDG ein «Vehikel gegen Muslime», in dessen Fokus «je nach politischem Klima» auch andere Gruppen geraten könnten, weshalb Mediensprecher Qaasim Illi zur Unterschrift gegen das NDG aufgerufen habe. Im Einsatz für das NDG sah man sich dadurch bestätigt, denn es sei «bezeichnend», dass «ein Verein wie der IZRS, der selber im Fokus des NDB stehen könnte», gegen das Gesetz mobil mache, zitierte die Zeitung Ida Glanzmann-Hunkeler. Sogar Bundesrat Guy Parmelin sollte den Widerstand des IZRS einige Tage später vor den Medien lakonisch als «beste Werbung für das Gesetz» bezeichnen. Die Gegenseite distanzierte sich derweil von «diesen Extremisten», wie SP-Sprecher Michael Sorg betonte; man sei nicht verbündet und stehe in keinerlei Kontakt. Aus dem Abstimmungskampf wollte sich der IZRS denn auch heraushalten, wie er über eine Sprecherin verlauten liess.

Auf der Pro-Seite stand neben dem Bundesrat ein überparteiliches Ja-Komitee, das Parlamentarierinnen und Parlamentarier aller grösseren Parteien ausser den Grünen vereinte. Im Laufe der Kampagne sprachen sich zudem die Ost- und Westschweizer Konferenzen der Justiz- und Polizeidirektorinnen und -direktoren sowie die Regierungsräte der Kantone Zürich und Schaffhausen für das NDG aus. Das Hauptargument für das neue Gesetz war, dass die Mittel des schweizerischen Nachrichtendienstes an die aktuelle Bedrohungslage angepasst werden müssten, denn mit seinen heutigen Instrumenten könne er die Schweiz nicht ausreichend vor den sich ständig verändernden und komplexer werdenden Gefahren schützen. Der NDB sei schlicht «überholt», konstatierte FDP-Nationalrätin Corina Eichenberger (fdp, AG) gegenüber der Presse. Klar könne das Risiko nicht vollständig eliminiert werden, aber es seien schon viele Attentate dank Überwachung verhindert worden, pries SVP-Ratskollege Raymond Clottu (svp, NE) die neuen Überwachungsmöglichkeiten an. Als die Ziele des NDG nannte Verteidigungsminister Guy Parmelin einerseits die präventive Überwachung der «gefährlichsten Individuen» (NZZ) sowie andererseits die Erschwerung von Cyberangriffen und -spionage, wie im Fall der Ruag, der Anfang 2016 aufgedeckt worden war. Als weiteren Vorzug des neuen Gesetzes hob NDB-Chef Markus Seiler die Vereinfachung der internationalen Zusammenarbeit in der Terrorismusbekämpfung hervor. Gleichzeitig warnte er vor einer Schwächung der internationalen Stellung der Schweiz, sollte das Gesetz abgelehnt werden, denn je weniger eigene nachrichtendienstliche Erkenntnisse die Schweiz habe, umso grösser sei die Gefahr, von ausländischen Geheimdiensten instrumentalisiert zu werden. Es sei aber mitnichten die Absicht des neuen Gesetzes, alle Bürgerinnen und Bürger zu überwachen und selbstverständlich müsse Missbrauch verhindert werden, betonte Bundesrat Parmelin weiter. Auch das Komitee erklärte, umfassende Kontrollmechanismen und eine gut ausgebaute Aufsicht über den Nachrichtendienst verhinderten, dass ein Überwachungsstaat geschaffen werde. Die Befürworterinnen und Befürworter wurden nicht müde zu betonen, dass das NDG das Gleichgewicht zwischen individueller Freiheit und Sicherheit wahre und letztlich schlicht notwendig sei – oder mit den Worten von SP-Nationalrätin Rebecca Ruiz (sp, VD) in der «Tribune de Genève»: «Wir können nicht bei Windows 95 und Walkie-Talkies bleiben.» Der Status quo sei eine Reaktion auf den Fichenskandal in den 1990er-Jahren gewesen, erklärte auch EDÖB Adrian Lobsiger gegenüber der Sonntagszeitung. Seither hätten sich die Welt verändert und die Sicherheitslage verschärft. Auch er bezeichnete das NDG als «Kompromiss zwischen Freiheit und Sicherheit», liess sich aber nicht auf eine explizite Abstimmungsempfehlung hinaus. Zum frühen Zeitpunkt des offiziellen Kampagnenstarts Mitte Juni sagte Bundesrat Parmelin, er wolle eine «pädagogische» Abstimmungskampagne führen, um der Bevölkerung angesichts des heiklen und komplexen Themas genau zu erklären, was die Neuerungen seien und warum sie nötig seien.

Die Kontra-Seite bestand hauptsächlich aus dem Referendumskomitee «Bündnis gegen den Schnüffelstaat», das von den Grünen, der SP, den Juso, der Piratenpartei, der Gewerkschaft Syndicom, der Digitalen Gesellschaft, dem Verein Grundrechte.ch sowie dem Chaos Computer Club unterstützt wurde. Ein bürgerlich geprägtes Gegenkomitee um die bürgerlichen Jungparteien, kritische Parlamentarierinnen und Parlamentarier von SVP bis GLP sowie die Operation Libero, das liberale Argumente gegen das NDG anführen wollte, zerbrach hingegen, bevor es sich formieren konnte. Man habe das NDG gleichzeitig mit dem BÜPF bekämpfen wollen, aber mit dem Scheitern des BÜPF-Referendums sei die Gruppe auseinandergefallen, schilderte der Koordinator und stellvertretende SGV-Direktor Henrique Schneider dem St. Galler Tagblatt. So dominierten denn auch die von links geäusserten Bedenken das Argumentarium der Gegnerschaft. Weil es dem NDB erlaube, auf Basis blosser Vermutungen zu agieren, gehe das neue Nachrichtendienstgesetz zu weit, so das Hauptargument des Nein-Lagers. Juso-Präsidentin Tamara Funiciello nannte das NDG einen «Schritt Richtung Massenüberwachung». Mit dem Gesetz würden alle Bürgerinnen und Bürger zu Verdächtigen gemacht, sodass der NDB letztlich jeden zum potenziellen Terroristen «emporstilisieren» könne, kritisierte der Präsident des Vereins Grundrechte.ch, Viktor Györffy. Das von der Befürworterseite propagierte Gleichgewicht zwischen individueller Freiheit und Sicherheit konnte die Gegnerschaft nirgends erkennen. Mit der Stärkung des Nachrichtendienstes kreiere man nur eine «Illusion von Sicherheit», bemängelte der Grüne Nationalrat Balthasar Glättli (gp, ZH). Die Attentäter von Paris und Brüssel seien sehr wohl nachrichtendienstlich oder polizeilich bekannt gewesen, aber nichtsdestotrotz hätten die Anschläge nicht verhindert werden können. Dass eine parlamentarische oder juristische Kontrolle die Aktivitäten des NDB und damit die Eingriffe in die Grundrechte wirklich begrenzen könne, sei ebenfalls «illusorisch», so Györffy weiter. Glättli sah das Gesetz ausserdem – sowohl aufgrund der Zusammenarbeit mit ausländischen Nachrichtendiensten als auch wegen der Möglichkeit zum Eindringen in ausländische Computersysteme – als Gefahr für die Neutralität der Schweiz. Zudem missbilligte die Gegnerschaft, dass der Staat durch den Kauf von Trojanern den Schwarzmarkt für Sicherheitslücken und das organisierte Verbrechen fördere.

Insgesamt verlief die öffentliche Debatte über lange Zeit unaufgeregt und angesichts der Tragweite des Themas eher spärlich. Erst rund drei Wochen vor dem Abstimmungssonntag, im Anschluss an die SRF-«Arena» zum NDG, gewann sie «doch noch etwas an Temperatur», wie der Tages-Anzeiger kommentierte. Dabei stand das Instrument der Kabelaufklärung im Fokus, in der die Gegenseite nichts anderes als die verdachtsunabhängige Massenüberwachung erkannte. Die Beteuerung, es werde nur der grenzüberschreitende, nicht aber der inländische Internetverkehr überwacht, sei bedeutungslos, da etwa sehr viele E-Mails über ausländische Server verschickt würden, auch wenn sich Sender und Empfänger in der Schweiz befänden. Ein viel genanntes Argument gegen diese Art der Überwachung war die Suche nach der sprichwörtlichen Nadel im Heuhaufen, die eben nicht einfacher werde, wenn man den Heuhaufen vergrössere. NDG-Fürsprecherin Corina Eichenberger hielt dem in der «Tribune de Genève» entgegen, man werde im Internetverkehr schon nach sehr eng definierten Schlagworten suchen, und nicht einfach nach «Islam» oder «Bombe». Ausserdem führte die Pro-Seite an, der NDB verfüge gar nicht über genug Ressourcen für eine solche Massenüberwachung. Der Bundesrat sprach bis zuletzt von rund zehn Fällen pro Jahr, in denen bewilligungspflichtige Beschaffungsmassnahmen eingesetzt würden, wie er auch schon dem Parlament erklärt hatte. In den Medien wurde diese Zahl jedoch in Zweifel gezogen, da sich seit den parlamentarischen Beratungen die Bedrohungslage durch vermehrte Anschläge in Europa – die bisher folgenschwersten in Paris und Brüssel – und die zunehmende Anzahl Dschihad-Reisender aus der Schweiz verschärft habe. Während das VBS die Zahl als Durchschnittswert, der mit der Bedrohungslage variieren könne, verteidigte, sprach Ida Glanzmann-Hunkeler eher von 20 bis 25 Fällen pro Jahr, wobei diese Schätzung nicht statistisch extrapoliert, sondern «mehr ein Gefühl» sei, wie sie gegenüber dem Tages-Anzeiger erklärte. NDG-Gegner Balthasar Glättli sah in diesem Zahlenwirrwarr gemäss St. Galler Tagblatt ein Indiz dafür, dass «die staatlichen Schnüffler wesentlich hungriger» seien, als sie es «vor der Abstimmung zugeben» wollten. Wie der Tages-Anzeiger feststellte, wurde der Abstimmungskampf gegen Ende zum «Streit der Begrifflichkeiten», der sich vor allem um die Definition von Massenüberwachung drehte. Es sei die Antwort auf die von Beat Flach (glp, AG) in der «Arena» gestellte Frage, ob es wirklich so furchtbar sei, dass in Zukunft alles zuerst durch den Filter des NDB gehe, die Befürworter und Gegner des NDG trenne, konstatierte dieselbe Zeitung.

Die ab Mitte August durchgeführten Umfragen zeigten schon von Anfang an eine breite Unterstützung von knapp 60 Prozent für das NDG, die bis zur letzten Umfragewelle Mitte September ungefähr konstant blieb. Als wichtigste Argumente identifizierten die Befragungen die Befürchtung möglichen Missbrauchs neuer Technologien auf der Pro- sowie den mangelhaften Schutz der Privatsphäre auf der Kontra-Seite. Bei den bürgerlichen Parteien wollte die Mehrheit der Basis Ja stimmen, während die Anhängerschaft der linken Parteien mehrheitlich ein Nein einlegen wollte. Damit hatte das NDG gute Voraussetzungen, das Referendum ungefährdet zu passieren.

Eine gesamtschweizerische Datenerhebung der Stimmbeteiligung nach soziodemographischen Aspekten wird es in nächster Zeit wohl nicht geben. Die entsprechende, ursprünglich von Aline Trede (gp, BE) eingereichte und von Balthasar Glättli (gp, ZH) übernommene Motion wurde abgeschrieben. Die Idee, eine Datenerhebung bei Abstimmungen einzuführen, war aufgrund der virulenten Diskussionen um die Altersverteilung bei der Abstimmung zur Masseneinwanderungsinitiative geboren worden. Nachbefragungen waren damals davon ausgegangen, dass junge Stimmbürgerinnen und Stimmbürger in grossem Umfang der Urne ferngeblieben waren. Aufgrund von Analysen anonymisierter Stimmzettel aus dem Kanton Genf und in der Stadt St. Gallen wurde diese Annahme allerdings hinterfragt. In der Zwischenzeit wurden mit diesen Stimmzetteln einige wissenschaftliche Analysen durchgeführt, die zu teilweise neuen Erkenntnissen führten. So zeigte sich etwa in Genf, aber auch in der Stadt St. Gallen, dass sich über eine längere Zeitspanne hinweg bis zu 75% aller Bürgerinnen und Bürger, zumindest selektiv, an Abstimmungen beteiligen.

Die von der nicht wiedergewählten Aline Trede (gp, BE) Mitte 2014 eingereichte Motion, die eine bundesweite Datenerhebung bei Abstimmungen und Wahlen verlangt, um die Partizipation nach soziodemographischen Merkmalen erfassen zu können, wurde Ende 2015 von Balthasar Glättli (gp, ZH) übernommen. Der Vorstoss, der damit dem Schicksal der Abschreibung aufgrund Ausscheidens der Urheberin vorerst entkam, war eine Folge der Diskussionen um die Schwierigkeit einer Analyse der Stimmbeteiligung auf der Basis von repräsentativen Nachbefragungen.

Das Nachrichtendienstgesetz (NDG) war neben dem BÜPF die zweite Vorlage im Jahr 2015, bei der die eidgenössischen Räte eine Güterabwägung zwischen der Sicherheit der Bevölkerung und des Staates einerseits und dem Daten- und Persönlichkeitsschutz andererseits vornehmen mussten. Während das BÜPF jedoch die Verfolgung konkreter Straftatbestände durch die Behörden regelt, betrifft das NDG die präventive Überwachung durch den Nachrichtendienst (NDB). Die Gefahr einer erneuten Fichierung der Bevölkerung, welche von den Gegnern ins Feld geführt wurde, sah die grosse Mehrheit der vorberatenden SiK-NR nicht gegeben. Ziel des Gesetzes sei die präventive, gezielte Gewinnung von Schlüsselinformationen und der NDB erhalte dazu Instrumente für gezielte Eingriffe bei besonderen Bedrohungen, aber keine Generalvollmacht.

Als Erstrat hatte der Nationalrat dennoch zuerst über einen Nichteintretensantrag zu entscheiden. «Dieses Gesetz ist schlecht, lückenhaft und geht im entscheidenden Moment zu weit», begründete Daniel Vischer (gp, ZH) den Antrag. Das Gesetz stelle «unser kostbarstes Gut, die persönliche Freiheit» aufs Spiel und erlaube dem Staat einen «Lauschangriff». Die Befürworter des NDG hielten dagegen, dass sich die Bedrohungen in jüngster Zeit verändert hätten und man darum die Mittel anpassen müsse, um diesen Bedrohungen entgegenzutreten. Die Schweiz dürfe nicht aufgrund fehlender Kompetenzen des NDB zu einem Tummelplatz für Kriminelle und Terroristen, die hier unbehelligt ihre Taten vorbereiten können, sowie für ausländische Geheimdienste, welche die Überwachung des NDB als unzureichend empfinden, werden. Nach der hitzigen und langen Debatte votierte die klare Mehrheit der grossen Kammer mit 154 zu 33 Stimmen schliesslich für Eintreten. Dagegen stimmten die geschlossene grüne Fraktion, eine Minderheit der SP-Fraktion sowie einzelne Vertreter anderer Parteien.

Die Detailberatung erfolgte in vier thematischen Blöcken. Im ersten Block beschäftigte sich der Nationalrat mit den allgemeinen Bestimmungen des Gesetzes, den Aufgaben und der Zusammenarbeit des NDB sowie den genehmigungsfreien Beschaffungsmassnahmen. In diesem Themenbereich folgte die Volkskammer in allen Punkten ihrer Kommissionsmehrheit und brachte nur geringfügige Änderungen am Entwurf des Bundesrates an.

Die Bestimmungen des zweiten Blocks, zu denen die genehmigungspflichtigen Beschaffungsmassnahmen, der Quellenschutz, die Beschaffung von Informationen über Vorgänge im Ausland, die Kabelaufklärung und die Koordination mit der BÜPF-Revision gehören, sorgten für weitaus mehr Zündstoff in der Debatte, stellen sie doch den eigentlichen Kernbereich der Vorlage dar. Bei den genehmigungspflichtigen Beschaffungsmassnahmen war weniger die konkrete Ausgestaltung umstritten als die Frage, ob es sie überhaupt geben soll. Es handelt sich dabei um Massnahmen zur Überwachung ausserhalb des öffentlichen Raumes, d.h. Eingriffe in die Privatsphäre. Eine Minderheit um Daniel Vischer beantragte, den gesamten Abschnitt betreffend die genehmigungspflichtigen Beschaffungsmassnahmen aus dem Gesetz zu streichen, da diese nicht verhältnismässig angewendet werden könnten und «rechtsstaatlich unzulässig» seien. Das Ansinnen fand im links-grünen Lager grosse Unterstützung, hatte gegen die bürgerliche Mehrheit aber keine Chance. Die Befürworter argumentierten einmal mehr, dass diese Kompetenzen für den NDB unerlässlich seien, um die Sicherheit der Schweiz und ihrer Bevölkerung sicherzustellen. Missbrauch soll durch ein dreistufiges Bewilligungsverfahren, bei dem eine solche Massnahme zuerst vom Bundesverwaltungsgericht bewilligt und anschliessend nach einer Konsultation des EDA und des EJPD vom Chef oder der Chefin des VBS freigegeben werden muss, ausgeschlossen werden. Das gleiche Spiel wiederholte sich mit den Bestimmungen zur Kabelaufklärung. Sie geben dem NDB die Befugnis zur Suche nach bestimmten Schlagworten im Internet. Auch hier war nicht die konkrete Umsetzung umstritten, sondern die Existenz solcher Massnahmen an sich. Balthasar Glättli (gp, ZH) wollte mit einem Einzelantrag den gesamten Abschnitt betreffend die Kabelaufklärung aus dem Gesetz streichen. Die Meinungen und Argumente waren die gleichen wie in der Frage der genehmigungspflichtigen Beschaffungsmassnahmen und wiederum unterlag das links-grüne Lager der bürgerlichen Mehrheit im Rat. Die übrigen Bestimmungen in diesem Beratungsblock waren wenig umstritten und wurden alle gemäss Antrag der Kommissionsmehrheit angenommen.

Die Diskussion im dritten Block über die Bestimmungen zur Datenbearbeitung und -archivierung verlief entlang der gefestigten Argumentationslinien und war ansonsten wenig kontrovers. Die Kommission habe sehr hohe Ansprüche an die Datenerfassung, die Überprüfung der Plausibilität von Daten und die Datenarchivierung gestellt und immer darauf geachtet, die Interessen der breiten Bevölkerung am Persönlichkeitsschutz zu respektieren, versicherte Kommissionssprecher Roland Borer (svp, SO). So folgte der Nationalrat überall den Anträgen seiner Kommissionsmehrheit und brachte keine substanziellen Änderungen am bundesrätlichen Entwurf an.

Im vierten und letzten Block beschäftigte sich die grosse Kammer mit der politischen Steuerung, der Kontrolle und Aufsicht über den NDB, dem Organisationsverbot und den Schlussbestimmungen. Die vom Bundesrat vorgesehene vierfache Kontrolle durch eine departementsinterne unabhängige Aufsicht, den Sicherheitsausschuss des Bundesrates, die GPDel sowie eine unabhängige Kontrollinstanz für die Funkaufklärung stiess im Rat auf ein überwiegend positives Echo. Als einzige grundlegende Änderung am Entwurf des Bundesrates fügte der Nationalrat auf Antrag seiner Kommission eine explizite gesetzliche Grundlage für das Verbot von Organisationen oder Gruppierungen ein, welche terroristische oder gewalttätig-extremistische Aktivitäten propagieren oder fördern und damit die innere oder äussere Sicherheit der Schweiz bedrohen. Bisher konnte der Bundesrat solche Organisationsverbote nur auf Notrecht basierend erlassen, weshalb ihre Gültigkeit jeweils auf ein halbes Jahr beschränkt war. Allerdings wollte die grosse Kammer dem Bundesrat hier keine Blankovollmacht erteilen, so dass sie einen Einzelantrag Eichenberger (fdp, AG) einstimmig annahm, demzufolge sich ein Verbot auf einen entsprechenden Beschluss der UNO oder der OSZE stützen muss und nur nach Konsultation der zuständigen parlamentarischen Kommissionen erlassen werden kann. In allen anderen Punkten folgte sie der Kommissionsmehrheit.

In der Gesamtabstimmung wurde das NDG mit 119 zu 65 Stimmen bei 5 Enthaltungen klar angenommen. Mit den geschlossen stimmenden Fraktionen der CVP, BDP und FDP sowie der überwiegenden Mehrheit der SVP-Fraktion auf der Befürworterseite und der gesamten grünen Fraktion sowie den Fraktionen der SP und der GLP mit jeweils einer Ausnahme auf der Gegenseite zeigte sich auch in der Gesamtabstimmung der ideologische Graben zwischen dem bürgerlichen und dem links-grünen Lager deutlich.