Po. Hodgers und Graber: Anpassung des Datenschutzes an die neuen Medien

Die Anpassung des Datenschutzes an die neuen Medien war Gegenstand mehrerer weiterer Vorstösse. Ein Postulat Hodgers (gp, GE) (Po. 10.3383) fordert die Ausrichtung des Datenschutzgesetzes aus dem Jahr 1992 auf die neuen Technologien. In eine ähnliche Richtung zielt das Postulat Graber (svp, BE) (Po. 10.3651), das den Bundesrat dazu auffordert, die Risiken abzuschätzen, die neue Technologien wie Internet, die elektronische Erfassung von Kaufgewohnheiten oder Google Street View auf die Privatsphäre haben. Er soll insbesondere den Bedarf für neue Gesetzesgrundlagen klären. Beide Postulate wurden vom Nationalrat diskussionslos überwiesen.

Po. Schwaab: Recht auf Vergessen im Internet

Mit der Überweisung des Postulats von Nationalrat Schwaab (sp, VD) beauftragte der Nationalrat den Bundesrat, die Aufnahme eines Rechts auf Vergessen im Internet in das Bundesrecht zu prüfen. Damit sollen insbesondere soziale Netzwerke verpflichtet werden, die Speicherung von personenbezogenen Daten auf ein absolutes Minimum zu beschränken. Der Bundesrat unterstützt dieses Anliegen. In seinem aus der Evaluation des Bundesgesetzes über den Datenschutz resultierenden Bericht gelangt er zu einer übereinstimmenden Auffassung.

Po. Recordon: Verletzungen der Persönlichkeitsrechte im Zuge des Fortschritts der Informations- und Kommunikationstechnik

Jede Medaille hat ihre Kehrseite. Im Falle der Fortschritte in der Informations- und Kommunikationstechnik ist es die zunehmende Gefahr der Verletzung der Persönlichkeitsrechte, die rechtlich nur ungenügend geschützt sind. Dieses Problem zu analysieren und Lösungen vorzuschlagen, wurde der Bundesrat durch ein Postulat Recordon (gp, VD), welches der Ständerat an die Regierung überwies, aufgefordert. Der Bundesrat war bereit, das Anliegen in die seit 2011 laufende Revision des Datenschutzgesetzes (DSG) aufzunehmen.

Pa.Iv. Vischer: Grundrecht auf informationelle Selbstbestimmung / Pa.Iv. Derder: Schutz der digitalen Identität von Bürgerinnen und Bürgern

Snowden, fortschreitende Digitalisierung, NSA-Skandale und Cyber-Crimes rückten den Datenschutz zuoberst auf die Politikagenda und verhalfen der Datenschutzproblematik zu einer hohen Medienpräsenz. Die zunehmende Angst vor dem „gläsernen Bürger“ erhielt daher in Gestalt verschiedener Vorstösse auch Einzug ins Parlament. Unter ihnen befand sich eine parlamentarische Initiative Vischer (gp, ZH), welche ein Grundrecht auf informationelle Selbstbestimmung verankern wollte. Die moderne Datenverarbeitung gefährde nicht nur die freie Entfaltung der Persönlichkeit, sondern durch die selbstbestimmte Mitwirkung der Bürger auch das Gemeinwohl. Aus diesem Grund soll der verfassungsrechtliche Datenschutz von einem Missbrauchsschutz zu einem Grundrecht auf informationelle Selbstbestimmung aufgewertet werden. Damit würde ein Paradigmenwechsel in der Beweislast zugunsten der Bürger und Bürgerinnen vorgenommen. Die sicherheitspolitische Kommission des Nationalrates gab dem Vorstoss mit 12 zu 8 Stimmen Folge.

Im Datenschutz steht ein Paradigmenwechsel von der Missbrauchsbekämpfung hin zur informationellen Selbstbestimmung bevor: Die Beweislast soll zu Gunsten der Bürgerinnen und Bürger, und damit zu Lasten von Staat und Unternehmen, umgekehrt werden. Eine entsprechende Verfassungsänderung war das Ziel zweier parlamentarischer Initiativen Vischer (gp, ZH) (Pa.Iv. 14.413) und Derder (fdp, VD) (Pa.Iv. 14.434). Wie ihre Schwesterkommission zuvor stimmte im August 2015 auch die SPK-SR beiden Vorstössen zu. Damit hat die SPK-NR die Möglichkeit, einen Entwurf für eine entsprechende Änderung der Bundesverfassung auszuarbeiten, sollte der Bundesrat die Anliegen nicht in zufriedenstellender Weise in seinem Entwurf zur Revision des Datenschutzgesetzes berücksichtigen.

Da mit der Verbesserung der informationellen Selbstbestimmung das zentrale Anliegen der beiden parlamentarischen Initiativen Vischer (gp, ZH; Pa.Iv. 14.413) und Derder (fdp, VD; Pa.Iv. 14.434) voraussichtlich im Zuge der Totalrevision des Datenschutzgesetzes umgesetzt werden soll, verzichtete die zuständige SPK-NR vorerst auf eine eigene gesetzgeberische Tätigkeit. Sie wollte zuerst die Botschaft des Bundesrates zum Datenschutzgesetz abwarten. Im August 2017 musste die Kommission nun entscheiden, was mit den zwei Jahre zuvor gutgeheissenen Vorstössen geschehen soll. Die mit Stichentscheid des Präsidenten Heinz Brand (svp, GR) äusserst knapp zustande gekommene Kommissionsmehrheit plädierte für eine zweijährige Fristverlängerung bei beiden Vorstössen. Die SPK-NR werde als zuständige Kommission für Datenschutz auch das Datenschutzgesetz vorberaten und damit die Möglichkeit haben, allenfalls nicht berücksichtigte Forderungen der Initiativen als Anträge einzubringen. Danach könnten die beiden Initiativen abgeschrieben werden. Anstelle der Fristverlängerung beantragte die Kommissionsminderheit die Abschreibung der beiden Vorstösse, da Art. 13 BV (Schutz der Privatsphäre) bereits den Schutz der persönlichen Daten umfasse, womit die Initiativen obsolet seien. Diese Argumentation von Minderheitssprecher Philippe Nantermod (fdp, VS) überzeugte in der Herbstsession 2017 auch die Mehrheit im Nationalrat: Mit 118 zu 76 Stimmen sprach sich die grosse Kammer für Abschreiben der beiden parlamentarischen Initiativen aus.

Po. Derder: Die digitale Identität definieren und Lösungen für ihren Schutz finden

Zum besseren Schutz der Privatsphäre soll der Bundesrat die digitale Identität der Bürgerinnen und Bürger definieren und diese in die bestehende Rechtspersönlichkeit integrieren. Dies forderte ein vom Nationalrat an die Regierung überwiesenes Postulat Derder (fdp, VD).

Mo. Comte: Identitätsmissbrauch

Wer die Identität einer anderen Person missbraucht, begeht eine schwere Persönlichkeitsverletzung und soll straf- und zivilrechtlich bestraft werden. Die Aufnahme missbräuchlicher Nutzung von fremden, persönlichen Daten als eigenes Delikt forderte eine Motion Comte (fdp, NE), die der Ständerat mit 21 zu 9 Stimmen an den Nationalrat überwies. Die grosse Kammer nahm den Vorstoss ebenfalls an. Der Bundesrat sah in diesem Feld keine Gesetzeslücke und beantragte dementsprechend die Ablehnung der Motion.

Po. Schwaab: Control by Design. Die Rechte auf Eigentum im Falle von unerwünschten Verbindungen verstärken

Das Internet der Dinge bringt auch Datenschutzfragen mit sich. Mit der Überweisung eines Postulats Schwaab (sp, VD) im Dezember 2014 wollte der Nationalrat die Eigentumsrechte im Fall von unerwünschten Verbindungen stärken. Der Bundesrat soll prüfen, ob Personen, die in Besitz oder Eigentümer eines Gerätes sind, das sich mit dem Internet oder anderen Netzwerken verbinden kann, das unabdingbare Recht eingeräumt werden soll, diese Verbindungen zu trennen und bei Zulassen einer Verbindung selber zu entscheiden, welche Daten an Dritte weitergegeben werden. Die geforderte „Control by Design“ (Kontrolle ab der Herstellung) bedeutet auch, dass bereits bei der Herstellung solcher Geräte darauf geachtet werden müsste, dass unerwünschte Verbindungen jederzeit getrennt werden können.

Pa.Iv. Schwaab: Für wirklich abschreckende Sanktionen bei Datenschutzverletzungen

Mit einer parlamentarischen Initiative „für wirklich abschreckende Sanktionen bei Datenschutzverletzungen“ wollte Jean Christophe Schwaab (sp, VD) groben Datenschutzverletzungen begegnen, indem der EDÖB mit einer Sanktionsbefugnis ausgestattet werden sollte. Im Nationalrat scheiterte das Anliegen mit 65 zu 107 Stimmen jedoch klar. Es bestehe zwar Handlungsbedarf im Bereich des Datenschutzes, jedoch wolle man sich diesem im Rahmen der bevorstehenden Revision des Datenschutzgesetzes annehmen.

Nutzung von privaten Kameras

Die zunehmende Nutzung von privaten Kameras, insbesondere von Smartphones, Dashcams, Drohnen und Datenbrillen, ist im Hinblick auf den Datenschutz sowie den Schutz der Privatsphäre im öffentlichen Raum problematisch. Diesem Thema trug der Ständerat in der Frühjahrssession 2015 mit der Annahme eines Postulats Comte (fdp, NE) Rechnung, welches den Bundesrat beauftragt, einen Bericht über die Risiken der Nutzung von privaten Kameras und entsprechende Lösungsvorschläge auszuarbeiten. Der Bericht soll in die nächste Revision des Bundesgesetzes über den Datenschutz einfliessen. Im Nationalrat wurde ein gleichlautendes Postulat (14.4137), eingereicht durch die FDP-Fraktion, ebenfalls angenommen.

Po. Béglé zum Thema Datenschutz

In der Herbstsession 2016 überwies der Nationalrat stillschweigend zwei Postulate Béglé (cvp, VD) zum Thema Datenschutz. Das erste (Po. 16.3384) fordert den Bundesrat auf, Wege zu suchen, um im revidierten Datenschutzgesetz eine geschützte, transparente und zielgerichete Datenerhebung, insbesondere bei medizinischen Daten, sicherzustellen. So könnte beispielsweise das Prinzip der „tatsächlichen Einwilligung“ für besonders schützenswerte Daten die heute gebräuchliche Alibi-Einwilligung ersetzen und damit Transparenz für die Patientinnen und Patienten schaffen. Das zweite Postulat (Po. 16.3386) gibt dem Bundesrat den Auftrag, Möglichkeiten zur Förderung der informationellen Selbstbestimmung aufzuzeigen. Durch einen Paradigmenwechsel von „big data“ zu „self-data“ sollen die Bürgerinnen und Bürger die Kontrolle über ihre persönlichen Daten wiedererlangen, indem sie auf ihre Daten frei zugreifen und diese nach eigenem Ermessen weiterverwenden dürfen.

Po. Béglé: Elektronische Daten. Information der Geschädigten im Falle eines Hackerangriffs

Die meisten Hackerangriffe auf Daten sammelnde und lagernde Organisationen werden aus Angst vor Imageschäden verschwiegen. Mit der stillschweigenden Annahme eines Postulats Béglé (cvp, VD) trug der Nationalrat dem Bundesrat auf zu prüfen, ob und wie solche Organisationen verpflichtet werden können, nach Hackerangriffen die geschädigten Personen über den Vorfall zu informieren. Personen, deren elektronische Daten durch den Angriff in die Hände Dritter gelangt sind, soll mit dieser Informationspflicht die Möglichkeit gegeben werden, etwas zu unternehmen, um den Schaden zu begrenzen. Darüber hinaus sollte die Aussicht auf einen Imageschaden Organisationen in Verantwortung für elektronische Daten wachsamer werden lassen.

Mo. FDP-Fraktion: Gegen Doppelspurigkeiten im Datenschutz

Die Fraktion der FDP befürchtete, dass es im Nachgang der Revision des Bundesgesetzes über den Datenschutz sowie des Inkrafttretens der EU-Datenschutzgrundverordnung zu Doppelspurigkeiten im Datenschutz kommen werde, weil die Datenschutzaufsichten der EU und der Schweiz nicht aufeinander abgestimmt seien. Wenn in der Schweiz niedergelassene Personen Daten von Personen bearbeiten, die sich in der EU befinden, fällt diese Datenbearbeitung auch in den Anwendungsbereich der EU-Verordnung. Dadurch unterstünden Schweizer Unternehmen mit Kunden im EU-Raum nicht mehr nur der Aufsicht des EDÖB, sondern auch jener aller betroffenen EU-Datenschutzbehörden, was gerade in puncto Meldepflichten einen erheblichen, unnötigen Mehraufwand mit sich bringe. In einer Motion forderte die FDP-Fraktion den Bundesrat auf, mit der EU Sondierungsgespräche zu führen mit dem Ziel, die Anwendung des jeweils geltenden Datenschutzrechts zu koordinieren. Der Bundesrat betonte in seiner Stellungnahme, dass eine effiziente Zusammenarbeit in diesem Bereich sowohl im Interesse der Schweizer Behörden als auch der Behörden der EU liegen müsse und signalisierte auch seine Bereitschaft zur Aufnahme solcher Sondierungsgespräche mit der EU. Im Nationalrat erfuhr der Vorstoss in der Wintersession 2016 stillschweigende Zustimmung.

Die Motion der FDP-Fraktion „Gegen Doppelspurigkeiten im Datenschutz“ brachte, nachdem sie im Dezember 2016 vom Nationalrat stillschweigend angenommen worden war, auch im Ständerat keinen Diskussionsbedarf mit sich. Die SPK-SR erwägte in ihrer Vorberatung einzig, dass sie sich den Ausführungen des Bundesrates anschliesse und beantragte einstimmig die Annahme der Motion. In der Frühjahrssession 2017 hiess die Ständekammer den Vorstoss diskussionslos gut. Der Bundesrat muss nun mit der EU Sondierungsgespräche über Zuständigkeiten im Datenschutz aufnehmen.

Revision des Datenschutzgesetzes

Um den Datenschutz zu stärken und an veränderte technologische und gesellschaftliche Verhältnisse anzupassen, soll das Bundesgesetz über den Datenschutz (DSG) totalrevidiert werden. Das revidierte Gesetz soll insbesondere auch die grenzüberschreitende Datenübermittlung weiterhin sicherstellen, indem es die Grundlagen für eine Schweizer Ratifikation der Datenschutzkonvention des Europarates sowie für die Übernahme der EU-Richtlinie über den Datenschutz im Bereich der Strafverfolgung schafft. Ende 2016 schickte der Bundesrat einen entsprechenden Vorentwurf in die Vernehmlassung, welche bis zum 4. April 2017 läuft.

Die Vernehmlassung zur Totalrevision des Datenschutzgesetzes (DSG) und zur Änderung weiterer Erlasse zum Datenschutz umfasste neben diesem Hauptentwurf auch einen Entwurf für einen Bundesbeschluss betreffend die Genehmigung und Umsetzung des Notenaustausches zwischen der Schweiz und der EU zur Übernahme der Richtlinie (EU) 2016/680 sowie einen Entwurf für die Revision des Übereinkommens SEV 108 des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. Im Zentrum des Gesetzgebungsprojektes stehen die Verbesserung der Transparenz von Datenbearbeitungen, die Förderung der Selbstregulierung bei den Verantwortlichen in Form von Empfehlungen der guten Praxis sowie die Stärkung der Position und Unabhängigkeit des EDÖB. Im Einklang mit den europäischen Datenschutzbestimmungen soll darüber hinaus der Schutz von Daten juristischer Personen aufgehoben werden, um insbesondere den Datenaustausch mit dem Ausland zu erleichtern. Einige Anforderungen der EU-Richtlinie 2016/680 erfordern ausserdem Anpassungen im Strafgesetzbuch, in der Strafprozessordnung, im Rechtshilfegesetz und im Schengen-Informationsaustauschgesetz.
Unter den insgesamt 222 Vernehmlassungsteilnehmerinnen und -teilnehmern befanden sich alle Kantone, acht politische Parteien (BDP, CVP, FDP, GLP, GP, SP, SVP, PP), drei eidgenössische Gerichte (Bundesgericht, Bundespatentgericht, Bundesverwaltungsgericht) sowie zahlreiche weitere Organisationen aus den betroffenen Kreisen. Während die Übernahme der EU-Richtlinie 2016/680 sowie der Anforderungen im SEV 108 unumstritten waren, wurde die Revision des DSG und weiterer Erlasse zum Datenschutz von der Mehrheit der Vernehmlasserinnen und Vernehmlasser im Grundsatz ebenfalls begrüsst. Vielerseits gelobt wurde beispielsweise das Vorhaben, das schweizerische Datenschutzrecht so weit an die europäischen Vorgaben anzupassen, dass die Schweiz von der EU weiterhin als Drittstaat mit angemessenem Datenschutzniveau anerkannt wird. Vorbehalte bestanden jedoch gegenüber dem – insbesondere für KMU – grossen Verwaltungsaufwand sowie gegenüber dem „Swiss Finish“: Rund die Hälfte der Teilnehmenden bemängelte, dass der Entwurf unnötigerweise über die europäischen Anforderungen hinaus gehe. Demgegenüber ging er rund einem Fünftel der Teilnehmenden – hauptsächlich aus Konsumentenschutzkreisen – zu wenig weit. Auf harsche Kritik von verschiedensten Seiten stiess das vorgesehene Sanktionensystem. Laut Bericht wünschten sich „sehr viele Teilnehmer“ dessen „vollständige Überarbeitung“, darunter BDP, CVP, FDP, GP, und SP, 18 Kantone sowie Economiesuisse, der Verein Unternehmens-Datenschutz, die FRC, Privatim und die Stiftung für Konsumentenschutz. Hauptsächlich wurde kritisiert, dass keine direkte Strafbarkeit für Unternehmen vorgesehen ist, sondern strafrechtliche Sanktionen, die in erster Linie auf natürliche Personen ausgerichtet sind. In diesem Zusammenhang herrschte die Befürchtung, es könnten einfache Angestellte ohne Entscheidungs- und Vertretungsbefugnis verurteilt werden. Dies wiederum erschwere es den Unternehmen, qualifiziertes und motiviertes Personal – insbesondere Datenschutzverantwortliche – zu rekrutieren. Der häufigste Änderungsvorschlag zielte daher auf ein Modell mit Verwaltungssanktionen anstatt Strafverfahren, die direkt gegen die Unternehmen und nicht gegen Privatpersonen verhängt werden könnten. Verwaltungssanktionen, so die Hoffnung, hätten eine grössere Wirksamkeit als das bislang für die Strafbestimmungen im DSG nur selten angewandte Strafverfahren. Weitere umstrittene Punkte waren auch die Höhe der Bussen – welche einerseits als zu hoch und andererseits als zu niedrig kritisiert wurde – sowie der Katalog der strafbaren Verhaltensweisen, welcher ebenfalls wahlweise als unvollständig bzw. zu umfangreich bezeichnet wurde. Kritisiert wurden des Weiteren auch die mangelhafte Regulierungsfolgeabschätzung und die fehlenden Ausführungen zum Verhältnis zwischen dem Datenschutzrecht des Bundes und jenem auf kantonaler Ebene. Hierzu äusserten auch die Kantone Glarus, Solothurn und Zürich Bedenken, dass die Frist für die Anpassung des kantonalen Rechts zu kurz bemessen sei. Die SVP, die Kantone Schwyz und Waadt sowie einige betroffene Kreise – darunter der AGVS, Auto Schweiz, die FER, PharmaSuisse, Santésuisse sowie der VSV – lehnten den Vorentwurf in der vorliegenden Form ausdrücklich ab, befanden sich damit jedoch klar in der Minderheit aller Vernehmlassungsteilnehmenden.

Die Totalrevision des Datenschutzgesetzes (DSG) verfolgt gemäss der Mitte September 2017 verabschiedeten Botschaft des Bundesrates hauptsächlich zwei Ziele: Erstens sollen die der rasanten technologischen Entwicklung in jüngster Zeit geschuldeten Schwächen des bestehenden Gesetzes behoben werden und zweitens soll das revidierte Gesetz den diesbezüglichen Entwicklungen im Europarat und in der EU Rechnung tragen. Im Rahmen der Revision ihres Datenschutzrechts erliess die EU u.a. die Richtlinie 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten im Bereich des Strafrechts, die auch Teil des Schengen-Acquis ist. Die DSG-Revisionsvorlage soll daher die Anforderungen der genannten EU-Richtlinie übernehmen, um sicherzustellen, dass die Schweiz ihre Schengen-Verpflichtungen wahrnehmen kann. Der Europarat erarbeitete indes ein Protokoll zur Revision des Übereinkommens SEV 108 zum Schutz des Menschen bei der automatisierten Verarbeitung personenbezogener Daten, womit das schweizerische DSG nach der Revision ebenfalls vereinbar sein soll. Aus Sicht des Bundesrates bilden die Ratifikation dieses Übereinkommens einerseits und die Annäherung an das Datenschutzrecht der EU andererseits die zentralen Voraussetzungen dafür, dass die Europäische Kommission der Schweiz weiterhin ein angemessenes Datenschutzniveau attestiert. Vor allem für die Schweizer Wirtschaft ist dieser sogenannte Angemessenheitsbeschluss von zentraler Bedeutung, da die Schweiz in allen Bereichen, die nicht der Schengen-Zusammenarbeit unterstehen, von der EU als Drittstaat angesehen wird und ein Datenaustausch zwischen EU-Mitgliedstaaten und Drittstaaten nur erlaubt ist, wenn Letzterer ein angemessenes Datenschutzniveau gewährleistet.
Zu den wichtigsten inhaltlichen Änderungen im DSG zählt neben dem Verzicht auf den Schutz der Daten juristischer Personen eine grundsätzliche Informationspflicht bei der Datenbeschaffung für alle Bearbeitungen durch Private, um die Transparenz der Datenbearbeitung generell zu verbessern. Überdies soll bei den für die Datenbearbeitung Verantwortlichen über entsprechende, von den Branchen erarbeitete Verhaltenskodizes die Selbstregulierung gefördert werden. Auch der EDÖB soll in seiner Position und Unabhängigkeit gestärkt werden und neu wie seine europäischen Amtskollegen Untersuchungen gegenüber Datenbearbeitern eröffnen sowie Verfügungen erlassen können. Letztlich sollen auch die Strafbestimmungen gegenüber heute verschärft werden. Zur Umsetzung der EU-Richtlinie 2016/680 umfasst die Vorlage zusätzlich Anpassungen in weiteren Gesetzen, namentlich im Strafgesetzbuch, in der Strafprozessordnung, im Rechtshilfegesetz sowie im Schengen-Informationsaustauschgesetz.
Mit seinem Entwurf kam der Bundesrat vor allem der Wirtschaft entgegen, die in der Vernehmlassung Kritik an der weitgehenden Regulierung geübt hatte. So wurde nun auf ein «Swiss Finish» verzichtet; d.h. es sind keine Anpassungen vorgesehen, die über den EU-Standard hinausgehen. Insbesondere das Sanktionensystem kommt im Vergleich zur Vernehmlassung abgeschwächt daher, soll die maximale Busse doch nur noch CHF 250'000 und nicht wie ursprünglich vorgeschlagen CHF 500'000 betragen. In den Augen des SGV sind die Bussen dennoch zu hoch und die Position des EDÖB zu stark. Der EDÖB Adrian Lobsiger selbst zeigte sich im Grossen und Ganzen zufrieden mit dem Entwurf des Bundesrates und bedauerte einzig, dass ihm nicht die Kompetenz zugestanden wird, ohne Strafprozess direkt Bussen zu verhängen.

Die SPK-NR trat im Januar 2018 einstimmig auf die Revision des Datenschutzrechts ein, da es unbestritten notwendig sei, das schweizerische Datenschutzrecht an die gesellschaftlichen und technologischen Entwicklungen anzupassen. Teil dieser Vorlage war auch die Umsetzung der EU-Richtlinie 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten im Bereich des Strafrechts. Wie bei allen Weiterentwicklungen des Schengen-Besitzstandes hat die Schweiz auch für die Übernahme dieser Richtlinie zwei Jahre Zeit. In diesem Fall endet diese Frist am 1. August 2018. Angesichts der zeitlichen Dringlichkeit der Schengen-relevanten Anpassungen einerseits sowie der Komplexität und Tragweite der Datenschutzthematik andererseits entschied die Kommission mit 14 zu 8 Stimmen bei 2 Enthaltungen, die Vorlage in zwei Teile zu spalten, sodass zuerst zeitnah die Schengen-relevanten Anpassungen verabschiedet werden können und die Totalrevision des Datenschutzgesetzes anschliessend ohne Zeitdruck erfolgen kann. Die zur Umsetzung der Richtlinie erforderlichen Anpassungen waren in der Kommission weitgehend unbestritten, weshalb sie diese erste Etappe im April desselben Jahres einstimmig annahm. Die Minderheit sah hingegen keinen Nutzen in der Teilung der Vorlage und wird dem Nationalrat beantragen, das Geschäft an die Kommission zurückzuweisen, damit diese die Revision des Datenschutzrechts integral berät.

Darüber, dass das mittlerweile in die Jahre gekommene Schweizer Datenschutzrecht revidiert werden muss, bestand in der Sommersession 2018 im Nationalrat Einigkeit, jedoch nicht unbedingt darüber, wie diese Revision vonstattengehen soll. Die SPK-NR hatte die Vorlage des Bundesrates zweigeteilt, sodass in einem ersten Schritt alle Bestimmungen zur Umsetzung der Schengen-relevanten EU-Richtlinie 2016/680 «zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung» möglichst zeitnah verabschiedet werden können, bevor in der zweiten Etappe die Revision des Datenschutzgesetzes (DSG) unter Einbezug der EU-Datenschutz-Grundverordnung und der revidierten Datenschutzkonvention des Europarates ohne Zeitdruck angegangen werden kann. Nicht einverstanden mit diesem Plan wollte Cédric Wermuth (sp, AG) das Geschäft mittels Minderheitsantrag an die Kommission zurückweisen, damit diese die Teilung rückgängig mache und die Vorlage integral berate. Er hielt es für ineffizient, dass sich das Parlament innert kurzer Zeit zweimal mit dem Datenschutzrecht befassen müsste. Bevor darüber abgestimmt werden konnte, zog Wermuth seinen Antrag jedoch mit der Begründung zurück, zum jetzigen Zeitpunkt könne die Rückweisung nicht mehr zu einer Beschleunigung des Verfahrens führen; es sei nun vielmehr schneller, den eingeschlagenen Weg weiterzugehen und das Geschäft in der kommenden Herbstsession dem Ständerat zu unterbreiten. Somit trat die grosse Kammer ohne Gegenantrag auf die Vorlage ein und genehmigte deren Teilung. Damit wurden die für die Schengen-Zusammenarbeit im Strafrechtsbereich relevanten Bestimmungen in das neue Schengen-Datenschutzgesetz (SDSG) ausgelagert, das als Anhang des bestehenden DSG konzipiert ist. Das SDSG wird nach der Totalrevision des DSG hinfällig werden und war in seinem Inhalt im Nationalrat unbestritten. Im Zuge eines einzigen Minderheitsantrags befasste er sich mit der Frage, ob gewerkschaftliche Ansichten ausdrücklich in der Definition von besonders schützenswerten Daten natürlicher Personen erwähnt werden sollen oder ob diese automatisch unter den besonderen Schutz der politischen und weltanschaulichen Ansichten fallen, wie die Kommissionsmehrheit argumentierte. Bundesrätin Simonetta Sommaruga stellte fest, dass es keine materielle Differenz zwischen den beiden Vorschlägen gebe. Die Minderheit wollte im Einklang an die Formulierung im bestehenden DSG sowie in der EU-Richtlinie die gewerkschaftlichen Ansichten explizit beibehalten, doch der Nationalrat folgte in diesem Streitpunkt der Kommissionsmehrheit. In der Gesamtabstimmung nahm die grosse Kammer die Änderungen der ersten Etappe der Revision des Datenschutzgesetzes mit 174 zu 5 Stimmen bei 2 Enthaltungen an. Mit ebenso grosser Mehrheit (170 zu 5 Stimmen bei 2 Enthaltungen) stimmte sie der Genehmigung des Notenaustauschs zwischen der Schweiz und der EU betreffend die Übernahme der EU-Richtlinie zu.

In der Herbstsession 2018 beschäftigte sich der Ständerat als Zweitrat mit der ersten Etappe der DSG-Revision, welche nur die Schengen-relevanten Bestimmungen des Gesetzgebungsprojektes umfasste. Die Schweiz hätte ihr Datenschutzrecht eigentlich bis zum 1. August 2018 an die EU-Richtlinie 2016/680 betreffend den Datenschutz in Strafsachen anpassen müssen, war damit im September also schon leicht im Verzug. Obwohl sich Kommissionssprecherin Pascale Bruderer Wyss (sp, AG) nicht sonderlich begeistert von der Etappierung der Vorlage zeigte – der Schengen-relevante Teil sei nicht der einzige, der zügig abgeschlossen werden sollte, denn die übrigen Bestimmungen seien zwar nicht für das Fortbestehen der Schengen-Assoziierung, aber sehr wohl für den Angemessenheitsbeschluss relevant und somit nicht weniger wichtig –, appellierte sie an den Rat, das Beste daraus zu machen und den eingeschlagenen Weg möglichst rasch weiterzugehen.
Nachdem die kleine Kammer ohne Gegenantrag auf die Vorlage eingetreten war, wurde auch hier, wie zuvor im Nationalrat, die Diskussion geführt, ob die gewerkschaftlichen Ansichten in der Definition der besonders schützenswerten Personendaten explizit aufgeführt werden müssten oder ob man diese streichen könne, da sie von den politischen und weltanschaulichen Ansichten erfasst würden. Wie der Nationalrat sprach sich auch der Ständerat mehrheitlich für die Streichung der gewerkschaftlichen Ansichten aus, obwohl, wie von Bundesrätin Sommaruga und Minderheitsvertreter Stöckli (sp, BE) angemerkt, dieser Antrag gar nie begründet worden sei. Materiell änderte sich damit nichts im Vergleich zum geltenden Recht, weshalb sowohl die Justizministerin als auch der Minderheitsvertreter letztlich vergebens die Notwendigkeit dieser Anpassung – notabene in einem ohnehin befristeten Gesetz – angezweifelt hatten. Als zweite Änderung und damit neue Differenz zum Nationalrat verbot der Ständerat dem EDÖB grundsätzlich die Ausübung jeglicher Nebentätigkeiten, unabhängig davon, ob diese vergütet werden oder nicht. Abweichend vom Grundsatz soll der Bundesrat eine solche jedoch gestatten können, wenn der EDÖB dadurch nicht in der Ausübung seiner Tätigkeit, seiner Unabhängigkeit und seinem Ansehen beeinträchtigt wird. Diese Absicht hatte bereits der Bundesrat in seinem Entwurf gezeigt, der Ständerat habe jetzt aber die «richtige Perspektive» und die «richtige Formulierung» gefunden, so Bundesrätin Sommaruga. Einstimmig verabschiedete die kleine Kammer das Schengen-Datenschutzgesetz mit dieser einen verbleibenden Differenz. Ebenfalls einstimmig genehmigte sie auch den Notenaustausch zwischen der Schweiz und der EU betreffend die Übernahme der EU-Richtlinie 2016/680 zum Datenschutz in Strafsachen.
Der Nationalrat räumte die Differenz daraufhin oppositionslos aus und nahm das Schengen-Datenschutzgesetz in der Schlussabstimmung mit 182 zu 11 Stimmen an. Der Genehmigung des Notenaustausches stimmte er mit 139 zu 45 Stimmen zu; dagegen opponierte ein Grossteil der SVP-Fraktion. Im Ständerat passierten beide Entwürfe die Schlussabstimmung einstimmig.

Mo. Béglé: Förderung der Schweiz als universeller virtueller Datentresor

Mit einer Motion forderte Claude Béglé (cvp, VD), dass bei der Revision des Datenschutzgesetzes zwei geltende Gesetzesbestimmungen beibehalten werden. Es handelt sich dabei einerseits um den Schutz von Personendaten juristischer Personen und andererseits um die Möglichkeit für Unternehmen, ihre Datensicherheit durch unabhängige Zertifizierungsstellen bewerten zu lassen. Béglés Ziel war, die Schweiz als universellen virtuellen Datentresor zu positionieren, um eine Führungsrolle in der weltweiten Datenspeicherung zu übernehmen. Durch die Gewährleistung eines hohen Datenschutzniveaus erhoffte sich der Motionär, dass ein „Ökosystem“ aus innovativen Unternehmen im Datenverarbeitungsbereich in der Schweiz entsteht. Der Bundesrat führte in seiner Stellungnahme zum ersten Punkt der Motion aus, dass er im revidierten Datenschutzgesetz gerade auf den Schutz von Personendaten juristischer Personen verzichten wolle. Damit werde der grenzüberschreitende Datenverkehr verbessert und zudem werde dem Stand des europäischen Datenschutzrechts – sowohl im Rahmen des Europarats als auch im Rahmen der EU – Rechnung getragen. Den zweiten Punkt beantragte der Bundesrat zur Annahme, da er nicht vorhabe, die Möglichkeit der Zertifizierung infrage zu stellen. Dementsprechend lehnte der Nationalrat im September 2016 den ersten Punkt der Motion ab und nahm die zweite Ziffer an. Im Februar 2017, als der Ständerat über den zweiten Punkt der Motion befinden sollte, war die Vernehmlassung zum revidierten Datenschutzgesetz bereits eröffnet worden. Die kleine Kammer lehnte das Anliegen demnach ab, da das Parlament im Zuge der Beratungen der DSG-Revision ohnehin die Möglichkeit haben werde, die Forderung zu prüfen.