Source: http://dirittifondamentali.ch/totalrevision-des-datenschutzgesetzes-und-aenderung-weiterer-erlasse-zum-datenschutz-sr-235-1.html
Timestamp: 2020-08-14 17:32:14+00:00

Document:
Totalrevision des Datenschutzgesetzes und Änderung weiterer Erlasse zum Datenschutz (SR 235.1) - grundrechte.ch
Vernehmlassung DSG
Per Email zu senden an (als word Datei)
jonas.amstutz@bj.admin.ch
Gerne beteiligen wir uns an der Vernehmlassung zur Totalrevision des DSG. grundrechte.ch begrüsst die Stossrichtung der Vorlage. Das Ziel der Revision ist, den Datenschutz zu stärken, die Transparenz zu erhöhen, das Verantwortungsbewusstsein der Datenbearbeiter zu erhöhen und die Aufsicht zu stärken. Die technische Entwicklung und die immer stärkere Vernetzung haben zu einer immensen Erhöhung der Datenmengen geführt und ermöglichen eine überaus komplexe, mächtige Nutzung von Daten. Die mit dem Datenschutz verknüpften Rechte der Betroffenen geraten dadurch immer mehr unter Druck. Eine Stärkung des Datenschutzes tut Not vor dem Hintergrund dieser Entwicklung.
Mit dem revidierten DSG folgt die Schweiz der Entwicklung im europäischen Raum. Die entsprechende EU-Datenschutzgesetzgebung ist aus unserer Sicht als Mindeststandart zu betrachten. Würde dieser unterschritten, wäre die für das Schutzniveau, aber auch aus wirtschaftlicher Sicht erforderliche Gleichwertigkeit mit der EU-Regelung nicht gewährleistet. Punktuell erscheinen aus unserer Sicht zusätzliche Schutznormen als erforderlich, insbesondere, weil die EU-Datenschutzgesetzgebung neuen Qualitäten der Datenbearbeitung, welche sich aus dem Big-Data-Ansatz und der vernetzten Nutzung von Daten ergeben, noch nicht ausreichend gerecht wird.
Nachstehend nehmen wir zu den aus unserer Sicht wichtigsten Bestimmungen im Detail Stellung und legen dar, welcher Änderungen es aus unserer Sicht bedarf, um den Zielen der Revision gerecht zu werden.
Wir bedanken uns für die Gelegenheit, eine Vernehmlassung einzureichen und hoffen, dass unsere Überlegungen und Anträge in den Gesetzgebungsprozess einfliessen können.
Art. 2 - Räumlicher Geltungsbereich
Im Gegensatz zur neuen Datenschutz-Grundverordnung der Europäischen Union (EU-DSGVO) enthält der vorliegende Entwurf zum revidierten Datenschutzgesetz (DSG) keine besondere Bestimmung zum räumlichen Geltungsbereich. Nach Auffassung des Bundesrates würde bereits das geltende Recht die Möglichkeit bieten, das Gesetz weitgehend auf Situationen mit internationalem Charakter anzuwenden. Er verweist hierzu auf das Bundesgerichtsurteil zu «Google Street View». In diesem Urteil ist, wie vom Bundesrat erwähnt, ein überwiegender Anknüpfungspunkt in der Schweiz gegeben, da Google Inc. mit Hilfe von Google Switzerland GmbH Bilder von Strassenzügen in der Schweiz aufnehmen liess. Diese Situation ist jedoch nicht mit Datenbearbeitern und Inhaber von Datensammlungen - nach heutiger Terminologie - vergleichbar, die komplett aus dem Ausland operieren, sich aber an Personen in der Schweiz richten. Zu erwähnen sind etwa Amazon (unter anderen mit Amazon Web Services), Facebook (auch mit Instagram und WhatsApp), Google (unter anderem mit Gmail, Google Analytics und YouTube), LinkedIn, Microsoft (unter anderem mit Office 365), Twitter, Salesforce und XING.
In all diesen Fällen kann - im Unterschied zur neuen EU-DSGVO - das schweizerische Datenschutzgesetz weiterhin nicht ohne weiteres angewendet werden. Die Auffassung des Bundesrates, das geltende Recht biete bereits die Möglichkeit, das DSG weitgehend auf Situationen mit internationalem Charakter anzuwenden, lässt sich denn auch in der gängigen Praxis nicht nachvollziehen. Ein der neuen EU-DSGVO entsprechendes Marktortprinzip muss daher vorgesehen werden. Damit würde dann auch ein in der Schweiz nötiges, vergleichbares Datenschutzrecht gelten.
Die Streichung des Begriffs und des Konzepts der «Datensammlung» wird ausdrücklich begrüsst. Entscheidend ist die Erschliessbarkeit der Daten: Alle Informationen über eine bestimmte Person, die mit einem vernünftigen Aufwand gefunden werden können, müssen als personenbezogene Daten gelten - unabhängig vom Speicherverfahren oder dem Speicherort.
Art. 3 lit. a - Personendaten
Eine entsprechende Präzisierung zu den Begriffen «Personendaten» und «bestimmbare Person» ist daher in der Botschaft und den Ausführungsbestimmungen festzuhalten.
Art. 3 lit. c Ziff. 4 - Biometrische Daten
Art. 4 Abs. 2 - Verhältnismässigkeit
«Datenvermeidung» und «Datensparsamkeit» fehlen als explizite Grundkonzepte und als Teil der notwendigen Verhältnismässigkeit (s. Art. 4 Abs. 6). Der Absatz ist zu ergänzen mit: «Die Bearbeitung personenbezogener Daten sowie die Auswahl und Gestaltung der Datenbearbeitungssysteme sind dahin gehend auszurichten, dass so wenig personenbezogene Daten wie möglich von der Bearbeitung betroffen sind.»
Art. 4 Abs. 3 - Zweckbestimmung
Da die Weiterverarbeitung von Personendaten zu kompatiblen Zwecken erlaubt sein soll, muss der Zweck - wie im Vorentwurf vorgesehen - für die betroffene Person klar erkennbar sein.
An der Bestimmung soll - wie im Vorentwurf vorgesehen - festgehalten werden.
Art. 4 Abs. 6 - Einwilligung
An den Grundsätzen der Datenvermeidung und der Datensparsamkeit muss entsprechend festgehalten werden. Es darf auch nicht bereits davon ausgegangen werden, dass eine ausdrückliche Einwilligung vorliegt, wenn ein entsprechendes Kästchen - womöglich mit einer missverständlichen Beschriftung - bereits vorausgefüllt ist und auf die Schaltfläche «weiter» geklickt wird. Eine Verdeutlichung in Art. 4. Abs. 2 ist daher vorzunehmen.
Art. 8 - Empfehlungen der guten Praxis
Das Prinzip der «Empfehlungen der guten Praxis» wird begrüsst. Dieser Vorschlag ist insbesondere einer (alleinigen) Selbstregulierung durch die Branchen vorzuziehen, da erst der Einbezug interessierter und betroffener Kreise, d. h. sowohl der Anwender wie auch der Anbieter von Produkten und Dienstleis-tungen, zu angemessenen Regelungen der Empfehlungen der guten Praxis führen.
Art. 11 - Sicherheit von Personendaten
Art. 12 - Daten einer verstorbenen Person
Art. 13 Abs. 3 und 4 - Informationspflicht bei der Beschaffung von Personendaten
Die Bestimmungen gilt auch für die Auskunftspflicht nach Art. 20 Abs. 2 lit. g. Zur Erfüllung der Informationspflicht ist die Bekanntgabe der Kategorien der bearbeiteten Daten, der Kategorien der zur Auftragsbearbeitung übergebenen Daten und der Kategorien der Datenempfänger ausreichend. Die Auskunftspflicht hingegen muss aber neben den Daten auch die Empfänger der Daten - und nicht nur deren Kategorien umfassen. Eine Unterscheidung der Auskunftspflicht und der Informationspflicht ist daher (in Art. 20) sinnvoll.
Art. 14 Abs. 3 und 4 - Ausnahmen von der Informationspflicht und Einschränkungen
Die Einschränkungen und Bestimmungen gelten speziell für die Auskunftspflicht nach Art. 21. Sind von der Auskunftspflicht jedoch «überwiegende Interessen Dritter» betroffen, sollten diese Angaben geschwärzt werden, damit keine Rückschlüsse auf die betroffenen Personen gemacht werden können. Um beispielsweise in Telekommunikationsmetadaten die Rechte der anderen an der Kommunikation beteiligten Personen zu schützen, sind diese zu anonymisieren. Die Auskunftspflicht ist dadurch aber nicht weiter einzuschränken (oder aufzuschieben oder darauf zu verzichten).
Daher ist Abs. 3 wie folgt abzuändern:
Art. 15 Abs. 1 - Informationspflicht bei einer automatisierten Einzelentscheidung
Art. 15 Abs. 2 - Anhörungspflicht bei einer automatisierten Einzelentscheidung
Art. 16 - Datenschutz-Folgenabschätzung
Art. 16 Abs. 5 (neu) - Periodische und rückwirkende Datenschutz-Folgenabschätzung
Zudem müssen Datenschutz-Folgenabschätzungen auch rückwirkend, wie in Art. 59 lit. a vorgesehen, für bereits bestehende Datenbearbeitungen durchgeführt werden:
Art. 16 Abs. 1, 3, 4 sowie 5 (neu) - Datenschutz-Folgeabschätzung für Gesetzeserlasse
Art. 59 lit. a - Übergangsbestimmung
Auch diese Datenschutz-Folgenabschätzungen müssen rückwirkend für bereits bestehende Gesetze (spätestens fünf Jahre nach Inkrafttreten des DSG) durchgeführt werden:
Gesetze, welche eine Überwachung von Personen beinhalten, werden mit einem «Verfallsdatum» versehen. Sie müssen nach den ersten fünf Jahren seit Inkrafttreten zwingend einer Evaluation, welche die Wirksamkeit und Verhältnismässigkeit prüft, unterzogen werden. Das Resultat bestimmt darüber, ob das Gesetz weiter angewendet werden kann. Wir schlagen daher folgende Ergänzung vor:
Art. 17 Abs. 4 - Meldung von Verletzungen des Datenschutzes
Der Auftragsbearbeiter muss den Verantwortlichen nicht nur über eine unbefugte Datenbearbeitung, sondern auch - wie in Abs. 1 für den Verantwortlichen festgehalten - über einen Verlust von Daten informieren. Der Absatz muss daher lauten: «Der Auftragsbearbeiter informiert den Verantwortlichen unverzüglich über eine unbefugte Datenbearbeitung oder den Verlust von Daten.»
Art. 17 Abs. 5 (neu) - Meldung von Verletzungen des Datenschutzes durch Internetkriminalität
Beim Verlust von Daten durch Internetkriminalität sollte neben dem Beauftragten und den betroffenen Personen auch die Melde- und Analysestelle Informationssicherung MELANI informiert werden. Durch das Wissen aus konkreten Fällen ist es ihr möglich, Gefahren für Schweizer Unternehmen zu erkennen, ein Gefahrenbild zu erstellen und Massnahmen zu empfehlen. Entsprechend ist der Beauftragte zu ermächtigen, MELANI zu informieren: «Bei Verlust von Daten informiert der Beauftragte die für die Sicherheit von Computersystemen und des Internets zuständige Melde- und Analysestelle Informationssicherung MELANI.»
Art. 18 - Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen
Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen sind wichtige Prinzipien und sorgen erst dafür, dass die Einwilligung der betroffenen Person nach Art. 4 Abs. 6 auch tatsächlich eingeholt wird. Ein Verstoss muss sanktioniert sein/bleiben. Zudem müssen Massnahmen für Daten-schutz durch Technik und datenschutzfreundliche Voreinstellungen auch rückwirkend, wie in Art. 59 lit. b vorgesehen, für bereits bestehende Datenbearbeitungen umgesetzt werden.
Art. 19 lit. a - Weitere Pflichten
Gemäss dem erläuternden Bericht wird dadurch für Private die bisherige Verpflichtung ersetzt, Datensammlungen beim Beauftragten zu registrieren. Dies entspricht nicht den Anforderungen aus dem Übereinkommen SEV 108 und der EU-DSGVO. Vielmehr muss auch nachgewiesen werden können, dass die Datenschutzbestimmungen eingehalten werden. Dies geht über ein Register der Datenbearbeitungen hinaus. Dies ist zu verdeutlichen.
Art. 20 - Auskunftsrecht
Art. 20 Abs. 1 - Auskunftsrecht und Kosten
Die Auskunft ist - wie im Vorentwurf vorgesehen - kostenlos vom Verantwortlichen zu leisten.
Art. 20 Abs. 2 lit. c - Auskunftsrecht zur Rechtsgrundlage
Wir schlagen daher vor, lit. c. zu ergänzen: «…der Zweck der Bearbeitung und die Rechtsgrundlage;»
Art. 20 Abs. 2 lit. g - Auskunftsrecht und Informationspflicht
Zur Erfüllung der Informationspflicht ist die Bekanntgabe der Kategorien der bearbeiteten Daten, der Kategorien der zur Auftragsbearbeitung übergebenen Daten und der Kategorien der Datenempfänger gemäss Art. 13 Abs. 3 und 4 ausreichend. Die Auskunftspflicht hingegen muss aber neben den Daten auch die Empfänger der Daten - und nicht nur deren Kategorien umfassen. Eine Unterscheidung der Auskunftspflicht und der Informationspflicht ist daher sinnvoll. Lit. g und h (neu) sind wie folgt zu formulieren: «g. gegebenenfalls Empfängerinnen und Empfänger der Personendaten;
Art. 20 Abs. 3 - Auskunftsrecht und Entscheidungen
Bereits heute finden massenhaft automatisierte Einzelentscheidungen - die ausschliesslich auf Algorithmen beruhen und ohne menschliches Eingreifen getroffen werden - auf Grund von Personendaten statt. Beispiele sind Social Media-Plattformen, personalisierte Werbung und Beeinflussung durch Microtargeting.
Für die Nachvollziehbarkeit sind Informationen über die verwendeten Algorithmen wichtig. Die Bestimmung greift daher zu kurz und muss grundsätzlich ein Auskunftsrecht über die Bearbeitung mit Algorithmen enthalten. Die Mechanismus Transparenz muss in geeigneter Form (beschreibend oder als Algorithmus selber) erfolgen.
«Werden Personendaten automatisiert bearbeitet, erhält die betroffene Person das Ergebnis und Informationen über das Zustandekommen des Ergebnisses, bei einer automatisierten Einzelent-scheidung zusätzlich die Auswirkungen der Entscheidung, mitgeteilt.»
Neue Formulierung für Art. 20 Abs. 2 lit. e: «[…] das Vorliegen einer automatisierten Bearbeitung;»
Art. 20 Abs. 7, 8, 9 und 10 (neu) - Datenauskunft und Daten Portabilität
Das Recht auf Datenportabilität ist im vorliegenden Entwurf nicht vorgesehen. Dies ist unverständlich, da Schweizer Firmen, falls sie sich an Personen in der EU richten, dies nach EU-Recht einführen müssen. Ein Verzicht nützt den Unternehmen nichts, schwächt aber die Konsumentenrechte in der Schweiz. Wir schlagen Folgende Ergänzungen vor:
Art. 21 - Einschränkung des Auskunftsrechts
Art. 22 und Art. 24 Abs. 2 lit. d - Medien
Art. 24 Abs. 2 lit. e - Anonymisierung usw.
Gemäss den Erläuterungen zum Vorentwurf, wie auch nach dem aktuellen Recht, reicht die rein theoretische Möglichkeit, dass jemand identifiziert werden kann, nicht aus, um anzunehmen, eine Person sei bestimmbar. Vielmehr muss die Gesamtheit der Mittel betrachtet werden, die vernünftigerweise eingesetzt werden können, um eine Person zu identifizieren. Der Begriff wird hiermit zu eng gefasst, da unnötig in Kauf genommen wird, dass besonders schützenswerte Personendaten sich (zukünftig) deanonymisieren lassen und dadurch den betroffenen Personen erheblichen Schaden zugeführt werden kann.
Art. 25 - Rechtsansprüche
Art. 25 Abs. 1 lit. c - Recht auf Vergessenwerden
Art. 25 Abs. 4 (neu) - Verbands- und Sammelklagen
Gemäss dem erläuternden Bericht sollen die Instrumente der kollektiven Rechtsdurchsetzung im Rahmen der Umsetzung der Motion 13.3931 Birrer-Heimo in einem grösseren, möglichst Sektor übergreifenden Kontext geprüft werden. In der Stellungnahme des Bundesrates zur Motion ist zu entnehmen:
Folgerichtig muss im neuen DSG eine Regelung zur kollektiven Rechtsdurchsetzung (Verbands-klagerecht und Sammelklage), analog beispielsweise zum UWG, vorgesehen sein:
Art. 25 Abs. 5 (neu) - Beweislastumkehr
Der Anbieter ist zu einer angemessenen Mithilfe zu verpflichten. Den Beweis einer rechtmässigen Bearbeitung kann durch den Verantwortlichen beispielsweise durch Darlegung der Einhaltung von Empfehlungen der guten Praxis erbracht werden. Andernfalls muss davon ausgegangen werden, dass eine unrechtmässige Bearbeitung vorliegt. Daher schlagen wir folgende Präzisierung vor:
Art. 27 Art. 2 - Rechtsgrundlagen
Art. 29 Abs. 4 - Bekanntgabe von Personendaten
Art. 29 Abs. 5 - Bekanntgabe von Personendaten
Abs. 5 sollte daher ergänzt werden: «Ein missbräuchliches, insbesondere automatisiertes Beschaffen der Daten durch Dritte ist wirkungsvoll zu verhindern.»
Art. 30 Abs. 2 - Widerspruch gegen die Bekanntgabe von Personendaten
Abs. 2: ergänzen: «Das Bundesorgan weist das Begehren ab, wenn eine Rechtspflicht zur Bekanntgabe besteht.»
Art. 32 Abs. 1 - Datenbearbeitung für Forschung, Planung und Statistik
Art. 34 Abs. 3bis (neu) - Verbands- und Sammelverfahren
Analog zu Art. 25 Abs. 4 (neu) sind auch die Voraussetzungen für Verbands- und Sammelverfahren zu schaffen: «Ansprüche und Verfahren stehen ebenso Organisationen von gesamtschweizerischer oder regionaler Bedeutung zu, die sich statutengemäss unter anderem dem Datenschutz widmen.»
Art. 37 Abs. 1 - Ernennung und Stellung
Der Beauftragte kontrolliert unter anderem auch die Verwaltung. Er sollte daher unabhängig vom Bundesrat und der übrigen Exekutive beziehungsweise Verwaltung gewählt werden:
Art. 41 - Untersuchung
Die erweiterten Untersuchungsbefugnisse werden begrüsst. Diese entsprechen auch den Vorgaben von Europarat und EU. Allerdings geben diese eine Behandlungspflicht (und nicht nur eine Möglichkeit) durch den Beauftragten vor. Der anzeigenden Person sollte ein Recht auf einen Entscheid und eine Anfechtmöglichkeit zugestanden werden:
Art. 50 bis 52 - Strafbestimmungen
Art. 50 und 51 - Verwaltungssanktionen
Der Entwurf sieht vor, auf die in der EU-DSGVO verankerten Verwaltungssanktionen zu verzichten. Stattdessen sollen die Strafbarkeitsbestimmungen ausgebaut und insbesondere der Strafrahmen stark ausgedehnt werden. Die Wirksamkeit strafrechtlicher Sanktionen vermag jedoch offenkundig nicht an jene von Verwaltungssanktionen heranzureichen. Strafrechtliche Sanktionen können nur greifen, soweit der Rechtsverstoss einer Person individuell zugeordnet werden kann. Die Höhe der Busse orientiert sich wesentlich am individuellen Verschulden dieser Person und ist auch durch ihre persönlichen finanziellen Verhältnisse limitiert.
Im Rahmen von Verwaltungssanktionen kann ein Verstoss viel umfassender gewürdigt und sanktioniert werden. Anders als bei einer strafrechtlichen Verfolgung fällt dabei jede in einer Organisation feststellbare Pflichtverletzung ins Gewicht. Ihre Auswirkungen können umfassend berücksichtigt werden, ebenso die wirtschaftliche Potenz der betroffenen Organisation und die von ihr - allenfalls unter Inkaufnahme von datenschutzrechtlichen Pflichten - erzielten Gewinne.
Die EU sowie der Europarat verlangen ausdrücklich auch Verwaltungssanktionen, die der Beauftragte verhängen kann. Die Sanktionen müssen wirksam, verhältnismässig und abschreckend sein. Strafrechtliche Massnahmen vermögen a priori nicht die Wirksamkeit und Abschreckung zu gewährleisten, welche denjenigen von Verwaltungsmassnahmen entsprechen.
Art. 50 und 51 - Strafmass
Art. 52 - Verletzung der beruflichen Schweigepflicht
Art. 57 Abs. 1 - Vollzug durch die Kantone

References: Art. 2

Art. 3

Art. 3

Art. 4
 Art. 4

Art. 4

Art. 4
 Art. 4

Art. 8

Art. 11

Art. 12

Art. 13
 Art. 20
 Art. 20

Art. 14
 Art. 21

Art. 15

Art. 15

Art. 16

Art. 16
 Art. 59

Art. 16

Art. 59

Art. 17

Art. 17

Art. 18
 Art. 4
 Art. 59

Art. 19

Art. 20

Art. 20

Art. 20

Art. 20
 Art. 13

Art. 20
 Art. 20

Art. 20

Art. 21

Art. 22
 Art. 24

Art. 24

Art. 25

Art. 25

Art. 25

Art. 25

Art. 27
 Art. 2

Art. 29

Art. 29

Art. 30

Art. 32

Art. 34
 Art. 25

Art. 37

Art. 41

Art. 50

Art. 50

Art. 50

Art. 52

Art. 57