ch_vb · JAAC 60.77 · 1995-08-09 · de


JAAC 60.77
Eidgenössischer Datenschutzbeauftragter, 9. August
1995, aufdatiert 25. April 1996
Protection des données. Rédaction de dispositions sectorielles de
protection des données au niveau d’une base légale formelle. Droit
transitoire.
Art. 17, 19 et 38 LPD.
Pour le traitement de données sensibles et de profils de la personnalité,
notamment au moyen de systèmes informatiques complexes,
respectivement de procédures d’appel, une base légale au sens formel
est exigée. Celle-ci doit, le cas échéant, également déterminer des
mesures sectorielles de protection. La base légale doit être créée
jusqu’au 30 juin 1998 pour les fichiers existant avant l’entrée en vigueur
de la LPD; pour les nouveaux fichiers, dès leur mise en service.
Datenschutz. Redaktion sektorieller Datenschutzbestimmungen in
formellen Gesetzen. Übergangsrecht.
Art. 17, 19 und 38 DSG.
Für die Bearbeitung von besonders schützenswerten Personendaten und
von Persönlichkeitsprofilen namentlich mit umfangreichen EDV-Mitteln
beziehungsweise im Abrufverfahren ist eine formellgesetzliche
Grundlage erforderlich. Diese hat sich gegebenenfalls auch
zu bereichsspezifischen Schutzauflagen zu äussern. Für
Datensammlungen, die vor dem Inkrafttreten des DSG bestanden,
ist die Rechtsgrundlage bis zum 30. Juni 1998 zu schaffen, für neue
Datensammlungen indessen auf den Zeitpunkt der Inbetriebnahme.
1

Protezione dei dati. Redazione di disposizioni settoriali di protezione
dei dati in leggi formali. Diritto transitorio.
Art. 17, 19 e 38 LPD.
Per il trattamento di dati personali degni di particolare protezione e di
profili della personalità, segnatamente mediante sistemi informatici
complessi, rispettivamente di procedure di richiamo, è richiesta una
base legale in senso formale. Tale base deve, se del caso, determinare
anche misure settoriali di protezione. La base legale dev’essere
creata fino al 30 giugno 1998 per le collezioni di dati esistenti prima
dell’entrata in vigore della LPD; per le nuove collezioni, dopo la loro
entrata in funzione.
I. Auftrag und Fragestellung
Das BG vom 19. Juni 1992 über den Datenschutz (DSG, SR 235.1), welches am
1. Juli 1993 in Kraft getreten ist, verlangt für bestimmte Datenbearbeitungen
die ausdrückliche Regelung in einem formellen Gesetz. Mit Schreiben vom
31. März 1995 und vom 28. April 1995 baten das Generalsekretariat des
EJPD (GS EJPD) und das Bundesamt für Justiz (BJ) den Eidgenössischen
Datenschutzbeauftragten (EDSB) um eine Erläuterung. An einer gemeinsamen
Sitzung wurden folgende Fragen formuliert:
1. Für welche Datenbearbeitungen ist gemäss DSG eine formellgesetzliche
Grundlage erforderlich?
2. Wie ist die nach dem Gesagten erforderliche formellgesetzliche Grundlage
auszugestalten? Welche Gegenstände sind dabei zu regeln und auf welche
Weise beziehungsweise wie detailliert soll dies geschehen?
3. Welche Tragweite kommt den Übergangsbestimmungen des DSG zu?
An einer Folgebesprechung mit Vertretern der Bundeskanzlei wurden
formale Anforderungen erörtert, wie sie in den Richtlinien der Bundeskanzlei
für Botschaftsentwürfe festgehalten sind. Dabei wurde festgestellt, dass
in diesen Richtlinien zur Zeit Bestimmungen zum Datenschutz fehlen.
Ebensowenig bestehen normative Aussagen zur Frage, ob und inwieweit
auf formellgesetzlicher Stufe konkrete Behördenbezeichnungen verwendet
werden sollen. Die Praxis ist nicht einheitlich. Vor dem Hintergrund der
anstehenden Verwaltungsreorganisation erscheint es indessen als ratsam,
nur mit Zurückhaltung konkrete Behördenbezeichnungen zu wählen.
2

Vorzuziehen sind nach Möglichkeit organisationsneutrale, aufgabenspezifische
Bezeichnungen, soweit dadurch das Gebot der hinreichenden Bestimmtheit
von Erlassen nicht verletzt wird.
II. Gutachten des EDSB
1. Einordnung des Datenschutzes in unser Rechtsgefüge
1.1. Gemäss Art. 1 DSG «bezweckt dieses Gesetz den Schutz der Persönlichkeit
und der Grundrechte von Personen, über die Daten bearbeitet werden».
Datenschutz ist demnach (auch) Grundrechtsschutz. Nach schweizerischer
Lehre und Praxis bedürfen Eingriffe in die Grundrechte beziehungsweise
Einschränkungen von Grundrechten unter anderem einer ausdrücklichen
gesetzlichen Grundlage. Schwere Eingriffe müssen in einem formellen Gesetz
beziehungsweise - wie es nunmehr der Verfassungsentwurf vom Juni 1995
(E95-BV) sagt - «im Gesetz selbst» vorgesehen sein (vgl. Art. 30 Abs. 2 E95-BV,
sowie zum Ganzen: Müller Jörg Paul, Kommentar BV, Basel/Zürich/Bern 1987,
Einleitung zu den Grundrechten, S. 33 ff.). Schwere Eingriffe sind solche,
die die Ausübung wesentlicher aus dem Grundrecht fliessender Befugnisse
erheblich erschweren oder gar verunmöglichen. Als schwere Eingriffe in
Grundrechte bezeichnete die schweizerische Lehre schon vor Inkrafttreten des
DSG auch gewisse Datenbearbeitungen, so etwa intensive Datenbearbeitungen
im Polizeibereich namentlich mit elektronischen Mitteln (vgl. Reinhard Hans,
Allgemeines Polizeirecht, Bern/Stuttgart/Wien 1993, S. 224, sowie Kommentar
zum Schweizerischen Datenschutzgesetz [im folgenden: Komm-DSG], Basel
und Frankfurt am Main 1995, Rz. 16 zu Art. 17).
Der Verfassungsentwurf vom Juni 1995 hebt - ähnlich wie verschiedene
ausländische Verfassungen - den Datenschutz nunmehr ausdrücklich auf
Verfassungsstufe (vgl. Art. 10 Abs. 3 E95-BV).
1.2. Eine gesetzliche Grundlage, welche Grundrechtseingriffe gestattet, muss
hinreichend bestimmt sein. Schon vor Erlass des DSG wurde namentlich bei
Datenbearbeitungen im Polizeibereich, die schwere Grundrechtseingriffe
darstellen können, gefordert, dass der Zweck der Bearbeitung, die
verwendeten Mittel, der Kreis der betroffenen Personen, die bearbeiteten
Daten, die Informationsweitergabe und der Schutz vor Missbräuchen mit
hinreichender Bestimmtheit zu regeln seien (vgl. Oberholzer Niklaus,
Datenschutz und Polizei, Festschrift Mario M. Pedrazzini, Bern 1990,
S. 427 ff., insbesondere S. 436). In internationalen Abkommen sowie in
ausländischen und schweizerischen Erlassen mit bereichsspezifischen
Datenschutzvorschriften werden zudem neben den genannten Elementen
regelmässig die zu einer bestimmten Datenbearbeitung ermächtigten
Behörden aufgeführt (vgl. für das internationale Recht etwa die Richtlinie der
Europäischen Gemeinschaft [EG] vom 19. Dezember 1977 über die gegenseitige
Amtshilfe zwischen den zuständigen Behörden der Mitgliedstaaten im
Bereich der direkten Steuern und indirekten Steuern, Amtsblatt der
Europäischen Gemeinschaften Nr. L 336 vom 27. Dezember 1977, S. 15 sowie
das Übereinkommen vom 15. Juni 1990 über die Bestimmung des zuständigen
Staates für die Prüfung eines in einem Mitgliedstaat der Europäischen
3

Gemeinschaft gestellten Asylantrags, abgedruckt in: Achermann Alberto /
Bieber Roland / Epiney Astrid / Wehner Ruth, Schengen und die Folgen,
Bern/München/Wien 1995, Anhang 3, S. 243 ff.).
Bei den schweren Grundrechtseingriffen, wie sie nach dem Gesagten
auch bei Datenbearbeitungen im Polizeibereich vorkommen können,
stellt ebenfalls der Europäische Gerichtshof für Menschenrechte (EGMR)
in Anwendung der Konvention vom 4. November 1950 zum Schutze der
Menschenrechte und Grundfreiheiten (EMRK, SR 0.101) hohe Anforderungen
an die Bestimmtheit und Detailliertheit des Erlaubnissatzes, welcher sich
soweit möglich auch zu den Grenzen des Eingriffs und zum Schutz der
betroffenen Personen zu äussern hat (vgl. Haefliger Arthur, Die Europäische
Menschenrechtskonvention und die Schweiz, Bern 1993, S. 45 ff., insbesondere
S. 48). Dass nach EMRK ein Rechtssatz im materiellen Sinn genügt, ist auf
die besondere Situation der Vertragsstaaten mit «common law»-Tradition
zurückzuführen und berührt die eingangs dargestellte schweizerische (und
im wesentlichen auch kontinentaleuropäische) Rechtsauffassung nicht, nach
welcher schwere Grundrechtseingriffe einer demokratisch abgestützten,
formellgesetzlichen Grundlage bedürfen. Zusammenfassend lässt sich daher
sagen, dass nach europäischer wie nach schweizerischer Rechtsauffassung
der Sinn des Legalitätsprinzips darin liegt, «dass der Bürger sein Verhalten
entsprechend der allgemeinen Ordnung einrichten kann und dass bei
Eingriffen in Freiheitsrechte unter Umständen besondere Anforderungen
an die Präzision der Rechtssätze gestellt werden» (vgl. Haefliger, a. a. O., S. 76;
Komm-DSG, Rz. 11 zu Art. 17 sowie statt vieler bereits BGE 103 Ia 369 ff. i.S.
Wäffler).
2. Die Übernahme dieser Konzeption beim Bundesgesetz über
den Datenschutz
2.1. Wie bereits erwähnt, bezweckt das DSG nach dem ausdrücklichen
Wortlaut von Art. 1 «den Schutz der Persönlichkeit und der Grundrechte von
Personen, über die Daten bearbeitet werden». Allgemein schreibt es dabei
soweit hier interessierend vor, dass Datenbearbeitungen verhältnismässig sein
müssen und dass die Daten nur zu dem Zweck bearbeitet werden dürfen, der
bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder
gesetzlich vorgesehen ist (Art. 4 Abs. 2 und 3 DSG). Organe des Bundes dürfen
Personendaten nur bearbeiten, wenn dafür eine gesetzliche Grundlage besteht.
Besonders schützenswerte Personendaten sowie Persönlichkeitsprofile dürfen
sie nur bearbeiten, wenn ein formelles Gesetz es vorsieht. Ausnahmsweise (das
heisst in einzelnen Fällen) dürfen sie solche Daten auch ohne ausdrückliche
Erwähnung in einem formellen Gesetz bearbeiten, wenn es für eine in einem
formellen Gesetz klar umschriebene Aufgabe unentbehrlich ist, der Bundesrat
es bewilligt, weil die Rechte der betroffenen Personen nicht gefährdet sind
oder die betroffene Person im Einzelfall eingewilligt oder ihre Daten allgemein
zugänglich gemacht hat (Art. 17 Abs. 1 und 2 DSG). Das gilt auch für die
Bekanntgabe von Personendaten. Doch dürfen Bundesorgane Personendaten
in jedem Fall nur dann durch ein Abrufverfahren zugänglich machen, wenn
dies ausdrücklich vorgesehen ist. Besonders schützenswerte Personendaten
sowie Persönlichkeitsprofile dürfen nur durch ein Abrufverfahren zugänglich
4

gemacht werden, wenn ein formelles Gesetz es ausdrücklich vorsieht
(Art. 19 Abs. 1 und 3 DSG). Das DSG umschreibt sodann in Art. 3 Bst. c und
d die wichtigen Begriffe «besonders schützenswerte Personendaten» und
«Persönlichkeitsprofil».
Daraus ist ersichtlich, dass sich der Gesetzgeber auch beim Erlass des DSG
eng an die verfassungsrechtlichen Vorgaben angelehnt und diese für den
Bereich des Datenschutzes folgerichtig konkretisiert hat. Wie erwähnt, hat
er für schwere Grundrechtseingriffe, welche die Bearbeitung von besonders
schützenswerten Personendaten und von Persönlichkeitsprofilen wie auch
deren Weitergabe durch ein Abrufverfahren darstellen, die ausdrückliche
Erlaubnis in einem formellen Gesetz verlangt.
2.2. Zugleich mit dem DSG hat der Gesetzgeber bereichsspezifische
Datenschutzbestimmungen in anderen Erlassen, namentlich im
Schweizerischen Strafgesetzbuch vom 21. Dezember 1937 (StGB, SR 311.0)
und im BG vom 15. Juni 1934 über die Bundesstrafrechtspflege (BStP, SR 312.0)
geschaffen. Aus der Entstehungsgeschichte des DSG ergibt sich, dass es
hier um eigentliche Ergänzungen des DSG ging, welche aus der Ratsmitte
für den Bereich der Strafverfolgung gefordert wurden und vorab aus
gesetzgebungstechnischen Gründen nicht ins DSG selber aufgenommen
wurden (vgl. hierzu und zum folgenden: Komm-DSG, Entstehungsgeschichte
DSG, Rz. 39 ff.). Hierbei hat der Gesetzgeber zugleich mit dem DSG
wichtige Vorschriften über die Datenbearbeitung namentlich unter Einsatz
umfangreicher EDV-Mittel im StGB und im BStP erlassen. Insofern lässt
sich sagen, er habe die von ihm im DSG aufgestellten Anforderungen an
eine hinreichende gesetzliche Grundlage für bestimmte intensive Formen der
Datenbearbeitung im Polizeibereich gleich selber konkretisiert.
2.3. Der im vorliegenden Zusammenhang besonders interessierende
«RIPOL-Artikel» (Art. 351bis) des StGB lautet wie folgt:
«1 Der Bund führt zusammen mit den Kantonen ein automatisiertes Personen-
und Sachfahndungssystem (RIPOL) zur Unterstützung von Behörden des Bundes
und der Kantone bei der Erfüllung folgender gesetzlicher Aufgaben:
a. Verhaftung von Personen oder Ermittlung ihres Aufenthaltes zu Zwecken der
Strafuntersuchung oder des Straf- und Massnahmenvollzuges;
b. Anhaltung bei vormundschaftlichen Massnahmen oder fürsorgerischer
Freiheitsentziehung;
c. Ermittlung des Aufenthaltes vermisster Personen;
d. Kontrolle von Fernhaltemassnahmen gegenüber Ausländern nach dem
Bundesgesetz vom 26. März 1931 über Aufenthalt und Niederlassung der
Ausländer;
e. Bekanntgabe von Aberkennungen ausländischer Führerausweise;
f. Ermittlung des Aufenthaltes von Führern von Motorfahrzeugen ohne
Versicherungsschutz;
g. Fahndungen nach abhandengekommenen Fahrzeugen und Gegenständen.
2 Folgende Behörden können im Rahmen von Abs. 1 über das RIPOL
Ausschreibungen verbreiten:
5

a. das Bundesamt für Polizeiwesen;
b. die Bundesanwaltschaft;
c. die Zentralbehörde zur Behandlung internationaler Kindesentführungen;
d. das Bundesamt für Ausländerfragen;
e. das Bundesamt für Flüchtlinge;
f. die Oberzolldirektion;
g. die Militärjustizbehörden;
h. die Zivil- und Polizeibehörden der Kantone.
3 Personendaten aus dem RIPOL können für die Erfüllung der Aufgaben nach
Absatz 1 folgenden Behörden bekanntgegeben werden:
a. den Behörden nach Abs. 2;
b. den Grenzstellen;
c. dem Beschwerdedienst des Eidgenössischen Justiz- und Polizeidepartements;
d. den schweizerischen Vertretungen im Ausland;
e. den Interpolstellen;
f. den Strassenverkehrsämtern;
g. den kantonalen Fremdenpolizeibehörden;
h. weiteren Justiz- und Verwaltungsbehörden.
4 Der Bundesrat:
a. regelt die Einzelheiten, insbesondere die Verantwortung für die
Datenbearbeitung, die Kategorien der zu erfassenden Daten, die
Aufbewahrungsdauer der Daten und die Zusammenarbeit mit den Kantonen;
b. bestimmt die Behörden, welche Personendaten direkt ins RIPOL eingeben,
solche direkt abfragen oder denen Personendaten im Einzelfall bekanntgegeben
werden können;
c. regelt die Verfahrensrechte der betroffenen Personen, insbesondere die
Einsicht in ihre Daten sowie deren Berichtigung, Archivierung und Vernichtung.»
Aus diesem Beispiel wird ersichtlich, dass der Gesetzgeber auch bei komplexen
Datenbearbeitungen, wie sie namentlich beim Einsatz grosser und verzweigter
EDV-Systeme vorkommen können, an den vom ihm aufgestellten Grundsätzen
festgehalten und - im Interesse einer minimalen Transparenz - einen gewissen
gesetzgeberischen Aufwand nicht gescheut hat. Eine summarische Analyse
der wiedergegebenen Bestimmung zeigt, dass mit Art. 351bis StGB in einem
formellen Gesetz neben den verschiedenen Datenbearbeitungszwecken auch
der Umfang der Datenbearbeitungen, die zur Datenbearbeitung ermächtigten
Behörden, die Art und Weise der Datenbearbeitungen sowie der Schutz der
betroffenen Personen zum Teil recht detailliert umschrieben worden sind.
Am genannten Beispiel fällt besonders auf, dass der Behördenorganisation
vergleichsweise grosse Aufmerksamkeit geschenkt worden ist. Das erstaunt
nicht. Weil grundsätzlich jede Behörde eigene Aufgaben und gesetzliche
6

Zwecke zu erfüllen hat, stehen die Zugriffe vieler Behörden auf ein- und
dieselbe Datensammlung in einem gewissen Spannungsverhältnis zum
zentralen datenschutzrechtlichen Gebot der Zweckbindung (vgl. hierzu vorne
Ziff. 2.1). Dieser Umstand legt in solchen Fällen die Aufnahme ausdrücklicher
Erlaubnissätze in das Gesetz nahe, was leider nicht immer richtig erkannt
wird (vgl. hierzu Komm-DSG, Rz. 32 zu Art. 19).
2.4. Im Sinne eines Zwischenergebnisses lässt sich daher sagen, dass das DSG
namentlich die Bearbeitung von besonders schützenswerten Personendaten
sowie von Persönlichkeitsprofilen als schwere Eingriffe in die Persönlichkeit
und Grundrechte der betroffenen Personen einstuft und hierfür (abgesehen
von den genannten Ausnahmen für gewisse Einzelfälle) die Erlaubnis in einem
formellen Gesetz verlangt. Der Erlaubnissatz hat regelmässig den Zweck
und den Umfang der Datenbearbeitung und damit in Zusammenhang auch
umfangreiche und namentlich zu gewissen Formen der Datenweitergabe
(Abrufverfahren) verwendete Mittel sowie den Schutz der betroffenen
Personen hinreichend klar zu umschreiben. Der geforderte Detaillierungsgrad
und allenfalls weitere zu regelnde Elemente sind von Fall zu Fall den
Erfordernissen eines bestimmten Regelungsgegenstandes anzupassen.
Namentlich im Polizeibereich sind nach dem eingangs Gesagten hohe
Anforderungen an die gesetzliche Grundlage zu stellen.
3. Folgerungen für den Gesetzgeber
3.1. Für den Gesetzgeber bedeutet dies, dass ihm die über die zu regelnden
Datenbearbeitungen nötigen Informationen rechtzeitig vorliegen müssen.
Mit anderen Worten: Es muss ihm eine Aufgabenanalyse vorliegen, aus
welcher hervorgeht, welche Behörden zur Erfüllung welcher Aufgaben
auf welche Daten greifen sollen, und welche Schutzvorkehren dabei
angezeigt sind. Gestützt hierauf kann er erst die erforderlichen Wertungen
vornehmen und entscheiden, ob diese Datenbearbeitungen notwendig
beziehungsweise verhältnismässig sind, ob ihnen keine höherrangigen
Interessen entgegenstehen und ob ein angemessener Schutz möglich
ist. Erweist sich die anlässlich der Aufgabenanalyse im umschriebenen
Sinn getroffene Zugriffsregelung als richtig, lässt sich abschätzen, ob und
gegebenenfalls in welcher Form und in welchem Umfang ein gesetzlicher
Regelungsbedarf besteht (vgl. hierzu auch Komm-DSG, Rz. 20 zu Art. 19).
3.2. Je nach Art und Umfang der Datenbearbeitungen lassen sich folgende
häufige Problembereiche beziehungsweise Regelungsgegenstände ausmachen:
• Allgemein gilt: Werden besonders schützenswerte Personendaten
oder Persönlichkeitsprofile regelmässig bearbeitet, muss dies in einem
formellen Gesetz gesagt werden. Dabei müssen Zweck und Umfang der
Datenbearbeitung, allenfalls die dabei verwendeten Mittel sowie die zur
Bearbeitung befugte(n) Behörde(n) hinreichend bestimmt sein. Mit Blick auf
die anstehende Verwaltungsreorganisation erscheint es als ratsam, nach
Möglichkeit aufgabenspezifische Behördenbezeichnungen zu wählen, soweit
dadurch das Gebot der hinreichenden Bestimmtheit von Erlassen nicht
verletzt wird.
7

• Sollen unter verschiedenen Behörden und zu verschiedenen
Bearbeitungszwekken regelmässig Personendaten, namentlich besonders
schützenswerte Personendaten oder Persönlichkeitsprofile, ausgetauscht
werden, muss dies im formellen Gesetz ausdrücklich gesagt sein. Erhalten
einzelne Behörden im Abrufverfahren Zugriff auf diese Daten, muss auch
dieser Umstand ausdrücklich erwähnt und die ermächtigte Behörde genannt
werden. Erfolgt der Austausch regelmässig mit Behörden des Auslandes, muss
dies ebenfalls ausdrücklich geregelt werden.
• Wird in diesem Zusammenhang ein grosses und verzweigtes
EDV-System («verwendete Mittel») bei der Datenbearbeitung eingesetzt,
in welchem in erheblichem Umfang und von verschiedenen Behörden
Personendaten, namentlich besonders schützenswerte Personendaten oder
Persönlichkeitsprofile bearbeitet werden, muss dies - wie dargelegt - ebenfalls
im formellen Gesetz ausdrücklich gesagt sein.
• Erweisen sich gewisse Grundrechtseingriffe nur zusammen mit konkreten,
bereichsspezifischen Schutzauflagen als grundrechtskonform, sind auch
diese Schutzauflagen beziehungsweise die Grenzen der vorgesehenen
Eingriffe formellgesetzlich zu regeln. Beispiele solcher Vorschriften stellen
die Bestimmungen über die Massnahmen der Personenüberwachung mit
technischen Mitteln und deren Begrenzung beziehungsweise Kontrolle im BStP
dar (vgl. Art. 65 ff. BStP) oder die Bestimmungen über den Schutz der Daten
unbeteiligter Dritter bei Personenabfragen aus dem Zentralen Ausländerregister
zu Identifikationszwecken bei der Strafverfolgung (vgl. heute: Art. 7 Abs. 3
ZAR-Verordnung, SR 142.215, sowie Art. 22eAbs. 2 des Entwurfs gemäss der
bundesrätlichen Botschaft vom 4. Dezember 1995 zum revidierten BG vom
26. März 1931 über Aufenthalt und Niederlassung der Ausländer [ANAG], SR
142.20, BBl 1996 II 1 ff., insb. 179).
Diese Aufzählung ist nicht abschliessend. Ob und in welchem Umfang
beispielsweise Delegationen angezeigt sind, hängt stark von den
Besonderheiten des jeweiligen Regelungsgegenstandes ab. Ebensowenig soll
mit den vorliegenden Ausführungen eine bestimmte zu wählende Systematik
oder Gesetzessprache als «verbindlich» erklärt werden.
4. Übergangsrecht
Nach Art. 38 Abs. 3 DSG dürfen Bundesorgane eine bestehende
Datensammlung mit besonders schützenswerten Personendaten oder mit
Persönlichkeitsprofilen noch während fünf Jahren nach Inkrafttreten
des DSG benützen, ohne dass die Voraussetzungen von Art. 17 Abs. 2 DSG
(formellgesetzliche Grundlage) erfüllt sind.
Sollen die umschriebenen Datensammlungen nach dem 30. Juni 1998 weiter
benutzt werden, sind die allenfalls noch fehlenden formellgesetzlichen
Grundlagen spätestens bis zu diesem Zeitpunkt zu erlassen beziehungsweise
sind bestehende Rechtsgrundlagen den neuen Anforderungen des DSG
anzupassen. Dabei empfiehlt es sich, nach dem unter Ziff. 3.1. hiervor
beschriebenen Verfahren vorzugehen (Durchführung einer vorgängigen
8

verwaltungsinternen Aufgabenanalyse). Gemäss Art. 31 Abs. 1 DSG berät und
unterstützt der EDSB hierbei die Organe des Bundes, und er nimmt auch zu
ihren Datenschutzvorlagen Stellung.
Sollen neue Datensammlungen mit besonders schützenswerten Personendaten
oder mit Persönlichkeitsprofilen angelegt werden, müssen die erforderlichen
formellgesetzlichen Grundlagen spätestens zum Zeitpunkt der Inbetriebnahme
vorliegen. Ein Zuwarten bis zum 30. Juni 1998 wäre in diesen Fällen nicht
statthaft.
Als neue Datensammlungen im umschriebenen Sinn gelten auch bestehende
Datensammlungen, wenn sie erheblich erweitert oder in erheblichem Umfang
mit neuen technischen Mitteln ausgestattet werden, so dass vom Umfang
und von der Intensität der Datenbearbeitung her gesehen eine wesentliche
Änderung gegenüber der bisherigen Datenbearbeitung vorliegt. Anders
entscheiden hiesse, auf unzulässige Weise die Vorschrift von Art. 38 Abs. 3
DSG zu unterlaufen. Als rechtserheblicher Umstand, der auf eine wesentliche
Erweiterung hindeutet, ist neben den bereits erwähnten Indizien auch die
Neueinrichtung eines Abrufverfahrens anzusehen, namentlich wenn damit
erhebliche Datenmengen zu einem anderen als dem Beschaffungszweck
einer Behörde zugänglich gemacht werden, bei welcher aus objektiver Sicht
intensive Datenbearbeitungen zu erwarten sind.
III. Beantwortung der gestellten Fragen
1. Eine formellgesetzliche Grundlage ist gemäss DSG für die Bearbeitung von
besonders schützenswerten Personendaten und von Persönlichkeitsprofilen
durch Bundesorgane erforderlich. Sollen solche Daten in einem Abrufverfahren
zugänglich gemacht werden, ist dies ebenfalls ausdrücklich in einem
formellen Gesetz zu regeln. Sollen solche Daten regelmässig durch
Bundesorgane ins Ausland übermittelt werden, ist auch hierfür eine
formellgesetzliche Grundlage zu schaffen.
2. Die gemäss Ziff. 1 hiervor erforderliche formellgesetzliche Grundlage hat
mit hinreichender Bestimmtheit Zweck und Umfang der Datenbearbeitung,
umfangreiche dabei verwendete Mittel, die zur Datenbearbeitung befugte(n)
Behörde(n) sowie den Schutz der betroffenen Personen und gegebenenfalls die
Grenzen und Kontrollen bei der Datenbearbeitung zu regeln.
3. Für bestehende Datensammlungen mit besonders schützenswerten
Personendaten und mit Persönlichkeitsprofilen sind bis zum 30. Juni 1998
Rechtsgrundlagen im Sinne von Ziff. 1 und 2 hiervor zu schaffen. Für neue
Datensammlungen der genannten Art sind die Rechtsgrundlagen spätestens
bis zum Zeitpunkt der Inbetriebnahme zu schaffen. Das Gleiche gilt für die
Änderung bestehender Datensammlungen, wenn dadurch hinsichtlich Art,
Umfang und Intensität neue Datenbearbeitungen bewirkt werden, die
im Ergebnis einer Neueinrichtung der Datensammlung gleichkommen,
insbesondere aber wenn neue Abrufverfahren eingerichtet werden.
9

Schweizerisches Bundesarchiv, Digitale Amtsdruckschriften
Archives fédérales suisses, Publications officielles numérisées
Archivio federale svizzero, Pubblicazioni ufficiali digitali
JAAC 60.77 - Eidgenössischer Datenschutzbeauftragter, 9. August 1995, aufdatiert 25.
April 1996
In
Verwaltungspraxis der Bundesbehörden
Dans
Jurisprudence des autorités administratives de la Confédération
In
Giurisprudenza delle autorità amministrative della Confederazione
Jahr
1996
Année
Anno
Band
60
Volume
Volume
Seite
---
Page
Pagina
Ref. No
150 003 188
Das Dokument wurde durch das Schweizerische Bundesarchiv und die Bundeskanzlei konvertiert.
Le document a été digitalisé par les Archives Fédérales Suisses et la Chancellerie fédérale.
Il documento è stato convertito dall'Archivio federale svizzero e della Cancelleria federale.