Datenschutzgesetz. Totalrevision und Änderung weiterer Erlasse zum Datenschutz

Stöckli Hans · P-M · Ständerat · Bern · Sozialdemokratische Fraktion

3. Bundesgesetz über den Datenschutz

3. Loi fédérale sur la protection des données

Art. 4

Antrag der Kommission

Bst. c Ziff. 3

Festhalten

Bst. fbis

fbis. Profiling mit hohem Risiko: Profiling, das ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt, indem es zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.

Antrag Noser

Bst. fbis

Zustimmung zum Beschluss des Nationalrates

Art. 4

Proposition de la commission

Let. c ch. 3

Maintenir

Let. fbis

fbis. profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, lorsqu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité de la personne physique.

Proposition Noser

Let. fbis

Adhérer à la décision du Conseil national

Fässler Daniel · Mit-M · Ständerat · Appenzell I.-Rh. · Die Mitte-Fraktion. Die Mitte. EVP.

Wir haben diese Vorlage in der Wintersession des letzten Jahres ein erstes Mal beraten. Dabei haben wir im Vergleich zur Vorlage des Bundesrates bzw. zu den Beschlüssen des Nationalrates relativ viele Änderungen beschlossen. Dabei liessen wir uns vor allem von der Frage leiten, wie die nötige Äquivalenz mit dem europäischen Datenschutzrecht erreicht werden kann. Der Nationalrat hat die Vorlage am 5. März ein zweites Mal beraten. Dabei ist er in den meisten Punkten den Beschlüssen unseres Rates gefolgt. In nur sieben Punkten wich die grosse Kammer von unseren Beschlüssen ab. Hinzu kam eine Ergänzung im Anhang.

Von diesen total acht Differenzen sollen gemäss Antrag Ihrer Kommission fünf im Sinne des Nationalrates bereinigt werden. In einem Punkt beantragt Ihnen die Kommission einstimmig Festhalten am früheren Beschluss. In einem weiteren Punkt beantragt Ihnen die Kommission einstimmig einen Kompromiss, und in einem dritten Punkt beantragt Ihnen die Kommissionsmehrheit Festhalten, während sich eine Minderheit dem Nationalrat annähern möchte.

Ich komme, wenn es dem Präsidenten genehm ist, gleich zur ersten Differenz, bei der Ihnen die SPK Ihres Rates Festhalten beantragt. Diese Differenz finden Sie in der deutschen Fahne auf Seite 2, und zwar in Artikel 4.

In Artikel 4 werden die im Gesetz verwendeten Begriffe definiert. Unter Buchstabe c wird gesagt, welche Daten zu den besonders schützenswerten Personendaten zu zählen sind, für die im Gesetz strengere Rechtsfolgen festgelegt werden. Zu den besonders schützenswerten Personendaten gehören beispielsweise Daten über religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten, Daten über die Gesundheit oder Daten über die Sozialhilfe.

Gemäss Ziffer 4 dieses Buchstabens c gehören auch biometrische Daten zu den besonders schützenswerten Personendaten, dies aber nur dann, wenn diese es, basierend auf einem spezifischen technischen Verfahren, ermöglichen, eine natürliche Person eindeutig zu identifizieren. Dies ist beispielsweise bei einem digitalen Fingerabdruck, bei Aufnahmen der Stimme oder bei Bildern der Iris der Fall. Eine Einschränkung bezüglich eindeutiger Identifikation ist bei den biometrischen Daten nötig, um beispielsweise klarzustellen, dass eine gewöhnliche Fotografie nicht zu den besonders schützenswerten Personendaten zählt. Diese Qualifikation mit den entsprechend strengeren Rechtsfolgen gilt bei den biometrischen Daten also nur für eine Teilmenge der Daten.

Nun zu den genetischen Daten, darum geht es bei dieser Differenz in Ziffer 3. Hier ist es anders: Genetische Daten sind Informationen über das Erbgut einer Person, die durch eine genetische Untersuchung gewonnen werden. Darin eingeschlossen ist auch das DNA-Profil. Genetische Daten sind immer besonders schützenswerte Personendaten, auch wenn sie nicht zur Identifikation einer Person führen. Denn genetische Daten lassen beispielsweise auch Rückschlüsse auf Verwandte zu.

Die durch den Nationalrat im Sinne einer Präzisierung vorgenommene Ergänzung ist daher gerade keine Präzisierung, sondern führt im Gegenteil zu Unklarheiten. Mit der Formulierung des Nationalrates würden wir auch eine Differenz zum europäischen Recht schaffen. Mit Artikel 4 Ziffer 3 in Verbindung mit Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 vom 27. April 2016 sind genetische Daten ohne Einschränkung geschützt. Mit einer davon abweichenden Formulierung laufen wir unnötigerweise Gefahr, bei der anstehenden Angemessenheitsprüfung durch die europäischen Behörden Probleme zu bekommen. Hinzu kommt, dass in der Schweiz der Umgang mit genetischen Daten in einer Reihe von Spezialgesetzen geregelt ist, namentlich im Humanforschungsgesetz und im Bundesgesetz über genetische Untersuchungen beim Menschen. Es braucht daher eine einheitliche Definition, was mit dem Beschluss des Nationalrates nicht gegeben wäre.

Der Nationalrat hat seinen Entscheid mit 103 zu 83 Stimmen gefällt.

Ihre Kommission beantragt Ihnen einstimmig, an unserem früheren Beschluss festzuhalten und damit auch beim Antrag des Bundesrates zu bleiben.

Stöckli Hans · P-M · Ständerat · Bern · Sozialdemokratische Fraktion

Präsident (Stöckli Hans, Präsident): Frau Bundesrätin, möchten Sie sich äussern?

Keller-Sutter Karin · BR-F · Bundesrat · St. Gallen

Ich muss mich vielleicht nur einmal äussern, dann ist wohl praktisch alles gesagt. Ich möchte Ihnen vorab auch herzlich danken, vor allem auch Ihrer Kommission, die sich über dieses Thema gebeugt hat. Sie haben es gehört, der Angemessenheitsbeschluss der Europäischen Union ist sehr wichtig für den Wirtschaftsstandort Schweiz, und die Beratung des Datenschutzgesetzes hat sehr viel Zeit in Anspruch genommen. Ich glaube, der Ständerat hat hier einen wesentlichen Beitrag dazu geleistet, dass dieses Thema nun beschleunigt werden konnte.

Ich möchte mich noch kurz zu den verbleibenden Differenzen äussern. Der Bundesrat kann sich allen Anträgen Ihrer Staatspolitischen Kommission bzw. der Kommissionsmehrheit anschliessen. Ich möchte vorab auf zwei aus Sicht des Bundesrates besonders wichtige Differenzen hinweisen.

Zwar ist der Nationalrat in der Frühjahrssession 2020 dem Ständerat in fast allen für die Annäherung an den europäischen Datenschutzstandard wichtigen Punkten gefolgt. Nur bei der Begriffsdefinition der genetischen Daten, Herr Ständerat Fässler hat es eben gesagt, konnte noch keine Einigung erzielt werden. Der Nationalrat hält dort an seiner Fassung fest, die nicht nur mit Blick auf das europäische Datenschutzrecht Fragen aufwirft, sondern auch in unserer eigenen Rechtsordnung zu Unklarheiten führen könnte. Aus der Sicht des Bundesrates ist deshalb die Fassung des Ständerates hier vorzuziehen.

Die bedeutendste Differenz zwischen den beiden Kammern verbleibt beim Profiling. Zwar hat sich der Nationalrat dem Ständerat teilweise angenähert und sich ebenfalls für ein risikobasiertes Konzept zum Profiling ausgesprochen. Allerdings hat er mit seiner Fassung von Artikel 4 Buchstabe fbis des neuen Datenschutzgesetzes eine abweichende Legaldefinition des Profilings mit hohem Risiko gewählt, welche das heute geltende Datenschutzniveau nicht gewährleistet. Diese Bedenken wurden auch im Nationalrat laut. Deshalb wurde der Wunsch geäussert, dass sich der Ständerat nochmals eingehend mit dem Profiling mit hohem Risiko auseinandersetzt.

Das hat Ihre Kommission gemacht. Es ist ihr gelungen, einen guten Kompromiss zu finden. Ihre Kommission hat den risikobasierten Ansatz einstimmig bestätigt und die Definition des Profilings mit hohem Risiko so präzisiert, dass sie sich nun an der Definition des Persönlichkeitsprofils im geltenden Recht ausrichtet. Damit habe ich auch schon gesagt, dass ich Sie bitte, den Antrag Noser auf Zustimmung zum Beschluss des Nationalrates abzulehnen. Ihre Kommission, die SPK-S, hat einen Kompromiss gefunden, der einstimmig zustande gekommen ist. Ich möchte Ihnen hier beliebt machen, dabei zu bleiben. Ihr Kompromiss entspricht dem Wunsch des Nationalrates nach einer ergebnisorientierten Legaldefinition. Gleichzeitig wahrt die Legaldefinition das heute geltende Schutzniveau weitgehend und schafft eben Rechtssicherheit, da auf die bereits bestehende Praxis des Edöb und der Gerichte zum Persönlichkeitsprofil abgestellt werden kann.

Ich habe es eingangs gesagt, wie Herr Ständerat Fässler, glaube ich, indirekt auch: Es besteht eine gewisse zeitliche Dringlichkeit bei dieser Reform, bei dieser Totalrevision des DSG. Wir sind noch nicht ganz auf der Zielgeraden, aber ich bin zuversichtlich, dass sich auch für die verbliebenen Differenzen gute Lösungen finden lassen werden.

Ich möchte Sie bitten, durchwegs der Mehrheit Ihrer Kommission zu folgen. Der Bundesrat schliesst sich überall an.

Verfahrensbeitrag

Präsident (Stöckli Hans, Präsident): Der Antrag Noser ist mit dem Datum vom 23. August 2018 falsch datiert.

Noser Ruedi · Mit-M · Ständerat · Zürich · FDP-Liberale Fraktion

Ja, selbstverständlich ist der Antrag von heute - das war wieder so ein typischer Legastheniker-Prüfungsfehler.

Auch wenn die Frau Bundesrätin jetzt schon begründet hat, warum sie die Mehrheit unterstützt, gestatte ich mir, hier doch noch mit diesem Einzelantrag vor Sie hinzutreten, in einer sehr, sehr komplexen Materie, bei der wir jetzt vor der Zielgeraden stehen. Das Anliegen, das ich mit meinem Einzelantrag hier zur Diskussion stelle, ist für sehr viele innovative Firmen und interessante Arbeitsplätze etwas sehr Wichtiges - es geht um das Profiling.

Zuerst möchte ich dem Kommissionspräsidenten und dem Sprecher ausdrücklich für die Bemühungen danken, in vielen Bereichen Kompromisse zu finden; dem, was die Frau Bundesrätin gesagt hat, kann ich mich sehr anschliessen. Leider gehe ich aber davon aus, dass der Kompromiss beim Profiling kein Kompromiss, sondern vermutlich faktisch ein Verbot von Profiling in der Schweiz ist.

Obschon der Begriff sehr kompliziert tönt, sind wir dem Profiling alle schon begegnet. Wenn also eine Organisation Spendengelder sammelt und dazu gezielt Daten verarbeitet, um die Menschen zu erreichen, die mit hoher Wahrscheinlichkeit spenden, dann macht diese Organisation Profiling. Die Datenanalyse, um zu diesen Zieladressen zu kommen, betrifft mit hoher Wahrscheinlichkeit wesentliche Aspekte der Persönlichkeit. Auch zielgruppengerechtes Campaigning in den sozialen Medien, was alle Parteien, die hier im Bundeshaus sind, schon gemacht haben, gehört zu diesem Thema und muss gemacht werden. Wenn Ihre Bank Sie vor Cybercrime schützen will und Ihre Kreditkarte überwacht und ein Profil von Ihnen erstellt, um abweichende Muster zu erkennen, ist das ebenso Profiling. Es gibt also Hunderte von positiven Anwendungen von Profiling, es ist nicht immer nur eine negative Sache. Ich bin der Ansicht, wir sollten in der Schweiz die Möglichkeit haben, diese Dinge wirklich anzuwenden, genau gleich, wie das in der EU möglich ist.

Darum möchte ich Sie bitten, nicht dem Antrag Ihrer Kommission zu folgen, sondern dem Nationalrat zu folgen. Wir brauchen eine Lösung, die genügend Schutz bietet, aber wir brauchen kein faktisches Verbot.

Der Ständerat hat in seiner letzten Beratung, in Abweichung von europäischen Regeln und vom Entwurf des Bundesrates, bereits den Begriff "Profiling mit hohem Risiko" neu eingeführt. Bereits diese Neuschöpfung führt dazu, dass jegliche automatisierte Datenverarbeitung, die ein Profiling darstellen könnte, zwei grundlegend unterschiedlichen rechtlichen Konzepten genügen muss: einerseits der Datenschutzverordnung der EU und andererseits dem Schweizer Recht, in welchem das hohe Risiko definiert ist. Das hat der Nationalrat aber übernommen; das hat die Frau Bundesrätin richtig gesagt. Nun hat die SPK-S den Swiss Finish "hohes Risiko" auch noch mit der seit Jahren unklaren und heute veralteten Umschreibung "wesentliche Aspekte der Persönlichkeit" verknüpft. Damit öffnet man Tür und Tor für ungewisse und willkürliche Gerichtsurteile. Sogar die Verwaltung kann diesen Begriff nicht genau spezifizieren und sagt, man müsse die Unbestimmtheit halt zulassen. Wenn aber nicht einmal die Verwaltung weiss, was gelten soll, dann frage ich Sie: Wie sollen wir Anwender das denn wissen? Ich möchte Sie darauf hinweisen, dass es weder eine Gerichtspraxis noch eine Hilfe zur Auslegung in der europäischen Datenschutzverordnung, noch genügend Rechtshilfen im geltenden Datenschutzrecht dazu gibt. Neu ist es auch mit Sanktionen belegt, insbesondere bei regulierten Firmen.

Die Version des Nationalrates ist besser geeignet, die verschiedenen Interessen ins Gleichgewicht zu bringen. Sie verwendet zwar auch die Unterscheidung "Profiling mit hohem Risiko", fügt aber keine unklare Definition an. Richtigerweise und in Übereinstimmung mit dem europäischen Recht wird eine Unterscheidung zwischen Prozess und Resultat in der Datenverarbeitung vorgenommen. Die Version des Nationalrates unterschreitet aus meiner Sicht das geltende Schutzniveau nicht, wie es zum Teil behauptet wird und wie es vorhin auch die Frau Bundesrätin gesagt hat.

Der Bundesrat äussert sich in der Botschaft zum Gesetz selbst über das Persönlichkeitsprofil. Auf Seite 7021 der Botschaft zum Datenschutzgesetz steht Folgendes: "Weder das europäische Recht noch andere ausländische Gesetzgebungen kennen diesen Begriff. Nach dem Inkrafttreten des DSG im Jahr 1992 kam ihm keine grosse Bedeutung zu, heute scheint er durch die Entwicklung neuer Technologien überholt. An seiner Stelle wird im E-DSG der Begriff des 'Profiling' verwendet".

Diesen überholten Begriff will jetzt die SPK-S wieder einführen. Das von unserer Kommission beantragte Konzept des Persönlichkeitsprofils braucht es nicht, um ein hohes Schutzniveau zu erreichen. Der Gedanke hinter dem Konzept des Persönlichkeitsprofils ist, die betroffene Person davor zu schützen, dass ohne ihre Kenntnis und Kontrolle an sich nicht besonders schützenswerte Personendaten bearbeitet und gespeichert werden, wenn durch deren Kombination im Resultat sensitive Bereiche ihrer Persönlichkeit beurteilt werden können.

Mit dem Beschluss des Nationalrates wird eine Informationspflicht an die Beschaffung sämtlicher und nicht nur besonders schützenswerter Personendaten geknüpft. Das aktuelle Schutzniveau wird somit durch die Fassung des Nationalrates nicht unterschritten, im Gegenteil: Sie ist präzise und führt dazu, dass sich Schutzbedürfnisse und Schutzniveau die Waage halten. Und sie ist auch mit den EU-Datenschutzvorgaben kompatibel.

Die Fassung des Nationalrates ist auch kein Zirkelschluss. Erlauben Sie mir ganz kurz, dieses komplexe Thema zu spezifizieren, weil das auch sehr oft am Beschluss des Nationalrates kritisiert wird.

Der Profiling-Prozess kann auch mit normalen, also nicht besonders schützenswerten Personendaten durchgeführt werden. Wenn dieses Profiling aber zu besonders schützenswerten Personendaten führt, greift nach der Formulierung des Nationalrates der qualifizierte Schutz bereits beim Stadium der Bearbeitung von gewöhnlichen Personendaten. Die Lösung des Nationalrates ist also eine sinnvolle Klarstellung des Begriffs "Profiling", der in Übereinstimmung mit dem Themenfeld der besonders schützenswerten Personendaten definiert werden muss. Diese Lösung berücksichtigt auch klar den Punkt, dass nicht jede Datenanalyse ein Profiling bedeutet.

In diesem Sinn bitte ich Sie, dem Nationalrat zu folgen.

Fässler Daniel · Mit-M · Ständerat · Appenzell I.-Rh. · Die Mitte-Fraktion. Die Mitte. EVP.

Wir befinden uns bei dieser Differenz immer noch bei Artikel 4, bei den Begriffsdefinitionen. In Buchstabe f - das ist nicht das Thema der Differenz, aber dieser Buchstabe ist trotzdem zu beachten, weil er damit zusammenhängt - wird das Profiling an sich definiert. Das Profiling ist eine Methode, ein Prozess. Als Profiling gilt jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte zu bewerten, die sich auf eine natürliche Person beziehen. Bei dieser Definition des Profilings an sich, also der Methode, sind sich die beiden Räte einig, und das Profiling an sich möchte auch gar niemand verbieten - das möchte ich Kollege Noser in aller Deutlichkeit sagen.

Ihre Kommission hat Ihnen für die erste Lesung einen risikobasierten Ansatz für das Profiling vorgeschlagen. Um einerseits den nötigen Datenschutz bei problematischen Datenbearbeitungen zu gewährleisten, andererseits aber keine Überregulierung zu schaffen, soll zwischen einem weniger problematischen, an sich normalen Profiling und einem Profiling, das für betroffene Personen mit einem hohen Risiko verbunden ist, unterschieden werden. Dies übersehen Sie offensichtlich, Herr Kollege Noser: Profiling soll - das sage ich wirklich in aller Deutlichkeit - nicht verboten werden, sondern es soll nach dem Ergebnis der Art der Datenbearbeitung unterschieden werden.

Bei der zweiten Beratung im Nationalrat hat sich die grosse Kammer damit einverstanden erklärt, dass im Gesetz der Begriff "Profiling mit hohem Risiko" definiert wird, für das erhöhte Anforderungen gelten sollen. Der Nationalrat tat sich dann aber offenkundig schwer damit. Die Version des Ständerates wurde zwar mit 106 zu 82 Stimmen relativ klar abgelehnt. Der jetzt vorliegenden Definition des Nationalrates, die von Kollege Noser unterstützt wird, stimmten aber nur 65 Ratsmitglieder - also weniger als ein Drittel - zu, während 57 Ratsmitglieder sie ablehnten und 65 sich der Stimme enthielten. In der Debatte wurde verschiedentlich gefordert, dass sich der Ständerat der Sache nochmals annehmen solle: Die Definition, so hiess es, müsse sich noch stärker am Ergebnis der Datenbearbeitung orientieren.

Die Kommission hat die neue Formulierung des Nationalrates eingehend geprüft, diskutiert und am Ende klar verworfen. Die erhöhten Anforderungen würden gemäss Nationalrat nur noch gelten, wenn das Profiling zu besonders schützenswerten Personendaten führen würde. Diese Definition macht nach Auffassung Ihrer Kommission keinen Sinn, denn für die besonders schützenswerten Personendaten im Sinne der Definition in Buchstabe c gelten bereits die erhöhten Schutzanforderungen. Die vom Nationalrat vorgeschlagene Legaldefinition ist daher nutzlos, würde aber das heutige Schutzniveau unterschreiten.

Die Kommission schlägt Ihnen stattdessen einstimmig eine neue Formulierung vor. Diese basiert auf einem Vorschlag des Bundesamtes für Justiz: Eine automatisierte Bearbeitung von Personendaten bringt dann ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich, wenn sie zu einer Verknüpfung von Daten führt, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit der betroffenen Person erlaubt. Mit dieser Definition des Profilings mit hohem Risiko, das in verschiedener Hinsicht erhöhten Anforderungen zu genügen hat, wurde nach Auffassung der Kommission ein guter Kompromiss gefunden. Erstens wird damit, wie im Nationalrat gefordert, nicht die Methode beschrieben, sondern das Ergebnis. Zweitens knüpft die neue Formulierung im Kern an das geltende Recht an. Die Definition des bisherigen Begriffs "Persönlichkeitsprofil" in Artikel 3 Buchstabe d des geltenden Datenschutzgesetzes wird fast wörtlich übernommen. Damit kann einerseits das bestehende Schutzniveau gehalten und andererseits an die bewährte Rechtsprechung zum sogenannten Persönlichkeitsprofil angeknüpft werden.

Mir ist nach den Ausführungen von Kollege Noser wichtig, festzuhalten, dass mit der Übernahme der Definition nicht die Wiedereinführung des Begriffs des Persönlichkeitsprofils angestrebt wird - das wird damit auch nicht erreicht. Die Terminologie ändert sowieso, denn der Begriff des Persönlichkeitsprofils kommt im europäischen Recht nicht vor. Wir müssen den Begriff des Profilings verwenden. Aber das Thema bleibt das gleiche, und deshalb tun wir eigentlich gut daran, auf die bestehende, bewährte Definition abzustellen.

Keller-Sutter Karin · BR-F · Bundesrat · St. Gallen

Der Sprecher der SPK hat das, glaube ich, sehr ausführlich und einleuchtend dargelegt. Ich möchte Sie auch nochmals bitten, diesen Antrag von Herrn Ständerat Noser abzulehnen, der in dieser Form im Nationalrat keine Chance gehabt hat.

Wir befinden uns jetzt auch hier am Schluss der Differenzbereinigung. Diese Frage ist eine zentrale Frage im Datenschutzgesetz, und je nachdem, wie Sie darüber entscheiden, entscheiden Sie auch darüber, ob das Gesetz die Schlussabstimmung überleben wird oder nicht. Nachdem der Nationalrat - ich war ja anwesend - den Ständerat ausdrücklich gebeten hat, in dieser Frage eine Lösung zu finden, weil man im Nationalrat gesehen hat, dass das, was man dort wollte, eben unter dem geltenden Datenschutzniveau ist und in dieser Art und Weise nicht befriedigend ist, möchte ich Sie doch bitten, hier Ihrer Kommission, Ihrer einstimmigen Kommission, zu folgen.

Ich möchte auch noch einmal darauf hinweisen, dass Profiling mit hohem Risiko nicht verboten wird, aber Profiling mit hohem Risiko soll strengere Rechtsfolgen haben. Man kann also nicht einfach alles hinten und vorne miteinander verknüpfen und die Leute total transparent machen. Wenn man dem Nationalrat folgen würde, käme das praktisch einer Nichtregulierung von Profiling gleich; das wäre gegenüber dem heutigen Recht ein wesentlicher Rückschritt - Herr Ständerat Fässler hat es gesagt. Die Lösung der Kommission ist ergebnisorientiert, sie wahrt das heute geltende Schutzniveau, und es ist eine Legaldefinition, die eben auch Rechtssicherheit schafft.

Ich bitte Sie, der Kommission zu folgen.

Abstimmung

Abstimmung - Vote

Für den Antrag der Kommission ... 39 Stimmen

Für den Antrag Noser ... 5 Stimmen

(1 Enthaltung)

Stöckli Hans · P-M · Ständerat · Bern · Sozialdemokratische Fraktion

Art. 17 Abs. 2 Bst. d, e

Antrag der Kommission

Zustimmung zum Beschluss des Nationalrates

Art. 17 al. 2 let. d, e

Proposition de la commission

Adhérer à la décision du Conseil national

Fässler Daniel · Mit-M · Ständerat · Appenzell I.-Rh. · Die Mitte-Fraktion. Die Mitte. EVP.

Ganz kurz: Ihre Kommission hat einstimmig entschieden, sich hier dem Nationalrat anzuschliessen. Das ist alles, was ich zu dieser Differenz zu sagen habe.

Angenommen - Adopté

Stöckli Hans · P-M · Ständerat · Bern · Sozialdemokratische Fraktion

Art. 23 Abs. 2 Bst. b, h

Antrag der Kommission

Zustimmung zum Beschluss des Nationalrates

Art. 23 al. 2 let. b, h

Proposition de la commission

Adhérer à la décision du Conseil national

Fässler Daniel · Mit-M · Ständerat · Appenzell I.-Rh. · Die Mitte-Fraktion. Die Mitte. EVP.

Ihre Kommission hat die Ergänzung der grossen Kammer eigentlich für nicht sinnvoll und auch für nicht nötig beurteilt, aber auch festgestellt, dass sie nicht schadet. In diesem Sinne hat sie sich entschieden, sich dem Nationalrat anzuschliessen.

Stöckli Hans · P-M · Ständerat · Bern · Sozialdemokratische Fraktion

Angenommen - Adopté

Art. 27 Abs. 2 Bst. c Ziff. 3

Antrag der Mehrheit

Festhalten

Antrag der Minderheit

(Müller Damian, Caroni, Minder)

3. Die Daten sind nicht älter als zehn Jahre. Ausgenommen sind Personendaten aus öffentlich zugänglichen staatlichen Registern.

Art. 27 al. 2 let. c ch. 3

Proposition de la majorité

Maintenir

Proposition de la minorité

(Müller Damian, Caroni, Minder)

3. les données ne datent pas de plus de dix ans. Font exception les données personnelles des registres de l'Etat accessibles au public.

Müller Damian · Mit-M · Ständerat · Luzern · FDP-Liberale Fraktion

Ich beantrage Ihnen, Artikel 27 Absatz 2 Buchstabe c Ziffer 3 folgendermassen zu fassen und zu ergänzen: "Die Daten sind nicht älter als zehn Jahre. Ausgenommen sind Personendaten aus öffentlich zugänglichen staatlichen Registern."

Lassen Sie mich das näher begründen: Der Bundesrat und mit ihm die Mehrheit der Kommission schlagen vor, dass nur Daten bearbeitet werden dürfen, die nicht älter als fünf Jahre sind. Diese Frist ist meiner Meinung nach eindeutig zu kurz, und in diesem Sinne schliesse ich mich klar der Mehrheit des Nationalrates an, der sich für eine Frist von zehn Jahren ausspricht.

Allerdings halte ich diese Frist allein für zu starr. Nach Gesprächen, die ich mit verschiedenen Sozialvorstehern wie auch mit mehreren Unternehmern führen konnte, bin ich zur Auffassung gelangt, dass es falsch wäre, eine starre Limite festzuschreiben, vor allem, wenn sie auf wenige Jahre beschränkt ist. Wenn wir nämlich diese starre Limite festsetzen, dürfen ältere Daten aus öffentlich zugänglichen Registern, wie etwa dem Handelsregister, nicht mehr bearbeitet und damit auch nicht mehr verwendet werden, wenn es darum geht, die Kreditwürdigkeit zu prüfen. Die Kreditwürdigkeit wird geprüft, wenn ein Kunde beispielsweise einen Blankokredit mit der Zahlung gegen Rechnung beantragt. Wenn aber die Frist auf fünf Jahre festgesetzt ist, kann die Bonität nicht mehr angemessen geprüft werden. Es geht also um eine Interessenabwägung, und da befürchte ich, dass die Interessen des Gläubigers nicht angemessen berücksichtigt werden.

Ich halte es für völlig absurd, dass im Handelsregister publizierte Daten natürlicher Personen nicht mehr verwendet werden dürfen, wenn die Daten älter als fünf Jahre sind. Dabei ist das Handelsregister gerade dazu da, Transparenz herzustellen, und zwar dauerhaft. Ich verweise da auf das Bundesverwaltungsgericht. Es hat in seinem Urteil A-4086/2007 vom 26. Februar 2008 ein zeitlich unbeschränktes schützenswertes Interesse der Öffentlichkeit an einem Zugang zu Handelsregisterdaten anerkannt. Auch frühere Wohn- und Geschäftsadressen einer natürlichen Person dürften mit der Fassung der Mehrheit bei der Prüfung der Kreditwürdigkeit nicht mehr herangezogen werden. Dies könnte und würde die Identifikation von Schuldnern erschweren und die Geltendmachung von Forderungen einschränken. Aus Erfahrung wissen wir, dass notorische Schuldner oft dazu neigen, den Wohnort zu wechseln, um sich auf diese Weise der Schulden zu entledigen.

Gerade bei der Geltendmachung von offenen Verlustscheinen ist die Frist von fünf Jahren für die Bekanntgabe der Address History zu kurz. Bekanntlich sind Verlustscheine zwanzig Jahre lang gültig. Wenn wir in Artikel 27 des neuen Datenschutzgesetzes die Nutzung der Daten auf die letzten fünf Jahre beschränken, dürften die in einer Betreibungsauskunft aufgeführten Verlustscheine, die älter als fünf Jahre sind, nicht mehr für die Prüfung der Kreditwürdigkeit verwendet werden. Das kann es doch nicht sein. Auch hier überwiegen die Interessen der Gläubiger. Es ist doch gerade der Kunde selbst, der gegen Rechnung beliefert werden möchte. Somit muss auch seine Kreditwürdigkeit geprüft werden.

Wir dürfen doch mit einer derart kurzen Frist nicht auch noch die Erkennung missbräuchlicher Konkurse verhindern. Nein, gerade hinsichtlich missbräuchlicher Konkurse ist ein längeres Gedächtnis absolut zentral. Es muss deshalb möglich sein, auch ältere Personendaten zu bearbeiten und zu analysieren, die aus staatlichen Registern stammen und öffentlich zugänglich sind. Natürlich sind Abklärungen, ob jemand kreditwürdig ist oder nicht, meist recht einfach und müssen beispielsweise im Online-Handel sofort erfolgen. Um diese Fälle geht es eben nicht. Wir müssen die gesetzlichen Grundlagen so gestalten, dass auch komplexe Fälle bewältigt werden können. Das heisst, man muss sich in die Lage bringen, dass vertiefte Abklärungen getroffen werden können, um den Lieferanten vor Missbräuchen zu schützen.

Es ist zwar schön, wenn der Bundesrat vorschlägt, für die Erkennung von Konkursreitern die Privatpersonen im Handelsregister zu verknüpfen und ohne zeitliche Beschränkung öffentlich zugänglich zu machen, um so missbräuchliche Konkurse zu bekämpfen, doch dafür reichen die Daten aus dem Handelsregister allein eben nicht.

Für mich ist es geradezu grotesk, dass ausgerechnet im Artikel, der die Rechtfertigungsgründe für die Bearbeitung der Personendaten regelt, die Frist, welche für die Bekämpfung notwendig wäre, derart eingeschränkt werden soll. Es wäre von uns als Gesetzgebern fahrlässig, mit einer eigenen zeitlichen Frist zu verhindern, dass Erkenntnisse in eine Gesamtbeurteilung einfliessen, die durch Auswertung älterer Daten aus öffentlich zugänglichen Registern gewonnen werden können.

Ich fasse zusammen: Die absolute Formulierung von fünf Jahren gemäss Entwurf des Bundesrates und Mehrheitsantrag berücksichtigt den ohnehin im Datenschutz geltenden Grundsatz der Angemessenheit in keinster Weise. Eine solche Limite würde den Handlungsspielraum bei der Prüfung der Kreditwürdigkeit deutlich einengen und damit die Rechte der Gläubiger unnötig einschränken.

Deshalb mache ich Ihnen beliebt, die zehn Jahre und den beantragten Zusatz entsprechend zu genehmigen.

Fässler Daniel · Mit-M · Ständerat · Appenzell I.-Rh. · Die Mitte-Fraktion. Die Mitte. EVP.

Ich muss hier leider nochmals etwas längere Ausführungen machen. Es geht nicht nur um die Zahl von fünf oder zehn Jahren, sondern es ist sehr wichtig zu wissen, wo das Ganze eingebettet wird.

Im vorangehenden Artikel 26 wird der Grundsatz festgeschrieben, dass bei einer Bearbeitung von Personendaten die Persönlichkeit der betroffenen Personen nicht widerrechtlich verletzt werden darf.

Gemäss Artikel 27, bei dem wir uns hier befinden, wird festgeschrieben, dass jede persönlichkeitsverletzende Bearbeitung von Personendaten nicht widerrechtlich ist, sofern die betroffene Person eingewilligt hat. Ebenfalls keine Widerrechtlichkeit liegt vor, wenn es für die Persönlichkeitsverletzung einen Rechtfertigungsgrund gibt. Ein solcher wird bejaht, wenn die Persönlichkeitsverletzung durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist.

In Absatz 2 von Artikel 27 werden jene Fälle exemplarisch aufgezählt, bei denen ein überwiegendes Interesse der für die Datenbearbeitung verantwortlichen Person in Betracht fällt. Dazu gehört gemäss Buchstabe c - und damit komme ich zur Sache - auch die Bearbeitung von Personendaten zur Prüfung der Kreditwürdigkeit einer Person. Dabei müssen allerdings vier Voraussetzungen erfüllt sein. Bei einer dieser Voraussetzungen liegt diese Differenz vor, die wir jetzt beraten, und zwar bei der in Ziffer 3 von Buchstabe c behandelten Frage, wie alt Daten sein dürfen, damit die Bearbeitung dieser Personendaten keine widerrechtliche Persönlichkeitsverletzung darstellt.

Der Bundesrat schlägt vor, dass die Daten nicht älter als fünf Jahre sein dürfen; dies ist gegenüber dem heutigen Recht, das diesbezüglich keine Einschränkung kennt, eine Verschärfung. Unser Rat hat sich bei der ersten Lesung dem Bundesrat angeschlossen, der Nationalrat seinerseits möchte den Beizug von bis zu zehn Jahre alten Daten zulassen; der entsprechende Beschluss wurde im Nationalrat mit 105 zu 83 Stimmen gefasst.

Dass der Bundesrat für die Bearbeitung von Personendaten Daten ausschliessen möchte, die mehr als fünf Jahre alt sind, hat auch mit der Rechtsprechung zu tun. In einem als Moneyhouse-Urteil bekannten Entscheid des Bundesverwaltungsgerichts vom 18. April 2007 wurde festgehalten, dass an die inhaltliche Qualität und damit auch an die Richtigkeit der bearbeiteten Daten umso höhere Anforderungen zu stellen sind, je grösser das Risiko einer Persönlichkeitsverletzung ist.

Der Bundesrat hat in seiner Botschaft vom 15. September 2017 auch darauf verwiesen, dass private Dritte gemäss einer expliziten Regelung im Schuldbetreibungs- und Konkursgesetz nur bis fünf Jahre nach Abschluss eines Verfahrens Einsicht in das Betreibungsregister erhalten können. Die Rechte von Wirtschaftsauskunftsdiensten sollen nach dem Willen des Bundesrates nicht weiter gehen. Dieser Meinung hat sich die Mehrheit Ihrer Kommission nach eingehender Diskussion mit 7 zu 3 Stimmen ein zweites Mal angeschlossen.

Die Kommissionsmehrheit ist der Meinung, dass sich die finanzielle Situation innerhalb von zehn Jahren stark verändern kann. Wird einer Person aufgrund einer automatisierten Prüfung die Kreditwürdigkeit auf der Basis von bis zu zehn Jahre alten Daten abgesprochen, liegt für die damit verbundene Persönlichkeitsverletzung kein Rechtfertigungsgrund mehr vor. Eine Limitierung auf fünf Jahre erlaubt es demgegenüber, sich auf Bonitätsdaten abzustützen, die zuverlässig etwas über die wirtschaftliche Situation der betroffenen Person aussagen.

Die Minderheit Müller Damian macht Ihnen beliebt, im Grundsatz dem Nationalrat zu folgen und zudem klarzustellen, dass Personendaten aus öffentlich zugänglichen staatlichen Registern keiner Altersbeschränkung unterworfen sind. Dazu ist aus Sicht der Kommission etwas sehr Wichtiges anzumerken: Mit der Aufnahme einer Altersbeschränkung im Datenschutzgesetz wird das über andere Gesetze gesicherte Einsichtsrecht in öffentlich zugängliche, staatliche Register nicht eingeschränkt. Es wird nicht eingeschränkt, unabhängig davon, ob wir nun für die Bearbeitung von Personendaten bei der Kreditwürdigkeitsprüfung die Grenze bei fünf Jahre alten oder bei zehn Jahre alten Daten ziehen; dies gilt auch bei dem von Kollege Müller angesprochenen Handelsregister. Der Zusatz gemäss Minderheit Müller Damian ist daher nach Auffassung der Kommissionsmehrheit nicht nötig.

Noch ein letztes Wort: Bei der Differenz, die wir hier beraten, geht es nicht um eine generelle Regelung der Kreditwürdigkeitsprüfung, auch nicht um eine Regelung von Einsichtsrechten. Wir beraten die Frage, wann ein Rechtfertigungsgrund für eine an sich widerrechtliche Persönlichkeitsverletzung gegeben ist. Wenn bei einer Kreditwürdigkeitsprüfung alle Regeln des Datenschutzes eingehalten werden, kommt Artikel 27, und damit auch diese Bestimmung, gar nicht zur Anwendung.

Ich empfehle Ihnen daher namens der Kommissionsmehrheit, am früheren Beschluss festzuhalten.

Abstimmung

Abstimmung - Vote

Für den Antrag der Mehrheit ... 25 Stimmen

Für den Antrag der Minderheit ... 17 Stimmen

(0 Enthaltungen)

Stöckli Hans · P-M · Ständerat · Bern · Sozialdemokratische Fraktion

Aufhebung und Änderung anderer Erlasse

Abrogation et modification d'autres actes

Ziff. 32 Art. 93

Antrag der Kommission

Zustimmung zum Beschluss des Nationalrates

Ch. 32 art. 93

Proposition de la commission

Adhérer à la décision du Conseil national

Fässler Daniel · Mit-M · Ständerat · Appenzell I.-Rh. · Die Mitte-Fraktion. Die Mitte. EVP.

Ganz kurz: Gemäss Artikel 62 des revidierten Datenschutzgesetzes werden die Aufhebung und die Änderung anderer Erlasse im Anhang geregelt. Der betreffende Anhang umfasst über neunzig Gesetze. Weshalb beraten wir das nochmals? Zwei Tage nach der ersten Beratung in unserem Rat, am 20. Dezember 2019, wurde das Bevölkerungs- und Zivilschutzgesetz neu gefasst. Aus diesem Grund ist Ziffer 32 des Anhangs anzupassen. Materiell gibt es dazu nichts anzumerken, Herr Präsident.

Stöckli Hans · P-M · Ständerat · Bern · Sozialdemokratische Fraktion

Angenommen - Adopté

Präsident (Stöckli Hans, Präsident): Das Geschäft geht damit noch einmal zurück an den Nationalrat.