Fässler Daniel · Ständerat · 2019-12-18

Wortprotokoll

Hier werden Sie Geduld haben müssen, denn es handelt sich hier, bei diesem Buchstaben fbis, bei dieser Definition und all den damit zusammenhängenden Bestimmungen um jene Bestimmung, die am meisten umstritten ist und zu der Sie in den letzten Tagen und Wochen auch sehr viele Zuschriften erhalten haben. Ich werde daher auch zuhanden des Amtlichen Bulletins und des Nationalrates längere Ausführungen machen.

Im heutigen Datenschutzgesetz wird der Begriff "Persönlichkeitsprofil" verwendet. Diesen Begriff kennen weder das europäische Recht noch andere ausländische Gesetzgebungen. Dass neu der Begriff "Profiling" verwendet werden soll, ist daher nicht bestritten. Darunter versteht man die automatisierte Bearbeitung von Personendaten, um aufgrund bestimmter Merkmale einer Person deren Arbeitsleistung, die wirtschaftlichen Verhältnisse, die Gesundheit, persönliche Vorlieben und Interessen, den Aufenthaltsort bzw. Ortswechsel analysieren oder voraussagen zu können.

Über den Begriff des Profilings und dessen Rechtsfolgen wurde im Nationalrat intensiv diskutiert. Dabei wurde von verschiedener Seite darum gebeten, dass sich der Ständerat nochmals vertieft damit befasst. Im Zentrum stand dabei weniger der Begriff des Profilings, heftig diskutiert wurde vor allem die in Artikel 5 Absätze 6 und 7 behandelte Frage, ob eine automatisierte Bearbeitung von Personendaten gleich wie die Bearbeitung von als besonders schützenswert bezeichneten Daten eine ausdrückliche Einwilligung der betroffenen Person erfordere. Der Bundesrat hat dies vorgeschlagen. Eine klare Mehrheit des Nationalrates wollte nichts davon wissen. Diese durch den Nationalrat beschlossene Aufweichung des Datenschutzes ist nach Auffassung des Eidgenössischen Datenschutzbeauftragten im Hinblick auf den nötigen Angemessenheitsbeschluss der Europäischen Kommission problematisch.

Profiling führt nicht zwingend zu einem hohen Risiko für die betroffenen Personen. Mit einem Profiling können aber allenfalls problematische Rückschlüsse gezogen werden, zum Beispiel, wenn aus dem Einkaufsverhalten einer Person auf deren gesundheitliche Situation geschlossen werden kann. Vor diesem Hintergrund schlägt Ihnen die Kommissionsmehrheit auf Empfehlung des Bundesamtes für Justiz und des Eidgenössischen Datenschutzbeauftragten im Sinn eines Mittelweges einen risikobasierten Ansatz vor. Um einerseits den nötigen Datenschutz bei problematischen [PAGE 1241] Datenbearbeitungen zu gewähren, andererseits aber keine Überregulierung zu schaffen, soll zwischen einem weniger problematischen normalen Profiling und einem Profiling, das für betroffene Personen mit einem hohen Risiko verbunden ist, unterschieden werden.

Die Begriffsdefinition des Nationalrates für das normale Profiling in Buchstabe f kann demzufolge übernommen werden. Das war in der Kommission unbestritten. Der Begriff "Profiling mit hohem Risiko" soll in einem neuen Buchstaben fbis definiert werden. Ein solches Profiling liegt vor, wenn die automatisierte Bearbeitung von Personendaten ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringt.

Die Kommission nimmt damit Bezug auf die Definition des hohen Risikos in Artikel 20 Absatz 1; diese Bestimmung finden Sie auf Seite 22 der deutschsprachigen Fahne. Dort wird festgeschrieben, dass für Datenbearbeitungen, die ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person mit sich bringen können, erhöhte Anforderungen gelten. Diese vom Bundesrat beantragte Differenzierung wurde bisher von niemandem bestritten. Auch die in Artikel 20 Absatz 2 behandelte Frage, wie das Vorliegen eines hohen Risikos hergeleitet wird, ist im Grundsatz nicht bestritten. Gemäss dem Antrag Ihrer Kommission würde der Begriff des "hohen Risikos" im Fall eines Profilings noch weiter konkretisiert.

Über die Legaldefinition wurde länger diskutiert. Im Ergebnis beantragt Ihnen die Kommission eine exemplarische, nicht abschliessende Aufzählung. Dies bietet genügend Raum, um in Zukunft bei der Rechtsanwendung und in der Rechtsprechung auf neue, heute noch nicht vorhersehbare Fragestellungen reagieren zu können. Gemäss Antrag der Kommission würde beim Profiling insbesondere in zwei Fällen ein hohes Risiko vorliegen, nämlich erstens bei der systematischen Verknüpfung von Daten aus verschiedener Herkunft, die verschiedene Lebensbereiche einer natürlichen Person betreffen, oder zweitens bei einer systematischen und umfangreichen Bearbeitung von Daten, die geschieht, um Rückschlüsse auf verschiedene Lebensbereiche einer natürlichen Person zu ziehen.

Der Entscheid der Kommission fiel mit 8 zu 2 Stimmen bei 1 Enthaltung relativ deutlich.

Ich komme nun auf den Minderheitsantrag zu sprechen. Die Minderheit Cramer möchte bei der Definition des Begriffs "Profiling" dem Nationalrat folgen und von der Schaffung einer Kategorie des Profilings mit hohem Risiko absehen. Dafür - und darin liegt der grosse Unterschied zwischen dem Antrag der Minderheit und dem Beschluss des Nationalrates - soll das Profiling im Sinne des Entwurfes des Bundesrates mit höheren Schutzvorschriften verknüpft werden.

Die Kommissionsmehrheit und die Minderheit sind sich in diesem Punkt im Grundsatz einig, mit dem Unterschied, dass die Kommissionsmehrheit beim einfachen Profiling dem Nationalrat folgen möchte und beim Profiling mit hohem Risiko dem Entwurf des Bundesrates.

Es ist nicht ganz einfach, die Unterschiede der verschiedenen Konzepte kurz und bündig zu erklären und auf den Punkt zu bringen. Ich versuche es am Beispiel der bei Artikel 5 in den Absätzen 6 und 7 behandelten Frage, für welche Bearbeitung von Personendaten eine ausdrückliche Einwilligung der betroffenen Person vorliegen muss.

Dass für die Bearbeitung von besonders schützenswerten Personendaten immer eine ausdrückliche Einwilligung vorliegen muss, ist unbestritten. Darin sind sich der Bundesrat, der Nationalrat, die Kommissionsmehrheit und die Minderheit einig. Unterschiedliche Konzepte bestehen bei der Frage, was für die automatisierte Bearbeitung von Personendaten, das sogenannte Profiling, gelten soll. Die Minderheit verlangt in Übereinstimmung mit der bundesrätlichen Vorlage für jedes Profiling eine ausdrückliche Einwilligung der betroffenen Person. Der Nationalrat möchte in allen Fällen des Profilings von der Einwilligung absehen, und die Kommissionsmehrheit schlägt vor, für ein Profiling mit hohem Risiko für die Persönlichkeit oder die Grundrechte eine ausdrückliche Einwilligung zu verlangen. Auch für ein Profiling durch ein Bundesorgan wird immer eine ausdrückliche Einwilligung der betroffenen Person verlangt.

Folgen Sie der Kommissionsmehrheit, wird also der Datenschutz der betroffenen Person im Vergleich zum Nationalrat gestärkt, ohne aber für jede automatisierte Bearbeitung von Personendaten grosse Hürden zu schaffen. Folgen Sie der Minderheit, wird der Datenschutz demgegenüber noch weiter gestärkt, ohne deswegen mit dem europäischen Datenschutzrecht nicht mehr kompatible Regelungen zu schaffen.

Die Minderheit empfiehlt Ihnen daher, jetzt dem Entwurf des Bundesrates zu folgen; ein allfälliger Kompromiss könne später im Verlauf der Differenzbereinigung zwischen den beiden Räten gesucht werden.

Eine Minderheit im Sinne des Nationalrates liegt nicht vor. Sie haben also zwischen zwei Konzepten, dem der Kommissionsmehrheit und jenem der Kommissionsminderheit, zu entscheiden.