M – 01/2023 | Erstversion | 31.08.2023

Oberaufsichtskommission Berufliche Vorsorge OAK BV

Mitteilungen OAK BV M – 01/2023 deutsch

Neues Datenschutzgesetz – Einordnung der Experten für berufliche Vorsorge

Ausgabe vom: 31. August 2023

1 Ausgangslage

Am 1. September 2023 tritt das totalrevidierte neue Datenschutzgesetz (revDSG) mit der ebenfalls totalrevidierten neuen Datenschutzverordnung (revDSV) in Kraft. Gleichzeitig wird Art. 85a des Bundesgesetzes über die berufliche Alters-, Hinterlassenen- und Invalidenvorsorge (BVG; SR 831.40) angepasst mit der Streichung des Begriffs «Persönlichkeitsprofile» und der Ergänzung um einen neuen Absatz 2. Im Zusammenhang mit der Umsetzung dieser Änderungen hat die Schweizerische Kammer der Pensionskassen-Experten (SKPE) die OAK BV als Zulassungsbehörde um eine Einschätzung zur Frage gebeten, ob die Experten für berufliche Vorsorge als private Personen oder als Bundesorgane im Sinne des revDSG gelten.

2 Abgrenzung zwischen privaten Personen und Bundesorganen

Das revDSG gilt für die Bearbeitung von Personendaten natürlicher Personen durch private Personen und Bundesorgane (Art. 2 Abs. 1 revDSG). Die Unterscheidung ist deshalb wichtig, weil für Bundesorgane strengere und detailliertere Datenschutzregelungen gelten als für private Personen. Namentlich ist die Ernennung einer Datenschutzberaterin oder eines Datenschutzberaters nur für Bundesorgane zwingend, für private Personen hingegen freiwillig (vgl. Art. 10 Abs. 1 revDSG). Ebenso gilt das grundsätzliche Erfordernis der gesetzlichen Grundlage für die Bearbeitung von Personendaten nur für Bundesorgane (Art. 34 revDSG), während für private Personen grundsätzlich ein überwiegendes privates oder öffentliches Interesse genügt (Art. 31 revDSG).

Der Begriff «Bundesorgan» ist gesetzlich wie folgt definiert: «Behörde oder Dienststelle des Bundes oder Person, die mit öffentlichen Aufgaben des Bundes betraut ist» (Art. 5 Bst. i revDSG). Die gesetzliche Umschreibung dieses Begriffs bleibt mit dem neuen revDSG materiell unverändert im Vergleich zum geltenden Recht. 1 In der Botschaft zum Bundesgesetz über den Datenschutz vom 23. März 1988 wird der zweite Teilsatz dieser gesetzlichen Definition des Bundesorgans («oder Person, die mit öffentlichen Aufgaben des Bundes betraut ist») wie folgt umschrieben (Hervorhebungen hinzugefügt): «Bundesorgane sind aber auch alle natürlichen und juristischen Personen, vor allem wirtschaftliche Organisationen und öffentlich-rechtliche Körperschaften, die bei der Erfüllung öffentlich-rechtlicher Aufgaben für den Bund Daten bearbeiten. Organe der Kantone und Gemeinden sind nach schweizerischem Staatsrecht hingegen keine Organe des Bundes, auch wenn sie Bundesaufgaben wahrnehmen» (BBl 1988 II 445).

3 Datenschutzrechtliche Einordnung von Vorsorgeeinrichtungen

Für die Einordnung von Vorsorgeeinrichtungen als Bundesorgan oder als private Person hat das Bundesverwaltungsgericht in einem Urteil aus dem Jahr 2012 erwogen, dass die Vorsorgeeinrichtungen, die an der Durchführung der obligatorischen Versicherung beteiligt sind (Art. 48 Abs. 1 BVG), in Bezug auf den Datenschutz trotz ihrer fehlenden Verfügungsmacht als Bundesorgane gelten (BVGE 2012/14 E. 4.2). Das Bundesverwaltungsgericht unterscheidet somit zwischen obligatorischer und ausserobligatorischer Vorsorge, wobei die im Rahmen der obligatorischen beruflichen Vorsorge bearbeiteten Personendaten nicht schutzwürdiger sind als diejenigen ausserhalb des Obligatoriums. Das Bundesgericht hat sich bisher noch nicht zur datenschutzrechtlichen Einordnung von Einrichtungen der beruflichen Vorsorge geäussert. Betreffend die kantonalen IV-Stellen hat es im Jahr 2015 indes festgehalten, dass die Anwendung respektive der Vollzug von Bundesrecht alleine noch nicht genügt, um als Bundesorgan nach dem Datenschutzgesetz zu gelten. 2

Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017 (BBl 2017 7023). Vgl. Urteil 1C_125/2015 des Bundesgerichts vom 17. Juli 2015 E. 2.2. 2/4

Vorsorgeeinrichtungen können nach der bestehenden, wohl mehrheitlichen Auffassung wie folgt den datenschutzrechtlichen Bestimmungen unterstehen: − Beim Vollzug der obligatorischen beruflichen Vorsorge: o als Bundesorgan dem revDSG (bei einer privatrechtlichen Vorsorgeeinrichtung oder bei einer öffentlich-rechtlichen Vorsorgeeinrichtung des Bundes); 3 o den kantonalen datenschutzgesetzlichen Vorgaben ohne Anwendung des revDSG (bei einer kantonalen öffentlich-rechtlichen Vorsorgeeinrichtung); 4

− Beim Vollzug der beruflichen Vorsorge ausserhalb des Obligatoriums: o als private Person dem revDSG (bei einer privatrechtlichen Vorsorgeeinrichtung); o den kantonalen datenschutzgesetzlichen Vorgaben ohne Anwendung des revDSG (bei einer kantonalen öffentlich-rechtlichen Vorsorgeeinrichtung).

4 Was gilt für die Experten für berufliche Vorsorge?

Zur datenschutzrechtlichen Einordnung der Experten für berufliche Vorsorge ist auf Bundesebene noch kein Gerichtsurteil ergangen. Für die Beurteilung der Anwendbarkeit des eidgenössischen Datenschutzrechts ist nach der bundesgerichtlichen Rechtsprechung auf die Natur des zugrunde liegenden Verhältnisses abzustellen, wobei in einer gesamthaften Betrachtung die Beziehung zwischen dem Datenbearbeiter und dem Betroffenen zu prüfen ist. 5

Wer als Experte für berufliche Vorsorge tätig sein will, bedarf einer Zulassung durch die OAK BV. Gemäss Gesetz prüft der Experte für berufliche Vorsorge, ob die Vorsorgeeinrichtung ihre Verpflichtungen erfüllen kann und ob das Reglement der Vorsorgeeinrichtung bezüglich Leistungen und Finanzierung gesetzeskonform ausgestaltet ist. Der Experte für berufliche Vorsorge unterbreitet dem obersten Organ der Vorsorgeeinrichtung hierfür namentlich Empfehlungen über die Höhe des technischen Zinssatzes und die übrigen technischen Grundlagen, worunter die Wahl der anzuwendenden statistischen Grundlagen und die Rückstellungspolitik für versicherungstechnische Risiken fallen. Ebenso empfiehlt er dem obersten Organ der Vorsorgeeinrichtung Massnahmen, die im Falle einer Unterdeckung einzuleiten sind (vgl. Art. 52e BVG). Diese Aufgaben nehmen nicht Bezug auf die Bearbeitung von personenbezogenen Daten. Der Zweck der gesetzlichen Aufgaben des Experten für berufliche Vorsorge besteht vielmehr darin, die finanzielle Sicherheit der Vorsorgeeinrichtung zu gewährleisten.

Der Beizug eines Experten für berufliche Vorsorge durch die Vorsorgeeinrichtung erfolgt durch einen privatrechtlichen Vertrag. Es besteht kein Rechtsverhältnis zwischen dem Experten für berufliche Vorsorge und den Versicherten. Für die gesetzliche Aufgabenerfüllung ist der Experte für berufliche Vorsorge nicht auf personenbezogene Angaben angewiesen. Entsprechend den datenschutzrechtlichen Prinzipien der Datenminimierung und der Datensparsamkeit hat die Vorsorgeeinrichtung zu prüfen, ob sie die vom Experten für berufliche Vorsorge benötigten Daten ohne personenbezogene Angaben respektive in anonymisierter oder pseudonymisierter Form zur Verfügung stellen kann. Gemäss dem in der Ziff. 2 oben erwähnten Auszug aus der Botschaft zum Bundesgesetz über den Datenschutz vom 23. März 1988 (BBl 1988 II 445) gilt eine Person, die weder Behörde noch Dienststelle des Bundes ist, nur dann als Bundesorgan, wenn sie Daten (sprich Personendaten) für den Bund bearbeitet. Die Erfüllung von Bundesaufgaben und der Vollzug von Bundesrecht allein machen das handelnde Organ, wie erwähnt, nicht zu einem solchen des Bundes. 6

Gemäss den Mitteilungen über die berufliche Vorsorge Nr. 161 des Bundesamtes für Sozialversicherungen vom 11. Mai 2023 soll dies auch für umhüllende Vorsorgeeinrichtungen gelten. Auf seiner Homepage antwortet der Schweizerische Pensionskassenverband (ASIP) zur Frage, ob öffentlich-rechtliche Vorsorgeeinrichtungen unter das revDSG fallen, unter anderem wie folgt: «Es ist im Grundsatz aber so, dass eine öffentlich-rechtliche Vorsorgeeinrichtung als öffentliches Organ des Kantons dem kantonalen DSG untersteht. Es handelt sich bei einer kantonalen öffentlich-rechtlichen Vorsorgeeinrichtung weder um ein Bundesorgan noch um eine private Person gemäss revDSG, weshalb sie prinzipiell nicht in den Geltungsbereich der Datenschutzgesetzgebung des Bundes fällt.», siehe ASIP - DSG–Umsetzung: Muss eine kantonale öffentlich-rechtliche Vorsorgeeinrichtung. So auch bereits BGE 122 I 153 E. 2c und d. 3/4

Insbesondere aus diesen Gründen erscheint es aus Sicht der OAK BV sachgerecht und vertretbar, die Experten für berufliche Vorsorge auch mit dem neuen Datenschutzrecht weiterhin als private Personen nach Art. 2 Abs. 1 Bst. a revDSG zu betrachten. Aufgrund der standardisierten Vorgaben für die Erfüllung der gesetzlichen Aufgaben des Experten für berufliche Vorsorge 7, für die keine Personendaten benötigt werden, und weil die Vorsorgeeinrichtung über die Bekanntgabe ihrer Daten entscheidet, geht die OAK BV davon aus, dass die Experten für berufliche Vorsorge allfällige Personendaten grundsätzlich als private Personen als Auftragsbearbeiter der Vorsorgeeinrichtung nach Art. 9 revDSG bearbeiten. Die Experten für berufliche Vorsorge grenzen sich von der Vorsorgeeinrichtung ab, in dem sie namentlich für die Erfüllung ihrer gesetzlichen Aufgabe nicht auf die Personendaten angewiesen sind, die für eine Vorsorgeeinrichtung zur Erfüllung ihrer Aufgaben unerlässlich sind. Ebenso stehen sie – im Gegensatz zur Vorsorgeeinrichtung – nicht in einem Rechtsverhältnis zu den Versicherten. Falls ein Gericht in einem rechtskräftigen Urteil zu einer abweichenden datenschutzrechtlichen Beurteilung gelangen sollte, würde die OAK BV ihre Einschätzung überprüfen.

Siehe die Weisungen der OAK BV W-03/2014 «Erhebung von Fachrichtlinien der SKPE zum Mindeststandard», abrufbar auf der Internetseite der OAK BV: www.oak-bv.admin.ch > Regulierung > Weisungen. 4/4