Keller-Sutter Karin · Bundesrat · 2019-09-25

Wortprotokoll

Aus Sicht des Bundesrates sind in Block 3 zwei Schwerpunkte auszumachen, die ich gerne hervorheben möchte. Es ist zum einen das Auskunftsrecht und dann das von Ihrer SPK neu eingeführte Recht auf Datenherausgabe und Datenübertragung - das ist die Datenportabilität, die bereits angesprochen wurde.

Zuerst zum Auskunftsrecht: Es ist ein zentraler Grundsatz des Datenschutzrechts. Es schafft Transparenz bezüglich der Bearbeitung von Personendaten und stärkt die informationelle Selbstbestimmung der Bürgerinnen und Bürger, denn nur wenn eine Person weiss, welche Daten über sie bearbeitet werden, kann sie den Umgang mit diesen Daten auch kontrollieren. Deshalb wird die Frage, wie dieses Recht ausgestaltet ist, auch für die Beibehaltung des Angemessenheitsbeschlusses eine Rolle spielen.

Zu den einzelnen Positionen, zum Katalog der mitzuteilenden Informationen in Artikel 23 Absatz 2: Hier sieht der Entwurf des Bundesrates vor, dass jede Person auf ihr Ersuchen hin vom verantwortlichen Datenbearbeiter diejenigen Informationen erhält, die sie benötigt, um von ihren datenschutzrechtlichen Ansprüchen Gebrauch zu machen. Der Bundesrat hat Artikel 23 Absatz 2 bewusst als Generalklausel ausgestaltet. Die Liste der Informationen, welche in jedem Fall mitzuteilen sind, ist nicht abschliessend. Damit kann dem Informationsbedürfnis der betroffenen Person in jedem konkreten Einzelfall Rechnung getragen werden. Diese Lösung folgt somit einem risikobasierten Ansatz. So muss ein Verantwortlicher einer Person, deren Gesundheitsdaten er bearbeitet hat, mehr Auskünfte über die Datenbearbeitung erteilen als einer Person, bei der er lediglich die Korrespondenzdaten bearbeitet.

Die Mehrheit der Kommission hat sich jedoch gegen eine Generalklausel und für einen abschliessenden Katalog der mitzuteilenden Informationen entschieden. Ausschlaggebend dürfte hier wohl das Argument gewesen sein, dass die Lösung des Bundesrates einen Swiss Finish darstelle. Aus Sicht des Bundesrates ist dies unbegründet. Der Bundesrat orientiert sich hier nämlich an der Konvention 108 plus, und diese Konvention enthält eine ähnliche Generalklausel wie das neue Datenschutzgesetz und schreibt eben vor, dass einer betroffenen Person auf Antrag alle Informationen mitzuteilen sind. Ein abschliessender Auskunftskatalog, wie ihn die Kommissionsmehrheit verlangt, dürfte dem Mindeststandard der Konvention 108 plus nicht genügen. Deshalb empfehle ich, hier die Generalklausel in Bezug auf die zu erteilenden Auskünfte nicht einzuschränken.

Dann zu Artikel 23 Absatz 2 Buchstabe g, zum Spezialfall der Datenbekanntgabe: Aus Transparenzgründen ist es gerechtfertigt, dass Datenbearbeiter, welche Daten an Dritte weitergeben, die betroffenen Personen darüber informieren, an wen ihre Personendaten bekanntgegeben werden. Die vom Bundesrat beantragte Lösung lässt dem auskunftspflichtigen Verantwortlichen die Wahl, ob er die Empfänger selbst oder nur die Kategorien von Empfängern angeben will. Die Mehrheit Ihrer Kommission hat sich aber dafür entschieden, dieses Recht auf Auskunft über die Empfänger oder über die Kategorien der Empfänger von Personendaten ersatzlos zu streichen. Ich weise hier darauf hin, dass eine solche Streichung eine Schwächung des gegenwärtigen Datenschutzniveaus zur Folge hätte und aus Sicht des europäischen Datenschutzrechts problematisch wäre. Ich empfehle, hier der Minderheit I zu folgen.

Dann zu Artikel 24 Absatz 2 Buchstabe a, zur Einschränkung des Auskunftsrechts bei überwiegendem Interesse des privaten Verantwortlichen: Hier sind verschiedene Gründe [PAGE 1816] zur Einschränkung des Auskunftsrechts festgehalten. Diese Einschränkungsmöglichkeiten entsprechen im Wesentlichen den bereits heute in Artikel 9 des Datenschutzgesetzes vorgesehenen Gründen. Artikel 24 Absatz 2 Buchstabe a sieht vor, dass private Verantwortliche die Auskunft zum Schutz von überwiegenden Eigeninteressen einschränken können, wenn sie die entsprechenden Personendaten nicht Dritten bekanntgeben.

Die Kommissionsmehrheit beantragt hier, die zweite Voraussetzung für diese Einschränkung des Auskunftsrechts, nämlich dass die Personendaten nicht Dritten bekanntgegeben werden, zu streichen. Das Anliegen der Mehrheit ist aus Sicht des Bundesrates nicht unbegründet, denn es trifft zu, dass im Datenschutzgesetz die einzelnen Konzerngesellschaften untereinander grundsätzlich als Dritte gelten. Dabei ist auch einzuräumen, dass die Datenweitergabe innerhalb eines Konzerns weit unproblematischer ist, als wenn die Daten an übrige Dritte weitergegeben werden. Es ist einfach eine gewisse Schwächung des heutigen Datenschutzes.

Die beantragte Streichung wird in der Praxis vermutlich zu keiner grossen Änderung führen. Ich empfehle Ihnen, die Minderheit Wermuth zu unterstützen, aber wenn diese keine Zustimmung finden sollte, wäre das vielleicht eine Frage, die der Zweitrat noch einmal genauer anschauen sollte.

Dann zum Recht auf Datenportabilität, Artikel 25a neu und Artikel 25b neu: Das ist eine der zentralsten Neuerungen, die in der EU mit der DSGVO in Kraft getreten sind. Dieser neue Anspruch berechtigt im Grundsatz eine betroffene Person, vom verantwortlichen Datenbearbeiter die Herausgabe ihrer Personendaten in einem gängigen elektronischen Format oder sogar deren Übertragung auf einen anderen Verantwortlichen zu verlangen. Der Anspruch umfasst aber nur jene Personendaten, welche die betroffene Person dem Verantwortlichen bewusst und aktiv zur Verfügung gestellt hat, sowie sogenannte "observed data". Nicht umfasst werden hingegen Personendaten, welche aus grösseren Datenanalysen oder aus Auswertungen dieser Informationen entstehen.

Der Bundesrat wollte ursprünglich mit der Einführung eines solchen Rechts auf Datenportabilität zuwarten. Er hat insbesondere beabsichtigt, erste Erfahrungen mit der konkreten Umsetzung des neuen Anspruchs in der EU abzuwarten. Die Mehrheit Ihrer Kommission hat sich aber dafür entschieden, bereits in der laufenden Revision des Datenschutzgesetzes ein Recht auf kostenlose Datenherausgabe und -übertragung einzuführen, was grundsätzlich der DSGVO entspricht. Hingegen befürwortet die Minderheit Glättli einen weiter gehenden Anspruch auf Datenherausgabe und -übertragung. Aus Sicht des Bundesrates geht die Minderheit Glättli zu weit. Der Verantwortliche hat ein überwiegendes Interesse daran, solche Informationen, die auf einer Eigenleistung beruhen, nicht herausgeben zu müssen. Diese Lösung würde über den EU-Datenschutzstandard hinausgehen.

Hier empfehle ich Ihnen, die Mehrheit der Kommission zu unterstützen.

Ich fasse zusammen: Ich bitte Sie, bei der Generalklausel zum Auskunftskatalog und der Auskunft über Datenempfänger beim Entwurf des Bundesrates zu bleiben und die Minderheit Glättli sowie die Minderheit I (Flach) zu unterstützen, bei den Einschränkungen des Auskunftsrechts hinsichtlich des überwiegenden Interesses des privaten Verantwortlichen die Minderheit Wermuth zu unterstützen und beim Recht auf Datenherausgabe und -übertragung der Kommissionsmehrheit zu folgen. Ansonsten bitte ich Sie, immer der Mehrheit zu folgen, mit Ausnahme von Artikel 23 Absatz 2 Buchstaben b und f. Hier geht es um im Rahmen des Auskunftsrechts mitzuteilende Informationen; ich bitte Sie, hier die Minderheit Flach und die Minderheit Glättli zu unterstützen.