Wortlaut

Laut Berichten von Medien, die Informationen der amerikanischen Website "BuzzFeed" aufgegriffen haben, haben die Kantonspolizei von St. Gallen und die Stadtpolizei von Zürich die höchst umstrittene Gesichtserkennungssoftware "Clearview" getestet. Da die Verwendung dieser Software in der Schweiz nicht erlaubt ist, waren diese Tests illegal.

Obwohl diese Software, so scheint es, nur Fachleuten zugänglich sein sollte, wurde bewiesen, dass Dutzende oder sogar Hunderte Personen und Unternehmen über einen persönlichen Zugang verfügen und "Clearview" für persönliche Zwecke nutzen. Die Verwendung dieser Software hat in zahlreichen Ländern einen Skandal ausgelöst. Der Bundesrat muss dringend handeln, damit das Verbot durchgesetzt wird.

- Wie erklärt der Bundesrat, dass Polizeikorps Software jeglicher Art vollkommen illegal verwenden?

- Gedenkt der Bundesrat, dieses Verhalten zu beanstanden und die notwendigen Sanktionen gegen die Täterinnen und Täter zu ergreifen?

- Mit welchen Massnahmen plant der Bundesrat die Bevölkerung in Zukunft vor solchen Praktiken zu schützen?

Stellungnahme des Bundesrates

1 und 2) Rechtlich sind die Kantone frei in ihren Beschaffungen und haben sich an ihre kantonalen beschaffungs- und datenschutzrechtlichen Bestimmungen zu halten. Der Bund hat keine Weisungsbefugnis und äussert sich nicht zu Beschaffungen kantonaler Polizeikorps. Vorbehaltlich des kantonalen Rechts haben die Kantonspolizeien einen Ermessensspielraum, um Gesichtserkennung einzusetzen. Sie müssen jedoch Art. 13 und 36 der Bundesverfassung der Schweizerischen Eidgenossenschaft (BV; SR 101) beachten und, namentlich in Bezug auf Kooperation innerhalb des Schengenraums, die Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch Behörden im strafrechtlichen Bereich. Darüber hinaus sind die Anforderungen des Übereinkommens zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (Übereinkommen 108+) und dessen Änderungsprotokoll (STCE 223) zu berücksichtigen, die die Schweiz demnächst ratifizieren wird.

Eine Gesichtserkennung ist eine Verarbeitung personenbezogener Daten, die nur gestützt auf einer klaren gesetzlichen Grundlage und mit angemessenen Garantien erfolgen darf (insb. technische und organisatorische Massnahmen zur Verhinderung von Vernichtung, Verlust, unbefugter Nutzung, Veränderung usw.). Wenn das Gesichtserkennungssystem zudem eine eindeutige Identifizierung der Person ermöglicht, handelt es sich um eine Bearbeitung sensibler Daten, die noch umfangreichere Bedingungen und Garantien voraussetzt. Das Urteil des Bundesgerichts BGE 146 I 11 stellt klar, dass es sich um einen Verstoss gegen Art. 13 Abs. 2 BV handelt, wenn kantonale Behörden, ohne eine hinreichende gesetzliche Grundlage, mit einem Verkehrsüberwachungssystem Identifikationsdaten anhand von Autokennzeichen speichern und diese innerhalb von Sekunden mit anderen Datenbanken abgleichen. Im Urteil wurde die gesetzliche Grundlage als nicht ausreichend erachtet.

Die vom Bundesgericht und vom Europäischen Gerichtshof für Menschenrechte formulierten Anforderungen würden erst recht gelten, wenn die kantonalen Behörden ein System zur Überwachung und Identifizierung mittels Gesichtserkennung einsetzen würden.

Der Bund setzt die Software "Clearview" nicht ein.

3) Der Bundesrat stellt in seinem Verantwortungsbereich sicher, dass Systeme zur biometrischen Identifikation von Personen nur gemäss den geltenden rechtlichen Grundlagen eingesetzt werden. Die Umsetzung obliegt den jeweiligen Bundesbehörden. Diese sind verpflichtet, in allen ihren Handlungen sicherzustellen, dass die rechtlichen Grundlagen berücksichtigt werden.

Das neue Bundesgesetz über den Datenschutz (DSG, BBI 2020 7639), das voraussichtlich am 1. September 2023 in Kraft treten wird, qualifiziert biometrische Daten, die eine natürliche Person eindeutig identifizieren (Art. 5 Bst. c Ziff. 4), als besonders schützenswerte Personendaten. Die Verwendung von Gesichtserkennungssoftware, die speziell dazu dient, natürliche Personen eindeutig zu identifizieren, muss als Verarbeitung sensibler Daten im Sinne des neuen DSG eingestuft werden. Bundesorgane werden daher grundsätzlich eine formell-gesetzliche Grundlage benötigen, um solche sensible Daten zu bearbeiten (Art. 34 Abs. 2 Bst. a).

Antwort des Bundesrates.