Tätigkeitsbericht 2018/2019 des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte hat der Bundesversammlung periodisch einen Bericht über seine Tätigkeit vorzulegen (Art. 30 DSG). Der vorliegende Bericht deckt den Zeitraum zwischen 1. April 2018 und 31. März 2019 ab.
Die Schweiz belegt in den Rankings zur digitalen Wettbewerbsfähigkeit des World Economic Forum und des World Competitiveness Center vorderste Ränge. Damit unser Land seine Position behaupten kann, formuliert der Bun- desrat Strategien und Aktionspläne, welche die Digitalisierung von Wirtschaft und Staat voranbringen sollen. Aber auch der Datenschutz bietet Chancen für den Innovationsstandort Schweiz. Mit technischen Neuheiten, welche den Schutz der Privatsphäre und die digitale Selbstbestimmung der Menschen sicherstellen, lassen sich eben- falls Punkte sammeln. Im Wettlauf der Innovation sollten wir indessen nicht vergessen, die beste- henden Standortvorteile zu bewahren: Dank einer weitsichtigen Leistung des Gesetzgebers erhielt die Eidgenossenschaft 1992 – vor bald dreissig Jahren – ein international anerkanntes Datenschutzgesetz, das es der Schweizer Wirtschaft bis heute ermöglicht, mit den Unternehmen wichtiger Handels- nationen ohne weitere gesetzliche Auflagen und Restriktionen Daten auszutauschen. Daten sind ein begehrtes Gut, und die Digitalisierung wirkt sich tiefgreifend auf die Privatsphäre der weltweit rund vier Milliarden Internetnutzer aus. Angesichts dieser Realität haben die Staaten des Europäischen Wirtschafts- raums den Datenschutz für ihre Bevölkerung erhöht und im Mai 2018 verein- heitlichte, zeitgemässe Regeln in Kraft gesetzt. Diese erlauben es ihren Unter- nehmen weiterhin, ungehindert den grenzüberschreitenden Datenaustausch zu pflegen, an dem inzwischen auch japanische und – im begrenzten Rahmen des Privacy Shield Übereinkommens – zertifizierte US-amerikanische Firmen teilnehmen. Dass als ambitiöser Bildungs-, Technologie- und Wirtschaftsstandort auch die Schweiz weiterhin beim ungehinderten Datenaustausch dabei ist, wird allgemein erwartet. Im September 2017 hat der Bundesrat mit seiner Botschaft zur Totalrevision des Bundesgesetzes über den Datenschutz denn auch den parlamentarischen Gesetzgebungsprozess eingeleitet. Seither liegt der Ball bei den eidgenössischen Räten. Sie haben es in der Hand, das Schutzniveau der Daten unserer Bevölkerung nun jenem im umliegenden Europa anzupassen. Wenn diese Arbeit getan und unsere Bürgerinnen und Bürger angemessen geschützt sind, wird auch der Zugang der Wirtschaft zum freien Austausch von Daten gesichert und die Reputation der Schweiz als wettbewerbsfähige digitale Nation gewahrt sein. Adrian Lobsiger Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Vorwort Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter 26. Tätigkeitsbericht 2018/19
InhaltsverzeichnisInhaltsverzeichnis Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter 26. Tätigkeitsbericht 2018/19 Aktuelle Herausforderungen ....................10 Datenschutz 1.1 Digitalisierung und Grundrechte ............18 –Revision des Bundesgesetzes über den Datenschutz (DSG) –Datenschutz-Leitfaden im Kontext von Wahlen und Abstimmungen –Systematische Verwendung der AHV-Nummer durch die Behörden –Eckwerte für eine Datenpolitik der Schweiz –Datenverknüpfungen im Bereich Statistik Schwerpunkt I ............................................22 Elektronischer Identitätsnachweis (E-ID) Die «SwissID» 1.2 Justiz, Polizei, Sicherheit ..................26 –Polizeimassnahmen gegen Terrorismus –Beim Swiss-US Privacy Shield sind Verbesserungen angezeigt –Bekanntgabe von Flugpassagierdaten in EU-Staaten –Swiss-Buchungssystem – Massnahmen gegen Datenmissbrauch gefordert Schwerpunkt II ...........................................30 Schengen-Datenschutzgesetz in Kraft Schengen-Evaluation der Schweiz – ausreichende Mittel für Datenschutz gefordert –Automatische Fahrzeug fahndung und Verkehrs- überwachung 1.3 Steuer- und Finanzwesen .........................35 –Bekanntgabe von Personendaten an ausländische Steuerbehörden –Beschwerde gegen das EFD im ESTV-Fall noch hängig –Empfehlung an Zentralstelle für Kreditinformation (ZEK) erlassen 1.4 Handel und Wirtschaft ............................39 –Datendiebstahl bei Swisscom ohne formelle Massnahmen abgeschlossen –Datendiebstahl bei EOS – unnötig gespeicherte Patientendaten –Verwendung der Daten von ricardo.ch in der Tamedia-Gruppe –Sachverhaltsabklärung bei Smart-TV-Hersteller abgeschlossen –Decathlon – verbesserte Information bei Daten- beschaffung nötig 1.5 Gesundheit .............................................42 –Statistikprojekt mit Einzeldatensätzen der Versicherer (BAGSAN) –Neue Aufgaben durch elektronisches Patienten dossier –Bonusprogramm «Helsana+» auf dem Prüfstand: Teilerfolg vor Bundesverwaltungsgericht –Rasant wachsende Datenmengen in der «personalisierten Gesundheit» bergen Risiken 1.6 Arbeit ....................................................46 –Outsourcing: Bearbeitung von Personaldaten im Ausland –Online-Bewerbungsverfahren und Bewerbungs- gespräche: Was ist zu beachten? –Bekämpfung der Schwarzarbeit im Kanton Wallis 1.7 Versicherungen .......................................49 –Neuer Observationsartikel für Sozialversicherungen –SUVA: Mehr Transparenz bei Forschung mit Versichertendaten 1.8 Verkehr ..................................................51 –Multimodale Mobilität – Wahrung der informationellen Selbstbestimmung ein Muss –Datenschutzkonformität bei neuen Apps im öffentlichen Verkehr 1.9 International ........................................53 –Aufsichtskoordinations gruppen über die Informationssysteme SIS II, VIS und Eurodac –Arbeitsgruppe «Border, Travel & Law Enforcement» –Koordinationsgruppe der schweizerischen Datenschutzbehörden im Rahmen von Schengen –Internationale Konferenz der Datenschutzbeauftragten –Europäische Konferenz der Datenschutzbeauftragten –Arbeitsgruppe der OECD über die Informations - sicherheit und den Schutz der Privatsphäre –Französischsprachige Vereinigung der Datenschutz- behörden (AFAPDP) Schwerpunkt III ..........................................58 Die DSGVO – in gewissen Fällen auch in der Schweiz anwendbar Europarat – Die Schweiz sollte das angepasste Übereinkommen so bald wie möglich unterzeichnen Öffentlichkeitsprinzip 2.1 Allgemein ...............................................64 2.2 Zugangsgesuche – stetige Zunahme ...........65 2.3 Schlichtungsverfahren – hoher Anteil einvernehmlicher Lösungen .....................68 –Dauer der Schlichtungs verfahren –Anteil einvernehmlicher Lösungen –Anzahl hängiger Fälle 2.4 Ämterkonsultation und weitere Stellungnahmen .......................................70 –Totalrevision des Bundesgesetzes über das öffentliche Beschaffungswesen –Ämterkonsultation zur Genehmigung von Tarif strukturen in der Krankenversicherung Der EDÖB 3.1 Aufgaben und Ressourcen .........................74 –Leistungen und Ressourcen im Bereich Datenschutz –Leistungen und Ressourcen im Bereich Öffentlichkeitsgesetz 3.2 Kommunikation ........................................78 –Rege Sensibilisierungstätigkeit und grosse mediale Aufmerksamkeit –Datenschutzbehörden von Bund und Kantonen traten am Internationalen Datenschutztag gemeinsam auf –Diverse Leitfäden und Empfehlungen publiziert –Website nach wie vor wichtigster Kanal unserer Kommunikation 3.3 Statistiken ...........................................80 –Statistiken über die Tätigkeiten des EDÖB vom
Abbildungsverzeichnis ...........................89 Impressum In der Klappe Die wichtigsten Zahlen und Fakten Anliegen des Datenschutzes
Aktuelle HerausforderungenAktuelle Herausforderungen 1110 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter 26. Tätigkeitsbericht 2018/19 Aktuelle Herausforderungen I Digitalisierung Die Bearbeitung von Personendaten wird weiterhin von der dynamischen Weiterentwicklung der Informations- und Telekommunikationstechnologie in der global vernetzten Wirtschaft geprägt, die den Alltag der Schweizer Bevölkerung bei Arbeit, Konsum und Freizeit in hohem Masse beeinflusst. Technologie und Wirtschaft Das technische und wirtschaftliche Potenzial für Eingriffe in die Privat- sphäre und Selbstbestimmungsrechte der Bevölkerung bleibt hoch, was der Beauftragte schwergewichtig auf zwei Entwicklungen zurückführt: • Das Internet ermöglicht Geschäfts- modelle, mit denen heute weltweit rund vier Milliarden Benutzer ange- sprochen werden. In den von ameri- kanischen Tech-Firmen wie Google, Amazon und Facebook geprägten Märkten hat sich für die Erbringung internetgestützter Kommunikati- ons- und Informationsdienstleis- tungen eine Art «Gratis»-Modell durchgesetzt. Statt ihre Online- Dienste in Rechnung zu stellen, las- sen sich die Anbieter von ihren Kun- den Benutzerdaten abtreten. Diese Daten bearbeiten die Anbieter mit- hilfe von Algorithmen und entspre- chenden Analyse-Methoden weiter, um den Kunden zielgerichtet Wer- bebotschaften zustellen zu können. Die Werbeplätze versteigert der Anbieter an die bestzahlenden Drit- ten. Einige wenige von ihnen verfol- gen dieses Geschäftsmodell mit derart grossem Erfolg, dass Milliar- den von Kunden ihre weltweiten «Gratis»-Dienste in Anspruch neh- men. Sie können ihre Algorithmen mit Strömen von Kundendaten ver- sorgen, die sie in die Lage versetzen, die Analyse des Benutzerverhaltens laufend zu intensivieren und auf den Online- Werbemärkten astronomi- sche Umsätze zu erzielen. Während mit der gezielten Zuspielung von kommerziellen und weltanschauli- chen Botschaften die Datenschutzri- siken für die Nutzer steigen, gehen die Werbeeinnahmen der Zeitungen sowie von Radio und Fernsehen zurück. • Nachdem in der Schweiz tätige Tele- kom-Gesellschaften angekündigt haben, die Netzinfrastruktur für Bandbreiten der fünften Generation (5G) auszurüsten, wird 5G-Technik bald Realität und damit Kapazität und Geschwindigkeit der mobilen Datenströme ein weiteres Mal gewaltig erhöhen. Der bereits in der Vorperiode thematisierte Trend rasch anwachsender Mengen von verknüpften Geräten mit Sensoren, die Bild, Ton oder Positions- und weitere Daten im privaten und öffentlichen Raum aufzeichnen und künstlichen Intelligenzen zuführen, wird sich somit noch beschleunigen. Gesellschaft und Datenpolitik Weiter akzentuiert hat sich im Berichtsjahr die öffentliche Kritik an den Betreibern sozialer Plattformen und Anbietern von Suchmaschinen, die das erwähnte Geschäftsmodell der Datenabschöpfung gegen «Gratis»- Dienstleistungen im globalen Umfang betreiben. Angesichts der anwachsenden Mengen von erhobenen Kundendaten und der zunehmenden Komplexität und Autonomie der Analysetechnolo- gien gestaltet sich die Gewährleistung eines hinreichenden Datenschutzes für die kritisierten Betreiber zuneh- mend anspruchsvoll: Zum einen müs- sen sie ihre Kunden leicht verständlich und vollständig über die Bearbeitung ihrer Daten informieren. Zum anderen müssen sie den Kunden hinreichende Gestaltungsmöglichkeiten einräumen, damit diese alle Aspekte der Bearbei- tung freiwillig genehmigen oder ablehnen können. Um dieser Verant- wortung gerecht zu werden, müssen die Anbieter Investitionen in daten- schutzfreundliche Applikationen täti- gen, die ihre Kunden mit wenigen Klicks zu den nötigen Informationen und Wahlmöglichkeiten führen. Der Schutz der Privatsphäre und Selbstbe- stimmung der Kunden muss also früh- zeitig und benutzerfreundlich in die digitalen Produkte eingebaut werden. In den Mitgliedstaaten des EW R sind die Datenschutzbehörden im Berichts- jahr dazu übergegangen, Unterneh- men für die vernachlässigte Gewäh- rung von Transparenz und Selbstbe- stimmung mit empfindlichen Bussen zu belegen, welche die im Mai 2017 in Kraft getretene europäische Daten- schutzgrundverordnung (DSGVO) vorsieht. Nach ersten Informationen des EDÖB sind inzwischen auch Schweizer Unternehmen, welche Daten von Einwohnern im EW R bear- beiten, von Verfahren der dortigen Datenschutzbehörden betroffen. Wei- ter befassen sich dort auch die Wettbe- werbsbehörden zunehmend mit der Bearbeitung von Daten. In der Berichtsperiode forderte das deutsche Bundeskartellamt die Firma Facebook aufgrund ihrer als marktbeherrschend eingestuften Stellung auf, die Zustim- mung zu ihren Nutzungsbedingungen von anderen Diensten des Konzerns zu entkoppeln. Es wird sich zeigen, ob die markt- mächtigen Plattformen angesichts des aufsichtsbehördlichen Drucks und der öffentlichen Kritik am System der «Gratisdienstleistungen» festhalten werden. Eine aus Sicht des Daten- schutzes gangbare Alternative sind Geschäftsmodelle, die bezahlende Kunden von profilbildenden Daten- auswertungen und personalisierten Zustellungen von Werbebotschaften ausnehmen. Solche Bezahlsysteme las- sen sich sowohl über dezentral kont- rollierte Crypto-Währungen als auch über das Bankensystem betreiben und sind etwa in China bereits verbreitet, weil dortige Plattformbetreiber auf Online-Vertragsabwicklungen Kom- missionen erheben. Gesetzgebung In der Schweiz lässt der Abschluss der Beratung der vom Bundesrat im Sep- tember 2017 vorgelegten Totalrevi- sion des Datenschutzgesetzes (DSG) durch die staatspolitische Kommission des erstberatenden Nationalrats nach wie vor auf sich warten. Nachdem diese die Vorlage zur Totalrevision mit Entscheid vom 12. Januar 2018 in zwei Teile aufspaltete und in einem ersten Schritt die Änderungen behan- delte, die für die Übernahme des sog. Schengen-Besitzstands erforderlich sind, haben die Eidgenössischen Räte ein neues Bundesgesetz über die Umsetzung der Richtlinie (EU) 2016/680 oder Schengen-Daten- schutzgesetz (SDSG) verabschiedet. Dieses Sondergesetz, dessen Geltung sich auf die Datenbearbeitung der Strafverfolgungsbehörden des Bundes beschränkt, ist am 1. März 2019 in Kraft getreten. Es soll dereinst durch das totalrevidierte DSG wieder aufge- hoben werden. Nachdem unsere Behörde durch dieses Gesetz bezüglich der besonders sensiblen Bearbeitung von Personendaten im Polizeibereich mit zusätzlichen Aufgaben und Befug- nissen betraut wurde, wird sie namentlich bei der Kontrolle der Datenbearbeitung durch das Bundes- amt für Polizei, fedpol, einen Schwer- punkt setzen müssen. Ob der Bundes- rat unserer Behörde dafür die bean- tragten, zusätzlichen Mittel zuspre- chen wird, stand zur Zeit der Druckle- gung dieses Berichts noch nicht fest. Der Beauftragte hat sich in der staats- politischen Kommission des National- rats, auf deren Einladung er bei den Beratungen des DSG teilnimmt, stets für eine baldige Anhebung des Daten- schutzniveaus zu Gunsten der Schwei- zer Bevölkerung und demzufolge einen zügigen Abschluss der parla- mentarischen Beratungen ausgespro- chen. Wann dies der Fall sein wird, ist indessen schwer absehbar. Wenngleich gewisse Kreise der Wirtschaft das aus dem Jahre 1992 stammende DSG und die Befugnisse unserer Behörde für ausreichend erachten mögen, trifft der EDÖB in seinen Kontakten mit grenzüber- schreitend tätigen, grossen und klei- nen Schweizer Unternehmen auf eine ausgeprägte Bereitschaft, in einen glaubwürdigen betrieblichen Daten- schutz zu investieren. Diese, von der Totalrevision unmittelbar betroffenen Unternehmen wollen auch ihrer Schweizer Kundschaft einen den erneuerten europäischen Standards entsprechenden Schutz bieten. Sie wissen auch, dass sich Datenbearbei- tungsprojekte in der digitalen Realität nur unter Anwendung zeitgemässer Instrumente wie der Datenschutz- Folgenabschätzung risikogerecht abwickeln und gegenüber der Kund- schaft kommunizieren lassen. Und entsprechend lange werden ihre kleinen, mittleren und grossen Konkurrenten in den Staaten der EU und des EW R ihren diesbezüglichen Wettbewerbsvorteil zu nutzen wissen. Anbieter, die sich mit regulatorischen Lippenbekenntnissen und der mechanischen Abarbeitung von Schutzanliegen begnügen, spielen mit dem Vertrauen ihrer Kunden und werden früher oder später die Aufmerksamkeit unserer Behörde auf sich ziehen.
Aktuelle HerausforderungenAktuelle Herausforderungen 1312 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter 26. Tätigkeitsbericht 2018/19 II Beratungs- und Kontrolltätigkeit Damit der EDÖB als Aufsichtsbehörde sicherstellen kann, dass Personenda- ten nicht mit der technisch machbaren, sondern rechtlich zulässigen Intensität bearbeitet werden, verlangt er von den Verantwortlichen digitaler Applika- tionen, dass sie hohe datenschutz- rechtliche Risiken bereits im Planungs- und Projektstadium minimieren und gegenüber der betrieblichen und behördlichen Datenschutzaufsicht dokumentieren. Vor diesem Hinter- grund haben wir denn auch in der aktuellen Berichtsperiode die Beglei- tung einer Vielzahl von Big-Data- Projekten von Bundesbehörden und privaten Unternehmen fortgesetzt. Nicht zuletzt um den eigenen Arbeitsaufwand zu senken, wirkt der Beauftragte mit Blick auf Grossvorha- ben, die mit hohen Datenschutzrisi- ken verbunden sind, weiterhin auf den selbstverantwortlichen Einsatz moderner Arbeitsinstrumente wie der Datenschutzfolgenabschätzung und gegebenenfalls auch die Einsetzung betrieblicher Datenschutzorgane hin. Dennoch ist der Anteil unserer Gesamtaufwendungen für die bera- tende Begleitung von privatwirt- schaftlichen Projekten im Berichtsjahr weiter angestiegen. Nachdem die Aufwendungen für die Kontrollaufgaben in der Vorperiode deutlich absanken, konnten diese wie- der auf den Stand der Periode von 2016/17 angehoben werden. Sie lie- gen jedoch immer noch unter dem langjährigen Durchschnittswert der Vorperioden. Angesichts der anhal- tend knappen Mittelausstattung unse- rer Behörde war dieser Anstieg nur unter Kürzung anderer Leistungen zu bewerkstelligen. Auch in der aktuellen Berichtsperiode vermochte der EDÖB die berechtigten Erwartungen der Öffentlichkeit nach aufsichtsrechtli- chen Massnahmen hinsichtlich der Bearbeitung von Personendaten durch Konsumenten-Apps und soziale Netz- werke nicht im gewünschten Mass zu erfüllen (vgl. «Aufgaben und Ressour- cen», Ziff. 3.1). Einen besonderen Beratungsschwer- punkt hat der EDÖB mit Blick auf die eidgenössischen Erneuerungswahlen im Herbst 2019 gesetzt, indem er im Dezember 2018 zusammen mit den kantonalen Datenschutzbehörden einen Leitfaden zur Anwendung des Datenschutzrechts auf die digitale Personendatenbearbeitung im Kontext von Wahlen und Abstimmungen pub- lizierte (www.edoeb.admin.ch/ wahlen). Der Leitfaden ruft darin allen Akteuren ins Bewusstsein, dass perso- nenbezogene Daten zu politischen und weltanschaulichen Ansichten einem höheren Schutzniveau unterlie- gen, als solche, die im kommerziellen Kontext bearbeitet werden. Die politi- schen Parteien sind in Anbetracht ihrer zentralen Rolle bei der Durch- führung der eidgenössischen Erneue- rungswahlen vom Herbst 2019 aufge- rufen, mit Blick auf den Datenschutz eine Vorbildfunktion wahrzunehmen. III Nationale und internationale Kooperation Der EDÖB hat seine Zusammen- arbeit mit den kantonalen und kom- munalen Datenschutzstellen, die mit den gleichen Entwicklungen und Technologien zur Bearbeitung von Per- sonendaten konfrontiert sind, weiter intensiviert. Als Beispiele sind hier zu nennen: die Schengen-Evaluation (vgl. Ziff. 1.2), der Leitfaden zu den Wahlen (Ziff. 1.1) oder die gemeinsame Durch- führung des Internatio nalen Daten- schutztages (Ziff. 3.2). Neues Europäisches Datenschutzrecht Am 25. Mai 2018 ist die DSGVO in Kraft getreten, die unter gewissen Voraussetzungen auch für Bearbeitun- gen durch schweizerische Unterneh- men Anwendung findet. Im Herbst 2017 hat der EDÖB ein Merkblatt veröffentlicht, das insbesondere auf die extraterritoriale Geltung des neuen EU-Rechts eingeht und laufend aktua- lisiert wird (www.edoeb.admin.ch/ dsgvo). Wir werden weiterhin alles daransetzen, die betroffenen Schwei- zer Unternehmen bei der Anwendung der DSGVO mit Rat und Tat zu beglei- ten und als Aufsichtsbehörde eine auch im Ausland sichtbare Wirkung zu entfalten. Die andauernde Übergangszeit bis zum Inkrafttreten der immer noch hängigen Totalrevision des DSG (vgl. Ziff 1.1 und 3.1) gestaltet sich nach wie vor als herausfordernd für den EDÖB. Während die personell ver- stärkten Datenschutzbehörden in den Staaten des EW R inzwischen ihre neuen Verfügungs- und Sanktionsbe- fugnisse zum Tragen bringen (vgl. Ziff. II), verfügt der EDÖB gegenüber der Wirtschaft und dem Gros der Bundes- behörden bis auf Weiteres nur über die im DSG von 1992 vorgesehenen Empfehlungs befugnisse. Auch seine Mittel sind seit dem Jahre 2005 im Wesentlichen unverändert geblieben (vgl. Ziff. 3.1). Erschwerend kommt hinzu, dass die Europäische Kommis- sion mit der Evaluation des schweize- rischen Datenschutzniveaus einge- setzt hat (s. rechts). Mit Inkrafttreten der DSGVO hat sich die vormalige «Artikel 29»- Gruppe der EU-Datenschutzbehörden neu als Europäischer Datenschutz- ausschuss (EDSA) konstituiert. Kern- aufgabe des EDSA ist es, die einheitli- che Anwendung der DSGVO sicher- zustellen. Der Wunsch des EDÖB, bei den Sitzungen generell als Beobachter zugelassen zu werden, wurde abge- lehnt. Unsere Teilnahme wird sich somit auf Plenarsitzungen und nur für Punkte, die für den Schengen-Besitz- stand relevant sind, beschränken. Evaluation des Datenschutzniveaus Die Europäische Kommission über- prüft das Datenschutzniveau von Drittländern und hat der Schweiz letztmals im Jahre 2000 attestiert, dass ihr Datenschutzniveau angemes- sen ist. Unternehmen in der EU kön- nen deshalb Personendaten ohne wei- tere Massnahmen mit Firmen in der Schweiz austauschen. Zurzeit ist die Kommission daran, die Angemessen- heit des Schweizer Datenschutzni- veaus gestützt auf die in der DSGVO aufgelisteten Kriterien erneut zu eva- luieren. Sie hat angekündigt, den Angemessenheitsentscheid im Mai 2020 in Berichtsform zu veröffentli- chen. Die Mitwirkung der Schweiz an der Evaluation wird vom Bundesamt für Justiz koordiniert und vom EDÖB unterstützt, indem er erbetene Infor- mationen bereit stellt (vgl. Ziff. 1.9). Je länger die Schweiz die Arbeitsinstrumente des modernen Datenschutzes nicht explizit in ihrer Daten schutzgesetzgebung verankert, desto öfter werden sich hiesige Unternehmen – unbesehen ihrer tatsächlichen Investitionen in den Datenschutz – mit kritischen Fragen nach dem regulatorischen Schutzniveau ihres Sitzstandorts konfrontiert sehen.
Aktuelle HerausforderungenAktuelle Herausforderungen 1514 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter 26. Tätigkeitsbericht 2018/19 Vor dem Hintergrund der laufenden Evaluation wäre es für die Schweiz von Vorteil, wenn diese nicht mehr auf der Grundlage des aus dem Jahre 1992 stammenden, sondern des totalrevi- dierten DSG vorgenommen werden könnte, dessen Behandlung durch die Kommission des erstberatenden Nati- onalrats aber noch aussteht (vgl. Ziff. I). Weiter wäre es von Vorteil, wenn der Bundesrat davon Gebrauch machen würde, dass das modernisierte Über- einkommen zum Schutz des Men- schen bei der automatischen Verarbei- tung personenbezogener Daten (Über- einkommen 108) des Europarates seit Oktober 2018 zur Unterzeichnung aufliegt, hat doch die Europäische Kommission wiederholt darauf hinge- wiesen, dass die Ratifizierung dieses modernisierten Übereinkommens ein entscheidendes Kriterium für den Angemessenheitsentscheid darstellt (s. Ziff. 1.9). Swiss-US Privacy Shield Im Herbst 2018 haben wir im Rahmen einer vom Seco angeführten Delega- tion das aufsichtsbehörliche Review für das Swiss-US Privacy Shield durchgeführt, das im Anschluss an das zweite Review des EU-US Privacy Shields in Brüssel erfolgt ist. Obschon im Review Schwachstellen aufgezeigt wurden, konnte die Funktionsweise des Privacy Shields seit dessen Inkraft- setzung verbessert werden (vgl. Text «Beim Swiss-US Privacy Shield sind gewisse Verbesserungen angezeigt», Ziff. 1.2). IV Massnahmen zur Effizienzsteigerung Aufgrund der erwähnten Herausforde- rungen bekräftigt der Beauftragte das strategische Ziel, seine gesetzlichen Aufgaben in der digitalen Realität fach- kompetent, unabhängig und proaktiv wahrzunehmen. Organisation und Geschäfts- kontrolle der Behörde Die am 1. April 2017 in Kraft gesetzte Reorganisation der Behörde hat sich bewährt. Durch das an die Reorganisa- tion und die Befragung des Personals anschliessende Konsolidierungspro- gramm EFFET, das im Berichtsjahr gestartet wurde, soll nun die interne Zusammenarbeit optimiert und dadurch die Wirkung unserer Behörde zusätzlich verstärkt werden. Im Berichtsjahr haben auch meh- rere personelle Wechsel auf Ebene der Geschäftsleitung stattgefunden: Nach 38 Jahren als Datenschutzexperte beim Bund, wovon 25 Jahre als Stell- vertreter des Beauftragten, verliess Jean- Philippe Walter unsere Behörde pensionshalber per Ende Januar 2019. Der ebenfalls frankofone Marc Bunt- schu übernahm Walters Nachfolge als stellvertretender Behördenleiter und Chef des Ressorts für nationale und internationale Zusammenarbeit. Bis am 1. Februar 2019 leitete Buntschu den Direktionsbereich Datenschutz, der ab diesem Datum von Daniel Dzamko geführt wird, der vorher in der Geschäftsleitung der Steuerver- waltung des Kantons Bern tätig war. Im Frühjahr 2018 wurde Hugo Wyler mit der Leitung des dem Beauftragten neu direkt unterstellten Bereichs Kom- munikation betraut. Der EDÖB nimmt seine gesetzlichen Aufgaben als Aufsichtsbehörde auto- nom wahr. Unterstützende logistische und administrative Leistungen bezieht er indessen von der Bundeskanzlei, welche diese nach Massgabe der allge- meinen Standards der Bundesverwal- tung erbringt. In diesem Sinne wurde der EDÖB von der Bundeskanzlei auch bei der Einführung des neuen Geschäftsverwaltungssystems Acta Nova betreut, die im September 2018 erfolgreich abgeschlossen werden konnte. Informationsangebot Das in der Berichtsperiode erbrachte Informationsangebot wurde punktuell verbessert. Dies betrifft namentlich den vorliegenden 26. Tätigkeitsbe- richt. Die Weiterentwicklung der Inhaltsaufbereitung und der Kanäle ist hingegen eine Daueraufgabe, die der EDÖB angesichts des grossen Medien- interesses mit vergleichbar wenig Mit- teln bewerkstelligen muss (vgl. Ziff. 3.2). Verfahren im Bereich des Öffentlichkeitsgesetzes (BGÖ) Der EDÖB ist nach Durchführung eines einjährigen Versuchs zu einem beschleunigten und summarischen Verfahren übergegangen, das sich dadurch charakterisiert, dass in der Regel mündliche Schlichtungsver- handlungen durchgeführt werden. Dieses Verfahren bewährt sich weiter- hin, indem der Anteil der einvernehm- lich abgeschlossenen Schlichtungen nach wie vor hoch und die Überschrei- tung der gesetzlichen Fristen im Wesentlichen auf prozessual und inhaltlich komplexe Fälle beschränkt werden konnten. Dies war bspw. der Fall bei Verfahren mit besonders schwierigen juristischen, technischen oder politischen Fragen, aufgrund des grossen Umfangs der verlangten Dokumente oder wenn Drittparteien ins Verfahren miteinzubeziehen sind. Die Stimmberechtigten haben Anspruch darauf, nachvoll ziehen zu können, aufgrund welcher Daten bestände und welcher digitaler Bearbeitungsmethoden und Technologien sie von den Parteien oder diesen nahe stehenden Dritten angesprochen werden.
Datenschutz
1918 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 1.1 Digitalisierung und Grundrechte Revision des Bundesgesetzes über den Datenschutz (DSG) Der Abschluss der Beratungen der Totalrevision des Datenschutzgesetzes von 1992 durch die eidgenössischen Räte ist noch nicht absehbar. Am 15. September 2017 hatte der Bundesrat seine Botschaft (17.059) zur Totalrevision des Bundesgesetzes über den Datenschutz (DSG) an die eidge- nössischen Räte überwiesen. Im Rah- men ihrer Beratungen zur DSG- Revision beschloss die staatspolitische Kommission des erstberatenden Natio nalrats, in einem ersten Schritt nur die Änderungen zu behandeln, die für die Übernahme des Schengen- Besitzstands erforderlich sind. Diese, auf die Strafverfolgungsbehörden des Bundes beschränkten Bestimmungen, wurden inzwischen vom Parlament genehmigt und vom Bundesrat per
2120 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 Systematische Verwendung der AHV-Nummer durch die Behörden Der Bundesrat möchte eine weiterrei- chende Verwendung der AHV-Nummer erleichtern und hat am 7. November 2018 eine Vernehmlassung zur Ände- rung des Gesetzes über die AHV eröff- net. Die Vernehmlassung endete am 22. Februar 2019. Wir haben unsere Bemerkungen dazu angebracht, die in den Gesetzesentwurf übernommen wurden. Der vom Bundesrat in die Vernehm- lassung gegebene Entwurf sieht vor, dass die eidgenössischen, kantonalen und kommunalen Verwaltungen die AHV-Nummer ausserhalb des Sozial- versicherungsbereichs systematisch als eindeutige Identifikationsnummer verwenden dürfen. Wir begrüssen es, dass der Gesetzes- entwurf des Bundesrats Einrichtun- gen, die über Datenbanken verfügen, in denen die AHV-Nummer systema- tisch verwendet wird, gestützt auf unsere Bemerkungen ausdrücklich dazu verpflichtet, periodische Risiko- analysen durchzuführen. Dies nament- lich unter Beachtung der Gefahr von unerlaubten Datenverknüpfungen. Aufgrund dieser Risikoanalyse sind Massnahmen für die Sicherheit und den Schutz der Daten festzu- legen und umzusetzen, die der Risikosituation angepasst sind und dem Stand der Technik entsprechen. Auch erachten wir als positiv, dass die in der Geset- zesvorlage bezeichneten Einrichtun- gen, die systematisch die AHV-Num- mer verwenden, zur Füh- rung eines Registers der relevanten Datenbanken verpflichtet werden, das insbesondere als Grund- lage für die Risikoanalysen dienen soll. Schliesslich betonten wir die Notwen- digkeit einer Verstärkung der techni- schen und organisatorischen Mass- nahmen. Wie das Bundesamt für Sozialver- sicherungen (BSV) gegenüber dem EDÖB festhielt, wird das von der Kommission für Rechtsfragen NR mit dem Postulat 17.3968 bis Ende 2019 verlangte «Sicherheitskonzept für Per- sonenidentifikatoren» im Rahmen der Gesetzgebungsarbeiten zur AHV in die Botschaft integriert werden. Dieses Sicherheitskonzept soll aufzeigen, wie den Risiken einer systematischen Ver- wendung der AHV-Nummer als ein- deutiger Personenidentifikator entge- genzutreten ist und der Datenschutz gestärkt werden kann. Der EDÖB befürwortet weiterhin die Verwendung von sektorspezifischen Personenidentifikatoren. Die mit der Verwendung von Einheitsidentifikato- ren verbundenen Risiken lassen sich so erheblich verringern, insbesondere unzulässige Verknüpfungen unter- schiedlicher Datenbanken bzw. Infor- mationssysteme. In diesem Sinne ist aus der in die Vernehmlassung gegebe- nen Vorlage auch abzuleiten, dass es weiterhin möglich sein wird, in Spe- zialgesetzen für gewisse Zwecke sek- toreigene Personenidentifikations- nummern anstelle der AHV-Nummer vorzuschreiben – wie beispielsweise für das elektronische Patientendossier. Eckwerte für eine Datenpolitik der Schweiz Der EDÖB konnte anlässlich der Ämter- konsultation zu den Eckwerten für eine Datenpolitik der Schweiz Stellung neh- men. Er befasst sich weiterhin mit datenpolitischen Teilbereichen. Im Rahmen der Ämterkonsultation wies der EDÖB darauf hin, dass die Datenschutzbestimmungen nicht nur bei Open Government Data (OGD), sondern auch in anderen aufgeführten Bereichen zu beachten seien. Zu nen- nen sind: Stammdatenverwaltung des Bundes, Daten von bundesnahen Betrieben und Forschungsanstalten, Dateninnovation im Statistikbereich sowie Innovation durch Daten im Bereich der Mobilität und der Gesund- heit. Bei anonymisierten Daten bestehe ausserdem immer das Risiko, dass je nach Menge der vorhandenen Daten Rückschlüsse auf die betroffe- nen Personen nicht ausgeschlossen werden könnten, weshalb der Daten- schutz auch hier zu berücksichtigen sei. Weiter hielt der EDÖB fest, dass er sich seit der Ämterkonsultation zum DSG für die Einführung eines Rechts auf Datenübertragbarkeit (Portabilität) einsetzt. Die Bemerkungen des EDÖB wurden aufgenommen. Zum Thema Digitalisierung und Datenpolitik laufen auf Bundesebene derzeit verschiedene Projekte, die vom BAKOM koordiniert werden. Der EDÖB nimmt an einzelnen aktiv teil, so beispielsweise bei einem Projekt betreffend Nutzung von Daten oder an der Unterarbeitsgruppe zum Thema Datenverfügbarkeit. Beirat WBF und UVEK zur Digitalen Transformation Der EDÖB nahm im März 2019 an der sechsten Sitzung des Beirats «Digitale Transformation» der Departemente W BF und UV EK teil. Ziel der Beirats- sitzungen ist es, konkrete Transforma- tionsprojekte und deren Nutzen für Wirtschaft und Bevölkerung aufzuzei- gen. Beim Projekt «Swiss Data Custo- dian» handelt es sich um ein Daten- treuhandsystem für Informationen, die nicht öffentlich zugänglich gemacht werden können. Der Betrei- ber des «Custodian» soll von verschie- denen Unternehmen – gegebenenfalls auch Behörden – personenbezogene und andere Rohdaten entgegenneh- men, diese einer Analyse durch künst- liche Intelligenz unterziehen und schliesslich die daraus gewonnenen, anonymisierten Erkenntnisse einer wertschöpfenden Verwertung zugäng- lich machen. Diskutiert wird derzeit eine Anwendung in den Bereichen Mobilität, Medizin und Humanitäres. Sowohl an den Vorbereitungssitzun- gen als auch an der Beiratssitzung nahm der EDÖB die Gelegenheit wahr, die datenschutzrechtlichen Rahmen- bedingungen und Vorgaben, die dabei zu berücksichtigen sind, darzulegen. Der EDÖB wird das Projekt weiterhin begleiten. Datenverknüpfungen im Bereich Statistik Mittels Verknüpfungen lassen sich aus statistischen Datenbeständen neue Erkenntnisse gewinnen. Verknüpfungen können das Risiko von Re-Identifikatio- nen massgeblich erhöhen. Um diesem zu begegnen, hat das BFS ein Verknüp- fungsreglement erlassen. Das Bundesamt für Statistik (BFS) verfügt über die gesetzlichen Grundla- gen für das Durchführen von sog. Ver- knüpfungen. Solche Datenverknüp- fungen aus verschiedenen Erhebungen sind ein valables Mittel im Bereich der Statistik, um aus Datenbeständen neue Erkenntnisse zu gewinnen, Ent- wicklungen über mehrere Jahre hin- weg zu beobachten oder um Progno- sen machen zu können. Dafür werden die einzelnen Datensätze in den ver- schiedenen Datenbeständen mit Iden- tifikationsnummern versehen und anschliessend ein Verknüpfungsiden- tifikator generiert. Verknüpfungen bergen das daten- schutzrechtliche Risiko von uner- wünschten Rückschlüssen auf bestimmbare Personen, also Re-Iden- tifikationen. Die Identifikationsnum- mern und Indentifikatoren müssen deshalb intern so verwaltet werden, dass solche Rückschlüsse ausgeschlos- sen bleiben und es zu keinem Miss- brauch kommen kann. Der EDÖB liess sich vom BFS über die laufenden und geplanten Verknüpfungsprojekte und die Massnahmen zur Wahrung der Persönlichkeitsrechte informieren. Der Austausch hat gezeigt, dass es sich um ein hochkomplexes Thema handelt, das der EDÖB weiter beobachten wird. Wir begrüssen, dass das BFS ein spezi- fisches Verknüpfungsreglement erlas- sen und publiziert hat.
schen Geschäftsverkehr neue Identifizierungspflichten geschaffen werden. Der Nationalrat hat den Zweckartikel des Gesetzes entsprechend angepasst.
sen und Dokumente hinsichtlich der Personendatenbe- arbeitung ausbauen. Eine betrieblich datenschutzverant- wortliche Person wurde in der Folge vom Unternehmen bestimmt.
2726 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 1.2 Justiz, Polizei, Sicherheit Polizeimassnahmen gegen Terrorismus Im Rahmen der zweiten Ämterkonsulta- tion zum Entwurf eines Bundesgeset- zes über polizeiliche Massnahmen zur Bekämpfung von Terrorismus (PMT) hat der EDÖB erneut zahlreiche Bemerkun- gen angebracht. Er erneuerte seine Forderung nach Ausarbeitung einer einheitlichen Polizeigesetzgebung auf Bundesebene. Überdies verlangt er für die Migrationsbehörden eine Ein- schränkung des Zugangs zu den Daten- banken der Polizei. Der EDÖB hat die grosse Anzahl an spezialgesetzlichen Erlassen und Nor- men zur Regelung der Polizeitätigkei- ten des Bundes erneut kritisiert. Hinzu kommt, dass die polizeilichen Daten auf unübersichtliche Weise in mehreren Datenbanken und einer wachsenden Zahl von Anwendungen bearbeitet werden. Der vorliegende Entwurf für ein Bundesgesetz über polizeiliche Massnahmen zur Bekämp- fung von Terrorismus (PMT) erschwert diese Situation noch zusätz- lich. Aus diesen Gründen forderte der EDÖB erneut die Ausarbeitung einer einheitlichen Polizeigesetzgebung auf Bundesebene, so wie sie auch auf Kan- tonsebene existiert. Er erinnerte auch an die Wichtigkeit einer klaren Tren- nung der Zuständigkeiten zwischen dem Nachrichtendienst des Bundes (NDB) und fedpol. Der EDÖB äusserte auch Zweifel am Nutzen von Bestimmungen, denen zufolge das Staatssekretariat für Migra- tion (SEM) auf die in Artikel 10, 11, 12 und 14 des Bundesgesetzes über die polizeilichen Informationssysteme des Bundes (BPI) erwähnten Informa- tionssysteme zugreifen kann. Die im Ausländer- und im Asylgesetz vorge- gebenen Rechtsgrundlagen betreffen ausschliesslich die Zusammenarbeit und die Koordination zwischen dem SEM und fedpol. Diese Bestimmungen bilden keine rechtlichen Grundlagen für einen ausdrücklichen Gesetzesauf- trag an das SEM bei der Aufklärung von terroristischen Handlungen oder bei der Terrorismusbekämpfung. Zudem betreffen diese Zugangsrechte gerichtspolizeiliche Daten und krimi- nalpolizeiliche Analysen. Diese Daten sind äusserst sensibel und teilweise auch ungesichert. Der Zugriff auf sol- che Daten durch die Migrationsbehör- den muss über die Amtshilfe und nicht über einen Online-Zugang erfolgen. Auf diese Weise könnte fedpol die Verbreitung dieser Daten auf das nötige Mass reduzieren. Schliesslich wies der EDÖB auch darauf hin, dass die Einsicht in das automatisierte Fahndungssystem des Bundes (RIPOL) nicht dem gesetzli- chen Auftrag der Tranzportpolizei entspricht, die Identität einer Person zu überprüfen oder eine Person zu identifizieren. RIPOL gibt nämlich an, ob eine Person zur Fahndung ausge- schrieben ist oder nicht. Ein Zugriff auf RIPOL erfordert sowohl die Ände- rung des Gesetzes über die polizeili- chen Informationssysteme des Bundes als auch eine Anpassung des Bundes- gesetzes über die Sicherheitsorgane der Transportunternehmen im öffent- lichen Verkehr. Beim Swiss-US Privacy Shield sind Verbesserungen angezeigt Im Herbst 2018 fand in Brüssel die Überprüfung des Privacy Shield Über- einkommens zwischen der EU und den USA und erstmals auch der Schweiz und den USA statt. Die US-Behörden haben in diversen Belangen Verbesse- rungen vorgenommen, die auch der Schweiz zugutekommen. Hingegen besteht beispielsweise noch Abstim- mungsbedarf bei HR-Daten. Dem EDÖB sind im Berichtsjahr zwei Fälle betreffend Unternehmen gemel- det worden, die sich fälschlicherweise als Swiss-US Privacy Shield zertifiziert ausgaben («false claims»). Beide konn- ten in Zusammenarbeit mit dem U.S. Department of Commerce (DoC) gelöst werden. (vgl. auch Ziff. 1.4 im Bericht des EDÖB zum 1. Swiss-US Privacy Shield Review, Seite 4). Zudem sind rund zehn berechtigte Beschwerden von Betroffenen aus der Schweiz bei unabhängigen Beschwer- destellen (Independent Recourse Mechanism, IRM) eingereicht worden. Betreffend den Ombudspersonmecha- nismus, der bei behördlichen Zugrif- fen auf Personendaten Abhilfe schaf- fen soll, ist bisher noch kein Fall beim EDÖB eingegangen. Der Schluss liegt nahe, dass die vom Swiss-US Privacy Shield zur Verfü- gung gestellten Rechtsinstrumente bislang noch wenig genutzt worden sind. Zu beachten ist allerdings, dass das Schweizer Übereinkommen erst seit April 2017 in Kraft ist, und dass vor einer offiziellen Beschwerde in der Regel zuerst das zertifizierte Unter- nehmen selbst angegangen wird. Es ist davon auszugehen, dass eine quantita- tiv schwer abschätzbare Anzahl von Datenschutzverletzungen bereits auf diesem Weg beseitigt werden konnte. Erstmalige Überprüfung durch den EDÖB Die Überprüfung des Privacy Shield betraf sowohl die gewerblichen Aspekte (z. B. Überwachung und Durchsetzung der Pflichten von zerti- fizierten Unternehmen) wie auch den behördlichen Zugriff zum Zwecke der nationalen Sicherheit auf Personenda- ten. Die Schweiz konnte am vorange- henden europäischen Review des EU-US Privacy Shield mit Beobachter- status teilnehmen. Themen, die sowohl den Swiss-US als auch den EU-US Privacy Shield betrafen, wur- den ausschliesslich am EU-US Review diskutiert. Die gewonnenen Erkennt- nisse konnten auch für die schweize- risch-amerikanische Absprache ver- wendet werden. Seit Inkraftsetzung des Swiss-US Privacy Shield konnten verschiedene Verbesserungen vorgenommen wer- den. Im Hinblick auf die gewerblichen Aspekte sucht das US-Handelsminis- terium beispielsweise verstärkt nach «false claims». Ausserdem überprüfen die US Behörden korrekt zertifizierte Unternehmen regelmässiger auf allfäl- lige Schwachstellen und überwachen bei der Zertifizierung strenger, dass keine Diskrepanzen zwischen den Angaben in deren Privacy Policies und dem tatsächlichen Stand des Registrie- rungsprozesses bestehen. Für das Schiedsverfahren, welches den betroffenen Personen nach Ausschöp- fung der anderen Rechtsbehelfe (IRM) an einem dem amerikanischen Recht unterworfenen Schiedsgericht zur Verfügung steht (vgl. 24. Tätigkeitsbe- richt 2016/17, Ziff.1.8.1), konnten bereits vor dem Review fünf zusätzli- che Schiedsrichter für die Schweiz ernannt werden. Diese ergänzen die Liste der EU. Im Hinblick auf den behördlichen Zugriff konnten im Vorfeld des Reviews Fortschritte erzielt werden. Der US-Senat bestätigte die Nominie- rungen des Vorsitzes sowie zweier Mitglieder der Stelle zur Überwachung des Schutzes der Privatsphäre und der bürgerlichen Freiheiten (Privacy and Civil Liberties Oversight Board, PCLOB), womit das nötige Quorum erreicht ist. Der PCLOB bestand im ersten Swiss-US-Privacy-Shield-Jahr aus nur einem Mitglied und war somit nicht beschlussfähig.
2928 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 Verbesserungspotenzial vorhanden In verschiedenen Bereichen teilt der EDÖB die Auffassung des Europäi- schen Datenschutzausschusses (EDSA), wonach weitere Verbesserun- gen angezeigt sind. Unter anderem wären substanziellere Überprüfungen der Compliance von zertifizierten Unternehmen durch die US-Behörden sinnvoll, so etwa der Zweck- und Ver- hältnismässigkeit bei Datentransfers an Dritte. Ferner muss eine Lösung betreffend die Auslegung des Begriffs «HR-Daten» durch die US-Behörden auf der einen Seite und dem EDÖB und Vertretern des EDSA auf der ande- ren Seite gefunden werden. HR-Daten geniessen einen erweiterten Schutz durch das Privacy-Shield-Überein- kommen. Nach Ansicht des EDÖB muss die Auslegung dieses Begriffs umfassender sein, als dies das DoC vorsieht. Hinsichtlich des behördlichen Zugriffs auf Personendaten soll unter anderem sichergestellt werden, dass eine Ombudsperson ernannt wird, die gegenüber US-Behörden, die im Rah- men der nationalen Sicherheit Zugriffe tätigen, über die nötige Kompetenz und Unabhängigkeit verfügt. Obschon im Review Schwachstel- len aufgezeigt wurden, konnte die Funktionsweise des Privacy Shields seit dessen Inkraftsetzung insgesamt verbessert werden. Bekanntgabe von Flugpassagierdaten in EU-Staaten Verschiedene EU-Staaten planen, von Flügen aus der Schweiz Flugpassagier- daten zu verlangen. Eine gesetzliche Grundlage fehlt jedoch. Diese soll nun auf Verordnungsstufe geschaffen werden. Im Frühjahr 2018 fand zwischen dem Bundesamt für Zivilluftfahrt (BAZL), dem Bundesamt für Justiz (BJ), dem Bundesamt für Polizei (fedpol) und dem EDÖB eine Sitzung zur Bekannt- gabe von Flugpassagierdaten (PNR- Daten) in Mitgliedstaaten der EU statt. Diese Sitzung fand auf Initiative des BAZL statt, da die Fluggesellschaften von verschiedenen EU-Staaten infor- miert worden waren, dass diese plan- ten, von Flügen aus der Schweiz die Lieferung von PNR-Daten zu verlan- gen – gestützt auf die EU-PNR-Richtli- nie vom 27. April 2016 (Richtlinie (EU) 2016/681; EU-PNR-Richtlinie) zur Verhütung, Aufdeckung, Ermitt- lung und Verfolgung von terroristi- schen Straftaten und schwerer Krimi- nalität. Die EU-PNR-Richtlinie wurde jedoch von der EU als nicht Schen- gen-relevant erklärt und muss somit von der Schweiz nicht automatisch übernommen werden. Der EDÖB wies darauf hin, dass die Bekanntgabe von PNR-Daten durch Fluggesellschaften in Form eines Abkommens auf einer gesetzlichen Grundlage beruhen müsse. Während sich die anderen beteiligten Bundes- ämter klar zugunsten einer vorausset- zungslosen Datenbekanntgabe geäus- sert hatten, hielt der EDÖB daran fest, dass eine Datenbekanntgabe durch Fluggesellschaften an Mitgliedstaaten in Umsetzung der EU-PNR-Richtlinie nur erfolgen dürfe, wenn bestimmte Punkte erfüllt sind. Die Schweiz müsse so rasch als möglich versuchen, eine Assoziierung an die EU-PNR- Richt linie zu verhandeln und zu erhal- ten. In diesem Sinn plante das fedpol ursprünglich, dem Bundesrat noch im Herbst 2018 eine entsprechende Vor- lage inklusive Verhandlungsmandat mit der EU vorzulegen. Allerdings wurde dieses Projekt bis auf Weiteres aufgeschoben. Als der EDÖB von die- sem Aufschub erfuhr, wies er die betroffenen Bundesämter darauf hin, dass so rasch als möglich eine alterna- tive Rechtsgrundlage geschaffen wer- den müsse. Dem EDÖB wurde in Aus- sicht gestellt, die gesetzliche Grund- lage für die Lieferung von PNR-Daten an Staaten, welche diese gestützt auf die EU-PNR-Richtlinie verlangen würden, mit einer Revision der Luft- fahrtverordnung (LFV) zu schaffen und vorzusehen, so dass eine Datenlie- ferung nur an Staaten erfolgen darf, die ein angemessenes Datenschutzniveau aufweisen. Der EDÖB wird die Gesetzgebungsarbeiten beratend begleiten. Swiss-Buchungssystem – Massnahmen gegen Daten- missbrauch gefordert Die Swiss International Air Lines trifft verschiedene zusätzliche Massnahmen zur Verhinderung allfälliger Missbräu- che bei der Abrufung der Buchung über ihre Internetseite. Der EDÖB wurde darauf hingewiesen, dass es auf der Internetseite der Swiss möglich sei, mit der Eingabe von Nachname, Vorname und Buchungs- nummer beim Log-in verschiedene persönliche Daten (Vorname, Nach- name, Geburtsdatum, Geschlecht, Nationalität, Wohnsitz, Nummer und Gültigkeitsdauer von Pass resp. Identi- tätskarte) abzurufen. Dabei sei es sehr einfach, Nachname, Vorname und Buchungsnummer von anderen Passa- gieren auf Bordkarten herauszufinden, die von diesen nach einem Flug liegen gelassen, weggeworfen oder in sozia- len Medien publiziert wurden. Diese Informationen könnten auch aus dem Strichcode auf der Bordkarte mit einer einfachen Barcode-Lese-App heraus- gelesen werden. Mit diesem Log-in können auch sämtliche Buchungen der betroffenen Passagiere eingesehen und teilweise Daten geändert werden. Weil der Inhalt des Boarding Passes inkl. QR-Code bestimmten interna- tionalen Standards entsprechen muss, kann dieser von einzelnen Fluggesell- schaften nicht ohne Weiteres geändert werden. Dennoch müssen und können die Fluggesellschaften die notwendigen Massnahmen treffen um sicherzustellen, dass die Passagierdaten im Buchungssystem vor allfäl- ligen missbräuchlichen Bearbeitungen angemessen geschützt sind. Im Austausch zwischen der Swiss und dem EDÖB wurde festgelegt, welche zusätzlichen Massnahmen zur Verhin- derung allfälliger Missbräuche getrof- fen werden müssen. Die Swiss hat ihre allgemeinen Beförderungsbestim- mungen (ABB) angepasst, um ihre Kunden besser auf die Schutzwürdig- keit der auf dem Boarding Pass ersicht- lichen bzw. gespeicherten Personen- daten hinzuweisen. Weiter erhalten die Kunden nach dem automatischen Check-in per E-Mail einen entspre- chenden Warnhinweis. Erfolgt das Check-in online wird zudem angezeigt, an welche Adresse (Mail, Mobiltele- fonnummer) die Nachricht geschickt wird. Dies um kontrollieren zu kön- nen, dass die Bordkarte an die richtige resp. gewünschte Adresse geschickt wird. Weiter soll die Passnummer, die in bestimmten Fällen beim Buchungs- aufruf ersichtlich ist, teilweise unkenntlich gemacht werden. Der EDÖB hatte weiter vorgeschlagen, für die Aufrufung von Buchungen, die nicht über ein Reisebüro oder einen anderen Dritten, sondern direkt über die Internetseite der Fluggesellschaft erfolgen, nebst Name und Buchungs- referenz die Eingabe eines Zusatzele- ments, wie beispielsweise Handy- nummer oder E-Mail-Adresse, vorzu- sehen. Dieser Punkt war zum Ende des Berichtsjahres noch offen. Rund 2900 US-Unternehmen zertifiziert Das Swiss-US Privacy Shield ist seit 2017 in Kraft. Der Privacy Shield erlaubt es US-Unternehmen, Personendaten aus der Schweiz ohne weitere Datenschutzklau- seln zu bearbeiten. Die Firmen können sich beim US-Handelsministerium für das Programm zertifizieren lassen und verpflichten sich damit, einem nach Schweizer Recht angemessenen Datenschutzniveau zu entsprechen. Betroffenen stehen Mechanismen zur Verfügung, mithilfe derer sie sich gegen Datenschutzverletzun- gen wehren können. Bis im Februar 2019 haben sich 2883 US-Unternehmen unter dem Swiss-US Privacy Shield zertifiziert, darunter Facebook, Microsoft (mit 27 Tochtergesellschaf- ten) und Google. Zertifizierte Unternehmen können weitgehend wählen, ob sie sich zur Ein- haltung des Independent Recourse Mechanism (IRM) den ADR (Alternative Dispute Resolution body) oder aber dem EDÖB unterstellen (vgl. Leitfaden zum Privacy Shield). Eine alljährliche Überprüfung der Funktionsweise dieses Übereinkommens findet durch das SECO (Federführung) und den EDÖB, zusammen mit den US-Aufsichts- behörden statt.
gen eingeführt: • genetische und biometrische Daten, die eine Person ein- deutig identifizieren, werden neu explizit als besonders schützenswerte Personendaten aufgeführt; • der Begriff des Profilings tritt in Anlehnung an das euro- päische Recht neu an die Stelle des Persönlichkeitsprofils. Mit Profiling ist jede Art der automatisierten Bearbeitung von Personendaten zu verstehen, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönli- che Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten. Dies dient namentlich dazu, Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesund- heit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natür- lichen Person zu analysieren oder vorherzusagen; • Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen («privacy by design and default») sind als Grundsätze verankert. Um die Einhaltung der Daten- schutzvorschriften nachweisen zu können, muss das Bundesorgan die nötigen internen Vorkehrungen treffen und Massnahmen ergreifen, die diesen beiden Grundsät- zen gerecht werden; • die automatisierte Einzelentscheidung wird ausdrücklich geregelt. Eine solche Entscheidung liegt vor, wenn die inhaltliche Bewertung von Daten und die darauf gestützte Entscheidung nicht durch eine natürliche Per- son vorgenommen wird – wenn also die Maschine ent- scheidet und nicht der Mensch; • wenn die vorgesehene Datenbearbeitung ein hohes Risiko für die Grundrechte der betroffenen Personen mit sich bringen kann, müssen Bundesorgane Datenschutz-Folgenab- schätzungen durchführen und dazu unter Umständen den EDÖB konsultieren; • hat das Bundesorgan eine Datenschutz-Folgenabschät- zung vorgenommen, so müssen die Ergebnisse bei der Entwicklung der Massnahmen berücksichtigt werden; • Bundesorgane müssen dem EDÖB Datenschutzverlet- zungen melden; • der EDÖB kann neu als Verwaltungsmassnahme Verfü- gungen erlassen.
plan erstellen und diesen der Kommission und dem Rat vorlegen. Die nächste Evaluierung ist für 2023 vorge- sehen.
3534 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 Automatische Fahrzeug- fahndung und Verkehrsüber- wachung Die Polizei- und Zollbehörden dürfen die neuen Module und Funktionen des Systems zur automatischen Fahrzeug- fahndung und Verkehrsüberwachung nutzen, wenn eine ausreichende Rechtsgrundlage dies vorsieht. Die Systeme zur automatischen Fahr- zeugfahndung und Verkehrsüberwa- chung (AFV) werden von der Eidge- nössischen Zollverwaltung (EZV) und den Kantonspolizeikorps seit über zehn Jahren genutzt. Die Schweizeri- sche polizeitechnische Kommission sieht einen Ersatz der Software (AFV Redesign) sowie die Einführung neuer Module und neuer Funktionalitäten vor. Der EDÖB und Privatim haben die Anforderungen und rechtlichen Grundlagen in einer Ad-hoc-Arbeits- gruppe überprüft. Die AFV-Nutzer dürfen die neuen Module und Funk- tionalitäten nur verwenden, wenn dies in einer gesetzlichen Grundlage vorge- sehen ist. Auch ist das Verhältnismässigkeits- prinzip einzuhalten. Diese Analyse beruht auf der Anzahl Kameras, deren Standort, der Verwendung der Daten, der Nutzungsart der Fahn- dungsdaten, der Bekannt- gabe der Daten, usw. In den Kantonen erfolgt die Überprüfung im Allgemei- nen anlässlich einer vorherigen Kon- sultation der Datenschutzbehörde. Beim Bund wird die Einhaltung des Verhältnismässigkeitsprinzips im Rah- men der Ämterkonsultation zu einer Gesetzesvorlage überprüft. 1.3 Steuer- und Finanzwesen Bekanntgabe von Personen- daten an ausländische Steuerbehörden Die Umsetzung der neuen Standards zur weltweiten Bekämpfung von Steu- erbetrug und Steuerhinterziehung sind weit fortgeschritten. Als problematisch erweist sich dabei das ungenügende Datenschutzniveau einiger Staaten. Im Berichtsjahr haben wir zu verschiede- nen Vorlagen aus der Sicht des Daten- schutzes Stellung genommen. a) Automatischer Informations- austausch über Finanzkonten (AIA) Der globale Standard über den auto- matischen Informationsaustausch über Finanzkonten (AIA) ist in der Schweiz seit dem 1. Januar 2017 in Kraft. Er zielt darauf ab, die Steuer- transparenz zu erhöhen und damit die grenzüberschreitende Steuerhinterzie- hung zu vermeiden. Bisher haben sich mehr als 100 Länder zur Übernahme dieses Standards bekannt, darunter auch die Schweiz. Nun will der Bun- desrat das Schweizer AIA-Netzwerk mit derzeit 18 zusätzlichen Partner- staaten ausweiten, mit denen der AIA ab 2020/2021 umgesetzt werden soll. (Weitere Informationen dazu sind auf der Website des EFD verfügbar.) Wie bei den vorausgegangenen Ämter- konsultationen wies der EDÖB auch im aktuellen Berichtsjahr im Zusam- menhang mit der Einführung des AIA mit weiteren Staaten auf das Erforder- nis der Gewährleistung eines ange- messenen Datenschutzniveaus im jeweiligen Partnerstaat hin. Unsere Staatenliste enthält hierzu eine Beur- teilung für jedes einzelne Land. Anlässlich einer Anfang November 2018 durchgeführten Ämterkonsulta- tion betreffend die Einführung des AIA mit weiteren Partnerstaaten ab 2020/21 merkten wir an, dass sämtli- che vorgeschlagenen Partnerstaaten, mit denen der AIA in reziproker Weise durchgeführt werden soll (darunter Albanien, Aserbaidschan, Brunei Dar- ussalam etc.) über kein angemessenes Datenschutzniveau (vgl. Art. 6 Abs. 1 DSG) verfügen und ein genügender Datenschutz folglich durch zurei- chende Datenschutzgarantien (vgl. Art. 6 Abs. 2 DSG) sichergestellt sein muss. Der Bundesrat berief sich in diesem Zusammenhang auf die basie- rend auf dem Multilateral Competent Authority Agreement (MCA A) ergan- gene, von der Schweiz am 4. Mai 2017 übermittelte Mitteilung an das Koordi- nationsgremium, in der datenschutz- rechtliche Garantien festgelegt sind, welche auch für die Steuerpflichtigen in den Partnerstaaten gelten müssen. Diese Mitteilung stellt nach Ansicht des EDÖB jedoch keine ausreichende Garantie nach Art. 6 Abs. 2 DSG dar (vgl. 24. und 25. Tätigkeitsbericht, jeweils Kapitel 1.9.1 a). Daher ist die geplante Erweiterung datenschutz- rechtlich problematisch. b) Austausch länderbezogener Berichte multinationaler Konzerne (ALBA) Auch in diesem Berichtsjahr äusserte sich der EDÖB im Rahmen einer Ämterkonsultation zur Länderliste für die Aktivierung des Austauschs der länderbezogenen Berichte (vgl. 24. und 25. Tätigkeitsbericht, Kapitel 1.9.1). Dabei wies er darauf hin, dass die jüngst vorgesehene Erweiterung auf acht weitere Staaten und Territo- rien (darunter etwa die Vereinigten Arabischen Emirate, Serbien oder Sambia) solche betrifft, die auf der Staatenliste des EDÖB mit einem ungenügenden Datenschutzniveau aufgeführt sind. Der EDÖB hielt des- halb erneut fest, dass mit Blick auf solche Länder zusätzliche Garantien nach Art. 6 Abs. 2 DSG notwendig sind, um ein angemessenes Daten- schutzniveau zu gewährleisten.
3736 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 c) Lockerung der internationalen Amtshilfe in Steuersachen bei gestohlenen Daten Im Berichtsjahr befasste sich der EDÖB im Rahmen einer Ämterkon- sultation erneut mit Art. 7 lit. c des Steueramtshilfegesetzes (StAhiG), welcher den Informationsaustausch auf Ersuchen eines ausländischen Staats betrifft und regelt, in welchen Fällen auf ein solches Ersuchen nicht eingetreten wird. Nach geltendem Recht wird auf ein Ersuchen nament- lich dann nicht eingetreten, «wenn es den Grundsatz von Treu und Glauben verletzt, insbesondere wenn es auf Informationen beruht, die durch Handlungen erlangt wurden, die nach schweizerischem Recht strafbar sind». In der Vergangenheit hatte der EDÖB dazu festgehalten, dass es seiner Mei- nung nach keine Rolle spielt, ob der ersuchende Staat solche Informatio- nen passiv (etwa durch spontane Amtshilfe) oder aktiv erlangt hat; in beiden Fällen handelt der Staat, wel- cher die ihm angebotenen gestohlenen Daten annimmt, rechtswidrig (vgl. Kapitel 1.9.3 unseres 23. Tätigkeits- berichts 2015/16). Diese Sichtweise deckt sich mit der bislang herrschenden Praxis, die vom «Global Forum on Transparency and Exchange of Information for Tax Pur- poses» jedoch als zu restriktiv kriti- siert worden ist. Ein inzwischen ergangener Bundesgerichtsentscheid (Urteil 2C_648/2017 vom 17. Juli 2018) hält fest, dass grundsätzlich auch auf Ersuchen eingetreten werden darf, die sich auf Daten deliktischen Ursprungs stützen, solange der ersu- chende Staat sie nicht mit der Absicht gekauft hat, sie danach für ein Amts- hilfeersuchen zu verwenden. Art. 7 lit. c StAhiG soll neu deshalb nur noch statuieren, dass auf ein Ersuchen nicht eingetreten wird, wenn es den Grund- satz von Treu und Glauben verletzt. In Anbetracht des zu respektierenden Bundesgerichtsurteils hat der EDÖB darauf verzichtet, Einwände zu erheben. Beschwerde gegen das EFD im ESTV-Fall noch hängig Die vom EDÖB Ende 2017 erlassene Empfehlung betreffend Information der im Rahmen von internationalen Steuer- amtshilfeverfahren offen übermittelten Namen wurde vom Eidg. Finanzdeparte- ment (EFD) nicht gestützt. Der EDÖB hat gegen die ablehnende Verfügung des EFD Beschwerde beim Bundesver- waltungsgericht eingereicht. Ende Dezember 2017 erliessen wir eine formelle Empfehlung, wonach die Eidgenössische Steuerverwaltung (EST V) in der internationalen Steuer- amtshilfe auch die vom Amtshilfeer- suchen nicht formell betroffenen Per- sonen, deren Namen offen, d.h. unge- schwärzt an die ersuchende ausländi- sche Behörde übermittelt werden sollen, vorgängig zu informieren hat (vgl. Kapitel 1.9.2 des 25. Tätigkeitsbe- richts 2017/2018). Die EST V lehnte diese Empfehlung ab, worauf der EDÖB von der gesetzlich vorgesehe- nen Möglichkeit Gebrauch machte, die Angelegenheit dem zuständigen Departement vorzulegen. Das Eidg. Finanzdepartement (EFD) stützte in seinem Entscheid vom 20. September 2018 die Haltung der EST V, wonach die vom EDÖB empfohlene Information von Dritt- personen, deren Namen im Amtshilfe- verfahren offen übermittelt werden sollen, einen zu grossen Aufwand verursachen und damit eine wirksame Amtshilfe verunmöglichen würde. Den Rechten der Betroffenen würde bereits dadurch Rechnung getragen, dass nur das notwendige Minimum an Daten übermittelt werde. Es lehnte folglich den Antrag des EDÖB ab. Information der Drittpersonen mit vertretbarem Aufwand möglich Der EDÖB vertritt nach wie vor die Ansicht, dass Drittpersonen die Mög- lichkeit haben müssen, die Gerichte beurteilen zu lassen, ob im konkreten Einzelfall eine offene Übermittlung ihres Namens zulässig ist. Nur so kann sichergestellt werden, dass deren ver- fassungsmässigen Rechte gewahrt werden. Um die notwendigen rechtli- chen Schritte einleiten zu können, müssen die betroffenen Personen von der geplanten Übermittlung in Kennt- nis gesetzt werden. Zudem geht der EDÖB davon aus, dass der Aufwand für die Informa- tion durch geeignete tech- nische und organisatori- sche Massnahmen in einem vertretbaren Rahmen gehalten werden kann und damit eine wirk- same Amtshilfe nicht verhinderte würde. Er hat daher am 5. Oktober 2018 gegen die Verfügung des EFD Beschwerde bei Bundesverwaltungs- gericht eingereicht. Der Fall war dort zum Ende des Berichtsjahrs noch hängig. Empfehlung an Zentralstelle für Kreditinformation (ZEK) erlassen Kreditgesuche, die aus Gründen abge- lehnt worden sind, die nichts mit der Kreditwürdigkeit oder Kreditfähigkeit des Gesuchstellers zu tun haben, sind unmittelbar nach der Ablehnung aus der Datenbank zu löschen. Der EDÖB hat gegenüber der Zentralstelle für Kreditinformation eine entsprechende Empfehlung erlassen. Die Zentralstelle für Kreditinforma- tion (ZEK) sammelt Bonitätsinforma- tionen aus Kreditgeschäften natürli- cher und juristischer Personen und stellt diese ihren Mitgliedern, insbe- sondere Banken, gegen Entgelt zur Verfügung. Im vorigen Berichtsjahr haben wir bei der ZEK eine Sachver- haltsabklärung eingeleitet (vgl. Kapitel 1.8.12 des 25. Tätigkeitsberichts 2016/17). Aufgrund der eingegange- nen Meldungen der Bürger und von Medienberichten verortete der EDÖB mögliche Mängel hinsichtlich der Datenschutzkonformität bei der Bear- beitung von Auskunftsgesuchen, bei der Berichtigung und Löschung von Daten, bei den Massnahmen zur Ver- hinderung zweckfremder Abfragen sowie bei der technischen und organi- satorischen Trennung der Datenbe- stände der ZEK von denjenigen der Informationsstelle für Konsumkredit (IKO). Diese hat mit der ZEK einen Nutzungsvertrag für deren Informa- tionssystem abgeschlossen. Im Rahmen unserer Abklärungen hat sich jedoch gezeigt, dass die ZEK in den untersuchten Bereichen daten- schutzkonform handelt. Auskunfts-, Berichtigungs- und Löschbegehren werden korrekt bearbeitet, die Mass- nahmen zur Verhinderung zweck- fremder Anfragen entsprechen den gestellten Anforderungen und die Datenbestände von ZEK und IKO sind sowohl technisch als auch organisato- risch ausreichend getrennt. Empfehlung betreffend nicht zweckgemässer Datenspeicherung Einzig im Bereich der Ablehnung von Kreditgesuchen und Kartenanträgen hat der EDÖB eine Empfehlung erlas- sen. Er stellte fest, dass Kreditgesuche und Kartenanträge, welche aus Grün- den abgelehnt worden sind, die nichts mit der Kreditwürdigkeit oder Kredit- fähigkeit des Gesuchstellers zu tun haben (z. B. Ausschöpfung des Kredit- kontingents für einen bestimmten Zeitraum), in der Datenbank der ZEK auch nach Ablehnung des Kreditgesu- ches gespeichert bleiben, obwohl diese Information für die Beurteilung der Kreditvergabe und damit für den mit der Datenbank verfolgten Zweck unerheblich ist. Der EDÖB hat daher empfohlen, dass solche Einträge unmittelbar nach der Ablehnung aus der ZEK- Datenbank zu löschen sind. Die ZEK hat die Empfehlung des EDÖB akzeptiert und wird die ent- sprechenden Änderungen in ihrem Reglement und in der Datenbank vor- nehmen. Dementsprechend konnte der EDÖB das Verfahren ohne weitere Massnahmen abschliessen.
3938 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 1.4 Handel und Wirtschaft Datendiebstahl bei Swisscom ohne formelle Massnahmen abgeschlossen Die Swisscom hatte den EDÖB Ende 2017 über einen Datendiebstahl in Kenntnis gesetzt. Betroffen waren vorwiegend private Inhaber von Mobil- nummern. Der EDÖB konnte das bei der Swisscom durchgeführte Verfahren zur Prüfung möglicher Risiken von Folge- schäden aufgrund des gemeldeten Datendiebstahls ohne formelle Empfeh- lungen abschliessen. Ende Dezember 2017 hatte die Swiss- com den EDÖB darüber ins Bild gesetzt, dass im Herbst unberechtigte Zugriffe auf die Kontaktdaten von rund 800 000 Kundinnen und Kunden erfolgt sind. Betroffen waren vorwie- gend private Inhaber von Mobilnum- mern und einige Festnetzkunden. Kurz darauf wurde dem EDÖB ein Ereignis eines angeblich unberechtig- ten Zugriffs auf Daten eines Kunden der Swisscom gemeldet. Ein Kausalzu- sammenhang mit dem gemeldeten Datendiebstahl bestand jedoch nicht (vgl. 25. Tätigkeitsbericht 2017/2018, Kapitel 1.3.1). Nach Meldung eines jedoch möglicherweise mit dem Anfang Februar 2018 publik geworde- nen Datendiebstahls bei der Swisscom zusammenhängenden missbräuchli- chen Zugriffs auf Kundendaten hat der EDÖB ein Verfahren eröffnet und bei der Swisscom Informationen im Zusammenhang mit dem Risiko allfäl- liger Folgeschäden einverlangt (vgl. Kapitel 1.3.2 im 25. Tätigkeitsbericht 2017/2018). Die Swisscom hat dar- aufhin eine Dokumentation über die bei ihr gemeldeten Verdachtsfälle sowie die jeweils getroffenen Mass- nahmen eingereicht. In den behandel- ten Fällen stand jeweils der Verdacht im Raum, dass mit Hilfe der gestohle- nen Daten ein unrechtmässiger Zugriff auf weitere Kundendaten ermöglicht worden sei. Der EDÖB hat gestützt auf diese Dokumentation untersucht, ob die durch die Swisscom in Zusammen- hang mit dem Datendiebstahl getroffe- nen Massnahmen die betroffenen Per- sonen genügend schützen oder ob sich durch die gemeldeten Verdachtsfälle zeigt, dass weitergehende Massnah- men notwendig sind. Auch nach vertieften Abklärungen konnte bei keinem der untersuchten Fälle ein Zusammenhang mit dem fraglichen Datenleck festgestellt wer- den. Die Vorfälle konnten allesamt auf technische Fehler oder auf Fehlmanipulationen zurückgeführt werden. Nachdem die Swisscom Massnahmen zur Fehlerbe- hebung sowie zur Verhinderung künftiger vergleichbarer Vorfälle getroffen hat, konnte der EDÖB das Verfahren ohne formelle Massnahmen abschliessen. Nach der Publikation des Daten- lecks durch die Swisscom ist beim EDÖB – gestützt auf das Öffentlich- keitsgesetz – ein Zugangsgesuch zu den betreffenden Dokumenten einge- gangen. Der EDÖB hat nach Anhö- rung der Swisscom entschieden, dass der Zugang, mit Ausnahme der in den Dokumenten enthaltenen Personen- daten, gewährt werden soll und eine entsprechende Verfügung erlassen. Gegen diese Verfügung hat die Swiss- com Beschwerde beim Bundesverwal- tungsgericht eingereicht. Der Fall war zum Ende des Berichtjahres noch hängig. Datendiebstahl bei EOS – unnötig gespeicherte Patientendaten EOS hat das von einem Datendiebstahl betroffene System durch ein neues ersetzt. Der EDÖB konnte das Verfahren zur Sachverhaltsabklärung damit abschliessen. Der EDÖB hat Ende Dezember 2017 bei der Inkassofirma EOS Schweiz eine Sachverhaltsabklärung eröffnet, um die datenschutzrechtlichen Aspekte des auch in den Medien publik gewor- denen mutmasslichen Datendiebstahls zu klären, von dem insbesondere die Patienten von Schweizer Ärzten und Zahnärzten betroffen seien (vgl. Kap. 1.8.2 im 25. Tätigkeitsbericht 17/18). Obschon die konkreten Umstände des mutmasslichen Datendiebstahls bisher nicht abschliessend geklärt wer- den konnten, haben die Abklärungen des EDÖB insbesondere ergeben, dass auf den Servern der EOS deutlich mehr Patientendaten gespeichert wur- den, als für die Rechnungsstellung oder das Inkasso nötig gewesen wäre. Zudem wurden dabei Löschfristen missachtet. Dies führt zu einem unver- hältnismässig grossen Datenbestand. EOS ist im Rahmen eigener Ab- klärungen zu demselben Schluss gelangt, hat das betreffende System unterdessen durch ein neues ersetzt und dabei die festgestellten Mängel behoben. Der EDÖB konnte daher dar- auf verzichten, Massnahmen zu ergrei- fen und hat das Verfahren ohne formelle Empfehlun- gen abgeschlossen. Er erin- nert daran, dass Medizinal- personen für die Rechnungs- stellung oder das Inkasso nur diejenigen Patientendaten weitergeben dürfen, die dazu auch tatsächlich erforderlich sind.
4140 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 Verwendung der Daten von ricardo.ch in der Tamedia-Gruppe Die Auktionsplattform ricardo.ch teilt die Daten ihrer Nutzer in der Tame- dia-Gruppe zum Zwecke der Sicherheit und der gezielten Werbung. Nach der Eröffnung unseres formellen Verfah- rens hat ricardo.ch seine Datenschutz- erklärung im Mai 2018 angepasst. Wir beurteilen die Sachlage auf dieser Basis neu. Im Juli 2017 informierte die Online-Auktionsplattform ricardo.ch ihre Nutzer über die Änderung ihrer Datenschutzerklärung, die derjenigen der anderen Tochtergesellschaften der Tamedia-Gruppe – der ricardo.ch angehört – angepasst wurde. Die neuen Nutzungsbedingungen sollen insbesondere einen Datenaustausch innerhalb der Gruppe ermöglichen, um gezielte Werbung zu betreiben, aber auch, um etwaige Missbräuche zu verhindern. Ohne Reaktion seitens der Nutzer von ricardo.ch galt die neue Datenschutzerklärung und damit auch die Bekanntgabe der Nutzerdaten an Tamedia und ihre Tochtergesellschaf- ten als akzeptiert. Wenn jemand Ein- spruch erhob, wurde das Konto auto- matisch gesperrt oder sus- pendiert. Da wir bezüglich der Gültigkeit der Einwilli- gung der betroffenen Perso- nen Zweifel hatten, eröffne- ten wir ein formelles Verfahren, um zu prüfen, ob die gesetzlichen Anforde- rungen in dieser Hinsicht erfüllt waren (vgl. Kapitel 1.8.8 unseres 25. Tätig- keitsberichts 2017/18). Inzwischen hat Ricardo seine Daten- schutzerklärung gleichzeitig mit der Inkraftsetzung der europäischen Datenschutz-Grundverordnung (DSGVO) ab dem 25. Mai 2018 geän- dert. Die Nutzer von Ricardo können sich nunmehr der gemeinsamen Datennutzung mit der Tamedia- Gruppe widersetzen, wenn sie dies ausdrücklich beantragen. Es wird also davon ausgegangen, dass die Nutzer der Datenbearbeitung zum Zweck der zielgruppenspezifischen Werbung zwar zustimmen, aber die Möglichkeit haben, ihre Zustimmung nachträglich zu widerrufen. Wir haben die neuen Bedingungen analysiert, wozu einige Abklärungen erforderlich waren. Wir bewerten nun die Sachlage auf dieser neuen Basis. Insbesondere prüfen wir, ob die Nutzer von ricardo. ch ausreichend informiert werden und ob die Mög- lichkeit, dem Profiling und der Datenanreiche- rung für gezielte Werbezwecke nach- träglich zu widersprechen (Opt-out), ausreicht. Das DSG verlangt nämlich, dass die Einwilligung – wenn kein anderer Rechtfertigungsgrund vorliegt – bei der Bearbeitung besonders schüt- zenswerter Daten oder Persönlich- keitsprofilen ausdrücklich erfolgen muss. Zum Zeitpunkt des Abschlusses dieses Tätigkeitsberichts war die rechtliche Prüfung noch im Gang. Sachverhaltsabklärung bei Smart-TV-Hersteller abgeschlossen Ein bei einem Hersteller von Smart-TV-Geräten durchgeführtes Verfahren zur Klärung der Daten- schutzkonformität bei der Bearbeitung von Nutzerdaten konnte ohne formelle Massnahmen abgeschlossen werden. Der EDÖB hat bei einem Hersteller von Smart-T V-Geräten eine Sachver- haltsabklärung durchgeführt um zu klären, welche Daten dort über die T V-Nutzer bearbeitet werden, wie die Nutzer darüber informiert werden und ob diese Datenbearbeitungen freiwillig erfolgen (vgl. Kapitel 1.3.1 des 25. Tätigkeitsberichts 2017/2017). Eine vertiefte Analyse der eingereichten Dokumentation ergab, dass der Her- steller die bei ihm anfallenden Nutzer- daten datenschutzkonform bearbeitet. Der Gerätehersteller bearbeitet die Nutzerdaten nur dann personenbezo- gen, wenn dies technisch notwendig oder vom Nutzer aufgrund bestimmter Zusatzfunktionen gewünscht wird. Die übrigen Datenbearbeitungen erfolgen ohne Personenbezug, z. B. zu statistischen Zwecken. Die Gerätenutzer werden über mögli- che Datenübermittlungen an den Her- steller und deren Bearbeitung infor- miert. Sie können eine sol- che vollständig unterbinden und die Geräte als her- kömmliche Fernseher, d.h. ohne Smart-T V-Funktionen, nutzen. Werden die Smart-T V-Funk- tionen genutzt, ist die Bearbeitung bestimmter Daten technisch notwen- dig und kann in dem Umfang vom Nutzer nicht eingeschränkt oder unterbunden werden. Diejenigen Datenbearbeitungen, die dem Komfort oder gewissen Zusatzfunktionen die- nen, kann der Nutzer dagegen deakti- vieren. Nachdem der EDÖB keine daten- schutzwidrigen Datenbearbeitungen durch den Gerätehersteller feststellen konnte, hat er das Verfahren ohne formelle Massnahmen abgeschlossen. Decathlon – verbesserte Information bei Daten- beschaffung nötig Der Sportwarenhändler Decathlon machte in seinen Schweizer Filialen den Warenverkauf von der Angabe von Kundendaten abhängig. Der EDÖB eröffnete deshalb eine Sachverhalts- abklärung. Das umstrittene Vorgehen hat der Sportwarenhändler daraufhin geändert. Im Berichtsjahr eröffneten wir beim Sportwarenhändler Decathlon eine Sachverhaltsabklärung, nachdem wir aufgrund von Zeitungsberichten sowie Meldungen von Bürgern und Konsumentenschutzorganisationen vernommen hatten, dass dieser in seinen Schweizer Filialen den Waren- verkauf von der Angabe gewisser Kun- dendaten abhängig mache. Nach der Eröffnung des Verfahrens teilte Decathlon dem EDÖB mit, dass die Kundinnen und Kunden ihre E-Mail-Adresse oder Telefonnummer angeben müssten, um Waren vor Ort kaufen zu können. Die Unternehmung werde fortan aber darauf verzichten, den Warenverkauf von der Angabe dieser Daten abhängig zu machen und diese Daten nur noch auf freiwilliger Basis erheben. Da der primäre Anlass für die Sachverhaltsabklärung damit dahingefallen war, konzentrierte der EDÖB seine weiteren Abklärungen auf die Frage, ob diese Freiwilligkeit für die Kunden auch tatsächlich erkennbar ist. Die Abklärungen des EDÖB hatten ergeben, dass die Informationen von Decathlon dazu uneinheitlich und teilweise zu wenig klar formuliert sind, so dass der Eindruck entstehen kann, die ursprünglich obligatorischen Angaben seien noch immer zwingend für einen Warenkauf. Er unterbreitete dem Sportwarenhändler Decathlon daher Vor- schläge für eine Verbesse- rung der Information.
4342 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 1.5 Gesundheit Statistikprojekt mit Einzeldatensätzen der Versicherer (BAGSAN) Das Bundesamt für Gesundheit betreibt das Statistikprojekt BAGSAN mit anony- misierten Individualdatensätzen der Versicherer. Der EDÖB begleitet das Projekt, das auch die Politik bewegt. Der EDÖB begleitet das Statistikpro- jekt BAGSAN des Bundesamtes für Gesundheit (BAG) seit dem Jahr 2016 (s. 23. Tätigkeitsbericht, Kapitel 1.6.4). Wir haben mit den Projektverantwort- lichen die Massnahmen zur Verhinde- rung von unberechtigten internen Zugriffen diskutiert. Dass die Zugriffe mittels Logs dokumentiert werden, ist eine Selbstverständlichkeit; automati- sierte Alerts wären wünschenswert, z. B. wenn eine auffällig hohe Anzahl von Zugriffen durch einen Mitarbeiter erfolgt. Aus Gründen des Persönlich- keitsschutzes der Mitarbeitenden wird nun eine Lösung mit pseudonymisier- ten Benutzerdaten implementiert wer- den. Bei einem konkreten Verdacht auf einen Missbrauch könnte sodann eine namentliche Auswertung durchge- führt werden. Das Projekt BAGSAN wird auch auf politischer Ebene weiter diskutiert. Eine parlamentarische Initiative von Ständerat Joachim Eder hat zum Ziel, dass das BAG im Sinne des Daten- schutzes nur noch gruppierte Daten von den Versicherern erhält, die kei- nen Rückschluss auf Einzelpersonen mehr zulassen. Das Bundesgesetz über die Aufsicht über die soziale Kranken- versicherung (K VAG) soll entspre- chend angepasst werden. Mittlerweile befasste sich die eigens gegründete parlamentarische Subkommission «Datenlieferung» mit dem Geschäft und hat einen Revisionsentwurf zu Handen der Kommission für Soziale Sicherheit und Gesundheit (SGK) erarbeitet. Die SGK hat den Vorent- wurf mit dem erläuternden Bericht in die Vernehmlassung gegeben. Wenn das BAG von den Krankenversicherern nur noch gruppierte Daten erhielte, würde das Projekt BAGSAN zwar nicht hinfällig, jedoch müssten erheb- liche Anpassungen vorgenommen werden. Der EDÖB wird das Projekt BAGSAN weiterhin aufmerksam ver- folgen. Neue Aufgaben durch elektronisches Patienten- dossier Die Umsetzungsarbeiten für das Elekt- ronische Patientendossier schreiten voran. Ab Frühjahr 2020 soll es in allen Regionen der Schweiz verfügbar sein. Damit ergeben sich für den EDÖB wich- tige neue Aufsichtsaufgaben. Das Elektronische Patientendossier (EPD) gemäss Bundesgesetz über das Elektronische Patientendossier (EPDG) wird durch Bund und Kan- tone mit Hockdruck vorangetrieben. Damit es ab Frühjahr 2020 in allen Regionen der Schweiz der Bevölke- rung angeboten werden kann, braucht es gemäss EPDG zertifizierte privat- rechtlich organisierte Anbieter, die sog. Gemeinschaften und Stammgemein- schaften. Die Datenbearbeitungen durch derartige Anbieter richten sich ergänzend zu den spezialgesetzlichen Bestimmungen nach dem DSG, dessen Anwendung der Aufsicht unserer Behörde unterliegt. Die Gemeinschaf- ten gelten als private juristische Perso- nen, deren Aufsicht in die Zuständig- keit des Bundes fällt (unabhängig davon, ob die einzelnen Mitglieder der Gemeinschaften Spitäler des öffentli- chen kantonalen Rechts oder des Pri- vatrechts sind). Zudem werden zent- rale Komponenten, die für den Betrieb des EPD notwendig sind, durch den Bund betrieben. Sowohl die Patientinnen und Patien- ten als auch die Behandelnden benöti- gen für den Zugang zum EPD Identifi- kationsmittel, die eine eindeutige Authentisierung ermöglichen. Dafür werden elektronische Identitäten ver- wendet, die bspw. auf einer Chipkarte oder einem Smartphone gespeichert werden können. Die Herausgeber von Identifikationsmitteln gemäss EPDG müssen sich zertifizieren lassen. Auch die Datenbearbeitungen im Rahmen des Erstellens und Verwaltens der elektronischen Identitäten unterste- hen dem DSG. Mit Blick auf die recht- lichen und technischen Anforderun- gen des Datenschutzes müs- sen hohe Standards erfüllt werden, damit die Patientin- nen und Patienten dem EPD vertrauen werden. Auf Wunsch von Parlamentarierinnen und Parlamentariern hat der EDÖB denn auch in verschiedenen Kommissionen der eidgenössischen Räte seine Aufga- ben im Bereich des EPD dargelegt, die er aufgrund der Budgetvorgaben des Bundesrats ohne zusätzliche Personal- ressourcen wahrnehmen muss. Bonusprogramm «Helsana+» auf dem Prüfstand: Teilerfolg vor Bundesverwaltungsgericht Im laufenden Berichtsjahr nahm der EDÖB das Bonusprogramm «Helsana+» genauer unter die Lupe. Er erliess eine Empfehlung gegen die Helsana Zusatz- versicherungen AG, welche diese ablehnte. Der EDÖB hat daraufhin beim Bundesverwaltungsgericht Klage ein- gereicht, die im März 2019 teilweise gutgeheissen wurde. Bereits in der vorangehenden Berichts- periode wurde der EDÖB auf mehrere Gesundheits-Apps und Bonuspro- gramme von Krankenversicherungen aufmerksam, darunter auch auf das Bonusprogramm «Helsana+» der Kran- kenkasse Helsana, das im September 2017 lanciert wurde. Dabei handelt es sich um ein Programm, das die daran teilnehmenden Versicherten zu einem gesundheitsbewussten Verhalten und aktiven Lebensstil anregen soll. Als Belohnung für ihre aufgezeichneten Aktivitäten erhalten die Teilnehmen- den sog. «Pluspunkte» gutgeschrieben, die sie in Barauszahlungen umwan- deln oder aber für Angebote und Rabatte bei Partnerfirmen der Helsana einlösen können. Anders als bei ver- gleichbaren Angeboten anderer Kran- kenkassen können bei «Helsana+» auch Personen teilnehmen, die bei der Hel- sana ausschliesslich eine Grundversi- cherung abgeschlossen haben. Nachdem wir im letzten Berichtsjahr eine formelle Sachverhaltsabklärung bei der Helsana Krankenkasse durch- geführt und abgeschlossen hatten, erliess der EDÖB am 26. April 2018 eine Empfehlung gemäss Art. 29 DSG gegenüber der Helsana Zusatzversi- cherungen AG. Darin empfahl der EDÖB erstens, den Datenfluss von der Grund- in die Zusatzversicherung im Rahmen des Registrierungsprozesses zu beenden, d.h. bei der Registrierung für das Bonusprogramm die Bearbei- tung von Personendaten der Grund- versicherten zu unterlassen. Zweitens verlangte der EDÖB von der Helsana Zusatzversicherungen AG, Datenbe- arbeitungen betreffend Kunden, die bei der Helsana ausschliesslich grund- versichert sind, zwecks Bemessung und Ausrichtung von geldwerten Rückerstattungen zu unterlassen. Der EDÖB ist der Ansicht, dass die bean- standeten Datenbearbeitungen wirt- schaftlich gesehen auf eine nachträgli- che Rückerstattung eines Teils der Grundversicherungsprämie hinaus- laufen, welche so vom Gesetz nirgends vorgesehen ist. Da die Helsana Zusatzversicherun- gen AG seine Empfehlung ablehnte, entschied sich der EDÖB, den Fall dem Bundesverwaltungsgericht vorzule- gen. Er reichte deshalb am 18. Juni 2018 Klage ein.
4544 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 Datenbeschaffung war mangels rechtsgültiger Einwilligung rechtswidrig Mit Entscheid vom 19. März 2019 hat das Bundesverwaltungsgericht die Klage des EDÖB teilweise gutgeheis- sen. Die Datenbeschaffung beim Grundversicherer war man- gels rechtsgültiger Einwilli- gung rechtswidrig. Hinge- gen erwiesen sich die weite- ren Datenbearbeitungen im Rahmen von «Helsana+» als rechtmäs- sig. Dabei äusserte sich das Bundesver- waltungsgericht erstmals grundsätz- lich zur Frage, wann eine Datenbear- beitung zu einem rechtswidrigen Zweck gegen das Datenschutzgesetz (DSG) verstösst. Es kam zum Schluss, dass die Datenbearbeitung zu einem rechtswidrigen Zweck nur dann auch im Sinne des DSG unrechtmässig ist, wenn sie gegen eine Norm verstösst, die zumindest auch den Schutz der Persönlichkeit bezweckt. Rechtsvergleichend weist das Gericht dabei zudem auf die gegenüber dem DSG sowie dem Entwurf für ein totalrevidiertes DSG weitergehende europäische Datenschutz-Grundver- ordnung (DSGVO) hin, nach welcher die Daten nur für «legitime Zwecke» erhoben werden dürfen. Damit auferlegt das Bundesverwal- tungsgericht dem EDÖB eine gewisse Zurückhaltung bei der dynamischen Auslegung des DSG von 1992 im Hin- blick auf digitale Applikationen. Das Urteil offenbart damit die Grenzen des in die Jahre gekommenen Gesetzes. Weil die vorliegend in Frage stehenden Bestimmungen des Krankenversiche- rungsgesetzes (K VG) nicht auch dem Persönlichkeitsschutz dienen, konnte das Bundesverwaltungsgericht letzt- lich die KVG-Konformität der Daten- bearbeitung offenlassen. Das Gericht hielt aber bei dieser Gelegenheit gleichwohl fest, dass eine Verletzung des K VG nicht ersichtlich sei und liess damit erkennen, dass es der wirt- schaftlichen Betrachtungsweise des EDÖB nicht folgen würde. Mit Blick auf die hängige Totalrevi- sion des DSG von 1992 hat der EDÖB von einer Anfechtung des Urteils abge- sehen. Der Gesetzgeber hat es in der Hand, die vom Bundesverwaltungs- gericht aufgezeigte Diskrepanz zum europäischen Recht schliessen. Rasant wachsende Datenmengen in der «personalisierten Gesundheit» bergen Risiken Die fortschreitende Digitalisierung in Medizin und Forschung führt zu immer grösseren Mengen an Gesundheits- daten. Insbesondere wenn die Daten Rückschlüsse auf Einzelpersonen zulassen, sind die Grundsätze des Datenschutzes zu beachten. Im Gesundheitsbereich entstehen immer grössere Datenbestände. Es handelt sich beispielsweise um klini- sche Daten aus Spitälern, Arztpraxen oder Biobanken sowie von den betrof- fenen Personen selber gesammelte Daten. Letztere entstehen z. B. durch das Nutzen von Gesundheits-Apps, Fitnesstrackern oder medizinischen Geräten wie einem Blutzuckermessge- rät. Ziel der «personalisierten Gesund- heit» ist es, diese Daten zu nutzen, um übergeordnete Gesundheitsstrategien zu entwickeln, bestimmte Krankheits- risiken früher zu erkennen oder medi- zinische Behandlungen speziell für einzelne Patienten oder Patienten- gruppen zu entwickeln. Die wach- sende Datenmenge birgt für die medi- zinische Forschung und Behandlung Chancen, Herausforderungen und Datenschutzrisiken. Eine Herausfor- derung besteht darin, eine gleichblei- bende Qualität und Verlässlichkeit solcher Daten zu garantieren oder deren Vergleichbarkeit sicherzustellen. Datenschutzrisiken sind etwa in Bezug auf die technische Sicherheit oder schwer vorhersehbare Zweckänderun- gen auszumachen. Zudem stellen sich ethische Fragen. Um all diese Aspekte mit einem einheitlichen Ansatz zu lösen, wurde unter der Leitung der Schweizerischen Akademie der Medi- zinischen Wissenschaften (SAMW) die Initiative «Swiss Personalized Health Network» (SPHN) lanciert. Das SPHN ist vom Bund beauftragt, die Grundlagen und Infrastrukturen zu schaffen, damit Forschungsinstitutio- nen gesundheitsbezogene Daten aus- tauschen können. Der EDÖB war an diesen Arbeiten beteiligt. Es ist wich- tig, dass bei der Bearbeitung von nicht-anonymisierten Gesundheits- daten Transparenz herrscht – sowohl hinsichtlich des Bearbeitungszwecks wie der Verwendung der jeweiligen Daten – und die Einwilligung der Patienten vorgängig rechtsgültig einge- holt wird.
4746 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 1.6 Arbeit Outsourcing: Bearbeitung von Personaldaten im Ausland Aus Kosten- oder Organisationsgrün- den entscheiden sich viele Arbeitgeber, die Personaldaten ihrer Mitarbeitenden ausserhalb der Landesgrenzen bearbei- ten zu lassen. Dabei ist die transpa- rente und umfassende Information der Arbeitnehmenden zentral – ihre Einwil- ligung ist jedoch in der Regel nicht nötig und wäre auch nicht gültig. Der Trend der Wirtschaft, Personal- daten zum Zwecke der Rationalisie- rung und Zentralisierung im Ausland zu speichern und zu bearbeiten, hält an. Zahlreiche betroffene Mitarbei- tende, aber auch Arbeitgeber oder Per- sonalverantwortliche haben dem EDÖB im vergangenen Berichtsjahr Fragen zur Zulässigkeit und zu den Ausgestaltungsmöglichkeiten eines Outsourcings gestellt. Eine Daten- übermittlung ins Ausland findet statt, sobald die Daten einem im Ausland ansässigen Unternehmen oder einer im Ausland ansässigen Einheit zugänglich gemacht werden oder die Daten in einer Cloud gespeichert wer- den, die sich im Ausland befindet. Im Vordergrund standen Fragen zur Infor- mationspflicht und Einwilligung der Arbeitnehmenden, wenn Personalda- ten über die Landesgrenze hinaus bear- beitet werden. Der EDÖB empfiehlt Arbeitgebern eine umfassende interne Kommunikation sowohl über die Datenübermittlung ins Ausland als auch über die konkret vorgenommenen Daten- bearbeitungen im Aus- land und deren Zwecke. Eine solche Information beinhaltet demnach bspw. in welches Land der Export und an welches Unternehmen dieser erfolgt und wel- che Auswertungen zu welchen Zwe- cken vorgenommen werden. Diese Information ist nicht mit der Einwilligung zu verwechseln. Da es aufgrund des Subordinationsverhält- nisses im Arbeitsverhältnis regelmäs- sig an der von Art. 4 Abs. 4 DSG gefor- derten «Freiwilligkeit» mangelt, erweist sich eine Einwilligung des Arbeitnehmers in der Regel als recht- lich unbeachtlich resp. als Rechtferti- gungsgrund nach Art. 13 Abs. 1 DSG ungeeignet. Insbesondere bei global tätigen Unternehmen scheint es jedoch üblich, im Rahmen von Daten- schutzrichtlinien die Einwilligung der Mitarbeitenden einzuholen, die sich nach schweizerischem Recht in der Regel als unwirksam erweisen. Ob eine Datenübermittlung im konkreten Einzelfall rechtmässig erfolgt und die Information der betroffenen Personen angemessen war, ist vom zuständigen Zivilgericht zu entscheiden. Online-Bewerbungsverfahren und Bewerbungsgespräche: Was ist zu beachten? Im Online-Bewerbungsverfahren der digitalisierten Arbeitswelt gelangen verbreitet automatisierte Verhaltens- und Stimmanalysen zur Anwendung. Da damit detaillierte Persönlichkeits- profile erstellt werden könnten, ist ein erhöhtes Datenschutzniveau zu beachten. Bewerbungsgespräche finden ver- mehrt online statt. Sowohl die Bewer- ber als auch Rekrutierenden stellen sich Fragen nach der Zulässigkeit und den rechtlichen Voraussetzungen von Verhaltens- oder Stimmanalysen. Nach Art. 328b OR ist es dem Arbeitgeber im Bewerbungsverfahren erlaubt, die- jenigen Informationen über die Bewer- ber zu bearbeiten, die zur Klärung der Eignung für die Stelle oder zur Durch- führung des Arbeitsvertrages erforder- lich sind. Der EDÖB hat im Rahmen seiner Beratungen darauf hingewiesen, dass es sich bei der Bearbeitung von Lebensläufen und weiteren Informa- tionen durch die Perso- nalverantwortlichen regelmässig um die Bear- beitung von wesentlichen Zügen der Persönlichkeit des Bewerbers resp. von Persönlich- keitsprofilen i.S.v. Art. 3 lit. d DSG handelt. Dies gilt umso mehr, wenn Aufnahmen von Bewerbungsgesprä- chen zudem Verhaltens- oder Stimm- analysen unterzogen werden. Die Aus- wertungen müssen verhältnismässig sein, und es müssen geeignete Mass- nahmen bezüglich Datensicherheit getroffen werden. Die Bewerbenden sind vorgängig nicht nur über die geplanten Auswertungen zu informie-
4948 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 ren, sondern auch über Art und Zweck der Verwendung der Ergebnisse, über die Dauer der Aufbewahrung sowie über das ihnen zustehende Auskunfts- recht. Bekämpfung der Schwarzarbeit im Kanton Wallis Auf Intervention des EDÖB hat der Ver- band ARCC seine gleichnamige Smart- phone-App für verstärkte Kontrollen auf Walliser Baustellen deaktiviert. Der EDÖB verlangt die Löschung der damit bereits beschafften Daten. Für die Kontrolle von Baustellen haben mehrere paritätische Kommissionen des Kantons Wallis den Verband ARCC (franz. Association pour le Ren- forcement des Contrôles sur les Chan- tiers, ARCC) gegründet. Sein Haupt- einsatzgebiet sind Kontrollen bezüg- lich Einhaltung des Schwarzarbeits- verbotes und des Entsendegesetzes. Wir haben aufgrund der eingegange- nen Hinweise beim Verband eine Sachverhaltsabklärung gemäss Art. 29 DSG durchgeführt. In deren Rahmen hat sich der EDÖB auf die Smart- phone-Applikation «ARCC» konzent- riert, welche Meldungen direkt an den Verband ermöglicht. Übermittelt wer- den Fotos, auf welchen die Firma der betroffenen Bauunternehmung und allenfalls sogar Baustellen-Mitarbeiter ersichtlich sind, sowie Angaben zu Namen und Standort der Benutzer der Applikation. Im Zuge unserer Abklärungen deakti- vierte der Verband die Applikation wieder. Der EDÖB ist der Ansicht, dass für den Betrieb der Applikation und die aus deren Nutzung resultie- renden Datenbearbeitungen derzeit keine ausreichende gesetzliche Grund- lage vorhanden ist. Wir begrüssen deshalb die Deaktivierung und haben den Verband schriftlich ersucht, die bereits gesammelten Personendaten zu vernichten. Zudem haben wir den Verband darauf hingewiesen, dass er das Risiko von eventuellen zivilrecht- lichen Klagen von betroffenen Perso- nen trägt, falls er die gesammelten Daten weiterhin bearbeiten sollte. 1.7 Versicherungen Neuer Observationsartikel für Sozialversicherungen Verdeckte Beobachtungen sind ein wirksames Mittel zur Aufdeckung von Betrug und Missbräuchen im Sozialver- sicherungsbereich. Da sie einen massi- ven Eingriff in die Privatsphäre darstel- len, sind sie aufs Notwendigste zu beschränken. Der EDÖB begrüsst die Bewilligungspflicht für den Einsatz von technischen Geräten zur Standortbe- stimmung. Am 25. November 2018 hat das Stimmvolk den neuen Observations- artikel für verdeckte Überwachungen im Bereich der Sozialversicherung angenommen. Die neue Bestimmung wird voraussichtlich im Herbst 2019 in Kraft treten. Wir werden die Gele- genheit wahrnehmen, zu gegebener Zeit zu den noch ausstehenden Voll- zugsbestimmungen auf Verordnungs- stufe Stellung zu nehmen. Aus daten- schutzrechtlicher Sicht bedeutsam sind insbesondere die Anforderungen an die externen Spezialistinnen und Spezialisten, die mit der Observation beauftragt werden. Das Auswahlver- fahren und möglicherweise auch ein Zulassungsverfahren müssen dafür Gewähr bieten, dass die miss- bräuchliche Verwendung des Observationsmate- rials mit höchster Wahrscheinlichkeit ausgeschlossen werden kann. Der EDÖB erwartet ausserdem Kon- kretisierungen auf Verordnungsstufe oder mindestens Weisungen zur Observation von Versicherten, die sich an einem Ort befinden, der von einem allgemein zugänglichen Ort eingesehen werden kann. Im Sinne der Verhältnismäs- sigkeit ist dafür zu sorgen, dass der Privatbereich, wie das Innere einer Wohnung, im Sinne der bisherigen Rechtsprechung des Bundesgerichts geschützt bleibt. Wir begrüssen, dass für den Einsatz von technischen Instrumenten zur Stand- ortbestimmung eine gerichtliche Genehmigung eingeholt werden muss. Diese darf nur dann erteilt werden, wenn dem Gericht eine ausreichende Begründung für die Notwendigkeit des Einsatzes von derartigen Geräten im konkreten Einzelfall vorgebracht wurde. Ohne gerichtliche Genehmi- gung dürfen somit keine Trackingge- räte, zum Beispiel an Fahrzeugen, ein- gesetzt werden. Bild- und Tonaufnah- men dürfen allerdings weiterhin ohne richterliche Bewilligung gemacht werden. Als wichtig erachtet der EDÖB auch die im neuen Observationsartikel festgehaltene Pflicht zur nachträgli- chen Information der versicherten Person, wenn sich der Verdacht eines Missbrauchs durch die Observation nicht bestätigt hat. In diesem Fall muss der Versicherer eine Verfügung erlas- sen, die über den Grund, die Art und die Dauer der Observation informiert. Die Versicherten können Einblick in das Observati- onsmaterial verlangen und dann entscheiden, ob es in den Akten bleibt oder ver- nichtet werden soll. Der Versicherer darf das Observationsmaterial jedoch erst dann vernichten, wenn die Verfü- gung rechtskräftig geworden ist und die versicherte Person nicht ausdrück- lich erklärt hat, dass es in den Akten verbleiben soll.
5150 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 SUVA: Mehr Transparenz bei Forschung mit Versicherten- daten Die SUVA hat die Information der Versi- cherten in Bezug auf die Verwendung ihrer Daten für For- schungszwecke in Zusam- menarbeit mit dem EDÖB massgeblich verbessert. Auf der Website der SUVA finden Interessierte wichtige Informa- tionen zur Verwendung der Versicher- tendaten für Forschungszwecke und zum Widerspruchsrecht. Die SUVA verwendet Daten der Versi- cherten, meist in Zusammenarbeit mit Dritten, im Bereich der Arbeits-, Versi- cherungs- und Rehabilitationsmedi- zin für Forschungszwecke. Im Rah- men unserer Beratung haben wir dar- auf hingewirkt, dass die SUVA auf der Internetseite (Rubrik Unfall – Medizi- nische Forschung) ausführlich darüber informiert, wieso und in welchen Bereichen sie die Daten der Versicher- ten für Forschungszwecke verwendet. Die Forschungstätigkeit der SUVA findet schwerpunktmässig in den Bereichen Bewegungsapparat, Berufs- krankheiten, traumatische Hirnverlet- zungen, chronische Schmerzen, psy- chische Unfallfolgen und Amputation statt. Sie dient aber auch der Verbesse- rung der Gutachtenmethodik und der Prävention. Die SUVA informiert jetzt auch klar darüber, dass jeder versicher- ten Person ein Widerspruchsrecht zusteht und wie dieses einfach ausge- übt werden kann. Durch die Aufschaltung entsprechen- der Informationen auf ihrer Website kann die SUVA somit weiterhin einen wertvollen Beitrag zur medizinischen Forschung leisten. Gleichzeitig wahrt sie die Grundsätze der Erkennbarkeit und Transparenz der Datenbearbei- tung. Die Teilnahme an Forsch- ungsprojekten, respektive das Zurver- fügungstellen der persönlichen Daten für Forschungszwecke, bleibt für die Versicherten freiwillig und darf keinen Einfluss auf die medizinische Betreu- ung oder die Beurteilung eines Leis- tungsfalles haben. Wichtig ist hier auch die Rolle der behandelnden Fach- personen. Sie sollten die Patientinnen und Patienten darüber informieren, dass ihnen in Bezug auf die Nutzung ihrer Daten für Forschungs- zwecke ein Vetorecht zukommt. Teilt die Patientin oder der Patient der SUVA die Sperrung der eigenen Daten für Forschungszwecke mit, macht die SUVA einen Vermerk, der eine solche Nutzung verhindert. Im Rahmen des gleichen Projekts hat unsere Beratung weiter dazu geführt, dass die SUVA die internen Richtli- nien überarbeitet und wo nötig ange- passt hat. Wir haben Wert darauf gelegt, dass die Anonymisierung der Personendaten so früh als möglich erfolgt. Zudem müssen die Forschen- den, wenn sie mit nicht-anonymisier- ten oder nicht-pseudonymisierten Daten arbeiten, spezifische Vertrau- lichkeitsvereinbarungen mit der SUVA abschliessen. Bei der Verwendung von anonymisierten oder pseudonymisier- ten Daten ist es ihnen zudem unter- sagt, Datenbearbeitungen vorzuneh- men, die zu einer Re-Identifikation von Personen führen könnten. Insbe- sondere dürfen die Forschungsdaten nicht mit Daten aus anderen Quellen verknüpft werden. Weiter müssen die Daten nach Abschluss des Forschungs- projekts und Publikation der Ergeb- nisse gelöscht werden. Die Forschen- den haben die SUVA darüber schrift- lich zu informieren. Entsprechende Informationen stehen für die For- schenden nun auf der Website der SUVA bereit. Unsere Beratung ist damit abgeschlossen, doch ist es an der SUVA sicherzustellen, dass die Infor- mationen und die internen Richtlinien jederzeit auch bei Anwendung von neuen Behandlungs- und Forschungs- methoden den Anforderungen des Datenschutzgesetzes genügen. Insbe- sondere ist hier auch an den Umgang mit genetischem Material oder Resul- taten von genetischen Untersuchun- gen (zum Beispiel aus dem Bereich der hochspezialisierten Medizin) zu denken. 1.8 Verkehr Multimodale Mobilität – Wahrung der informationellen Selbstbestimmung ein Muss Das UVEK prüft im Auftrag des Bundes- rats, wie der Bund die multimodale Mobilität fördern und deren Potenziale nutzen kann. Den Reisenden soll die einfache, flexible Kombination von verschiedenen Mobilitätsangeboten auf allen Verkehrskanälen ermöglicht wer- den. Der EDÖB begleitete das Projekt im Berichtsjahr, beriet die Anbieter in datenschutzrechtlichen Belangen und nahm im Rahmen der Ämterkonsulta- tion Stellung. Mit neuen digitalen Technologien sollen sich Reisende einfacher über die Kombination von verschiedenen Mobilitätsangeboten informieren kön- nen. Dabei werden grosse Mengen an Personendaten bearbeitet. Der EDÖB verfolgte das Projekt, welches sich immer noch in der Anfangsphase befindet, und beriet die Anbieter der multimodalen Mobilitätsdienstleis- tungen unter anderem in verschiede- nen Sitzungen. Die Anbieter sind sich bewusst, dass bei der Bear- beitung von Personendaten die Wahrung der informa- tionellen Selbstbestimmung der Betroffenen gewahrt werden muss und dass konkrete Mass- nahmen zum Schutz der Persönlich- keitsrechte der Betroffenen getroffen werden müssen. Der EDÖB wies dar- auf hin, dass insbesondere kein direk- ter oder indirekter Zwang zur Preis- gabe von Personendaten ausgeübt werden darf. Damit die Einwilligung durch die Betroffenen freiwillig erfol- gen kann, müssen sie vorgängig trans- parent darüber informiert werden, welchen Datenbearbeitungen sie mit der Wahl einer bestimmten Mobili- tätsdienstleistung zustimmen und welche alternative Wahl sie haben. Wenn durch die Verknüpfung von Sachdaten, die an sich nicht unter das Datenschutzgesetz fallen, Rück- schlüsse auf Personen möglich werden, müssen die datenschutzrechtlichen Grundsätze erfüllt werden. Ferner machte der EDÖB darauf aufmerksam, dass mit der Benutzung von multimodalen Mobilitätsdienst- leistungen schnell Bewegungsprofile entstehen können, aus denen wiede- rum Persönlichkeitsprofile resultieren können. In diesem Fall muss das erhöhte Schutzniveau für besonders schützenswerte Personendaten und Persönlichkeitsprofile eingehalten werden. Echte Wahlmöglichkeiten und anonymes Reisen für die Kunden Der EDÖB nahm zudem im Rahmen der Ämterkonsultation zur multimo- dalen Mobilität Stellung. Dabei äus- serte er sich auch zur geplanten Anpas- sung der Bestimmung im Personenbe- förderungsgesetz (PBG) betreffend Datenbearbeitung durch die Unter- nehmen des öffentlichen Verkehrs (öV). Mit dieser Anpassung sollen die öV-Unternehmen bei der Bearbeitung von Daten nicht mehr den daten- schutzrechtlichen Vorgaben für Bun- desorgane, sondern neu grundsätzlich jenen für private Personen unterste- hen und mit Einwilligung der Reisen- den deren Daten für bestimmte Zwe- cke bearbeiten dürfen. Der EDÖB war mit der vorgeschlagenen Formulie- rung nicht einverstanden und wies darauf hin, dass in diesem Fall die Einwilligungen der Kunden nur beachtlich seien, wenn sie freiwillig, d.h. aufgrund echter Wahlmöglichkei- ten erfolgen würden. Beim automati- schen Ticketing hiesse dies, dass die Kunden alternativ zu den geplanten Modellen die Möglichkeit haben müss- ten, zu den gleichen Bedingungen, d.h. diskriminierungsfrei, ohne Preisgabe ihrer Personendaten anonym zu reisen. Zudem bedürfe die Bearbeitung von Personendaten zu Zwecken der Ein- griffsverwaltung unverändert einer gesetzlichen Grundlage. Der EDÖB begrüsst, dass seine Bemerkungen im Vernehmlassungsentwurf Eingang fanden. Der EDÖB wird das Projekt weiter- hin begleiten. Zu gegebener Zeit wer- den die mit dem Projekt verbundenen Datenschutzrisiken zu evaluieren sein.
5352 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 Datenschutzkonformität bei neuen Apps im öffentlichen Verkehr Die Transportbranche hat uns über diverse Projekte informiert wie etwa die Weiterentwicklung verschiedener Apps (Applikationen). Dabei muss die Datenschutzkonformität laufend neu beurteilt werden. Insbesondere dürfen nicht mehr Daten gesammelt werden, als für die Erbringung eines Dienstes nötig sind. Auch in diesem Jahr wurde der EDÖB von einzelnen Transportunternehmen über Datenschutzprojekte informiert. Darunter befanden sich unter anderem die Datenbearbeitungen in Zusam- menhang mit der Weiterentwicklung verschiedener Apps von Transportun- ternehmen, insbesondere der SBB. Zuweilen war von anonymisierten Daten die Rede, obwohl betroffene Personen bestimmbar bleiben. In sol- chen Fällen darf in der Information an die betroffenen Personen nicht von anonymisierten Daten die Rede sein. Der EDÖB wies die SBB darauf hin, dass sie die Frage der Anonymisierung vor der Durchführung weiterer Daten- bearbeitungen nochmals sorgfältig abklären müssen. Im gleichen Sinn wies der EDÖB die SBB darauf hin, dass bei der Datenbearbei- tung auch die Grundsätze der Verhältnismässigkeit und Datensparsamkeit ein- zuhalten sind. Dies gilt auch dann, wenn für die Datenbearbeitung eine Einwilligung eingeholt wurde. Es ist wichtig, dass die Transportun- ternehmen für jedes Projekt die Daten- schutzkonformität sicherstellen. Dabei sind die durchgeführten oder geplanten Datenbearbeitungen ent- sprechend zu prüfen und gegebenen- falls an die datenschutzrechtlichen Voraussetzungen anzupassen. Bei Weiterentwicklungen von Apps ist die Datenschutzkonformität laufend neu zu analy sieren. 1.9 International Aufsichtskoordinations- gruppen über die Informations systeme SIS II, VIS und Eurodac Im Berichtsjahr trafen sich die Auf- sichtsgruppen in Brüssel. Sie nahmen Stellung zu den Vorschlägen der EU-Kommission betreffend die Inter- operabilität zwischen den EU-Informa- tionssystemen. Auch in diesem Jahr nahm der EDÖB als nationale Aufsichtsbehörde an den Sitzungen der drei Aufsichtskoordina- tionsgruppen über die EU-Informa- tionssysteme SIS II, VIS (Vorsitz EDÖB) und Eurodac teil. Diese fanden am 12./13. Juni 2018 sowie 14./15. November 2018 in Brüssel statt. Ver- treten sind der europäische Daten- schutzbeauftragte (EDSB) sowie die nationalen Datenschutzbehörden der 28 EU-Mitgliedstaaten unter Teil- nahme Irlands und des Vereinigten Königreichs als Beobachter. Ergänzt werden die Gruppen mit den nationa- len Datenschutzbehörden der Schweiz, Liechtensteins, Norwegens und Islands, da deren Länder an den Infor- mationssystemen teilhaben. Die Aufsichtskoordinationsgruppen SIS und Eurodac haben u.a. ihre Tätig- keitsberichte 2016/2017 verabschie- det. Zuhanden des EU-Parlaments, des EU-Rats und der EU-Kommission nahmen sie Stellung zu den Vorschlä- gen der EU-Kommission für eine Ver- ordnung, welche den Rahmen für die Interoperabilität zwischen EU-Infor- mationssystemen festlegen soll. Die Gruppe VIS ihrerseits hat zuhanden dieser Gremien eine Stellungnahme zu den vorgeschlagenen Änderungen der EU-Kommission betreffend das VIS vorbereitet und verschickt. (vgl. www.sis2scg.eu, www.visscg.eu, www.eurodacscg.eu) Zurzeit wird das Sekretariat der drei Aufsichtskoordinationsgruppen durch den europäischen Datenschutz- beauftragten geführt. In Zukunft soll die Führung dem Europäischen Daten- schutzausschuss (EDSA) übertragen werden. Arbeitsgruppe «Border, Travel & Law Enforcement» Im Lauf des Berichtsjahrs nahm der EDÖB als Schengen-Mitgliedstaat an sieben Treffen der Unterarbeitsgruppe teil, die namentlich die Interoperabili- tät der grossen Informationssysteme der Europäischen Union im Bereich Migration, Asyl und Sicherheit, sowie die Zukunft der Überwachungsmodelle der grossen Informatiksysteme der EU im Bereich Justiz und Innenpolitik zum Thema hatten. Eines der Hauptthemen auf diesen Tagungen war die Interoperabilität der (bereits bestehenden und künftigen) gross angelegten Informationssysteme der europäischen Union im Bereich Migration, Asyl und Sicherheit. Im Dezember 2017 veröffentlichte die EU-Kommission zwei Verordnungs- vorschläge zur Schaffung eines Rechts- rahmens für die Interoperabilität der grossen Informationssysteme der Europäischen Union. Dieser neue Ansatz sowie die neu eingeführten Komponenten (Einrichtung eines europäischen Suchportals, eines Servi- cepools für den Abgleich biometri- scher Daten sowie eines gemeinsamen Identitätsdatenverzeichnisses) haben Auswirkungen nicht nur auf den Datenschutz, sondern auch auf die Steuerung und Überwachung der Sys- teme. Hinsichtlich Datenschutz gab es Bedenken zur Zweckbestimmung einer zentralisierten Datenbank sowie zu den Voraussetzungen und Modali- täten ihrer Nutzung. Der europäische Datenschutzbeauftragte und die natio- nalen Datenschutzbehörden fordern die Einführung echter Garantien, um die Grundrechte der Staatsbürger von Drittländern zu wahren (vgl. zu die- sem Thema die Stellungnahme des
5554 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 europäischen Beauftragten vom 16. April 2018 auf folgendem Link: edps.europa.eu/data-protection). Die Zukunft der Modelle zur Über- wachung der grossen Informatiksys- teme der EU im Bereich Justiz und Polizei wurde auf den verschiedenen Tagungen ebenfalls erörtert. Es wird eine Variante für einen verbesserten Überwachungsmechanismus der ver- schiedenen Systeme gesucht, z. B. indem diese in eine neue Struktur übertragen wird, die dem Europäi- schen Datenschutzausschuss (der Nachfolgeeinrichtung der Arbeits- gruppe «Artikel 29», welcher der euro- päische Beauftragte und die nationalen Datenschutzbehörden angehören) angeschlossen ist und die auch für den Beitritt von Nicht-Mitgliedstaaten mit Beobachterstatus für Themenbereiche im Zusammenhang mit dem Schen- gen-Besitzstand offen stehen könnte. Darüber hinaus ist zurzeit die Aus- arbeitung von Leitlinien hinsichtlich der EU-Richtlinie zum Schutz natürli- cher Personen bei der Verarbeitung personenbezogener Daten durch die Polizei und die Strafverfolgungsbehör- den (Richtlinie EU 2016/680) im Gange, namentlich in Bezug auf Arti- kel 47 und die Befugnisse der Auf- sichtsbehörden. Koordinationsgruppe der schweizerischen Datenschutz- behörden im Rahmen von Schengen Die Koordinationsgruppe Schengen der schweizerischen Datenschutzbehörden ist im Berichtsjahr zweimal zusammen- getreten. Der EDÖB informierte die kantonalen Datenschutzbehörden über die bei der Schengen-Evaluierung angesprochenen wichtigsten Punkte und die vom EU-Rat abgegebenen Emp- fehlungen. Auf schweizerischer Ebene erfolgt die Koordination der mit Schengen zusammenhängenden Aktivitäten in der «Koordinationsgruppe der schwei- zerischen Datenschutzbehörden im Rahmen der Umsetzung des Schen- gen-Assoziierungsabkommens», wel- cher der EDÖB und die kantonalen Datenschutzbehörden angehören. Sie gibt den vertretenen Behörden die Gelegenheit, sich über die laufenden Entwicklungen im Bereich Schengen zu informieren, Kontrollaktivitäten zu planen und Informationen auszutau- schen. So koordinieren wir in Anwen- dung der Schengen-Zusammenarbeit mit unseren kantonalen Amtskollegen unsere Tätigkeiten bei der Überwa- chung der in der Schweiz vorgenom- menen Datenbearbeitungen im Bereich Migration, Polizei und Justiz. Die Koordinationsgruppe der Schwei- zer Datenschutzbehörden ist im Laufe des Berichtsjahrs zweimal zusammen- getreten. Auf der ersten Tagung infor- mierte der EDÖB die kantonalen Datenschutzbehörden über die wich- tigsten Punkte, die bei der vom 26. Februar bis 2. März 2018 durchge- führten Schengen-Evaluierung der Schweiz angesprochen wurden (s. oben). Die evaluierte kantonale Datenschutzbehörde (Luzern) vermit- telte auch einen Überblick über die Elemente, die sie ganz besonders ange- hen, aber auch die anderen kantonalen Einrichtungen. Wir haben unseren kantonalen Amtskollegen auch die verschiedenen SIS/ VIS-Kontrollen erläutert, die wir im Berichtsjahr durchgeführt haben. Die Kantone legten ihrerseits die Ergebnisse ihrer Kontrolltätigkeiten vor. Bei der zweiten Tagung machte der EDÖB nähere Ausführungen zum Entwurf der an die Schweiz gerichte- ten Empfehlungen zum Datenschutz in der Schengen-Evaluierung. Wir informierten unsere kantonalen Kolle- gen auch über die in den Koordinati- onsgruppen zur Kontrolle des SIS/ VIS erörterten Hauptpunkte. Internationale Konferenz der Datenschutzbeauftragten Die 40. Internationale Konferenz der Datenschutzbeauftragten befasste sich mit der digitalen Revolution und ihrer Auswirkung auf unsere Gesell- schaften, sowie mit der Frage, wie eine neue digitale Ethik dazu beitragen könnte, Achtung und Würde in unserer technologiebeherrschten Welt zu gewährleisten. Es wurde eine Arbeits- gruppe zum Thema künstliche Intelli- genz eingesetzt. Die Konferenz fand vom 22. bis 26. Oktober 2018 in Brüssel unter der Leitung des Europäischen Daten- schutzbeauftragten (EDSB) und der bulgarischen Datenschutzkommission statt und war dem Thema «Erörterung ethischer Aspekte: Würde und Res- pekt in einem von Daten beherrschten Leben» gewidmet. Wie Isabelle Fal- que-Pierrotin, Präsidentin der CNIL (französische Datenschutzkommis- sion) und Vorsitzende der Internatio- nalen Konferenz in ihrer Eröffnungs- rede betonte, haben diese Themen in der Tat eine neue Dimension ange- nommen; sie erstrecken sich auf neue, vermehrt politische und ethische Pro- blembereiche und treten in einem internationalen Umfeld zutage, das zwar nie besonders harmonisch war, das heute aber ein besonders kontrast- reiches Bild abgibt. Selbst zu Fragen, die unseren Kernauftrag betreffen, wie Ortungsdienste, Internetsicherheit, Massenüberwachung oder nachrich- tendienstliche Aufklärungstechniken, gehen die Meinungen auseinander. Die Digitalisierung bedeutet weltweit eine einzigartige Entwicklungschance, eine eigentliche Revolution. «Tech for good» oder «AI for humanity» sind mittlerweile von der Agenda unserer Staats- und Regierungschefs nicht mehr wegzudenken, und diese Tech- nologien bieten ein enormes Potenzial an Lösungen für die Menschheit. Erklärung zu Ethik und Datenschutz in der künstlichen Intelligenz Die Konferenz wurde erstmals von einer europäischen Institution und einer nationalen Datenschutzbehörde gemeinsam ausgerichtet. Über tausend Teilnehmer diskutierten die aktuellen Datenschutzfragen. An der geschlosse- nen Konferenz wurden vier Neumit- glieder aufgenommen: die Kontroll- stelle für Informationszugang von Argentinien, die Datenschutzbehör- den von Bayern und von Niedersach- sen und die Kommunikationskom- mission von Korea. Der Konferenz gehören nun 123 Mitglieder an. Elisa- beth Denham (Präsidentin der briti- schen Datenschutzbehörde ICO) wurde zur neuen Präsidentin und Nachfolgerin von Isabelle Falque- Pierrotin (Präsidentin der CNIL) gewählt. Die nächste internationale Konferenz findet vom 21. bis 25. Oktober 2019 in Tirana statt. Die geschlossene Tagung verabschie- dete eine Erklärung zu Ethik und Datenschutz in der künstlichen Intelli- genz. Dieser Text stellt sechs Leitsätze auf, die eigentliche Grundwerte für die Wahrung der Menschenrechte bei der Entwicklung der künstlichen Intelli- genz darstellen. Schliesslich nahm die Konferenz fünf Resolutionen zu fol- genden Themen an: E-Learning-Platt- formen, die Änderung der Regeln und Verfahren betreffend die internatio- nale Konferenz, die Kursbestimmung für die Zukunft der internationalen Konferenz, die Zusammenarbeit zwi- schen den Datenschutzbehörden und den Verbraucherschutzbehörden und eine Bestandsaufnahme der interna- tionalen Konferenzen.
5756 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter DatenschutzDatenschutz 26. Tätigkeitsbericht 2018/19 Europäische Konferenz der Datenschutzbeauftragten Die Konferenz bot die Gelegenheit für eine Gesamtschau über die Probleme bei der Inkraftsetzung der DSGVO, die den 28 Mitgliedstaaten der Europäi- schen Union eine starke und einheitli- che Gesetzgebung bietet. Diese 28. Auflage unter dem Motto «Datenschutz – besser gemeinsam» fand am 3. und 4. Mai 2018 in Tirana (Albanien) statt. Die Teilnehmer dis- kutierten auch über die Modernisie- rung des Übereinkommens 108 des Europarats, die namentlich die Zusam- menarbeit zwischen den Parteien erleichtern soll, über die Eingliede- rung der europäischen Datenschutz- normen in die übrigen Regelungssys- teme oder auch über die Bearbeitung von Personendaten in der humanitären Arbeit. Die europäische Konferenz hat beschlossen, das Mandat der Arbeits- gruppe über die Zukunft der Konfe- renz, der auch der EDÖB angehört, zu verlängern und zu präzisieren. Die Arbeitsgruppe muss nun konkrete Vorschläge zur Modernisierung der Funktionsweise dieses Organs ausar- beiten, dem höchstwahrscheinlich eine nicht unbedeutende Rolle in der Zusammenarbeit zwischen den Daten- schutzbehörden zukommen wird. Schliesslich prüfte die Konferenz den Entwurf für ein Dokument zur Förde- rung und Verstärkung der Zusammen- arbeit und des Wissensaustausches zwischen den Mitgliedstaaten der EU und den Drittländern im Rahmen der DSGVO. Arbeitsgruppe der OECD über die Informations- sicherheit und den Schutz der Privatsphäre Die von der Organisation für wirt- schaftliche Zusammenarbeit und Ent- wicklung (OECD) eingesetzte Arbeits- gruppe über die Informationssicherheit und den Datenschutz widmete ihre Arbeiten verschiedenen Empfehlungen. Die Gruppe befasste sich mit der über- arbeiteten Fassung des Empfehlungs- entwurfs der OECD zum Schutz kriti- scher Informationsinfrastrukturen (CII). Der Entwurf macht die Relevanz der Sicherheitsrichtlinien für die CII deutlich; er zeigt Ansätze für einzel- staatliche Massnahmen auf und schlägt Mittel zur Verbesserung der interna- tionalen Zusammenarbeit für den Schutz der CII vor. Angesichts der Bedeutung des Internet als weltum- spannende Infrastruktur betont sie die Notwendigkeit einer verstärkten inter- nationalen Zusammenarbeit zur Bewältigung grenzüberschreitender Probleme. Die Delegierten berieten sich über Themen zur Verbesserung der Daten für die Ausarbeitung von Strategien im Bereich Sicherheit und Schutz der Privatsphäre, namentlich betreffend die Vergleichbarkeit der Meldeberichte im Falle von Daten- schutzverletzungen. Des Weiteren beschäftigten sie sich mit der derzeit in Überarbeitung befindlichen Empfeh- lung aus dem Jahr 2012 zum Schutz der Kinder im Internet. 2013 verabschiedete die OECD die überarbeiteten Richtlinien für den Schutz der Privatsphäre und den grenzüberschreitenden Datenverkehr; damit wurde die ursprüngliche Fas- sung von 1980 aktualisiert. Diese überarbeiteten Richtlinien sehen eine Überprüfung ihrer Umsetzung und eine Berichterstattung nach fünf Jah- ren vor. Die Arbeitsgruppe hat daher bei ihrer Tagung am 13. und 14. November ein Prüfungsverfahren für diese Richtlinien bestimmt und wurde mit der Einsetzung einer Experten- gruppe beauftragt, der auch der EDÖB angehören wird. Französischsprachige Vereinigung der Datenschutz- behörden (AFAPDP) Die AFAPDP organisierte unter anderem ein Podiumsgespräch über den Einfluss der sozialen Netzwerke auf Wahl- prozesse, an dem Wahlexperten und Vertreter von politischen Parteien teil- nahmen. Die französischsprachige Vereinigung der Datenschutzbehörden (AFAPDP) traf am 18. und 19. Oktober 2018 in Paris. Der EDÖB ist seit ihrer Grün- dung im Jahr 2007 ausserordentliches Mitglied der Vereinigung. Bei dieser Gelegenheit verabschiedeten die Mit- glieder eine Resolution über das Eigentum an den persönlichen Daten und wiesen damit auf die Tatsache hin, dass Personendaten Bestandteile des Menschen als Person sind. Es ist daher notwendig, im französischsprachigen Raum den Erlass von Gesetzgebungen zum Schutz der Personendaten und der Privatsphäre zu unterstützen, um die Wahrung der Demokratie und der Rechtsstaatlichkeit in unseren Gesell- schaften zu garantieren. Diese Rechts- vorschriften müssen es den Einzelper- sonen ermöglichen, die mit den per- sönlichen Daten verbundenen unver- äusserlichen Rechte umfassend wahr- zunehmen, indem ihnen eine weitrei- chende Kontrolle über ihre Daten gewährleistet wird. Schliesslich konn- ten die verschiedenen Behörden in einer weiteren Sitzung ihre Erfahrun- gen mit der DSGVO, fünf Monate nach deren Inkrafttreten, diskutieren.
schen Union zuständig ist, seine Leitlinien zum Anwen- dungsbereich der DSGVO. Diese waren Gegenstand einer öffentlichen Konsultation, an der sich der EDÖB in Zusammenarbeit mit der monegassischen Behörde (CCIN) beteiligte, um gewisse Punkte zu klären, welche für die in der Unionslandschaft integrierten Drittländer wichtig sind. Evaluation des Datenschutzniveaus Die Europäische Kommission überprüft das Datenschutz- niveau von Drittländern und hat der Schweiz letztmals im Jahre 2000 attestiert, dass ihr Datenschutzniveau ange- messen ist. Unternehmen in der EU können deshalb Perso- nendaten ohne weitere Massnahmen mit Firmen in der Schweiz austauschen. Zurzeit ist die Kommission daran, die Angemessenheit des Schweizer Datenschutzniveaus gestützt auf die in der DSGVO aufgelisteten Kriterien erneut zu evaluieren. Sie hat angekündigt, den Angemessenheits- entscheid im Mai 2020 in Berichtsform zu veröffentlichen (vgl. Ziff. IV)
chungs- und Beurteilungsmechanismen. Brexit und Übermittlung personenbezogener Daten Nach dem Referendum im Vereinigten Königreich über den Austritt aus der EU (Brexit) im Juni 2016 teilte die britische Regierung der Union ihre Entscheidung zum Austritt mit. Das Verfahren für den Austritt hätte am 29. März 2019 abge- schlossen werden sollen, wurde aber auf einen späteren Zeitpunkt verschoben. Der EDÖB hat an zahlreichen Sitzungen mit Behörden des Bundes und des Vereinigten Königreichs teilgenommen, um sicherzustellen, dass der freie Verkehr personenbezogener Daten zwischen der Schweiz und Grossbritannien auch nach dem Austritt möglich bleibt. Das Vereinigte Königreich gilt als Land mit einem angemessenen Niveau, und der EDÖB sieht derzeit keine Veranlassung, dessen Status zu ändern.
Öffentlichkeitsprinzip
6564 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter ÖffentlichkeitsprinzipÖffentlichkeitsprinzip 26. Tätigkeitsbericht 2018/19 2.1 Allgemein Die Konsolidierung des mit der Ein- führung des Öffentlichkeitsprinzips angestrebten Paradigmenwechsels hin zu einer offenen und transparenten Verwaltung schreitet weiter voran: Die Umsetzung des Öffentlichkeitsgeset- zes durch die Bundesbehörden ist insgesamt als positiv zu werten. Dies zeigt sich insbesondere auch daran, dass die Zahl der vollständig gewähr- ten Zugänge mit der steigenden Gesamtzahl der Gesuche mithält und der Prozentsatz der kompletten Zugangsverweigerungen über die Jahre stetig abnimmt (s. nachfolgend Ziffer 2.2). Erfreulich zu sehen ist auch, dass das Öffentlichkeitsgesetz einen positi- ven Einfluss auf die aktive Informati- onspolitik der Bundesbehörden hat: Ausgelöst durch Zugangsgesuche und Schlichtungsanträge veröffentlicht das ENSI nunmehr monatlich den Verlauf der Emissionsmesswerte der Schwei- zer Kernkraftwerke (sog. ANPA-EMI- Daten) und das BFE jährlich die Voll- zugsresultate der CO 2 Emissionsvor- schriften für Personenwagen. Zur För- derung der Transparenz wiederum publiziert armasuisse ein Register der Kompensationsgeschäfte («Offset- Register») und die Interne Revision VBS ihre Prüfberichte. Dank der Überführung des erfolg- reichen Pilotversuchs «Beschleuni- gung Schlichtungsverfahren» in den ordentlichen Betrieb konnten auch in diesem Berichtsjahr positive Ergeb- nisse hinsichtlich Bearbeitungsdauer und Einigungsquoten erzielt werden (s. nachfolgend Ziffer 2.2). Als herausfordernd für alle Beteiligten erweisen sich Drei- oder gar Mehrpar- teienverfahren. Darunter fallen etwa Verfahren betreffend Berichte von Administrativ- oder Disziplinarunter- suchungen, Unterlagen mit möglichen Geschäftsgeheimnissen von Unter- nehmen oder mit Bezug zum Persön- lichkeitsschutz von Privaten und Ver- waltungsmitarbeitenden. Diese Schlichtungsverfahren zeichnen sich oft durch komplexe Abklärungen mit den betroffenen Dritten aus. Dazu trägt nicht zuletzt auch die Tendenz bei, dass die betroffenen Dritten bereits im Stadium des Zugangs- und Schlichtungsverfahrens vermehrt Rechtsanwälte beiziehen. Dies führt zu einer Verrechtlichung dieser – informellen – Verfahrensabschnitte und zu einer Verzögerung der Zugangsgewährung für die Gesuchs- tellenden. Diese Entwicklung steht in Widerspruch zur Intention des Gesetzgebers eines einfachen und raschen Zugangs- und Schlichtungs- verfahrens. Für die Klärung von Rechtsfragen hat er das ordentliche Verwaltungsverfahren vorgesehen, d.h. den Erlass einer Verfügung durch die Behörde und anschliessend die Beschwerdemöglichkeit beim Bundesverwaltungs gericht. 2.2 Zugangsgesuche – stetige Zunahme Laut den uns für das Jahr 2018 gemel- deten Zahlen wurden bei den Bundes- behörden 636 Zugangsgesuche gestellt (gegenüber 581 für 2017). Dies ent- spricht einem Zuwachs von 9,5 Pro- zent. Unter Einbezug der Bundesan- waltschaft (8) und der Parlaments- dienste (3) beläuft sich die Zahl insge- samt auf 647. Die Behörden gewährten in 352 Fällen einen vollständigen Zugang, was einem Anteil von 55 Prozent entspricht (gegenüber 317 oder ebenfalls 55 Pro- zent im Jahr 2017), während in 119 Fällen (19 Prozent) nur ein Teilzugang gewährt wurde (gegenüber 106 oder 18 Prozent im Jahr 2017). In 62 Fällen (zehn Prozent) wurde der Zugang voll- ständig verweigert (gegenüber 107 oder 18 Prozent im Jahr 2017). Des Weiteren teilten uns die Behörden mit, dass 24 Zugangsgesuche (vier Prozent) zurückgezogen wurden (gegenüber 26 bzw. lediglich vier Prozent im Jahr 2017), dass 48 Gesuche (acht Prozent) am Ende des Jahres 2018 noch hängig waren (gegenüber 21 oder vier Prozent im Jahr 2017), und dass in 31 Fällen (fünf Prozent) kein amtliches Doku- ment vorhanden war. Departemente und Bundesämter Aufgrund der von den Ämtern vorge- legten Zahlen stellt der Beauftragte fest, dass das BAG im Jahr 2018 am meisten Gesuche erhalten hat (42), gefolgt vom BAV (27) und von Swiss- medic (24). Die Departemente mit den meisten eingegangenen Gesuchen sind das EDA (156) und das EDI (112). 16 Behörden meldeten dagegen, dass bei ihnen im Laufe des Jahres 2018 kein einziges Gesuch eingereicht wor- den sei. Im selben Zeitraum gingen beim EDÖB selber sieben Gesuche ein. Er gewährte in vier Fällen den voll- ständigen und in einem Fall einen teilweisen Zugang, ein Fall ist noch hängig und im letzten Fall war kein Dokument vorhanden. 2009201020112012201320142015201620172018 0 100 200 300 400 500 600 Rückzughängigkein amtliches Dokument vorhanden Zugang teilweise gewährt / aufgeschobenZugang verweigert Total Gesuche Zugang gewährt
6766 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter ÖffentlichkeitsprinzipÖffentlichkeitsprinzip 26. Tätigkeitsbericht 2018/19 2018 wurden bei 17 Zugangsgesuchen Gebühren erhoben, was 2.6 Prozent aller eingegangen Gesuche (gegenüber 1,9 Prozent im Jahr 2017) entspricht. Es ist anzumerken, dass nur acht Behörden Gebühren verlangt haben. Die Gesamtsumme der für den Zugang zu Dokumenten erhobenen Gebühren beläuft sich auf 13 358 Schweizer Franken. Dieser Betrag ist zwar höher als im Jahr 2017 (CHF 6160), liegt aber im Vergleich zu den Vorjahren weiterhin in der Norm (2016: CHF 22 700, 2015: CHF 13 663). Wie in den früheren Jahren bildete die Erhe- bung einer Gebühr die Ausnahme; in fast 98 Prozent der Fälle wurde darauf verzichtet. Während die Bundeskanz- lei, das EJPD, das EDA und das EFD keinerlei Gebühren erhoben haben, stellten die übrigen vier Departemente den Gesuchstellern ihre Arbeitszeit bei einzelnen Fällen in Rechnung. Der grösste Teil der Gebühren entfiel auf das EDI (CHF 10 900 für acht Gesu- che) und das UV EK (CHF 1300 für drei Gesuche). Bezüglich der Verbuchung der für die Behandlung der Gesuche aufge- wendeten Arbeitszeit weist der EDÖB erneut darauf hin, dass die Behörden nicht verpflichtet sind, sie zu registrie- ren, und dass es in der Bundesverwal- tung keine Richtlinie für eine einheit- liche Erfassung gibt. Die dem EDÖB gelieferten Angaben erfolgen auf frei- williger Basis und geben die für die Behandlung der Gesuche aufgewen- dete Arbeitszeit nicht vollständig wie- der. Gemäss diesen Angaben nahm die aufgewendete Arbeitszeit im Vergleich zum Vorjahr um 63 Prozent zu (2018: 4827 Stunden; 2017: 2968 Stunden). Diese Steigerung lässt sich auf eine im Vergleich zu den Vorjahren höhere Anzahl Zugangsgesuche zurückführen. Jedoch ging die für die Vorbereitung der Schlichtungssitzungen aufgewen- dete Arbeitszeit deutlich zurück (2018: 672 Stunden; 2017: 914 Stun- den; 2016: 857 Stunden). Die für den Erlass einer Verfügung oder für ein Beschwerdeverfahren aufgewendete Arbeitszeit wurde in den meisten Fäl- len dem EDÖB nicht mitgeteilt. Parlamentsdienste Die Parlamentsdienste meldeten uns für 2018 drei Zugangsgesuche. In zwei Fällen wurde der Zugang vollständig verweigert, und im dritten Fall gab es keine amtlichen Dokumente. Bundesanwaltschaft Laut Mitteilung der Bundesanwalt- schaft gingen bei ihr acht Gesuche ein; der Zugang wurde in drei Fällen voll- ständig gewährt, in zwei Fällen voll- ständig verweigert. Von den verblei- benden Fällen sind zwei noch hängig, und in einem Fall waren keine amtli- chen Dokumente vorhanden. Schlichtungsanträge Im Jahr 2018 wurden 76 Schlich- tungsanträge beim Beauftragten ein- gereicht, drei weniger als 2017 (79), darunter nahezu gleich viele von Privatpersonen (26) wie von den Medienschaffenden (24). Diese Zahlen lassen folgende Schlüsse und Bemerkungen zu: in 212 Fällen verweigerte die Bundesverwal- tung den Zugang vollständig (62) oder teilweise (119), oder sie konnte den Zugang in Ermangelung der Doku- mente nicht gewähren (31). Diese Angaben sind in Beziehung zu den 76 beim Beauftragten eingegangenen Schlichtungsanträgen zu setzen. 36 Prozent der teilweise oder vollstän- dig verweigerten Zugangsgesuche waren Gegenstand eines Schlichtungs- antrags (gegenüber 37 Prozent im Jahr 2017). Insgesamt konnten im Berichtsjahr 64 Schlichtungsverfahren abgeschlos- sen werden. Davon stammen 61 Anträge aus dem Berichtsjahr selbst und drei aus 2017. In 26 Fällen konnte zwischen den Beteiligten eine Eini- gung erzielt werden. In 22 Fällen, in denen eine einvernehmliche Lösung nicht möglich war, erliessen wir Empfehlungen. Drei Schlichtungs- anträge wurden zurückgezogen und in sechs Fällen waren die Vorausset- zungen für die Anwendung des Öffentlichkeitsgesetzes nicht gegeben. In weiteren sechs Fällen wurde der Schlichtungsantrag nicht fristgerecht eingereicht. 0 2009200820072006201020112012201320142015201620172018 5 000 10 000 15 000 20 000 25 000 CHF
6968 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter ÖffentlichkeitsprinzipÖffentlichkeitsprinzip 26. Tätigkeitsbericht 2018/19 2.3 Schlichtungsverfahren – hoher Anteil einvernehmlicher Lösungen Wie im letzten Tätigkeitsbericht erwähnt, war im Jahr 2017 ein Pilot- versuch durchgeführt worden, um die Schlichtungsverfahren zu beschleuni- gen. Die Gesuche wurden mehrheit- lich in mündlichen Schlichtungsver- fahren in Anwesenheit der betroffenen Personen und Behörden behandelt. Kam in der Verhandlung keine Eini- gung zustande, wurde den Parteien eine schriftliche Empfehlung mit einer summarischen Begründung zugestellt. Da die getroffenen Massnahmen die erwünschte Beschleunigung des Verfahrens brachten, wurde die neue Methode ab Januar 2018 in den ordentlichen Betrieb überführt. Die drei folgenden Kapitel veranschauli- chen die Ergebnisse des Pilotversuchs von 2017 im Vergleich zu den Zahlen von 2018. Dauer der Schlichtungs- verfahren In Tabelle 1 wurden die Schlichtungs- verfahren aufgrund der für die Erledi- gung erforderlichen Zeit in drei Kate- gorien unterteilt: gesetzliche Frist von 30 Tagen eingehalten, Bearbeitungs- dauer zwischen 31 und 99 Tagen, Bearbeitungsdauer länger als hundert Tage. Die mittlere Dauer der Behand- lung der in den Jahren 2014 bis 2016, 2017 und 2018 gestellten Schlich- tungsanträge wurde in den oben genannten Kategorien prozentmässig angegeben. Bei der Berechnung der Bearbeitungsdauer eines Schlich- tungsverfahrens wird die Dauer einer allfälligen Sistierung nicht beachtet. Wie bereits während des Pilotver- suchs konnte auch im Berichtsjahr die Bearbeitungsdauer im Vergleich zu den Vorjahren verkürzt werden. Die gesetzliche Frist von dreissig Tagen wurde bei der Hälfte der Schlichtungs- verfahren (32 von 64) eingehalten. In keinem Fall betrug die Bearbeitungs- dauer mehr als hundert Tage. Die Überschreitung der gesetzlichen Frist von dreissig Tagen war häufig der Abwesenheit der betroffenen Personen oder Behörden infolge Ferien, Krank- heit oder Reisen, der grossen Zahl der am Verfahren beteiligten Drittperso- nen oder der Komplexität der rechtli- chen Fragestellung zuzuschreiben. Hinzuzufügen ist auch, dass die oben erwähnten Gründe oft einen erhebli- chen Mehraufwand verursachen und dass in diesem Fall der Beauftragte gemäss Artikel 12a der Verordnung über das Öffentlichkeitsprinzip er Verwaltung (VBGÖ; SR 152.31) die ordentliche Frist angemessen verlän- gern kann. Der Beauftragte stellt aber fest, dass die Bearbeitungsdauer inner- halb von 30 Tagen im Vergleich zu 2017 konstant bleibt. Anteil einvernehmlicher Lösungen Um die Auswirkungen der Überfüh- rung des Pilotversuchs in das ordentli- che Verfahren abzuschätzen, wurden die drei oben definierten Kategorien bzw. Zeiträume analysiert. Der erste betrifft die Periode von 2013 bis 2016, der zweite das Jahr der Durchführung des Pilotversuchs (2017) und der dritte das Jahr der konkreten Umset- zung des Pilotversuchs (2018). Der Beauftragte stellt fest, dass die Steigerung des Anteils einvernehmli- cher Lösungen im Vergleich zu den Empfehlungen konstant geblieben ist und dass somit die positiven Aus- wirkungen des Pilotversuchs von 2017 auch 2018 weiter andauerten. Die Durchführung der mehrheitlich mündlichen Schlichtungspraxis führte im Vergleich zu den Vorjahren zu einer signifikanten Zunahme der einver- nehmlichen Lösungen. Zur Information: Sämtliche Emp- fehlungen werden auf der Website des Beauftragten publiziert und sind dort jederzeit abrufbar. Anzahl hängiger Fälle Am Ende des Pilotversuchs (2017) waren nur drei Verfahren hängig (gegenüber 33 im Jahr 2016). Ende 2018 waren noch 15 Fälle hängig, wobei zehn Schlichtungsanträge im Dezember gestellt worden waren. Es ist anzumerken, dass bereits im Feb- ruar 2019 dreizehn dieser Verfahren erledigt und zwei sistiert worden sind. Eine Sistierung des Schlichtungsver- fahrens erfolgt, wenn eine Behörde insbesondere nach der Schlichtungs- sitzung ihre Stellungnahme erneut überprüfen möchte oder wenn sie betroffene Dritte anhören muss. Obwohl die Anzahl hängiger Ver- fahren im Vergleich zum Vorjahr gestiegen ist, stellt der Beauftragte fest, dass es sich nicht um einen Leistungs- abfall, sondern um einen statistischen Zufall handelt, da zahlreiche Schlich- tungsanträge im Dezember einge- reicht wurden. Der Rückgang der hän- gigen Fälle gegenüber den früheren Jahren ist demnach weiterhin offen- kundig. Tabelle 1: Bearbeitungsdauer Schlichtungsverfahren Bearbeitungsdauer in Tagen Zeitraum 2014 – August 2016* Pilotphase 2017Pilotphase 2017 innert 30 Tagen11 %59 %50 % zwischen 31 und 99 Tagen45 %37 %50 % mehr als 100 Tage44 %4 %0 %
7170 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter ÖffentlichkeitsprinzipÖffentlichkeitsprinzip 26. Tätigkeitsbericht 2018/19 2.4 Ämterkonsultation und weitere Stellungnahmen Totalrevision des Bundesge- setzes über das öffentliche Beschaffungswesen Das Parlament hat eine umfassende Revision des Bundesgesetzes über das öffentliche Beschaffungswesen bera- ten. Der Vorschlag des Bundesrates, das Öffentlichkeitsprinzip im Beschaf- fungswesen vollständig aufzuheben, wurde verworfen. Der Beauftragte hat sich in der zuständigen Kommission und in den Medien dezidiert gegen dieses Vorhaben gewandt. Ausschreibungen und Zuschläge des Bundes werden auf der Beschaffungs- plattform simap.ch publiziert. Zu den Beschaffungsunterlagen besteht wäh- rend des Vergabeverfahrens kein Ein- sichtsrecht. Die Unterlagen werden gemäss Öffentlichkeitsgesetz erst nach Abschluss des Verfahrens auf Gesuch hin einsehbar (s. auch 24. Tätigkeits- bericht 2016/17, Ziffer 2.3.2). Das Parlament hat die Vorlage im Lauf des Jahres 2018 beraten und die geplante Sonderregelung abgelehnt. Damit bleiben die Beschaffungsunter- lagen mit Ausnahme von wettbe- werbsrelevanten Inhalten wie bis anhin dem Öffentlichkeitsgesetz unterstellt und damit grundsätzlich zugänglich. Unternehmen, Medien und Bevölkerung können somit wei- terhin überprüfen, wie die Behörden bei der Beschaffung von Gütern und Dienstleistungen mit Steuergeldern umgehen. Zudem soll mit der Umset- zung der parlamentarischen Motion 14.3045 in der Beschaffungsverord- nung eine Regelung eingeführt wer- den, die vorsieht, dass alle Beschaffun- gen mit einem Vertragsvolumen ab CHF 50 000 mindestens einmal jähr- lich publiziert werden. Insgesamt wird die Transparenz mit der Revision somit gestärkt. Die Vorlage befindet sich zurzeit im Stadium der parlamentarischen Differenzbereinigung, wovon die Transparenzbestimmungen jedoch nicht betroffen sind. Ämterkonsultation zur Genehmigung von Tarif- strukturen in der Kranken- versicherung Das Bundesamt für Gesundheit wollte eine Ausnahme vom Zugangsrecht zu Dokumenten der zwei Ämterkonsulta- tionsverfahren zu Tarifgenehmigungen einführen. Der Beauftragte hat sich erfolgreich dagegen ausgesprochen. Der Bundestrat genehmigt regelmässig Tarifstrukturen im Bereich der statio- nären Spitalbehandlung. Im Berichts- jahr wurden dem Bundesrat vom Bun- desamt für Gesundheit (BAG) zwei solche Genehmigungsanträge im Psy- chiatriebereich vorgelegt. Darin hat das BAG vorgeschlagen, dass sämtli- che in die Ämterkonsultation geschickten Berechnungsgrundlagen der betroffenen Tarifstrukturen nach der Genehmigung durch den Bundes- rat vom Zugangsrecht nach dem Öffentlichkeitsgesetz ausgeschlossen bleiben, um Geschäftsgeheimnisse der Akteure zu schützen. Das Bundesamt stützte seine Argumentation auf eine Bestimmung des Öffentlichkeitsgeset- zes, wonach «amtliche Dokumente des Ämterkonsultationsverfahrens» ausnahmsweise auch nach dem Ent- scheid des Bundesrates nicht zugäng- lich bleiben. Wir haben im Rahmen der Konsulta- tionen jeweils beantragt, auf diese Regelung zu verzichten, da die in Frage stehenden Unterlagen vor Beginn des Ämterkonsultationsverfahrens erstellt bzw. dem BAG eingereicht wurden und somit aus diesem Grund schon gar keine «amtlichen Dokumente des Ämterkonsultationsverfahrens» dar- stellen. Die Voraussetzungen für einen endgültigen Ausschluss vom Öffent- lichkeitsgesetz waren somit nicht erfüllt. Hinzu kommt, dass das Öffentlichkeitsgesetz bereits eine spe- zifische Bestimmung für den Schutz von Geschäftsgeheimnissen der Unternehmen kennt. Das BAG hat in der Folge auf die Sonderregelung ver- zichtet.
Der EDÖB
7574 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Der EDÖBDer EDÖB 26. Tätigkeitsbericht 2018/19 3.1 Aufgaben und Ressourcen Leistungen und Ressourcen im Bereich Datenschutz Personalbestände Seit 2005 hat der Personalbestand für den Vollzug des Datenschutzgesetzes (DSG) zwischen zwanzig und 24 Mit- arbeitenden fluktuiert. Die Schwan- kungen erklären sich zum einen damit, dass 2006 das Öffentlichkeitsgesetz (BGÖ) in Kraft trat. Da die dafür vor- gesehenen Stellen vom Bundesrat nie bewilligt wurden, musste unsere Behörde auf das bereits bestehende Personal des EDÖB und teilweise auf Mittel der Bundeskanzlei zurückgrei- fen. Zum anderen konnten die mit dem Beitritt zum Abkommen von Schengen und Dublin sowie dem Erlass von Spezialgesetzen im Gesund- heitsbereich bewilligten zusätzlichen Stellen infolge allgemeiner Sparvorga- ben nie im vollen Umfang rekrutiert werden. In seiner Botschaft zur Totalrevision des DSG hat der Bundesrat dem EDÖB die Schaffung zusätzlicher Mittel im Umfang von zehn Stellen in Aussicht gestellt (BBl 2017 7172). Aufgrund des schwer vorhersehbaren Abschlus- ses der parlamentarischen Arbeiten zur Totalrevision (vgl. Ziff. I) ist zur- zeit nicht absehbar, ob und wann zusätzliche Stellen rekrutiert werden können. Nachdem mit dem neuen Bundesgesetz über die Umsetzung der Schengen Richtlinie (EU) 2016/680 ein Teilaspekt der Totalrevision vor- weggenommen wurde und per 1. März 2019 in Kraft getreten ist, sieht sich unsere Behörden bezüglich der beson- ders sensiblen Bearbeitung von Perso- nendaten im Polizeibereich mit zusätzlichen Aufgaben und Befugnis- sen betraut (vgl. Ziff. 1.2). Ob der Bun- desrat dem EDÖB dafür die beantrag- ten, zusätzlichen Mittel zusprechen wird, stand zur Zeit der Drucklegung dieses Berichts noch nicht fest. Leistungen Die Aufgaben des EDÖB als für die Bundesorgane und die Privatwirt- schaft zuständige Datenschutzbehörde werden gemäss dem Neuen Führungs- modell Bund (NFB) den vier Leis- tungsgruppen Beratung, Aufsicht, Information und Gesetzgebung zuge- wiesen. Im Berichtsjahr vom 1.4.2018 bis 31.3.2019 wurden die beim EDÖB für den Datenschutz einsetzbaren Personalressourcen wie folgt auf diese Gruppen aufgeteilt: Beratung Wie im Eingangskapitel «Aktuelle Herausforderungen und Schwer- punkte» dargelegt, sieht sich der EDÖB im Leistungsbereich der Bera- tung, aufgrund der Notwendigkeit immer umfangreichere und komple- xere Projekte zu begleiten, mit einer weiter anwachsenden Nachfrage kon- frontiert. In der Berichtsperiode hat sich der Anstieg der für die Beratung aufgewendeten personellen Mittel weiter auf 53,9 Prozent erhöht. Gemäss dem Kontrollplan des EDÖB für das Jahr 2019 ist die beratende Begleitung von elf grossen Projekten im Gang. Da die Mittel des EDÖB bisher weder an die gestiegenen technologischen Risiken der Re-Identifikation und zweckwidrigen Datenabflüsse noch an die übrigen Herausforderungen der Digitalisierung angepasst wurden, kann er die gestiegene Nachfrage nach beratender Projektbegleitung nach wie vor nicht in der gewünschten Tiefe und Zeit erfüllen. In der Berichtspe- riode haben die drei Teams des Direk- tionsbereichs Datenschutz insgesamt monatlich rund achtzig Anfragen und Anzeigen von Bürgerinnen und Bür- gern mit einem Standardschreiben beantwortet, das die Betroffenen auf den zivilprozessualen Weg verweist. Zudem musste unsere Behörde bei anderen Posten in der Leistungs- gruppe Beratung, wie der internatio- nalen Zusammenarbeit, Abstriche machen. Da sich Big Data und «künst- liche Intelligenz» in immer mehr Bran- chen als Geschäftsmodell durchsetzen und die technologischen Datenschutz- risiken den Aufsichtsbereich des EDÖB weiter ausdehnen, ist wie in den Vorjahren von einer weiter stei- genden Anzahl von umfangreichen Datenbearbeitungsprojekten bei Staat und Wirtschaft auszugehen. Aufsicht Aufgrund der Dynamik von Cloud- gestützten Applikationen müssen Kontrollen heute rasch durchgeführt werden. Diese Beschleunigung sowie die immer wichtiger werdende Kom- bination von juristischem und techni- schem Fachwissen schliessen längere Unterbrüche bei den Sachverhaltsklä- rungen aus, sodass umfassendere Kon- trollen von mehreren Mitarbeitenden betreut werden müssen. Die aktuellen Personalbestände setzen wie bereits mehrfach ausgeführt der Dichte der Kontrollen enge Grenzen. Im Jahr 2018 wurden für die Aufsichtstätig- keit rund zwölf Prozent der Personal- ressourcen aufgewendet, was deutlich unter dem langjährigen Mittelwert von rund zwanzig Prozent lag. In der aktuellen Berichtsperiode konnte der Anteil wieder auf rund 15 Prozent angehoben werden, was dem Stand der Periode von 2016/17 entspricht. Gemäss Kontrollplan für das Jahr 2019 werden mit diesen Mitteln noch zwölf umfassendere Kontrollen bestritten. Im Vergleich zu der Anzahl von rund 12 000 grossen und mittleren Unter- nehmen in der Schweiz erweist sich die aktuelle Kontrolldichte nach wie vor als tief. Für den Beauftragten bleibt es schwierig, seine ressourcenbedingte Zurückhaltung bei der Eröffnung for- meller Sachverhaltsabklärungen gegenüber Medien und Konsumenten- schutzorganisationen zu vermitteln. Tabelle 4: Für DSG- Belange einsetzbare Stellen 200522 201023 201824 201924 Tabelle 5: Leistungen Datenschutz Beratung Private21,1 % Beratung Bund21,3 % Zusammenarbeit mit Kantonen 2,1 % Zusammenarbeit mit ausl. Behörden 9,8 % Total Beratung54,3 % Aufsicht14,1 % Zertifizierung0,2 % Register Datensammlung 0,7 % Total Aufsicht15,0 % Information17,6 % Ausbildung/ Referate 5,0 % Total Information22,6 % Gesetzgebung8,1 % Total Gesetzgebung8,1 % Total Datenschutz100,0 % Tabelle 6: Beratungen in umfangreicheren Projekten für 2018 Verkehr2 Finanzen1 Gesundheit und Arbeit3 Sicherheit2 Telekom / Internet of Things (IOT)3 Die Schweiz sieht sich nach der letzten Evaluation durch die EU damit konfrontiert, dass die Datenschutz aufsicht des Bundes die Personendaten bearbeitungen in den schengenrelevanten Datenbanken häufiger kontrol lieren und dafür mit ausreichenden Ressourcen ausge stattet werden sollte (vgl. Ziff. 1.2, Schwerpunkt Schengen).
7776 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Der EDÖBDer EDÖB 26. Tätigkeitsbericht 2018/19 Gesetzgebung Die vom Bundesrat in der Einleitung seiner Botschaft zur Totalrevision des DSG als «rasant» bezeichnete techno- logische Entwicklung (BBl 2017 6943) findet auch bei der Personen- datenbearbeitung durch die Bundes- organe ihren Niederschlag, die nur auf der Basis gesetzlicher Grundlagen zulässig ist. Diese zieht demzufolge eine Vielzahl von neuen Bearbeitungs- vorschriften im Bundesrecht nach sich, zu denen der EDÖB in diversen Kon- sultationsverfahren Stellung beziehen muss. Der diesbezügliche Aufwand ist in den letzten zehn Jahren deutlich angestiegen, was ebenfalls zum weite- ren Absinken der Kontrolldichte bei- getragen hat. Zwar ist es uns in der Berichtsperiode gelungen, diesen Trend zu stoppen. Angesichts unserer knappen Mittel, sahen wir uns jedoch gezwungen, unsere Stellungnahmen im Rahmen von Konsultation zuneh- mend summarisch zu begründen sowie unsere Leistungen in anderen Aufgabenbereichen zu kürzen. Totalrevision des DSG Wie vorne dargelegt wurde, haben sich zeitgemässe Arbeitsinstrumente – wie die Datenschutz-Risikofolgenabschät- zung – in der Praxis der digitalen Reali- tät herausgebildet. Sie sind denn auch bei der Betreuung von digitalen Gross- projekten (s. Tabelle oben) für unsere Behörde zum Alltag geworden. Zur rechtssicheren Konsolidierung dieser Arbeitsinstrumente und der damit einhergehenden Aufsichtstätigkeit des EDÖB ist es unabdingbar, dass diese nicht nur in der DSGVO, sondern auch im schweizerischen Daten- schutzrecht verankert werden, wie dies der Bundesrat in seiner Vorlage zur Totalrevision des DSG denn auch vorsieht. Da momentan nicht absehbar ist, wann der in der Botschaft in Aus- sicht gestellte Stellenausbau erfolgen kann, muss unsere Behörde die neuen Arbeitsinstrumente mit den bestehen- den Personalressourcen so pragma- tisch wie möglich umsetzen. Dienststellenbesuche und Anhörungen durch die Geschäfts- prüfungskommissionen Anlässlich des Dienststellenbesuchs der Subkommission EJPD/BK der Geschäftsprüfungskommission des Ständerats im 2018 präsentierten wir die Ergebnisse des Pilotversuchs «Beschleunigung Schlichtungsverfah- ren». Am 11. April 2019 schliesslich konnten wir die Subkommission bei einer Anhörung nunmehr über die erfolgreiche Überführung des Pilot- versuchs in den ordentlichen Betrieb informieren. Bemessungskriterien Ob dem EDÖB mit Blick auf die im Berichtsjahr hinzugekommenen Auf- gaben und die Resultate der letzten Schengen-Evaluation zusätzliche Res- sourcen zugesprochen werden, liegt in der Verantwortung der politischen Behörden, denen bei der Einschätzung aktueller und künftiger Entwicklun- gen der Digitalisierung und deren Auswirkungen auf die Tätigkeit unse- rer Behörde ein erheblicher Ermes- sensspielraum bleibt. Kernaufgabe des EDÖB ist der Schutz der Privatsphäre und die Gewährleistung des Rechts auf infor- mationelle Selbstbestimmung in der digitalen Gesellschaft. Der EDÖB muss unabhängig handeln können. Dies erfordert angemessene und aus- reichende personelle, materielle, tech- nische und finanzielle Ressourcen, welche die Aufsichtsbehörde nicht darauf beschränken, reaktiv das Unab- dingbare zu erledigen, sondern ihr die Initiative zum Handeln ermöglichen – und zwar mit einem Mass an Glaub- würdigkeit und Intensität, welches die betroffene Öffentlichkeit zum Schutz ihrer Grundrechte vernünftigerweise erwarten darf. Mit Blick auf die einzelnen Leis- tungsgruppen ergeben sich somit fol- gende, für die Bemessung der Mittel wegleitende Wirkungsziele: Leistungen und Ressourcen im Bereich Öffentlichkeits- gesetz Die Einheit BGÖ, wo unverändert 3,6 Stellen eingesetzt werden, ist nach Durchführung eines einjährigen Ver- suchs zu einem beschleunigten und summarischen Verfahren übergegan- gen, das sich dadurch charakterisiert, dass in der Regel mündliche Schlich- tungsverhandlungen durchgeführt werden. Dieses Verfahren bewährt sich weiterhin, indem der Anteil der ein- vernehmlich abgeschlossenen Schlich- tungen nach wie vor hoch und die Überschreitung der gesetzlichen Fris- ten im Wesentlichen auf prozessual und inhaltlich komplexe Fälle beschränkt werden konnten. Bei einem Anstieg der Zahl der Schlich- tungsanträge, mehreren Anträgen innert eines kurzen Zeitraums und personellen Vakanzen kommt es indes rasch zu Arbeitsrückständen. Tabelle 7: Wirkungsziele EDÖB LeistungsgruppeWirkungsziele BeratungDer EDÖB entfaltet eine erwartungsadäquate Präsenz für die Beratung von Privatpersonen sowie die Begleitung von datenschutzsensiblen Projekten der Wirtschaft und der Bundesbehörden unter Anwendung digitalisierungstauglicher Arbeitsinstrumente. AufsichtDer EDÖB entfaltet eine glaubwürdige Dichte an Kontrollen. InformationDer EDÖB sensibilisiert die Öffentlichkeit proaktiv für technologie- und anwendungsbezogene Risiken der Digitalisierung. GesetzgebungDer EDÖB nimmt rechtzeitig und aktiv Einfluss auf alle datenschutzrelevanten Spezialnormen und Regelwerke, die auf nationaler und internationaler Ebene geschaffen werden. Er unterstützt die interessierten Kreise bei der Formulierung von Regeln der guten Praxis.
7978 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Der EDÖBDer EDÖB 26. Tätigkeitsbericht 2018/19 3.2 Kommunikation Rege Sensibilisierungs- tätigkeit und grosse mediale Aufmerksamkeit Der EDÖB strebt eine wahrnehmbare Sensibilisierung für die Themen des Datenschutzes und des Öffentlich- keitsprinzips an. Die Formen des Dia- loges mit der Bevölkerung sollen wei- ter verstärkt werden. Zentrales Ele- ment der Kommunikation bleibt die Website – sie wird täglich von rund 2000 Personen besucht. Das gesteigerte Interesse der Öffentlichkeit am Wirken des EDÖB hat sich im Berichtsjahr bestätigt. Die mediale Aufmerksamkeit manifes- tierte sich in zahlreichen Stellungnah- men des Beauftragten wie auch seines Stellvertreters und des Mediendiens- tes. In den vom EDÖB beobachteten Medien erschienen rund 3000 Bei- träge und Artikel, die sich vorwiegend mit Datenschutzfragen befassten, aber auch das Öffentlichkeitsprinzip in der Verwaltung thematisierten. Insgesamt haben wir über 400 Medienanfragen bearbeitet. Bürger/innen und Unter- nehmen nutzten Mail, den Postweg oder die telefonische Hotline, um ihre Anliegen und Fragen bei unseren Fach- leuten anzubringen – insgesamt ver- zeichneten wir über diese Kanäle gegen 3500 Eingänge. Diese Zahl ist als Richtgrösse zu betrachten, da wir im Berichtsjahr das Geschäftsverwal- tungssystem abgelöst haben. Auch nahm der Beauftragte bei rund vierzig Veranstaltungen als Referent oder Podiumsteilnehmer teil. Unter den Veranstaltern befanden sich Ver- bände und Vereine, Bildungsinstitu- tionen, Behörden oder Unternehmen sowie Organisationen im Umfeld der Digitalisierung. Im Chat des SRF-The- menabends Dataland vom 21. Novem- ber 2018 hat er ebenfalls mitgewirkt. Weiter nahm der EDÖB am zweiten Schweizer Digitaltag teil und veröf- fentlichte im Vorfeld ein Video, das die Wirtschaft aufforderte, im Rah- men ihrer digitalen Projekte in daten- schutzfreundliche Technologien zu inves tieren. Datenschutzbehörden von Bund und Kantonen traten am Internationalen Datenschutz- tag gemeinsam auf Der Internationale Datenschutztag wird auf Initiative des Europarates seit 2007 jedes Jahr am 28. Januar durchge- führt. Er hat zum Ziel, das Bewusst- sein der Bürgerinnen und Bürger für den Schutz der Privatsphäre und das Recht auf informationelle Selbstbe- stimmung zu stärken und eine nach- haltige Verhaltensänderung im Umgang mit neuen Technologien zu bewirken. Der EDÖB und die kantonalen Datenschutzbehörden informierten an einer Medienorientierung in Bern gemeinsam über die datenschutzrecht- lichen Aspekte im Kontext der Wah- len sowie die Datenschutzrisiken einer systematischen Verwendung der AHV-Nummer. Ausserdem sensibili- sierten wir die Öffentlichkeit für die bevorstehende Inkraftsetzung des Schengen-Datenschutzgesetzes und die nötig werdende Verstärkung der Datenschutzaufsicht von Bund und Kantonen über die Polizei. Diverse Leitfäden und Empfehlungen publiziert Im Berichtsjahr erstellte der Beauf- tragte diverse umfassendere Publika- tionen und machte diese zugänglich. • So haben wir einen Leitfaden zur EU-Datenschutzgrundverordnung (DSGVO) aufgeschaltet, bevor diese am 25. Mai 2018 in Kraft getreten war. Erste Guidelines zur DSGVO seitens EU-Behörden wurden Ende 2018 ebenfalls publiziert und vom EDÖB auf Twitter geteilt. • Damit Kinder und Jugendliche für den sicheren Umgang mit den neuen Medien sensibilisiert werden, haben wir – mit Unterstützung des Bundesamts für Sozialversicherun- gen BSV – per Anfang August 2018 unser Lehrmittel vollständig erneu- ert. Es richtet sich an Lehrpersonen für den Unterricht mit 13- bis 19-jährigen Schüler/innen und ist in den drei Landessprachen auf unserer Website verfügbar. • Im Dezember 2018 hat der EDÖB gemeinsam mit den kantonalen Datenschutzbehörden (Privatim) einen Leitfaden zu Wahlen und Abstimmungen in den Sprachen Deutsch, Französisch, Italienisch und Englisch veröffentlicht. • Im Januar 2019 haben wir erläu- ternde Informationen zum Schen- gen-Datenschutzgesetz aufgeschal- tet, bevor dieses am 1. März 2019 in Kraft trat. • Auf der Website des EDÖB publi- zierten wir 18 Empfehlungen betreffend das Öffentlichkeitsprin- zip. Im Bereich Datenschutz waren es deren zwei. Weiter haben wir diverse Merkblätter und Leitfäden aktualisiert wie bspw. jene zu Dash- cams oder der Datenübermittlung ins Ausland. Mit der bei uns verlinkten interaktiven Plattform Think Data konnten wir ein breiteres Publikum für den Daten- schutz bzw. mehr Transparenz sensi- bilisieren. Anhand von konkreten Szenarien werden hier datenschutz- rechtliche Empfehlungen abgegeben. Think Data ist ein Projekt einer inter- disziplinären Arbeitsgruppe (Think- services), an dem der EDÖB mitge- wirkt hat und es heute noch unter- stützt. Die Publikation des jährlichen Tätigkeitsberichts erfolgt erstmals auch vollumfänglich in den Sprachen Italienisch und Englisch. Zudem haben wir die Lesefreundlichkeit auf den Ebe- nen Layout und Text verbessert. Um einen Schritt Richtung digitales Publi- shing zu gehen, wurde der Bericht erstmals auch als e-Paper herausge- geben. Website nach wie vor wichtigster Kanal unserer Kommunikation Die Webseite ist der zentrale Kommu- nikationskanal des EDÖB. Wir zählen jährlich 480 000 Besucher/innen oder rund 2000 an einem Arbeitstag. Zwei von fünf Besuchern kommen aus dem Ausland – mehrheitlich aus europäi- schen Staaten, aber auch aus Übersee oder Asien. Die Inhalte sind in der Regel in den drei Sprachen Deutsch, Französisch und Italienisch abrufbar – Inhalte, die für ausländische Nutzerin- nen und Nutzer relevant sind, auch in Englisch. Es ist vorgesehen, den Web- auftritt schrittweise zu optimieren: Er soll einfacher und visueller aufbereitet werden und den Nutzern vermehrt Dialogformate anbieten. Unter @derBeauftragte kommuni- zieren wir zudem via den Microblog Twitter. Ziel ist es, unseren Followern den raschen Zugang zu relevanten Informationen zu erleichtern und Teil der am Datenschutz interessierten Community zu sein. Auf die Nutzung anderer Social Media Plattformen wurde aufgrund unserer knappen Res- sourcen, teilweise aber auch aus ande- ren Gründen verzichtet.
8180 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Der EDÖBDer EDÖB 26. Tätigkeitsbericht 2018/19 Aufwand nach Sachgebiet 3.3 Statistiken Statistiken über die Tätigkeiten des EDÖB vom 1. April 2018 bis 31. März 2019 (Datenschutz) Aufwand nach Aufgabengebiet Mehrjahresvergleich Aufwand (Angaben in Prozent) Beratung Aufsicht Information Gesetzgebung 0 20092010201120122013201420152016201720182019 10 20 30 40 50 60 Aufsicht Bund (Art. 27 DSG) Aufsicht Private (Art. 29 DSG) Ausbildung/Referate Beratung Bund Beratung Private Gesetzgebung Information Informationspflicht Prüfungsgesuch Register der Datensammlungen Schlichtungsverfahren Zertifizierung Zs.arbeit mit ausl. Behörden Zs.arbeit mit Kantonen 0 %5 %10 %15 %25 %20 % 0 %5 %10 %15 %25 % Arbeitsbereich Datenschutzfragen allgemein Finanzwesen Gesundheit Grundrechte Handel & Wirtschaft InfoKommTech (IKT) Justiz, Polizei & Sicherheit Öffentlichkeitsprinzip Statistik & Forschung Verkehr Versicherungen Verteidigung Zertifizierungen 20 %
8382 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Der EDÖBDer EDÖB 26. Tätigkeitsbericht 2018/19 Statistiken über eingereichte Zugangsgesuche nach Öffentlichkeitsgesetz vom 1. Januar 2018 bis am 31. Dezember 2018 Bundeskanzlei BK BK18944001 EDÖB7401011 Total251345012 Eidg. Departement für Auswärtige Angelegenheiten EDA EDA156107228685 Total156107228685 Eidg. Departement des Inneren EDI GS EDI0000000 EBG2011000 BAK7213100 BAR6600000 METEO CH0000000 NB0000000 BAG42154112100 BFS5131000 BSV11701111 BLV15814011 SNM0000000 SWISS MEDIC24923280 SUVA0000000 Total1124812246202 Eidg. Finanz- departement EFD GS231272002 ISB3102000 EFV0000000 EPA1100000 ESTV7320011 EZV6310110 BBL6500010 BIT0000000 EFK19573004 SIF0000000 PUBLICA0000000 ZAS3201000 Total6832178137 Betroffener FachbereichAnzahl GesucheZugang vollständig gewährtZugang vollständig verweigertZugang teilweise
gewährt /aufgeschobenZugangsgesuch zurückgezogenZugangsgesuch hängigkein amtliches Dokument vorhanden Eidg. Justiz- und Polizei departement EJPD GS EJPD5300002 BJ3300000 FEDPOL4310000 METAS2200000 SEM13712012 Dienst ÜPF1100000 SIR1100000 IGE0000000 ESBK1100000 ESchK2110000 RAB0000000 ISC1100000 NKVF0000000 Total332332014 Eidg. Departement für Umwelt, Verkehr, Energie und Kommunikation UVEK GS5410000 BAV2710015200 BAZL6203001 BFE121110000 ASTRA6500010 BAKOM10403003 BAFU10301033 ARE3110001 ComCom1001000 ENSI201012610 PostCom3300000 UBI2200000 Total10555425858 Betroffener FachbereichAnzahl GesucheZugang vollständig gewährtZugang vollständig verweigertZugang teilweise gewährt /aufgeschoben Zugangsgesuch zurückgezogenZugangsgesuch hängig kein amtliches Dokument vorhanden
8584 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Der EDÖBDer EDÖB 26. Tätigkeitsbericht 2018/19 Statistiken über eingereichte Zugangsgesuche nach Öffentlichkeitsgesetz vom 1. Januar 2018 bis am 31. Dezember 2018 Eidg. Departement für Verteidigung, Bevölkerungsschutz und Sport VBS GS VBS6501000 Verteidig./ Armee 14604130 NDB9222120 armasuisse6400020 BASPO4300010 BABS2200000 swisstopo0000000 OA0000000 Total412227280 Eidg. Departement für Wirtschaft, Bildung und Forschung WBF GS6321000 SECO12434001 SBFI11830000 BLW17436112 BWL2101000 BWO0000000 PUE6501000 WEKO201244000 ZIVI2200000 BFK1100000 SNF1010000 EHB2200000 ETH Rat161023010 Innosuisse0000000 Total96521820123 Bundesanwaltschaft BA BA8320021 Total8320021 Parlamentsdienste PD PD3020001 Total3020001 Betroffener FachbereichAnzahl GesucheZugang vollständig gewährtZugang vollständig verweigertZugang teilweise
gewährt /aufgeschobenZugangsgesuch zurückgezogenZugangsgesuch hängigkein amtliches Dokument vorhanden Übersicht der Zugangsgesuche der Departemente und der Bundeskanzlei Anzahl Schlichtungsgesuche nach Kategorien der Antragssteller DepartementAnzahl GesucheZugang vollständig gewährtZugang vollständig verweigertZugang teilweise
gewährt /aufgeschobenZugangsgesuch zurückgezogenZugangsgesuch hängigkein amtliches Dokument vorhanden BK 25 13 4 5 0 1 2 EDA 156 107 2 28 6 8 5 EDI 112 48 12 24 6 20 2 EFD 68 32 17 8 1 3 7 EJPD 33 23 3 2 0 1 4 UVEK 105 55 4 25 8 5 8 VBS 41 22 2 7 2 8 0 WBF 96 52 18 20 1 2 3 Total 2018 (%) 636 (100) 352 (55) 62 (10) 119 (19) 24 (4) 48 (7) 31 (5) Total 2017 (%) 581 (99) 317 (55) 107 (18) 106 (18) 26 (4) 21 (4) – Total 2016 (%) 551 (99) 293 (53) 87 (16) 105 (19) 33 (6) 29 (5) – Total 2015 (%) 597 (100) 319 (53) 98 (16) 127 (21) 31 (5) 22 (4) – Total 2014 (%) 575 (100) 297 (52) 122 (21) 124 (22) 15 (3) 17 (3) – Total 2013 (%) 469 (100) 218 (46) 122 (26) 103 (22) 18 (4) 8 (2) – Total 2012 (%) 506 (100) 223 (44) 138 (27) 120 (24) 19 (4) 6 (1) – Total 2011 (%) 466 (100) 203 (44) 126 (27) 128 (27) 0 (0) 9 (2) – Total 2010 (%) 239 (100) 106 (44) 62 (26) 63 (26) 0 (0) 8 (3) – Total 2009 (%) 232 (100) 124 (53) 68 (29) 40 (17) 0 (0) – – Kategorie Antragsteller 2018 Medien24 Privatpersonen (bzw. keine genaue Zuordnung möglich)26 Interessenvertreter (Verbände, Organisationen, Vereine usw.) 9 Rechtsanwälte 4 Unternehmen13 Total 76
8786 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Der EDÖB 26. Tätigkeitsbericht 2018/19 0 BKEDAEDIEJPDVBSEFDWBFUVEK 50 100 150 200 Zugang teilweise gewährt / aufgeschoben Zugang verweigert Zugang gewährt Zugangsgesuche der gesamten Bundesverwaltung Organigramm 3.4 Organisation EDÖB (Stand 31. März 2019) Datenschutz Daniel Dzamko Kommunikation Hugo Wyler Team 1 Team 2 Team 3 Kompetenzzentren Kosmas Tsiraktsopoulos Kompetenz zentrum Geschäfts verwaltung, Personelles und Finanzen Kompetenzzentrum IT und Digitale Gesellschaft Öffentlichkeits- prinzip Reto Ammann Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Adrian Lobsiger, Beauftragter Marc Buntschu, stv. Beauftragter Internationale Angelegenheiten, Gesetzgebung und Kantone Marc Buntschu Rückzug hängig kein amtliches Dokument vorhanden Rückzug 4 % hängig 8 % kein amtliches Dokument vorhanden 5 % Zugang gewährt 55 % Zugang verweigert 10 % Zugang teilweise gewährt / aufgeschoben 19 % Direktionsbereiche Anzahl Gesuche
schutz im Rahmen der Anwendung des Schengen-Besitzstands in Strafsachen (Schengen-Datenschutzgesetz) SIF Staatssekretariat für internationale Finanzfragen SIS Schengener Informationssystem SIS II Schengener Informationssystem der zweiten Generation SPK Staatspolitische Kommission (für DSG-Beratung zuständig) StAhiG Steueramtshilfegesetz VBGÖ Verordnung zum BGÖ VIS Visa-Informationssystem Abkürzungsverzeichnis Abbildungsverzeichnis Tabellen Tabelle 1: Bearbeitungsdauer Schlichtungsverfahren ......................S. 68 Tabelle 2: Verhältnis Empfehlungen
und einvernehmliche Lösungen .........S. 69 Tabelle 3: Hängige Schlichtungs-
verfahren ...........................................S. 69 Tabelle 4: Für DSG- Belange
einsetzbare Stellen .............................S. 74 Tabelle 5: Leistungen Datenschutz .....S. 74 Tabelle 6: Beratungen in umfang- reicheren Projekten für 2018 ..............S. 75 Tabelle 7: Wirkungsziele EDÖB .............S. 7 7 Bilder (Aufnahmeorte) ps architektur, perroneschneider GmbH,
4051 Basel ..................................Umschlag Terres des Hommes Schweiz,
4018 Basel................................S. 19, 66, 71 Die Medienmacher AG,
4132 Muttenz ..............S. 25, 34, 38, 52, 57 restudio AG,
4053 Basel ....................................S. 31, 59 Duplex Design GmbH,
4053 Basel ..........................................S. 47
Zugangsgesuche (BGÖ) Öffentlichkeitsprinzip Mediale Resonanz des Beauftragten im Online gewährt 55 % untersuchte Beiträge 526 verweigert 10 % Engagement* 4925 teilweise gewährt / aufgeschoben 19 % hängig 8 % Rückzug 4 % kein amtliches Dokument vorhanden 5 % KennzahlenAnliegen des Datenschutzes Aufwand Datenschutz Gesetzgebung 8,1 % Information 22,6 % Aufsicht 15 % Beratung 54,3 % Impressum Dieser Bericht ist in vier Sprachen vorhanden und über das Internet (www.derbeauftragte.ch) aufrufbar. Vetrieb: BBL, Verkauf Bundespublikationen, CH-3003 Bern www.bundespublikationen.admin.ch Art.-Nr. 410.026.d Layout: Duplex Design GmbH, Basel Fotografie: Maya Valentin Schriften: Pressura, Documenta Druck: Ast & Fischer AG, Wabern Papier: PlanoArt ® , holzfrei hochweiss Zweckgebundenheit Die Daten werden nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde, aus den Umständen ersichtlich oder gesetzlich vorgesehen ist. Dokumentation Alle Datenbearbeitungen werden durch den Datenbearbeiter dokumentiert und klassifiziert. Datenrichtigkeit Die Bearbeitung erfolgt mit zutreffenden Daten. Eigenverantwortung Private und Bundesorgane nehmen ihre Pflicht zur Beachtung der Datenschutzgesetzgebung eigen- verantwortlich wahr. Wahlmöglichkeit Betroffene geben ihre Einwilligung informiert und erhalten eine echte Wahl freiheit. Verhältnismässigkeit Kein Datensammeln auf Vorrat, sondern nur so weit wie nötig zur Erreichung des Zwecks. Die Datenbearbeitung wird umfang- mässig und zeitlich limitiert. Datensicherheit Die Datenbearbeiter stellen technisch und organisatorisch sicher, dass die Personendaten hinreichend geschützt sind. Faire Information Unternehmen und Bundesorgane informieren transparent über ihre Daten bearbeitung: verständlich und voll ständig. Risikoanalyse Bereits im Projekt werden die möglichen Datenschutzrisiken identifiziert und deren Auswirkun- gen mit Massnahmen minimiert. Neutral 81 % Negativ 10 % Positiv 9 % Twitter 19 % Tageszeitung 30 % Onlinenews 31 % Blogs 10 % TV/Radio 8 % Andere 2 % Italienisch 8 % Französisch 12 % Deutsch 74 % Englisch 5 % Andere 1 % USA 3 % Deutschland 13 % Schweiz 76 % Ungarn 2 % Frankreich 1 % Andere 5 % Medientypen SprachenTonalitätLänder