31. Tätigkeitsbericht 2023/2024

EDÖB 31. Tätigkeitsbericht 2023/2024ch-federal-data-protection-and-information-commissioner1 giu 2024

Apri la fonte

img-0.jpeg

31. Tätigkeitsbericht 2023/24 Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Schweizerische Eidgenossenschaft Confédération suisse Confederazione Svizzera Confederaziun svizra

Tätigkeitsbericht 2023/2024

des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten

Der EDÖB erstattet der Bundesversammlung jährlich Bericht über seine Tätigkeit. Er übermittelt ihn gleichzeitig dem Bundesrat. Der Bericht wird veröffentlicht (Art. 57 DSG).

Der vorliegende Bericht deckt für den Bereich Datenschutz den Zeitraum zwischen 1. April 2023 und 31. März 2024 ab. Für den Bereich Öffentlichkeitsprinzip entspricht er dem Kalenderjahr 1. Januar bis 31. Dezember 2023.

Schweizerische Eidgenossenschaft Confédération suisse Confederazione Svizzera Confederaziun svizra

img-1.jpeg

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Vorwort

Nachdem das neue Datenschutzgesetz am 1. September 2023 in Kraft treten konnte, setzte unsere Behörde die Publikation von Merkblättern und Auslegungshilfen für die Bürgerinnen und Bürger, Wirtschaft und Behörden fort. Bald werden unsere Arbeiten zum Übergang vom alten zum neuen Recht indessen abgeschlossen sein, sodass die vom Parlament gesprochenen zusätzlichen Stellen schwerpunktmässig für die Durchführung von Untersuchungen eingesetzt werden können.

Ungeachtet der hohen praktischen Bedeutung der rechtstechnischen Neuerungen, die es mit Blick auf das neue Datenschutzrecht zu beachten gilt, sollte nicht übersehen werden, dass die menschengerechte Bearbeitung von Personendaten ein Grundverständnis der Eigenarten des Datenschutzes voraussetzt. Ich möchte deshalb in dieser Ausgabe des Tätigkeitsberichts mit den Antworten auf sieben Fragen, die mir in den zwei ersten Legislaturen meiner Amtsdauer immer wieder gestellt wurden, einen Beitrag zu diesem Grundverständnis leisten.

Adrian Lobsiger

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Bern, den 31. März 2024

  1. Tätigkeitsbericht 2023/24

Inhaltsverzeichnis

Aktuelle Herausforderungen ... 6

Datenschutz

1.1 Digitalisierung und Grundrechte ... 14

  • Cloud-Strategie Bund: Projekt CEBA der Bundeskanzlei
  • Digitale Transformation im Gesundheitswesen: Personenidentifikator
  • Epidemiengesetzgebung: Verwendung der AHV-Nummer
  • Elektronische Identität: EDÖB aktiv an Ausarbeitung des E-ID-Gesetzes beteiligt
  • Gesetzgebung: Ausführungsrecht zum Bundesgesetz über die Informationssicherheit

Schwerpunkt ... 20

Das neue Datenschutzgesetz

1.2 Justiz, Polizei, Sicherheit ... 26

  • Untersuchungen gegen fedpol, BAZG und Xplain: RIPOL-Zugriffe und Datensicherheitsverletzung
  • Hackerangriff: Vorabklärungen betreffend die Firma Concevis
  • Polizeidatenbank: EDÖB fordert datenschutzkonforme Digitalisierung der polizeilichen Amtshilfe

1.3 Wirtschaft und Gesellschaft ... 31

  • Onlinekampagne «Pfarrer-Check»: Untersuchung gegen den Verein Bürgerforum Schweiz
  • Bewerbungsformular für Mietwohnungen: Vorabklärung bei einer Immobilienverwaltung
  • Auktionsplattform Ricardo: Schlussbericht mit Empfehlungen des EDÖB
  • Kundendaten: Untersuchung bei Digitec Galaxus
  • Dating-App: Abschluss der Sachverhaltsabklärung bei der Once Dating AG
  • Tracking-Technologien: Bedenken gegen Oracle America ausgeräumt: Einwohnende der Schweiz sind von fraglichen Datenbearbeitungen nicht betroffen
  • Transparenz juristischer Personen: Einführung eines Registers wirtschaftlich berechtigter Personen
  • Wirtschaft: Neues Gesetz zur Überprüfung ausländischer Investitionen

1.4 Gesundheit ... 38

  • Aufsicht im Krankenversicherungswesen: Austausch zwischen EDÖB und BAG

  • Impfdaten: Projekt Datenrettung «meineimpfungen.ch»

  • Medizinische Praxis: Unterzeichnen einer neuen Einwilligungserklärung durch Patientinnen und Patienten

  • Weiterverwendung von Daten: Verhältnis zwischen Datenschutzgesetz und Humanforschungsgesetz

  • Elektronisches Patientendossier: Umfassende Revision des Bundesgesetzes über das elektronische Patientendossier

1.5 Arbeit ... 44

  • Arbeitsrecht: Vorgaben bei der Führung von Personaldossiers
  • Arbeitsrecht: Datenschutzrechtliche Qualifikation von Pensionskassen

1.6 Verkehr ... 46

  • Zahlreiche Projekte: Beratungen und Ämterkonsultationen im Bereich Mobilität
  • PNR-Daten: Ämterkonsultation Flugpassagierdatengesetz (FPG)

1.7 International ... 49

  • Europäische Union: Angemessenheitsbeschluss der EU
  • Data Privacy Framework: Rahmenwerk für die Datenbekanntgabe in die USA
  • Europarat: Konvention 108+ ratifiziert
  • Europa: Treffen mit ICO und EDSA
  • European Case Handling Workshop: Internationales Treffen in der Schweiz
  • Joint Statement: Gemeinsame Erklärung zu «Data Scraping» und Datenschutz
  • International: OECD
  • Schengen: BTLE und EDSA
  • Schengen: Aufsichtskoordinationsgruppen über die Informationssysteme SIS II, VIS und Eurodac
  • Schengen: Koordinationsgruppe der schweizerischen Datenschutzbehörden
  • Schengen: Tätigkeiten auf nationaler Ebene
  • Internationales Treffen: Französischsprachige Vereinigung der Datenschutzbehörden
  • Internationale Zusammenarbeit: Privacy Symposium in Venedig
  • Globale Fragestellungen: Internationale Konferenz der Datenschutzbeauftragten
  • Europa: Europäische Konferenz der Datenschutzbeauftragten in Budapest

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Inhaltsverzeichnis

Öffentlichkeitsprinzip

2.1 Allgemein ... 62 2.2 Zugangsgesuche – erhebliche Zunahme im 2023 ... 64 2.3 Schlichtungsverfahren – leichte Zunahme der Schlichtungsanträge ... 68 – Anteil einvernehmlicher Lösungen – Dauer der Schlichtungsverfahren – Anzahl hängiger Fälle 2.4 Gesetzgebungsverfahren ... 72 – Finanzen: Überführung der CS-Notverordnung ins Bankengesetz – Archivierung: Teilrevision Archivierungsverordnung – Finanzkriminalität: Neues Bundesgesetz über die Transparenz von juristischen Personen – Gebührenregelung: Kostenlosigkeit als Grundsatz – Gebühren bei besonderem Aufwand – Bericht der GPK-S: Stellungnahme des Bundesrates 2.5 Spezialgesetzliche Vorbehalte nach Art. 4 BGÖ ... 78

Der EDÖB

3.1 Aufgaben und Ressourcen ... 82 – Leistungen und Ressourcen im Bereich Datenschutz – Leistungen und Ressourcen im Bereich Öffentlichkeitsgesetz – DPO und ISBO: Der EDÖB verbessert seine Selbstkontrolle 3.2 Kommunikation ... 86 – Neue Website mit Meldeportalen – Zahlen – Weitere Themen 3.3 Statistiken ... 88 – Statistiken über die Tätigkeiten des EDÖB vom 1. April 2023 bis 31. März 2024 (Datenschutz) – Übersicht der Zugangsgesuche nach Öffentlichkeitsgesetz vom 1. Januar bis 31. Dezember 2023 – Statistiken über Zugangsgesuche nach Öffentlichkeitsgesetz vom 1. Januar bis 31. Dezember 2022 – Zugangsgesuche 2023 mit Corona-Bezug – Anzahl Schlichtungsgesuche nach Kategorien der Antragstellenden – Zugangsgesuche der gesamten Bundesverwaltung vom 1. Januar bis 31. Dezember 2023 3.4 Organisation EDÖB ... 98 – Organigramm – Mitarbeiter und Mitarbeiterinnen des EDÖB Abkürzungsverzeichnis ... 100 Abbildungsverzeichnis ... 101 Impressum ... 102 Umschlag – Kennzahlen – Anliegen des Datenschutzes

  1. Tätigkeitsbericht 2023/24

Aktuelle Herausforderungen

Aktuelle Herausforderungen

I Datenschutz

Die Dynamik der Digitalisierung hat zu einer gewissen Fixierung der öffentlichen Diskussion auf technologische Phänomene geführt, für deren datenschutzrechtliche Einschätzung sich technologische Kenntnisse zwar als nützlich, ohne ein Grundverständnis der Eigenarten des Datenschutzes aber meist als unzureichend erweisen. Vor diesem Hintergrund erscheint es uns hilfreich, nachfolgend auf sieben, häufig gestellte Verständnisfragen zum Datenschutz zu antworten:

1. Welche Daten schützt der «Datenschutz»?

Der Datenschutz schützt die Persönlichkeit und die Grundrechte von natürlichen Personen, indem er die Bearbeitung von Personendaten regelt und die Betroffenen vor Bearbeitungen schützt, mit denen der Staat in deren Grundrechte oder private Unternehmen in deren Privatsphäre und selbstbestimmte Lebensführung eingreifen.

Datenschutz bezweckt also nicht direkt den «Schutz von Daten», da Letztere gar nicht Träger von Rechten sein können. Er schützt auch kein Dateneigentum, resp. nicht exklusive Rechte an Daten wie das Immaterialgüterrecht. Auch die von Privaten unter dem Geschäfts- und Fabrikationsgeheimnis gehüteten Informationen oder polizeiliche und militärische Geheimnisse des Staates sind in der

Regel nicht datenschutzrelevant, weil sich das Interesse an deren Geheimhaltung typischerweise auf den sachlichen Informationsgehalt wie z. B. ein Braurezept oder eine Waffentechnologie beziehen.

2. Was ist die menschliche «Persönlichkeit» und wovor wird sie geschützt?

Die menschliche Persönlichkeit als eigentlicher Kern des Datenschutzes ist das, was Kinder, bald nachdem sie ihren Namen sagen können, mit «ICH» benennen. Das menschliche «ICH» rechtlich zu definieren, stellt eine Herausforderung dar. In der Bundesverfassung, im Zivilgesetzbuch und im Datenschutzgesetz steht zwar, dass die Persönlichkeit rechtlich geschützt ist, nicht aber wie Letztere zu definieren ist. Aus der juristischen Lehre und der Rechtsprechung ergibt sich indessen, dass mit der «Persönlichkeit» die individuellen Besonderheiten, das Innerste des Menschen gemeint sind, welche ihn als solchen charakterisiert und gleichzeitig von allen Mitmenschen abgrenzt.

3. Wo beginnen die Privat- und Intimsphären und wie weit reichen sie?

Das menschliche «ICH» definiert sich über Körper, Gesicht, Stimme und Verhalten. Medizinisch betrachtet befindet sich das menschliche «ICH» in inneren Organen wie dem Gehirn. Von dort erstreckt sich die Kernzone der menschlichen Intim- und Privatsphäre auf die äussere Körperhülle und die persönlich bewohnten Räume des Individuums. In dieser Kernzone verhindert oder erschwert der Datenschutz intrusive Mittel der Datenbeschaffung wie Lügendetektoren oder Neuroimplantate. Aber auch Geräte wie kamerabestückte Drohnen, Teleobjektive und Sensoren, die das Verhalten von Menschen in dieser Zone beobachten, sind dem Grundsatz nach unzulässig.

Im digital geprägten Alltag erzeugen oder hinterlassen Menschen als Konsumentinnen, Passanten, Passagierinnen oder Patienten eine Vielzahl elektronischer Spuren, die Rückschlüsse auf ihre Person technisch möglich machen. Demzufolge erstreckt sich deren Intim- und Privatsphäre und der Datenschutz vom Körper über die Wohnung bis ins Smartphone und von dort in die Cloud, wo die privaten Betreiber von Rechenzentren unermesslich viele Text- und Sprachnachrichten, Bilder und Metadaten zu besuchten Internetseiten oder geführten Telefongesprächen bzw. Chats, bearbeiten. Auch in dieser erweiterten Zone

«Die menschliche Persönlichkeit ist der Kern des Datenschutzes.»

6

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Aktuelle Herausforderungen

der Privat- und Intimsphäre setzt der Datenschutz der Bearbeitung von Daten und deren Verknüpfung Grenzen.

4. Können mündige Erwachsene auf ihre Datenschutzrechte verzichten?

Der Schutz der Privatsphäre ist ein verfassungsmässig garantiertes Grundrecht (Art. 13 BV). Bezüglich staatlicher Bearbeitungen von Personendaten gibt es dem Grundsatz nach keinem freiwilligen Verzicht auf Datenschutzrechte. Der Zweck, Umfang und die Intensität staatlicher Bearbeitungen ergeben sich aus gesetzlichen Grundlagen, die für die Behörden verbindlich sind und von deren Einhaltung sie im konkreten Anwendungsfall nicht rechtswirksam entbunden werden können.

In private Personendatenbearbeitungen, welche die Persönlichkeit der Betroffenen verletzen, können Letztere hingegen einwilligen. Ihr Verzicht ist jedoch datenschutzrechtlich nur dann wirksam, wenn sie vorher vollständig und adressatengerecht informiert wurden und ihr Verzicht wirklich ihrem freien Willen entspricht. Ob das Einverständnis, sich einer konkreten Datenbearbeitung zu unterziehen, noch als freiwillig gelten kann oder

nicht, hängt von den Lebensumständen ab. So z. B. den finanziellen Möglichkeiten der Nutzerinnen und Nutzer digitaler Angebote. Nicht alle von ihnen können es sich ökonomisch leisten, auf hohe Rabatte zu verzichten, den private Anbieter von Waren und Dienstleistungen gegen die Preisgabe persönlicher Informationen im Rahmen von digitalen Kundenprogrammen anbieten. Auch bei Bewerbungen für Arbeits-, Miet- oder Versicherungsverträge darf eine hohe Nachfrage nicht für exzessive Eingriffe in die Privatsphäre missbraucht werden, indem von den Bewerbenden vermeintlich freiwillige Auskünfte über deren Privatsphäre verlangt werden. Entsprechende Einwilligungen der Betroffenen können sich datenschutzrechtlich als unwirksam erweisen.

5. Ist der Datenschutz ein Auslaufmodell? In den sozialen Netzwerken geben ja immer mehr Menschen alles von sich preis.

Es gibt Millionen von Menschen, die ihr Leben mit Text-, Bild- und Sprachnachrichten dokumentieren und tagtäglich über das Internet mit Freunden oder einer zahlenden Kundschaft teilen oder gar der breiten Öffentlichkeit zugänglich machen. Allerdings gilt es zu beachten, dass mündige Erwachsene, die vermeintlich freizügig vor einem breiten Publikum posieren, meist Wert darauflegen, sich und ihr Leben in

einem von ihnen selbst inszenierten Kontext zu präsentieren. Die allermeisten von ihnen zeigen sich verletzlich und verwahren sich energisch dagegen, wenn ungefragt Daten aus ihrer realen Intimsphäre beschafft und verbreitet werden.

Es besteht somit nicht ein abnehmendes, sondern wachsendes Bedürfnis nach Datenschutz, der u. a. auch darüber wacht, dass die Betreiber sozialer Netzwerke ihre Nutzungsbedingungen einhalten und dass sie Personendaten, welche die Nutzerinnen und Nutzer nicht oder nur selektiv teilen, nicht zu eigenen Zwecken bearbeiten und z. B. an Dritte veräussern.

6. Gibt es verbotene Datenbearbeitungen?

Bei der Regelung behördlicher Bearbeitungen von Personendaten ist das gesetzgebende Parlament dem grundrechtlichen Anspruch auf Achtung der Privatsphäre und informationelle Selbstbestimmung verpflichtet, mit dem die Bundesverfassung den Menschen ein privates und selbstbestimmtes Leben garantiert. Wenn Gesetze staatliche Datenbearbeitungen einführen wollten, die zu einer Aushöhlung grundrechtlicher Positionen wie der

  1. Tätigkeitsbericht 2023/24

7

Aktuelle Herausforderungen

freien politischen Meinungsäusserung oder Mitwirkung führten, würden diese mit der Verfassung kollidieren.

Leider werden die Vorgaben von Verfassung und Demokratie von den Promotoren behördlicher Digitalisierungsprojekte nicht immer verstanden. Die Datenschutzbehörden müssen bei der Beaufsichtigung solcher Vorhaben immer wieder darauf hinwirken, dass machtbegrenzende Mechanismen des demokratischen Rechtsstaates wie die Aufteilung der Verwaltungsmacht auf fachlich spezialisierte Fachämter, die Gewaltenteilung oder der Föderalismus nicht unbesehen als «alte Zöpfe» beseitigt, sondern in die Automatisierung von Datenflüssen rechtzeitig einbezogen werden.

Anders verhält es sich bei privaten Bearbeitungen von Personendaten. Sie sind in der Schweiz dem Grundsatz nach erlaubt. Ab wann die von ihnen ausgehenden Eingriffe in die Persönlichkeit der Betroffenen ein Mass erreichen, das sich weder durch Einwilligung noch überwiegende Interessen

rechtfertigen lässt, beantwortet das auf Prinzipien basierende Datenschutzrecht nur generell-abstrakt.

Eine eher graduelle Grenze des Zulässigen setzt das Datenschutzrecht, indem es Einwilligungen in Beschaffungen von Personendaten die rechtliche Verbindlichkeit versagt, wenn sie unter Ausnützung von Unwissenheit oder Abhängigkeitsverhältnissen das Mass des für die Bearbeitung Nötigen überschreiten. Eine absolute Grenze wird dort erreicht sein, wo sich jemand mit seiner Einwilligung seiner Freiheit entäussern oder sich in ihrem Gebrauch in einem die Rechtsordnung als Ganzes oder die Sittlichkeit verletzenden Grade beschränken würde, wie es das Zivilgesetzbuch ausdrückt.

7. Wie politisch ist Datenschutz?

Der Datenschutz lässt sich historisch auf das staatspolitische Grundmodell des Liberalismus zurückführen.

In liberalen Rechtsstaaten wie der Schweiz gibt der Daten- und Persönlichkeitsschutz dem Individuum einen über ein blosses Existenzrecht hinausgehenden Anspruch auf ein privates und selbstbestimmtes Leben. Mit dieser Prämisse hebt sich die liberale Gesellschaft zum einen von totalitären Regierungs- und Gesellschaftsmodellen

len ab, welche das Individuum zum Objekt kollektiv begründeter Herrschaft machen. Zum andern steht ein Gesellschaftsmodell, das sich am Anspruch auf individuelle Lebensfreude durch Selbstverwirklichung orientiert, in Kontrast zu leistungsfähigen Organisationsformen anderer Lebensformen wie Insekten oder toter Technik wie künstlicher Intelligenz.

Eine gänzliche Aushöhlung der Freiheit und das Ende des Datenschutzes würde etwa mit einer staatlichen und wirtschaftlichen Gesellschaftsordnung vollzogen, welche die Menschen durch permanente Selbstvermessung und lückenlose Überwachung zum blossen Objekt kollektiver Ziele wie der Erreichung einer absoluten gesundheitlichen, ökonomischen und polizeilichen Sicherheit oder etwa auch einer absoluten ökologischen Nachhaltigkeit machen würden.

Ungeachtet dieser historischen Herleitung des Datenschutzes nehmen Datenschutzbehörden ihre gesetzlichen Aufgaben im demokratischen Rechtsstaat apolitisch wahr.

«Mündige Erwachsene, die vermeintlich freizügig vor einem breiten Publikum posieren, legen meist Wert darauf, sich in einem selbst inszenierten Kontext zu präsentieren.»

8

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Aktuelle Herausforderungen

II Aktuelle Herausforderungen im Öffentlichkeitsprinzip

Bearbeitungsdauer von Zugangsgesuchen und Schlichtungsverfahren

Das steigende Interesse am Öffentlichkeitsprinzip führt zu mehr Gesuchen um Zugang zu Verwaltungsdokumenten. Die grosse Anzahl der Gesuche wirkt sich teilweise nachteilig auf die Dauer der Bearbeitung der Gesuche aus – sodass die Gesuchstellenden länger auf einen Zugang warten müssen. Auch wenn das BGÖ klare gesetzliche Vorgaben für die einzelnen Verfahrensschritte enthält, zeigt sich in der Praxis, dass es Verwaltungsstellen nicht in jedem Fall gelingt, diese Fristen einzuhalten.

Dies gilt ebenso für die Schlichtungsverfahren: Die gesetzliche Bearbeitungsdauer von 30 Tagen konnte der Beauftragte im Berichtsjahr nur in gut einem Viertel der Verfahren einhalten (s. Kap. 2.3). Zu längeren Verfahren führen namentlich umfangreichere Gesuche, welche häufig die über längere Zeiträume geführte E-Mail-Kommunikation betreffen, und kom-

komplexe juristische Fragestellungen. So erfordern Abgrenzungsfragen bezüglich der Anwendbarkeit des Öffentlichkeitsgesetzes mitunter umfangreiche Abklärungen, bevor allenfalls eine Beurteilung in der Sache erfolgen kann. Auch der Einbezug von Rechtsvertretungen im Schlichtungsverfahren (sowohl auf Seiten der Gesuchstellenden oder Dritten wie auch bei der Verwaltung) führt in der Mehrheit der Fälle zu längeren Verfahren. Angesichts des wohl auch in Zukunft wachsenden Interesses am Zugang zu Informationen der Verwaltung und damit einer steigenden Anzahl von Anträgen

dürfte die zeitnahe Durchführung von Schlichtungsverfahren herausfordernd bleiben.

Wachsende Anzahl spezialgesetzlicher Ausnahmen vom BGÖ

Auch in diesem Berichtsjahr gab es Bestrebungen der Verwaltung, Teilbereiche ihrer Tätigkeit oder bestimmte Kategorien von Dokumenten vom Öffentlichkeitsprinzip auszunehmen. Der EDÖB hat in den jeweiligen Ämterkonsultationen kritisch Stellung bezogen, da die Einführung solcher Vorbehalte zu einer Schwächung des Öffentlichkeitsprinzips und der damit bezweckten Verwaltungstransparenz führt. Ob einer Gesetzesbestimmung Vorrang im Sinne einer Spezialbestimmung gemäss Art. 4 BGÖ zukommt, ist jeweils für den konkreten Fall durch Auslegung der betreffenden Normen zu ermitteln.

Angesichts der wachsenden Anzahl der spezialgesetzlichen Ausschlüsse des BGÖ publiziert der EDÖB wie schon im letzten Tätigkeitsbericht eine Tabelle mit dem aktuellen Stand dieser Ausschlüsse (s. Kap. 2.5), die auch auf der Webseite des EDÖB zu finden ist.

  1. Tätigkeitsbericht 2023/24

9

Aktuelle Herausforderungen

III Nationale und internationale Kooperation

International

Mitte Januar 2024 hat die Europäische Kommission die seit Langem erwartete Angemessenheit des Schweizer Datenschutzniveaus bestätigt. Personendaten aus einem Mitgliedstaat der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) können weiterhin in die Schweiz übermittelt werden, ohne dass zusätzliche Garantien zur Sicherstellung eines ausreichenden Datenschutzniveaus erforderlich sind. Für die Unternehmen der Schweiz wie auch der EU und des EWR ist dies von erheblicher wirtschaftlicher Bedeutung.

Auch im vergangenen Geschäftsjahr nahmen die Expertinnen und Experten des EDÖB in relevanten Arbeitsgruppen auf internationalem

Niveau teil und nutzten dabei die Gelegenheit, sich mit ihren ausländischen Partnern persönlich auszutauschen. Zudem organisierte der EDÖB Anfang November den jährlich stattfindenden European Case Handling Workshop in Bern, wo 80 Vertreterinnen und Vertreter aus 37 Datenschutzbehörden ihr praktisches Knowhow teilten.

Der EDÖB nahm an den regelmässigen Sitzungen der Datenschutzgremien des Europarates (beratender Ausschuss der Konvention 108) und der OECD (Arbeitsgruppe für Data-Governance und Schutz der Privatsphäre in der digitalen Wirtschaft), an

den beiden Datenschutzkonferenzen – der europäischen und der internationalen – sowie an der Konferenz der französischsprachigen Vereinigung der Datenschutzbehörden teil. Auch beim privat organisierten Privacy Symposium, das einen Tag der modernisierten Datenschutzkonvention des Europarates widmete, war er anwesend. Weil die grenzüberschreitende Übermittlung von Personendaten international weiterhin heikle Rechtsfragen aufwirft, ist der direkte Austausch unter den Datenschutzbehörden wichtig. Verschiedene Behörden schlossen rechtlich nicht bindende Memoranda of Understanding (MoU) ab, in der die Absicht ihre Zusammenarbeit zu intensivieren.

10

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Aktuelle Herausforderungen

Zusammenarbeit mit den Kantonen

Um eine wirksame und umfassende Aufsicht zu gewährleisten, haben die Datenschutzbehörden von Bund und Kantonen ihre Zusammenarbeit intensiviert (s. 30. TB, Kap. III). So hat sich der EDÖB im Berichtsjahr mit den kantonalen Partnerbehörden über die von den Verwaltungen von Bund und Kantonen gleichermassen angestrebte Auslagerung von Personendaten in

Rechenzentren ausgetauscht, die vom privaten Unternehmen Microsoft betrieben werden.

Ein weiteres Thema war die Abgrenzung der Zuständigkeiten und die Frage, wann die Datenschutzgesetzgebungen des Bundes und wann jene der Kantone zur Anwendung gelangen. Einer näheren rechtlichen Analyse bedurften insbesondere folgende Konstellationen: so wenn kantonale oder kommunale öffentliche Organe private Datenbearbeiter beiziehen, wenn private oder öffentliche Organisationen sowohl privatrechtlich als auch hoheitlich handeln oder wenn kantonales Recht das DSG des Bundes als anwendbares Datenschutzrecht erklärt.

  1. Tätigkeitsbericht 2023/24

11

Datenschutz

Datenschutz

1.1 Digitalisierung und Grundrechte

CLOUD-STRATEGIE BUND

Projekt CEBA der Bundeskanzlei

Auch in diesem Berichtsjahr begleitete der EDÖB die Cloud-Vorhaben innerhalb der Bundesverwaltung eng. Neben diversen Ämterkonsultationen stand wiederum das DTI-Projekt «Cloud Enabling Büroautomation», kurz CEBA, im Hauptfokus.

Das Projekt CEBA wurde 2022 als IKT-Schlüsselprojekt des Bundes eingestuft. Die Einstufung erfolgte aufgrund seiner beträchtlichen Auswirkungen auf die Arbeitsweise der nahezu gesamten Bundesverwaltung. Der Bereich Digitale Transformation und IKT-Lenkung (DTI) der Bundeskanzlei hat den EDÖB zur Einführung der cloudgestützten Büroanwendung des US-amerikanischen Herstellers Microsoft (Microsoft 365) einbezogen, und der EDÖB nahm im April 2023 zu der ihm unterbreiteten Einsatzrichtlinie zur Nutzung von Microsoft 365 sowie zu dem auf seine Aufforderung hin verfassten Entwurf der Datenschutz-Folgenabschätzung DSFA Stellung. Er forderte erneut, sämtliche Risiken – auch potenzielle Risiken, welche aufgrund von faktischen Abhängigkeiten von der Anbieterin eventuell erst zu einem späteren Zeitpunkt mit zunehmender Einbindung in die Cloud-Dienste auftreten könnten – transparent in der DSFA aufzuführen.

Als wichtigen Aspekt des CEBA-Projektes erachtet der EDÖB auch die Prüfung von Alternativen zur einer Microsoft 365 Cloudnutzung. Der EDÖB hat die Tätigkeiten des DTI in diesem Bereich ausführlich analysiert und den Dialog mit dem Projektteam gesucht, um seinen Wunsch nach einer breiten, lösungsoffenen und wertungsfreien Betrachtung der Thematik zu äussern. Es ist wichtig, dass sich die Verantwortlichen der Ämter im Wissen aller Fakten zwischen verschiedenen Lösungen entscheiden können (s. dazu auch unsere Kurzmeldung vom 07.03.2023 sowie die Medienmitteilung des Bundesrates vom 15.02.2023).

Prüfung durch die EFK

Das Projekt CEBA wurde aufgrund seiner Einstufung als IKT-Schlüsselprojekt einer Prüfung durch die Eidgenössische Finanzkontrolle (EFK) unterzogen, bei welcher auch der EDÖB befragt wurde. Ziel dieser Prüfung war zu beurteilen, ob die Projektorganisation zielführend aufgestellt ist und die erforderlichen Führungs- und Steuerungsinstrumente implementiert sind und funktionieren. Die EFK befand,

dass das Projekt die Anmerkungen des EDÖB zum Zeitpunkt der Prüfung nicht ausreichend berücksichtigt hatte und empfahl dem Bereich DTI, das Vorgehen bezüglich Daten- und Informationsschutz, das im Projekt gewählt wurde, mit dem EDÖB besser abzustimmen.

Cloud-Prinzipien

Im Zusammenhang mit der Cloud-Strategie des Bundes unterbreitete der DTI dem EDÖB in einer Ämterkonsultation die grundlegend überarbeiteten «Cloud-Prinzipien». Diese stellen nebst den strategischen Grundsätzen weitere Leitplanken auf dem Weg zur Umsetzung der «Cloud-Strategie» dar. Einige darin enthaltene Änderungen gegenüber der Vorversion beurteilte der EDÖB als kritisch, da diese insbesondere zu einer Abschwächung des Verbindlichkeitsgrades der darin enthaltenen Grundsätze führen und die Prinzipien dadurch nicht mehr als Mindeststandard, sondern lediglich als Informationen und Empfehlungen verstanden werden könnten.

Auch im Zusammenhang mit der Umsetzung der Cloud-Strategie konnte sich der EDÖB im Rahmen einer Ämterkonsultation zur «Swiss Government Cloud» (SGC) zum Aussprachepapier und Bundesratsbeschluss des Bundesamts für Informatik und Telekommunikation BIT einbringen. Darin schlägt das BIT dem Bundesrat

14

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

vor, die von ihm heute betriebene Private-Cloud-Infrastruktur Atlantica durch eine drei stufige Hybrid-Multi-Cloud-Infrastruktur abzulösen: Stufe I würde die Public-Cloud-Services beinhalten, welche das BIT über Public-Cloud-Anbieter zur Verfügung stellt; Stufe II würde die Lösungen von grossen Public-Cloud-Anbietern beinhalten, die in den Räumlichkeiten des Bundes betrieben werden; und Stufe III würde die Private Cloud des BIT beinhalten, die komplett im Rechenzentren-Verbund des Bundes betrieben wird. Das BIT hat unsere Änderungsvorschläge übernommen und datenschutzrechtlich relevante Präzisierungen angepasst.

Der EDÖB weist auf die Wichtigkeit hin, dass datenschutzrechtliche Überlegungen bereits in einer sehr frühen Phase von Projekten mit Datenbearbeitungen gemacht werden. Er wird im Rahmen seiner Zuständigkeiten die Cloud-Initiativen weiter beratend begleiten und die Umsetzung der geforderten Kriterien und Vorgaben überprüfen.

img-2.jpeg

  1. Tätigkeitsbericht 2023/24

15

Datenschutz

DIGITALE TRANSFORMATION IM GESUNDHEITSWESEN

Personenidentifikator

Der EDÖB äusserte sich im Rahmen des Programms DigiSanté zur Förderung der digitalen Transformation im Gesundheitswesen zu den Arbeiten der «Fachgruppe Datenmanagement im Gesundheitswesen», die sich mit der Erleichterung der Datenweiterverwendung durch Forschende beschäftigt. Dabei betonte er die Anliegen des Datenschutzes, die im Zusammenhang mit der Ausgestaltung eines Personenidentifikators von Bedeutung sind.

DigiSanté ist das Programm des Eidgenössischen Departements des Innern (EDI) zur Förderung der digitalen Transformation im Gesundheitswesen. Zahlreiche Projekte beschäftigen sich mit der Verwendung von Gesundheitsdaten. Im Bereich der Nutzung von Daten für Planung, Steuerung und Forschung beauftragte der Bundesrat das EDI mit der Schaffung einer Fachgruppe Datenmanagement im Gesundheitswesen (FDMG). Zudem thematisierte der Bundesrat die Schaffung der Voraussetzungen für die Mehrfachnutzung von Gesundheitsdaten durch Forschungsinstitutionen und legte dabei ein besonderes Gewicht auf die Ausgestaltung der Einwilligung der betroffenen Personen zur Verwendung ihrer Daten sowie auf die Wahrung des Datenschutzes und der Datensicherheit durch ein umfassendes Datenschutzkonzept.

Im Rahmen der Arbeiten zum Personenidentifikator erinnerte der EDÖB an die Diskussionen im Zusammenhang mit der Ausgestaltung von Anforderungen an die systematische Verwendung der AHV-Nummer ausserhalb des Sozialversicherungsbereichs, aus denen Bestimmungen über periodische Risikoanalysen (Art. 153e des Bundesgesetzes über die Alters- und Hinterlassenenversicherung, AHVG) und Vorschriften betreffend technische und organisatorische Massnahmen (Art. 153d AHVG) hervorgingen.

Ausserdem verwies der EDÖB die Arbeitsgruppe darauf, dass die Schaffung eines eindeutigen Identifikators nicht nur unter dem Aspekt der Machbarkeit und der technischen Anforderungen zu betrachten sei, sondern dass es hierfür auch ein Konzept des Datenschutzes durch Technik und datenschutzfreundliche Voreinstellungen im Sinne von Art. 7 DSG sowie eine Datenschutz-Folgenabschätzung nach Art. 22 DSG braucht, wenn neue Projekte oder Entwicklungen geplant werden.

EPIDEMIENGESETZGEBUNG

Verwendung der AHV-Nummer

Das Epidemiengesetz und die dazugehörigen Vollzugsverordnungen befinden sich in Revision. Aus datenschutzrechtlicher Sicht besonders hervorzuheben ist, dass die AHV-Nummer der Patientin oder des Patienten neu in die Kategorie der zu meldenden Daten aufgenommen werden soll.

Im Berichtsjahr wurde der EDÖB aufgefordert, zum Entwurf einer Revision der Vollzugsverordnungen zum Epidemiengesetz (EpG) Stellung zu nehmen. Das Gesetz verpflichtet Ärztinnen und Ärzte, Laboratorien sowie andere Institutionen des Gesundheitswesens, den kantonalen Behörden und dem Bundesamt für Gesundheit (BAG) Diagnosen zu bestimmten Krankheiten zu melden, um den Ausbruch oder die Verbreitung von Epidemien wirksamer bekämpfen zu können. Für den Datenschutz besonders relevant ist, dass die geplante Revision die Einführung der AHV-Nummer bei den zu meldenden Datenkategorien. Aus Sicht des BAG wird die Bearbeitung von Meldungen durch die Verwendung einer Nummer, die einer Person eindeutig zugeordnet ist, erleichtert. Zudem lassen sich damit allfällige Doppelmeldungen vermeiden.

Es trifft zu, dass die AHV-Nummer ein geeignetes Mittel ist, um die Vorgaben des BAG zu erfüllen. Allerdings handelt es sich dabei um eine relativ heikle Datenkategorie, da die Nummer für eine ganze Reihe von Zwecken

16

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

ELEKTRONISCHE IDENTITÄT

verwendet wird. Eine missbräuchliche Verwendung kann jedoch für die betroffene Person erhebliche Folgen mit sich bringen. Deshalb schreibt das AHV-Gesetz (AHVG) für die Verwendung der AHV-Nummer ausserhalb der AHV verschärfte Sicherheitsmassnahmen vor (Art. 153d AHVG). Zudem sind Institutionen, welche die Nummer verwenden, zur Durchführung periodischer Risikoanalysen verpflichtet (Art. 152e AHVG), und zwar ungeachtet der nach Art. 22 DSG vorgesehenen Datenschutz-Folgenabschätzung. Der EDÖB hat in seinen Stellungnahmen insbesondere diese Punkte hervorgehoben.

Der EDÖB äusserte sich ebenfalls zum Entwurf zur Revision des Epidemiengesetzes, der die Verwendung der AHV-Nummer im Meldesystem noch nicht vorsah. Diese Neuerung wurde erst im Zusammenhang mit der Revision der Vollzugsverordnungen aktuell. Nach Auffassung des EDÖB sowie weiterer Ämter sollte die Verwendung der AHV-Nummer jedoch auch im Gesetz verankert werden. Das BAG nahm eine entsprechende Anpassung vor.

EDÖB aktiv an Ausarbeitung des E-ID-Gesetzes beteiligt

Der EDÖB hat die Arbeiten zum neuen Gesetzesentwurf für die E-ID, der eine staatliche Lösung vorsieht und den Self-Sovereign-Ansatz verfolgt, von Anfang an aufsichtsrechtlich begleitet.

Nach dem Volksnein zum ersten E-ID-Gesetz 2021 erarbeitete das Eidgenössische Justiz- und Polizeidepartement (EJPD) einen neuen Gesetzesentwurf und schickte ihn in die Vernehmlassung (s. 29. und 30. TB, jeweils Kap. 1.1). Der EDÖB brachte seine Anliegen vor. Die Veröffentlichung des Gesetzesentwurfs und der dazugehörigen Botschaft erfolgte am 22. November 2023. Er regelt einerseits den staatlichen elektronischen Identitätsnachweis (E-ID) und andererseits den Betrieb einer technischen Infrastruktur, die für die Ausstellung und Überprüfung verschiedenster elektronischer Nachweise erforderlich ist. Letztere soll auch von kantonalen und kommunalen Behörden sowie von Privaten für die Herausgabe oder Verwendung beispielsweise

von Diplomen, Konzertkarten oder Strafregisterauszügen genutzt werden können. Die E-ID soll vom Bundesamt für Polizei (fedpol) auf Antrag hin ausgestellt werden. Für die Aufbewahrung und Bearbeitung stellt der Bund eine elektronische Brieftasche in Form einer App bereit. Die Daten werden somit lokal auf den Smartphones der Nutzerinnen und Nutzer gespeichert sein. Sie behalten also die Hoheit über ihre Daten,

die dezentral gespeichert sind (Self-Sovereign Identity); zudem können sie die nötigen Datenflüsse minimieren (Prinzip der Datensparsamkeit). Der Datenschutz soll durch das System selber, also durch Technik (Privacy by Design) und durch datenschutzfreundliche Voreinstellungen (Privacy by Default) gewährleistet werden.

Der EDÖB hatte im Zuge der Gesetzesrevision die Sorge geäussert, dass die Einführung der E-ID in der digitalen Welt zu übermässigen Einforderungen von Personendaten führen könnte und begrüsste deshalb die Einführung einer Sorgfaltspflicht zur Verhinderung von «Überidentifikationen» und von Massnahmen bei Verletzung dieser Pflicht. Er bestand jedoch darauf, dass die Botschaft konkrete Anwendungsbeispiele zur Abgrenzung rechtmässiger von übermässigen Dateneinforderungen enthält. So sind der daraufhin angepassten Botschaft denn auch konkrete Szenarien zu entnehmen, in denen Prüfstellen personenbezogene Daten aus der E-ID einfordern können: Eine Abfrage von E-ID-Daten eines Kunden zur Altersprüfung bei einem gewöhnlichen Onlinekauf müsste als übermässig und somit missbräuchlich eingestuft werden, da zur Bestätigung der Volljährigkeit einer Person weder deren Identität noch das Geburtsdatum erforderlich ist; es genügt die Teilinformation, dass sie über 18 Jahre alt ist.

  1. Tätigkeitsbericht 2023/24

17

Datenschutz

img-3.jpeg

Zur Bekämpfung von Missbrauchsfällen empfahl der EDÖB deshalb, im Gesetz die Offenlegung von Fällen missbräuchlicher Nutzung oder des begründeten Verdachts vorzusehen. Er begrüsste daher die Einführung eines in die Infrastruktur integrierten Vertrauensregisters, das die Vertrauenswürdigkeit der Ausgabe- und Prüfstellen gewährleisten soll. Er verlangte auch, dass für alle Aussteller von elektronischen Ausweisen (nicht nur für fedpol als Herausgeberin der E-ID) gewisse Widerrufspflichten gelten, die sie zur Gewährleistung der Datenrichtigkeit verpflichten. Entsprechend wurde die Botschaft so angepasst, dass sich die Verpflichtung zur Entfernung von unrichtigen Angaben im elektronischen Ausweis unmittelbar aus dem Datenschutzgesetz ableiten lässt.

Der EDÖB wies auch auf die Problematik der Verwendung von Randdaten hin, die bei Abfragen des Basisregisters generiert werden. Diese sollten seiner Auffassung nach ausschliesslich zur Wahrung der Informationssicherheit, zur technischen Wartung der elektronischen Infrastruktur oder zur

18

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

GESETZGEBUNG

Rückverfolgung der Zugriffe auf das Register genutzt werden können. Er betonte die Wichtigkeit, die Bearbeitung dieser Randdaten zu regeln. Sein Anliegen nach einer Reglementierung wurde berücksichtigt.

Insgesamt ist der EDÖB erfreut, dass er von Anfang an zur aufsichtsrechtlichen Begleitung des Projekts eingeladen worden ist und dass viele seiner Anliegen in der definitiven Vorlage und der entsprechenden Botschaft aufgegriffen wurden. Er bedauert jedoch, dass die Botschaft keine Angaben zum Ergebnis der Risikobeurteilung und der Datenschutz-Folgenabschätzung enthält, wie dies in Ziffer 4.1 der Richtlinien des Bundesrates vom 28. Juni 2023 über die vorgängige Risikobeurteilung und die Datenschutz-Folgenabschätzung bei der Bearbeitung von Personendaten durch die Bundesverwaltung, welche die Pflichten der Bundesorgane nach Artikel 22 des Bundesgesetzes über den Datenschutz regeln, vorgesehen ist.

Auf Antrag der Rechtskommissionen der beiden Räte hat der EDÖB zwischen Januar und April 2024 an deren Beratungen über die Vorlage teilgenommen. Falls das Parlament zustimmt, wird er die Einführung der E-ID und der Vertrauensinfrastruktur weiter begleiten und sich zum Beispiel in der Vernehmlassung zu den Verordnungen des Bundesrates einbringen, um den Datenschutz by Design und by Default zu gewährleisten.

Ausführungsrecht zum Bundesgesetz über die Informationssicherheit

Die Ausführungsverordnungen zum Bundesgesetz über die Informationssicherheit traten am 1. Januar 2024 in Kraft. Die Anliegen, die der EDÖB während der verschiedenen Konsultationen vorbrachte, wurden vom VBS weitgehend berücksichtigt.

Das Bundesgesetz über die Informationssicherheit (ISG) wurde Ende 2020 vom Parlament verabschiedet. Mehrere Verordnungen wurden im Hinblick auf die Ausführung dieses Gesetzes revidiert: die Informationssicherheitsverordnung, die Verordnung über die Personensicherheitsprüfungen, die Verordnung über das Betriebssicherheitsverfahren und die Verordnung über Identitätsverwaltungssysteme und Verzeichnisdienste des Bundes.

Der EDÖB brachte mehrere Bemerkungen und Fragen in die verschiedenen Ämterkonsultationen ein. Er stellte

bezüglich der Personensicherheitsprüfungen fest, dass die formelle Rechtsgrundlage für die in der Verordnung vorgesehene Bearbeitung von besonders schützenswerten Daten im ISG unvollständig ist. Diese Rechtsgrundlage wird bei der nächsten Gesetzesrevision ergänzt. Ausserdem verlangte der EDÖB Präzisierungen in der Informationssicherheitsverordnung. Darin steht, dass Verwaltungseinheiten, welche für die Sicherheit beim Betrieb verantwortlich sind, die Nutzung ihrer Informatikinfrastruktur überwachen und regelmässig nach technischen Bedrohungen und Schwachstellen durchsuchen müssen. Der EDÖB schlug vor, die Bestimmung dahingehend zu ergänzen, dass die Überwachung der Nutzung der Informatikstruktur mit geeigneten technischen und organisatorischen Massnahmen durchzuführen sei und dass die regelmässige Durchsuchung automatisch zu erfolgen habe.

Bei der letzten Ämterkonsultation bestand hinsichtlich dieser Forderung eine Differenz. Das VBS lehnte den Antrag des Datenschutzbeauftragten ab. Auch der Bundesrat entschied gegen dieses Anliegen. Die Ausführungsverordnungen zum ISG wurden am 1. Januar 2024 in Kraft gesetzt.

  1. Tätigkeitsbericht 2023/24

19

Schwerpunkt

Das neue Datenschutzgesetz

Revidiertes Datenschutzgesetz in Kraft

Das neue Datenschutzgesetz (DSG) und die zugehörigen Verordnungen sind am 1. September 2023 in Kraft getreten. Der EDÖB hat zahlreiche Informationsveranstaltungen durchgeführt, Merkblätter und Leitfäden verfasst, und seine Webseite neu aufgesetzt.

Im Vorfeld des Inkrafttretens des neuen Datenschutzrechts hat der EDÖB einen Schwerpunkt auf die Sensibilisierung der Bevölkerung und die Information von Fachkreisen der Privatwirtschaft und der Bundesverwaltung gelegt.

Informationsveranstaltungen

Im Lauf des Jahres hat der EDÖB auf Einladung an einzelnen Informationsveranstaltungen von Bundesämtern bzw. Departementen zum neuen Gesetz referiert. Im August hat er an der Universität Fribourg eine eintägige Informationstagung für alle Datenschutzberaterinnen und -berater der Bundesorgane organisiert. Über 80 Teilnehmende aus zahlreichen Verwaltungseinheiten haben sich zu praxisbezogenen Themen wie der Datenschutz-Folgenabschätzung, der Protokollierung von automatisierten Bearbeitungen oder den neuen Verfahrensregeln ausgetauscht.

Auch für die Privatwirtschaft hat der EDÖB an zahlreichen Anlässen praktische Fragen des Übergangs vom bisherigen zum neuen DSG beantwortet. Ein besonderer Fokus hat er auf Anlässe mit Datenschutzberaterinnen und -beratern aus Unternehmen gelegt und dabei die verschiedenen Sprachregionen berücksichtigt. In der deutschen Schweiz hat er nebst den regelmässigen Treffen mit dem Verein Unternehmens-Datenschutz am Herbstevent der Data Privacy Community sowie universitären Veranstaltungen teilgenommen. In Lausanne referierte der EDÖB vor der Association Suisse des Délégués à la Protection des Données (ASDPO) wie auch in der Masterclass für angehende Datenschutzberaterinnen und -berater. Auf Einladung der Datenschutzstelle des Fürstentums Liechtenstein hat er das neue

Schweizer Recht bei Datenschutzberaterinnen und -beratern von Unternehmen im Fürstentum vorgestellt. Direkt mit Unternehmerinnen und Unternehmern hat er in Genf, im Jura und im Wallis auf Einladung der Fédération des Entreprises Romandes praktische Fragen zum Datenschutz behandelt.

Daneben hat der EDÖB im Rahmen seiner telefonischen Hotline und per E-Mail konkrete Anfragen zum neuen Datenschutzgesetz direkt beantwortet. Das grosse Interesse zeigte sich an der Verdoppelung der Anzahl an telefonischen Anfragen in den Monaten August und September im Vergleich zu den Vormonaten.

Neue Webseite EDÖB

Um dem Bedarf an schriftlichen Informationen nachzukommen, hat der EDÖB im Berichtsjahr seine Webseite im Hinblick auf das neue Gesetz grundlegend erneuert.

Er hat alle relevanten Texte an das neue Gesetz angepasst und Neuerungen des Gesetzes mit entsprechenden Beiträgen erläutert. Die wichtigsten Neuerungen hat er auf einer Seite vereinigt. Dort finden sich unter anderem Beiträge zum Auskunftsrecht, zur Informationspflicht, zu den Strafbestimmungen, zur Gebührenregelung oder zur Datenschutzzertifizierung. Ausserdem hat der EDÖB auf seiner Website einen Bereich mit häufig gestellten Fragen (FAQ) veröffentlicht, der laufend erweitert wird.

Merkblätter und Leitfäden

Auf seiner Webseite stellt der EDÖB auch praktische Hilfsinstrumente zum DSG zur Verfügung.

20

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Schwerpunkt

Onlineportale für sichere elektronische Meldungen an den EDÖB

Der EDÖB hat vor der Einführung des neuen Datenschutzgesetzes auf seiner erneuerten Webseite Meldeportale eingeführt, die Verantwortlichen eine sichere und elektronische Möglichkeit zur Erfüllung ihrer Meldepflichten bieten.

Verzeichnis der Bearbeitungstätigkeiten (DataReg)

Bundesorgane melden dem EDÖB ihre Verzeichnisse der Bearbeitungstätigkeiten mit der Lösung DataReg. Das neue Portal löst die bisherige Lösung ab und beinhaltet keine Meldungen von Privaten mehr, wie es unter dem alten Datenschutzgesetz erforderlich war. Neben der Migration der Einträge von Bundesorganen gibt es eine hohe Anzahl neuer Einträge von Verantwortlichen und Verzeichnissen. Neu erfasst wurden insbesondere Einträge von Pensionskassen und Sammelstiftungen, welche als Bundesorgane zu qualifizieren sind und einen zahlenmässig hohen Anteil der bislang dreitausend registrierten Einträge im Meldeportal ausmachen. Das Register ist öffentlich zugänglich. (Link: www.datareg.edoeb.admin.ch)

Meldung von Verletzungen der Datensicherheit (DataBreach-Portal)

Bei einer Verletzung der Datensicherheit (engl. «data breach») mit hohem Risiko für die betroffenen Personen, können die Verantwortlichen dies dem EDÖB auf dem vorgesehen Portal melden. Das Erfassungsformular umfasst alle erforderlichen Angaben, sodass Meldungen rasch und vollständig erfolgen können. Bei Meldungen mit einem potenziell hohen Risiko wirkt der EDÖB darauf hin, dass die Betroffenen zeitgerecht informiert werden.

Seit der Einführung des Onlineportals erhält der EDÖB eine deutliche Mehrheit dieser Meldungen in elektronischer Form. Dabei stellt er fest, dass eine hohe Bandbreite von Branchen, von Hotels bis zur Sammelstiftung, das Portal nutzt. Für den EDÖB von besonderem Interesse waren

Fälle, in denen Auftragsbearbeiter (z. B. Hostingunternehmen) betroffen waren, da hier mit einer hohen Anzahl von Meldungen gerechnet wurde und der EDÖB sein Vorgehen möglichst koordinieren möchte. (Link: www.databreach.edoeb.admin.ch)

Kontaktdaten der Datenschutzberaterinnen und -berater (DPO-Portal)

Private können eine Datenschutzberaterin oder einen Datenschutzberatern (engl. data protection officer, DPO) ernennen und dem EDÖB melden, wenn sie von Erleichterungen bei der Datenschutz-Folgenabschätzung profitieren möchten.

Bundesorgane sind zur Ernennung eines DPOs verpflichtet. Nach Artikel 27 Absatz 2 DSV müssen sie diese Kontaktdaten im Internet publizieren und dem EDÖB mitteilen. Das entsprechende Onlineportal bietet Bundesorganen die Möglichkeit, dem EDÖB die Kontaktdaten ihrer DPO auf elektronischem Weg zu melden.

Bis dato haben mehr als zweitausend Verantwortliche einen oder mehrere DPO im Portal erfasst. (Link: www.dpo-reg.edoeb.admin.ch)

DataBreach-Portal

Total 245 Meldungen seit Einführung des Onlineformulars am 9. Mai 2023.

Bei 57 wurde von der Möglichkeit Gebrauch gemacht, weitere Informationen mit Folgemeldungen nachzuliefern, sei es durch Initiative des Verantwortlichen oder nach Aufforderung durch den EDÖB.

Auffallend waren Meldungen, bei der die Verletzung der Datensicherheit im Zusammenhang mit einem Auftragsdienstleister auftrat (Xplain, Concevis, Booking.com...). Hier war stets eine sehr grosse Zahl von Betroffenen festzustellen, die aufgrund der Verletzung einem hohen Risiko ausgesetzt war.

  1. Tätigkeitsbericht 2023/24

21

Schwerpunkt

Neue Verordnung zur Datenschutzzertifizierung

Zusammen mit dem revidierten Datenschutzgesetz ist auch die neue Verordnung über Datenschutzzertifizierungen (VDSZ) am 1. September 2023 in Kraft getreten. Dabei wurden die Richtlinien über die Mindestanforderungen an ein Managementsystem überarbeitet sowie Richtlinien über die weiteren datenschutzrechtlichen Kriterien für die Prüfung der Anforderungen an die Zertifizierung von Produkten, Dienstleistungen und Prozessen erstellt.

In Zusammenarbeit mit dem Bundesamt für Justiz (BJ) und der Schweizerischen Akkreditierungsstelle (SAS) befasste sich der EDÖB mit der Anpassung der Verordnung über Datenschutzzertifizierungen (VDSZ) an das neue Datenschutzgesetz (DSG). Neu sind – neben Organisation und Verfahren (sog. Management-Systemen) und Produkten – auch Dienstleistungen zertifizierbar.

Obgleich nicht ausdrücklich vorgesehen, wird insbesondere im Rahmen der Zertifizierung von Produkten und Dienstleistungen auch die Möglichkeit berücksichtigt, Datenbearbeitungen zertifizieren zu lassen. Dies erlaubt eine Annäherung des Schweizer Zertifizierungssystems an das europäische Recht und sollte es ermöglichen, dass Schweizer

Zertifizierungen von Datenbearbeitungen durch die für den Datenschutz zuständigen europäischen Behörden anerkannt werden.

Neu gibt es eine einheitliche Gültigkeitsdauer der Zertifizierungen von drei Jahren mit der Pflicht zur jährlichen Prüfung.

Für private Verantwortliche wird mit dem DSG eine Ausnahme von der Pflicht zur Erstellung einer Datenschutz-Folgenabschätzung eingeführt, wenn Datenbearbeitungen entsprechend zertifiziert sind. Diese ersetzt die im bisherigen Recht bestehende Möglichkeit, von der Pflicht zur Anmeldung von Datensammlungen entbunden zu werden. Die diesbezüglichen Bestimmungen wurden in der VDSZ entsprechend angepasst.

Alle Informationen im Zusammenhang mit Datenschutzzertifizierungen sind auf der Website des EDÖB zu finden.

22

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Schwerpunkt

Neue Vorlagen für Bearbeitungsreglemente

Für gewisse Datenbearbeitungen muss ein Bearbeitungsreglement erstellt werden. Es soll einen Überblick über die Datenbearbeitungen liefern, was sich gerade bei der Behebung von Verletzungen der Datensicherheit (Data Breaches) als zentral erweisen kann. Der EDÖB stellt auf seiner Website geeignete Vorlagen zur Verfügung.

Mit dem neuen Datenschutzgesetz (DSG) ist auch die neue Verordnung über den Datenschutz (DSV) am 1. September 2023 in Kraft getreten. Wie bereits nach altem Recht, ist für gewisse Datenbearbeitungen ein Bearbeitungsreglement zu erstellen. Die Voraussetzungen sind in den Artikeln 5 (für private Personen) und 6 (für Bundesorgane) DSV definiert.

Um die Verantwortlichen einer Datenbearbeitung bei der Erstellung von Bearbeitungsreglementen zu unterstützen, hat der EDÖB entsprechende Vorlagen bereitgestellt. Es gibt zwei verschiedene Vorlagen: eine für Bundesorgane, die andere für private Datenbearbeiter. Die Vorlagen liefern eine Aufstellung der notwendigen Inhalte und ein entsprechendes Musterinhaltsverzeichnis.

So hält das Bearbeitungsreglement unter anderem die Informationsflüsse fest: Diese sollen aufzeigen, welche Informationen vom systembetreibenden Organ mit anderen Organen wann, wie und in welcher Art ausgetauscht werden. Ein sorgfältig erstelltes und regelmässig überarbeitetes Bearbeitungsreglement dient insbesondere bei Verletzungen der Datensicherheit (Data Breaches) als zentrales Dokument, um in einem ersten Schritt einen Überblick über die betroffenen Daten und Systeme zu erhalten. Weiter können daraus auch erste Massnahmen zur Schadensminderung abgeleitet werden.

Protokollierung

Die Protokollierung wird durch Art. 4 DSV geregelt und ist Teil der technischen und organisatorischen Massnahmen zur Gewährleistung der Datensicherheit. Das Vorgehen gilt als Standardverfahren, wirft aber weiterhin Fragen auf.

Im Berichtsjahr gingen beim EDÖB regelmässig Anfragen zur Protokollierung ein. Eine Pflicht zur Protokollierung bestand bereits im alten Recht (Art. 10 Datenschutzverordnung, VDSG) und blieb grundsätzlich unverändert. Sie dient der Nachvollziehbarkeit der Datenbearbeitung und trägt zur Datensicherheit bei, indem sie die Datenbearbeitungen einerseits schriftlich festhält (und somit sichtbar macht) und andererseits auch ein besseres Verständnis der Bearbeitungsprozesse im Ereignisfall ermöglicht. Der neue Artikel 4 der Datenschutzverordnung (DSV) ist detaillierter als der entsprechende Artikel im alten Gesetz. Für Bundesorgane wird die Protokollierung neu obligatorisch, wobei ihnen für die erforderliche Umstellung eine dreijährige Übergangsfrist eingeräumt wird (Art. 46 Abs. 1 Datenschutzverordnung, DSV). Zuvor galt die Protokollierungspflicht nur für spezifische Bearbeitungen (hauptsächlich bei der Bearbeitung besonders schützenswerter Daten und Profiling) und wenn andere präventive Massnahmen den Datenschutz nicht ausreichend gewährleisteten. In diesen Fällen gilt sie weiterhin auch für Private.

Im Zusammenhang mit den geltenden Bestimmungen treten derzeit weiterhin diverse Fragen und praktische Schwierigkeiten auf (insbesondere Definition der automatisierten Bearbeitung, Erfüllung des Protokollierungszwecks, Art und Weise der Protokollierung, Umgang mit alten Systemen ohne Protokollierungsfunktion, neue Technologien wie etwa KI usw.), zu denen der EDÖB angefragt wurde.

  1. Tätigkeitsbericht 2023/24

23

Schwerpunkt

Aktualisierung des Leitfadens zu den technischen und organisatorischen Massnahmen des Datenschutzes

Das Inkrafttreten des neuen Datenschutzgesetzes veranlasste den EDÖB zu einer Überarbeitung des Leitfadens zu den technischen und organisatorischen Massnahmen des Datenschutzes (TOM) auf juristischer und technischer Ebene.

Der aktualisierte Leitfaden bietet Verantwortlichen, die Personendaten bearbeiten, einen Überblick über die geltenden gesetzlichen Anforderungen sowie allgemeinverständliche Erklärungen der verschiedenen Konzepte, Hilfsmittel und Referenzen, die ihnen bei der Einführung der erforderlichen Massnahmen nützlich sein können. Eine umfassende Überarbeitung der bisherigen Fassung des Leitfadens war nötig, um die Änderungen im neuen Datenschutzgesetz (DSG) und den neuesten Stand von Technik und Normen (state-of-the-art) wiedergeben zu können.

Der Leitfaden behandelt unter anderem die im DSG verwendeten neuen Begriffe, beispielsweise die Bedeutung von Konzepten wie «hohes Risiko» und «Profiling», sowie neu eingeführte Hilfsmittel wie etwa Verhaltenskodizes und Zertifizierungen. Besonders hervorgehoben werden

namentlich die Datenschutz-Folgenabschätzung (DFSA) sowie die diesbezügliche Rolle der Datenschutzberaterin oder des Datenschutzberaters. Der Leitfaden erklärt auch das Verzeichnis der Bearbeitungstätigkeiten und beschreibt, was bei Verletzungen der Datensicherheit zu tun ist. Der Leitfaden geht auch auf die spezifischen Anforderungen der Datenbearbeitung durch Bundesorgane ein, für die besondere Regelungen gelten.

Die wichtigsten Bereiche des Datenschutzes werden unter dem Aspekt der in Betracht kommenden technischen und organisatorischen Massnahmen präsentiert, zu denen der Datenschutz durch Technik (Privacy by design) und datenschutzfreundliche Voreinstellungen (Privacy by default) gehören, aber auch Anonymisierung, Pseudonymisierung oder Vorkehrungen betreffend die Bearbeitungs-Infrastruktur und Empfehlungen zur Sicherung der Räumlichkeiten und der Serverräume sowie betreffend die Cloud-Nutzung bei Bearbeitung von Personendaten. Die Zugriffsverwaltung, die Identifizierungs- und Authentifizierungsmassnahmen und der Zugang von ausserhalb der Organisation (Homeoffice) werden ebenfalls erklärt. Des Weiteren wird auf die Sicherheit während des Lebenszyklus der Daten und auf entsprechende Massnahmen betreffend die Erfassung, Sicherung und Vernichtung der Daten eingegangen sowie auf deren Chiffrierung und Protokollierung, wenn dies erforderlich ist.

Der Leitfaden zu den technischen und organisatorischen Massnahmen richtet sich in erster Linie an Personen, die für Informationssysteme zuständig sind und sich direkt mit der Verwaltung von Daten beschäftigen, ob sie nun Technikerinnen oder Techniker sind oder nicht. Er ist in den drei Landessprachen sowie auf Englisch auf der Website des EDÖB verfügbar.

24

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Schwerpunkt

Datenschutz-Folgenabschätzung

Private und Bundesorgane müssen eine Datenschutz-Folgenabschätzung (DSFA) erstellen, wenn bei einer Bearbeitung von Personendaten ein potenziell hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen erkennbar ist.

Der EDÖB stellt mit seinem Merkblatt zur DSFA eine Handreichung insbesondere für private Datenbearbeiter zur Verfügung. Das Merkblatt nimmt eine Definition des hohen Risikos vor, gibt Anhaltspunkte zur Risikovorprüfung sowie zum Inhalt und Aufbau einer DSFA. Das Vorgehen nach Fertigstellung sowie die Massnahmen des EDÖB sind im Merkblatt skizziert. Der EDÖB prüft die ihm vorgelegten DSFA und teilt dem Verantwortlichen seine Stellungnahme mit. Diese hat empfehlenden Charakter und ist keine Genehmigung oder Bewilligung der geplanten Datenbearbeitung. Der EDÖB kann aber gestützt auf seine Aufsichtsfunktion eine Untersuchung eröffnen und gegenüber dem Verantwortlichen die notwendigen Massnahmen verfügen.

Das Bundesamt für Justiz stellt seinerseits Instrumente für den Umgang mit der DSFA in der Bundesverwaltung zur Verfügung, so unter anderem eine Richtlinie des Bundesrates für die Risikovorprüfung und die Datenschutz-Folgenabschätzung bei Datenbearbeitungen durch die Bundesverwaltung und einen DSFA-Leitfaden.

Untersuchungsverfahren

Das revidierte Datenschutzgesetz verstärkt die Aufsichtskompetenzen des EDÖB und erklärt das Verwaltungsverfahrensgesetz als anwendbar für die Untersuchungen, die der EDÖB auf Anzeige hin oder aufgrund von Verstössen gegen die Datenschutzvorschriften vom Amtes wegen eröffnet. Der EDÖB verfügt nach dem neuen Gesetz ebenfalls über die Kompetenz, Verwaltungsmassnahmen zur Durchsetzung dieser Vorschriften anzuordnen.

Unter bestimmten Voraussetzungen ist der EDÖB nicht nur befugt, sondern verpflichtet zu untersuchen. Er hat eine ausführliche Analyse der einschlägigen Bestimmungen des Gesetzes auf seiner Webseite veröffentlicht und zusätzlich in einem Merkblatt zusammengefasst.

Der EDÖB stellt den von einer Datenschutzverletzung Betroffenen ein Anzeigeformular zur Verfügung. Auch nicht direkt betroffene Personen können beim EDÖB eine Anzeige einreichen.

Verantwortlichen wird ein eigenes Kontaktformular zur Verfügung gestellt, mit dem sie eine Beratung beantragen oder die Stellungnahme des EDÖB zu spezifischen Geschäften verlangen können, beispielsweise zwecks Genehmigung von Verhaltenskodizes oder bezüglich der Bekanntgabe von Personendaten ins Ausland.

  1. Tätigkeitsbericht 2023/24

25

Datenschutz

1.2 Justiz, Polizei, Sicherheit

UNTERSUCHUNGEN GEGEN FEDPOL, BAZG UND XPLAIN

RIPOL-Zugriffe und Datensicherheitsverletzung

Die Untersuchungen betreffend die Zugriffe auf das Fahndungsregister RIPOL und die Datensicherheitsverletzung bei der Xplain AG sind weit fortgeschritten.

Am 13. April 2023 startete der EDÖB ein Vorabklärungsverfahren betreffend die von der Aargauer Zeitung am 11. April 2023 aufgeworfenen Fragen zur Rechtmässigkeit von Zugriffen von Mitarbeitenden des Bundesamtes Zoll- und Grenzsicherheit (BAZG) auf das vom Bundesamt für Polizei (fedpol) betriebene nationale Fahndungsregister RIPOL. Im Verlauf des Vorabklärungsverfahrens haben die beiden Bundesämter schriftliche Stellungnahmen zum Sachverhalt eingereicht. Gestützt auf diese Rückmeldungen hat der EDÖB gegen beide Bundesämter ein formelles Verfahren betreffend die RIPOL-Zugriffe eröffnet. Die beiden Bundesämter haben einen Fragekatalog des EDÖB beantwortet und die fraglichen Datenbearbeitungen im Sinne von

Art. 27 Abs. 3 aDSG vorgeführt. Diese beiden Verfahren wurden bis zum Abschluss des untenstehend beschriebenen Verfahrens betreffend den Datensicherheitsvorfall bei der Firma Xplain AG sistiert.

Anfang Juni 2023 setzten die beiden Bundesämter fedpol und BAZG den EDÖB darüber in Kenntnis, dass es durch die Zusammenarbeit mit der Xplain AG zu Verletzungen der Datensicherheit mit potenziell hohen Risiken für die Betroffenen gekommen sei. Am 20. Juni 2023 eröffnete der EDÖB weitere formelle Untersuchungen gegen die beiden Bundesämter betreffend dieser Datensicherheitsverletzung (s. Medienmitteilung vom 21.06.2023). Die Verfahren wurden am 13. Juli

2023 auf das Unternehmen Xplain ausgedehnt (s. Medienmitteilung vom 14.07.2023). Die beiden Bundesämter BAZG und fedpol haben im Zuge der Untersuchungen Fragenkataloge betreffend die Datensicherheitsverletzung beantwortet. Bei den Verfahrensparteien wurden Dokumente editiert. Zudem fanden Anhörungen der Parteien und des Bundesamtes für Cybersicherheit BACS statt, sodass der EDÖB den Sachverhalt näher abklären konnte. Der Beauftragte behandelt die Verfahren betreffend den Datensicherheitsvorfall bei der Xplain AG prioritär und beabsichtigt dieses zeitnah abzuschliessen.

HACKERANGRIFF

Vorabklärungen betreffend die Firma Concevis

Im Anschluss an den Cyberangriff gegen Concevis leitete der EDÖB zwei Vorabklärungen betreffend der Firma bzw. des Bundesamtes für Statistik (BFS) ein. Die Abklärungen laufen derzeit noch.

Im November 2023 wurde die Concevis AG Opfer eines Ransomware-Angriffs. Die Firma bietet unter anderem Softwarelösungen für öffentliche Verwaltungen an. Unter den entwendeten Daten befinden sich Daten des Bundesamtes für Statistik (BFS). Mitte November eröffnete der EDÖB zwei Vorabklärungen betreffend die Firma Concevis bzw. das BFS. Ziel der Vorabklärungen ist es, nach Massgabe des DSG zunächst zu prüfen, ob Versäumnisse vorliegen und gegebenenfalls deren Ausmass zu beurteilen.

26

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

1

Datenschutz

POLIZEIDATENBANK

EDÖB fordert datenschutzkonforme Digitalisierung der polizeilichen Amtshilfe

Die Konferenz der kantonalen Polizei- und Justizdirektorinnen und -direktoren (KKJPD) hat im Winter 2023/24 eine Vernehmlassung zu einer Vereinbarung zum polizeilichen Datenaustausch mit einer vorgesehenen Bundesbeteiligung durchgeführt, zu der sich der Beauftragte sowohl in der Vernehmlassung als auch in den Medien kritisch äusserte. Er fordert eine verhältnismässige und mit den Rechtsschutzansprüchen der Bevölkerung vereinbare Modernisierung des polizeilichen Austausches von Personendaten.

Die geplante Vereinbarung bezweckt die Schaffung eines gemeinsamen Polizeidatenraums mittels einer Abfrageplattform. Über diese Plattform sollen einerseits die nicht bereits in nationale Polizeisysteme aufgenommenen Informationen über kantonspolizeilich erfasste Personen neu voraussetzungslos unter den kantonalen Korps über Onlineabfragen zugänglich gemacht werden. Heute ist dazu eine Einzelfallprüfung im Rahmen der teilautomatisierten Amtshilfe nötig.

Interkantonal unmittelbar zugänglich gemacht würden damit gemäss dem bei Drucklegung massgebenden Wortlaut der Vereinbarung u. a. auch

verwaltungspolizeiliche Bewilligungen und Massnahmen oder polizeiliche Bagatellvorgänge wie Ruhestörungen. Über die in der Vereinbarung andererseits vorgesehene Beteiligung des Bundes würden dieselben Informationen sodann auch den Polizeiorganen des Bundes unmittelbar zugänglich. Diese befassen sich bislang schwergewichtig mit komplexen und schweren Straftaten und Sicherheitsgefährdungen.

Indem der Anwendungsbereich der geplanten Vereinbarung das ganze Spektrum von präventiven und repressiven Aufgaben der Polizei umfasst und die Verwendung der korpsübergreifenden Personendatenbearbeitung von keinen hinreichend konkreten Zweckvorgaben abhängig macht, muss davon ausgegangen werden, dass die neue Plattform zu einer systemischen Veränderung der polizeilichen Datenflüsse und Bearbeitungsbefugnisse auf allen Stufen des föderalen Staates (Gemeinden, Kantone, Bund) führen würde. So auch beim Datenschutz,

indem die Vereinbarung vorsieht, dass die Datenbearbeitung in der Abfrageplattform nach dem Datenschutzgesetz des Bundes und, falls sich Letzterer wie geplant an ihr beteiligt, unter der Aufsicht des EDÖB durchzuführen sei.

Aufgrund der einheitspolizeilichen Züge der auf eine Bundesbeteiligung abzielenden Gesamtarchitektur weist das Vorhaben ein hohes Potenzial für schwerwiegende Eingriffe in die Privatsphäre und informationelle Selbstbestimmung der Bevölkerung auf. Die heute über den nationalen Polizeiindex teilautomatisiert ablaufende Amtshilfe ist mit einer allgemeinen Dokumentationspflicht verbunden, die den von einer Datenweitergabe betroffenen Personen die Wahrung ihrer Rechte ermöglicht. Demgegenüber droht mit einer voraussetzungslosen Onlineverfügbarkeit aller Polizeidaten eine weitgehende Erosion dieses Rechtsschutzes.

Zum Redaktionsschluss ist nicht bekannt, ob der Wortlaut der geplanten Vereinbarung die datenschutzrechtlich nötigen Einschränkungen und Präzisierungen erfahren wird. Das gleiche gilt für die geplante Bundesbeteiligung, die ohne nötige Einschränkungen und Präzisierungen darüber hinaus auf staats- und verfassungsrechtliche Bedenken stösst.

28

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

Digitalisierung ist kein Freipass für monolithische Superbehörden

Amtshilfe

Lehre und Rechtsprechung leiten aus der Bundesverfassung eine allgemeine Pflicht der Behörden von Bund und Kantonen ab, andere Behörden bei der Erfüllung ihrer gesetzlichen Aufgaben durch Gewährung von Amtshilfe zu unterstützen. Der wichtigste Anwendungsbereich der Amtshilfe besteht heute im gegenseitigen, einzelfallbezogenen Austausch von Informationen. Soweit es sich dabei um Personendaten handelt, richtet sich deren Austausch unter Vorbehalt spezialgesetzlicher Regelungen nach den Vorgaben der Datenschutzgesetzgebungen des Bundes und der Kantone.

Onlinezugang zu Personendaten

Heute ist es üblich, dass die Gesetzgeber von Bund und Kantonen die Behörden ihres Gemeinwesens anweisen, anderen Behörden des gleichen oder von anderen Gemeinwesen Onlinezugriff auf ausgewählte Teile – nie aber auf die Gesamtheit – der von ihnen bearbeiteten Datenbestände zu gewähren.

Gemäss der geltenden Praxis des EDÖB hängt die Datenschutzkonformität von Onlinezugriffen auf Personendaten anderer Behörden von mehreren Kriterien ab:

  • In qualitativer Hinsicht muss aus den Rechtsgrundlagen hervorgehen, dass der Zugriff der fremden Behörde unter Beachtung des Verhältnismässigkeitsgrundsatzes auf ausgewählte Datenkategorien begrenzt wird, die für die Unterstützung hinreichend bestimmter Bearbeitungszwecke der fremden Behörde eingegrenzt wird.

  • Zweitens muss in quantitativer Hinsicht aufgrund eines Mengengerüstes nachgewiesen werden, dass die Gewährung eines Onlinezugangs geeignet und nötig ist. Dies ist der Fall, wenn jede der zu unterstützenden Aufgaben einer anderen Behörde ohne Gewährung des Onlinezugangs zu einer Häufung von manuellen oder teilautomatisierten Amtshilfegesuchen mit ähnlichen oder gleich lautenden Begründungen führt. Zudem muss der Kreis der Zugriffsberechtigten auf jene Teile des Personals der fremden Behörde beschränkt werden, die über die nötige Spezialisierung und Ausbildung verfügen, um die zu unterstützenden Aufgaben rechtskonform durchzuführen.

  • Drittens ist bei bedeutenden Vorhaben, die angesichts des grossen Umfangs und der hohen Intensität der online Datenteilung sowie der besonders schützenswerten Natur der geteilten Daten potenziell schwer in die Grundrechte, Persönlichkeit und Rechtsschutzinteressen zahlreicher Personen eingreifen, eine Datenschutz Folgenabschätzung zu erstellen.

Onlinevernetzung von Behörden

Auch in diesem Berichtsjahr sah sich der Beauftragte im Rahmen diverser Konsultationsverfahren mit einer Vielzahl von Erlassentwürfen konfrontiert, die eine online Datenteilung von besonders schützenswerten Personendaten unter der Verantwortung oder massgeblichen Beteiligung von Bundesorganen vorsehen.

Dabei fiel auf, dass sich Projektverantwortliche zunehmend schwertun, Onlinevernetzungen von Behörden im Sinne der dargelegten Erfordernisse zu begründen. Stattdessen wird sinngemäss vorgebracht, dass die Onlineverknüpfung der Behörden dem zeitgemässen Erfordernis der Digitalisierung der Verwaltungen nach Massgabe des heute technisch Machbaren entspreche und als solches weder einer besonderen Rechtfertigung noch zweck- oder umfangmässiger Beschränkungen bedürfe.

«Monolithische Superbehörden»

Argumentationen, die auf ein Diktat des technisch Machbaren hinauslaufen, muss sich der Beauftragte widersetzen, weil sie mit dem Bestimmtheitsgrundsatz der Gesetzgebung und den datenschutzrechtlichen Prinzipien der Legalität und Verhältnismässigkeit kollidieren. Er warnt eindringlich davor, dass Behörden mit ganz oder teilweise deckungsgleichen Aufgaben die bei ihnen über die Bürgerinnen und Bürger anfallenden Daten in ihrer Gesamtheit teilen und sich so unbesehen über alle Zuständigkeitsgrenzen des in örtlicher und sachlicher Hinsicht machtteilig ausgestalteten Rechtstaates hinaus vernetzten. Eine derartige Entwicklung müsste in letzter Konsequenz dazu führen, dass die den Bürgerinnen und Bürgern heute als Service Public zu Diensten stehenden Fachämter früher oder später in «monolithischen Superbehörden» aufgehen, die der Bevölkerung allwissend gegenübertreten.

  1. Tätigkeitsbericht 2023/24

29

img-4.jpeg

img-5.jpeg

Datenschutz

1.3 Wirtschaft und Gesellschaft

ONLINEKAMPAGNE «PFARRER-CHECK»

Untersuchung gegen den Verein Bürgerforum Schweiz

Der Verein «Bürgerforum Schweiz» betreibt die Onlinekampagne «Pfarrer-Check». Mittels Fragebogen will er testen, welche Pfarr- und anderen im kirchlichen Umfeld tätigen Personen seine Glaubensansichten teilen. Eine Internetdatenbank macht dabei u. a. öffentlich, wer den Fragebogen erhalten und wie er oder sie allenfalls geantwortet hat. Der EDÖB hat im letzten Quartal 2023 eine Untersuchung eröffnet.

Im Berichtsjahr ist der EDÖB aufgrund einer Anfrage durch den Verein «Bürgerforum Schweiz» sowie zufolge Meldungen von Bürgerinnen und Bürgern auf die Datenbearbeitungen des Vereins in Zusammenhang mit seiner Onlinekampagne «Pfarrer-Check» aufmerksam geworden. Der Verein erhebt Personendaten von im kirchlichen Umfeld tätigen Personen (Pfarrerinnen und Pfarrer, Mitglieder eines Kirchrats oder der Synode, Universitätsangestellte, Jugendarbeiterinnen und -arbeiter etc.), deren Adressen öffentlich auffindbar sind, um ihnen einen Fragebogen zu unterbreiten. Die Fragen sollten es ermöglichen festzustellen, ob diese

Personen die Glaubensansichten des Vereins teilen. Problematisch erschien, dass der Verein eine öffentlich zugängliche Datenbank mit diesen Informationen aufgebaut hat. Aufgrund der Weigerung, Löschbegehren von betroffenen Personen zu berücksichtigen, deren Daten auf der Webseite der Kampagne veröffentlicht sind, intervenierte der EDÖB vorerst informell und verlangte, dass den Löschbegehren nachgegangen werde und die Antworten zum Fragebogen nur mit einer ausdrücklichen Einwilligung publiziert werden.

Der Verein «Bürgerforum Schweiz» akzeptierte unsere Forderung, nur Antworten von Personen zu publizieren, die dazu vorgängig ausdrücklich eingewilligt haben. Er war jedoch der Ansicht, dass sich die von ihm vorgenommene Bearbeitung von Personendaten auf ein überwiegendes öffentliches Interesse stützen kann. Auch wenn eine betroffene Person Widerspruch gegen die Bearbeitung ihrer Daten erhebt, weil sie nicht in der Datenbank verzeichnet sein möchte, löscht er diese Daten daher nicht.

Der EDÖB eröffnete im Dezember 2023 eine formelle Untersuchung, um die fragliche Datenbearbeitung auf ihre datenschutzrechtliche Konformität genauer zu prüfen. Nach neuem Recht stellt er im Rahmen eines Verwaltungsverfahrens zunächst den rechtsverbindlichen Sachverhalt fest und schloss dann das Verfahren mit einer Verfügung ab.

BEWERBUNGSFORMULAR FÜR MIETWOHNUNGEN

Vorabklärung bei einer Immobilienverwaltung

Der EDÖB hat eine Immobilienverwaltung im Rahmen einer informellen Vorabklärung auf datenschutzrechtlich fragwürdige Kriterien im Bewerbungsformular für Mietwohnungen hingewiesen, worauf die Immobilienverwaltung das Formular umgehend korrigierte. Ein Bewerbungsformular für Mietwohnungen enthielt neben den zu erwartenden und zulässigen Fragen nach Personalien und finanziellem Hintergrund der zukünftigen Mieterinnen und Mietern auch die Aufforderung, den Nachweis einer allfälligen Schwangerschaft zu erbringen.

Der Vermieter stellte sich auf den Standpunkt, dass die Frage im Lichte der Wohnungsknappheit in den Städten beurteilt werden muss. Sie erlaube es dem Vermieter, grössere Wohnungen auch an Bewerbende zu vergeben, die erst in der Familienplanung sind, aber noch keine Kinder haben, sodass sie gegenüber Familien mit Kindern nicht benachteiligt werden. Zudem würden die Daten bei Nichtberücksichtigung des Dossiers gelöscht.

  1. Tätigkeitsbericht 2023/24

31

Datenschutz

Der EDÖB stellt klar, dass die Datenbearbeitung von Immobilienverwaltungen den datenschutzrechtlichen Grundsätzen von Artikel 6 Datenschutzgesetz entsprechen, sprich verhältnismässig und zweckgebunden erfolgen muss.

Die Beschaffung und Weiterbearbeitung von Personendaten durch eine

Immobilienfirma ist zulässig, soweit sie zur Auswahl der geeigneten Mieterschaft objektiv geeignet und erforderlich ist und

nicht übermässig in die Persönlichkeit des Betroffenen eingreift. Im Falle der

Bearbeitung von Personendaten zur Schwangerschaft einer zukünftigen Mieterin ist dies klarerweise nicht der Fall. Es ist auch nicht ersichtlich, wie eine solche Datenbearbeitung durch ein überwiegendes Interesse der Immobilienverwaltung oder durch eine Einwilligung der Betroffenen gerechtfertigt werden könnte, da Letztere immer freiwillig und informiert erfolgen muss, was im Bewerbungsverfahren

ren für einen Mietvertrag angesichts der Wohnungsknappheit nur mit grosser Zurückhaltung angenommen werden kann.

Die Immobilienverwaltung wurde aufgefordert, die Datenbearbeitung konform zur Gesetzgebung zu gestalten, das Bewerbungsformular entsprechend zu korrigieren, und allfällige bereits beschaffte Daten umgehend zu löschen.

Die Immobilienverwaltung ist diesen Forderungen innert First nachgekommen.

Untersuchungen des EDÖB

Der EDÖB eröffnet von Amtes wegen oder gestützt auf eine Anzeige eine formelle Untersuchung, wenn genügend Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte und die Verletzung nicht nur von geringfügiger Bedeutung ist.

Bevor der EDÖB eine Untersuchung einleitet, hat er die Möglichkeit, in einem ersten Schritt auf informelle Art und Weise tätig zu werden.

Der EDÖB strebt im Grundsatz bei seinen Abklärungen ein lösungsorientiertes und ressourcenschonendes Vorgehen an. Ziel ist, dass eine allfällige Verletzung der Persönlichkeit rasch behoben wird. Betroffene sind heute sensibilisiert auf die

Wahrnehmung ihrer Persönlichkeitsrechte, und den Unternehmen ist bewusst, dass die korrekte Umsetzung des Datenschutzes ein zentrales Element im Verhältnis zu ihren Kundinnen und Kunden ist.

Erhält der EDÖB Kenntnis einer potenziellen Datenschutzverletzung, weist er deshalb oft in einem ersten, informellen Schritt den Verantwortlichen auf sein mögliches Fehlverhalten hin. Erfahrungsgemäss sind die Datenbearbeiter anschliessend in vielen Fällen bereit, die notwendigen Anpassungen zeitgerecht vorzunehmen.

Selbstverständlich können sich die angeschriebenen Verantwortlichen in ihrer Rückmeldung an den EDÖB zu den Vorhalten äussern und ihre Sicht auf den

konkreten Sachverhalt und die Rechtslage einbringen. Es besteht für die Verantwortlichen im Rahmen informeller Vorabklärungen keine Rechtspflicht, den Ausführungen des EDÖB Folge zu leisten.

Führt der informelle Austausch nicht zu einer befriedigenden und rechtskonformen Lösung, behält sich der EDÖB jederzeit die Eröffnung einer formellen Untersuchung vor, in deren Rahmen er den Sachverhalt und die Rechtmässigkeit der Personendatenbearbeitung in Anwendung des Bundesgesetzes über das Verwaltungsverfahren eingehend prüft und nach Anhörung der mitwirkungspflichtigen Verantwortlichen gegebenenfalls Verwaltungsmassnahmen verfügt.

32

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

AUKTIONSPLATTFORM RICARDO

Schlussbericht mit Empfehlungen des EDÖB

Unsere im Jahr 2017 eröffnete Sachverhaltsabklärung betreffend die Auktionsplattform Ricardo haben wir im Berichtsjahr mit Empfehlungen abgeschlossen. Wir kamen zum Schluss, dass die Datenbearbeitungen durch Ricardo und TX Group – insbesondere die Weitergabe und das plattformübergreifende Tracking zwecks zielgerichteter Werbung – im konkreten Fall durch explizite Einwilligung der Betroffenen gerechtfertigt werden sollen. Auch die Datenschutzerklärung sollte nachgebessert werden.

Der EDÖB hatte bereits in seinem 28. Tätigkeitsbericht über einige seiner Feststellungen zum geprüften Sachverhalt informiert (s. 28. TB, Kap. 1.4). Nach der Einführung einer Consent Management Plattform auf der Website von Ricardo und der Gründung der Swiss Marketplace Group (SMG), prüfte der EDÖB die Auswirkungen dieser technischen und organisatorischen Änderungen auf die im vorliegenden Verfahren analysierten Datenbearbeitungen (s. 29. TB, Kap. 1.3).

Angesichts der Ausführungen von Ricardo und der TX Group, wonach die Datenbearbeitungen, Datenflüsse und Datenverantwortlichen nach der Umstrukturierung unverändert blieben bzw. die neuen Akteure – die Gesellschaften der SMG und deren Aktionäre – nicht am Datenaustausch

teilnehmen würden, wurde 2022 festgehalten, dass die Sachverhaltsabklärung in verfahrensrechtlicher Hinsicht nicht angepasst oder ausgedehnt werden müsse. Im Berichtsjahr wurde jedoch bekannt, dass neben dem Datenaustausch zwischen Ricardo AG und TX Group AG, welcher Gegenstand unserer Abklärung war, mittlerweile auch ein Datenaustausch innerhalb der SMG stattfindet. Der EDÖB entschied, dass es nicht zielführend sei, das bereits fortgeschrittene Verfahren formell auf die SMG auszudehnen, um den Sachverhalt hinsichtlich des Datenaustausches innerhalb der SMG zu klären. Sollte sich dies als notwendig erweisen, würde der EDÖB eine neue Untersuchung auf der Grundlage des inzwischen revidierten Gesetzes einleiten.

Damit die Schlussfolgerungen des EDÖB so weit wie möglich dem aktuellen Stand des Sachverhalts entsprachen, berücksichtigte er die Aufschaltung einer neuen Datenschutzerklärung und den Einsatz einer Consent Management Plattform auf der Website von Ricardo durch eine Ergänzung seiner Sachverhaltsfeststellung. Ricardo und TX Group wurden aufgefordert,

diese Ergänzung auf ihre Korrektheit zu prüfen. Gestützt darauf erarbeitete der EDÖB seine rechtliche Würdigung des Sachverhalts.

In materieller Hinsicht ist der EDÖB zum Schluss gekommen, dass die Datenbearbeitungen, welche durch Ricardo und TX Group zwecks zielgerichteter Werbung durchgeführt werden, Persönlichkeitsverletzungen darstellen, die nicht durch überwiegende Interessen der beiden Datenbearbeiter gerechtfertigt werden. Die Datenweitergabe durch Ricardo und das plattformübergreifende Tracking

der TX Group müssten im Einzelfall durch eine Einwilligung gerechtfertigt werden, die nach angemessener Information freiwillig erfolgen müsse. Da die Datenbearbeitung zu Persönlichkeitsprofilen führen kann, sprach der EDÖB eine Empfehlung aus, wonach die Nutzenden vorgängig auf die vorliegende Datenweitergabe an die TX Group sowie auf die plattformübergreifende Datenverknüpfung zum Zweck der gezielten Werbung hingewiesen werden und ihre Einwilligung dazu ausdrücklich erteilen müssten. Auch sollten die Informationen auf der Auktionsplattform und in der Datenschutzerklärung nachgebessert werden.

Der EDÖB hat Ricardo sowie TX Group den Schlussbericht zur Prüfung und Stellungnahme vorgelegt.

  1. Tätigkeitsbericht 2023/24

33

Datenschutz

KUNDENDATEN

Untersuchung bei Digitec Galaxus

Der EDÖB eröffnete im Frühjahr 2021 ein Verfahren zur Überprüfung der Kundendatenbearbeitungen bei Digitec Galaxus, einem der grössten Schweizer Onlineshops. In seinem Schlussbericht stellt er fest, dass die Grundsätze der Transparenz und der Verhältnismässigkeit verletzt werden, und spricht entsprechende Empfehlungen aus.

Nach einer informellen Vorabklärung eröffnete der EDÖB im Frühjahr 2021 ein Verfahren gegen Digitec Galaxus, um die Bearbeitungen von Kundendaten auf ihre Datenschutzkonformität hin zu überprüfen (s. 28. TB, Kap. 1.4 und 29. TB, Kap. 1.3). Anlass für die Untersuchung waren Hinweise von betroffenen Personen, wonach sämtliche in der Datenschutzerklärung des Onlineshops umschriebenen Datenbearbeitungen hingenommen werden müssten, um eine Bestellung tätigen zu können. Ein nachträglicher Widerspruch der betroffenen Personen gegen die in der Datenschutzerklärung vorgesehenen Bearbeitung ihrer Personendaten wurde von der Betreiberin mit der Begründung abgelehnt, dass die Datenschutzerklärung für alle ausnahmslos und gleichermassen gelten würde.

Im Rahmen der umfangreichen Sachverhaltsabklärung führte die Verantwortliche aus, dass verschiedene Bearbeitungen gar nicht durchgeführt würden. Auch sei das Widerspruchsrecht umfassend abgedeckt, wenn betroffene Personen

von der Bestellung absehen oder die Löschung ihrer Personendaten verlangen könnten. Die Datenbearbeitungen auf der Webseite, insbesondere die Pflicht zur Registrierung eines Kundenkontos und die Auswertung des Kunden- und Kaufverhaltens, entsprächen den datenschutzrechtlichen Grundsätzen und benötigten somit keinen Rechtfertigungsgrund.

Der Beauftragte prüfte, ob die Informationen in der Datenschutzerklärung den rechtlichen Anforderungen an die Transparenz genügen. Ausserdem untersuchte er, inwieweit die Auswertung des Kaufverhaltens der betroffenen Personen der Betreiberin erlaubte, Rückschlüsse über wesentliche Aspekte der Persönlichkeit der Kunden zu ziehen, und inwiefern gewisse Datenbearbeitungen verhältnismässig sind, wenn sie gegen den ausdrücklichen Willen der betroffenen Personen erfolgen.

Der Sachverhalt wurde gemäss der Übergangsbestimmung in Art. 70 DSG noch nach altem Recht beurteilt, weshalb der Beauftragte seine Empfehlungen auf Art. 29 Abs. 3 des DSG von 1992 stützte (s. 30. TB, Box S. 20).

Nach eingehender Prüfung gelangte der EDÖB in seinem Schlussbericht unter anderem zum Schluss, dass die Betreiberin die Grundsätze der Transparenz und der Verhältnismässigkeit verletzt, weshalb er mehrere Empfehlungen zur Behebung der festgestellten Bearbeitungsmängel formulierte.

In seiner Stellungnahme hielt Digitec Galaxus fest, dass einige der Empfehlungen zur Erhöhung der Transparenz durch die Einführung einer neuen Datenschutzerklärung während des laufenden Verfahrens bereits vorweggenommen wurden. Einige Empfehlungen wies sie ab. Der Beauftragte schlug in einer der Empfehlungen eine Anpassung der Datenbearbeitung vor, die nicht stärker in die informationelle Selbstbestimmung ihrer Kunden eingreift als nötig. Eine Möglichkeit sei nach Auffassung des Beauftragten das alternative Anbieten eines Gastkaufs, d. h. eines Kaufs, der auf der Onlineplattform ohne Registrierung getätigt werden kann. Digitec Galaxus nahm diese Empfehlung an und wird dem EDÖB entsprechende Umsetzungsvorschläge unterbreiten.

Sobald diese vorliegen, wird der EDÖB prüfen, ob und in wie weit er gegen Bearbeitungen vorgehen wird, die Gegenstand von abgelehnten oder allenfalls nicht rechtskonform umgesetzten Empfehlungen sind.

34

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

DATING-APP

Abschluss der Sachverhaltsabklärung bei der Once Dating AG

Der EDÖB konnte sein Verfahren gegen die in der Schweiz ansässige, aber international tätige Anbieterin der Datingplattform Once abschliessen. Nachdem das Unternehmen die Plattform verkauft hatte, bestätigte es dem EDÖB, die datenschutzkonforme Weitergabe oder Löschung der Daten seiner ehemaligen Kunden.

Im Frühjahr 2021 eröffnete der EDÖB eine Sachverhaltsabklärung betreffend die Datenbearbeitungen der Dating-App Once. Sein Ziel war insbesondere zu klären, ob der Umgang mit Löschbegehren und die Weitergabe von Personendaten an Dritte datenschutzkonform sind (s. 28. und 29. TB, Kap. 1.1, 30. TB, Kap. 1.3).

In seinem Schlussbericht vom 17. Mai 2023 sprach der EDÖB mehrere Empfehlungen aus, um festgestellte Mängel zu beheben und die Einhaltung der Bearbeitungsgrundsätze des Datenschutzgesetzes zu gewährleisten. Die Once Dating AG nahm die Empfehlungen an und teilte dem EDÖB mit, dass die Plattform inzwischen an eine

ausländische Firma verkauft worden sei (s. Medienmitteilung vom 13. Juni 2023). Das Unternehmen teilte dem EDÖB zudem mit, dass es vor der Übernahme alle inaktiven Kundendaten unverzüglich gelöscht hätte. Die aktiven Kundinnen und Kunden der Once Dating-App seien über die Übernahme informiert worden und hätten die Möglichkeit erhalten, auf die durch die Rechtsnachfolgerin betriebene Plattform zu migrieren. Die Erwerberin hätte ausserdem von den Empfehlungen des EDÖB mit Blick auf die letztere Plattform Kenntnis genommen. Der EDÖB hat seine Untersuchung somit abgeschlossen.

TRACKING-TECHNOLOGIEN

Bedenken gegen Oracle America ausgeräumt: Einwohnende der Schweiz sind von fraglichen Datenbearbeitungen nicht betroffen

Die Datenbearbeitungen, für die Oracle America, Inc. in den USA zivilgerichtlich in Anspruch genommen wird, betreffen die Schweizer Bevölkerung nicht. Der EDÖB hat seine Abklärungen eingestellt und verzichtete auf die Eröffnung eines formellen Verfahrens.

Der EDÖB informierte die Öffentlichkeit mit seiner Kurzmitteilung vom 27. September 2022, dass er die gegen Oracle America, Inc. (nachfolgend: Oracle America) in einer US-Sammelklage erhobenen Ansprüche zur Kenntnis genommen und diese auf allfällige Persönlichkeitsverletzungen für in der Schweiz ansässige Personen geprüft habe. Gemäss der erwähnten Klage wurde Oracle America vorgeworfen, mit Tracking-Technologien Daten von fünf Milliarden Internetnutzern zu

  1. Tätigkeitsbericht 2023/24

35

Datenschutz

sammeln und in einer Datenbank zusammenzutragen. Die gesammelten Daten sollten durch Oracle America analysiert und ausgewertet werden, um eine Datensammlung über alle erfassten Personen zu erstellen (s. auch 30. TB, Kap. 1.3).

Der EDÖB hat die in der Klage erhobenen Vorwürfe analysiert und sowohl die Oracle Schweiz GmbH als auch Oracle America kontaktiert und mit Fragen konfrontiert. Konkret wollte er wissen, wie Oracle America Ziffer 7 der «Oracle Advertising Policy» umsetzt, um sicherzustellen, dass keine Informationen von Personen aus der Schweiz für Werbezecke verwendet werden. Oracle America hat dem EDÖB zugesichert, dass sie ihre Dienstleistungen als Data Broker für Datenanbieter in der

Schweiz nicht mehr anbiete und alle Verträge mit Datenanbietern, die Daten speziell über Personen in der Schweiz liefern, bereits vor Jahren gekündigt habe. Zudem hat sie glaubhaft erklärt, dass sie technische Massnahmen ergriffen habe, um die Verwendung von Informationen über Personen in

der Schweiz im Zusammenhang mit den Werbedienstleistungen technisch zu verhindern, und bestätigte, dass die Oracle-Advertising-Dienste keine Bearbeitung von Informationen über Personen aus der Schweiz beinhalteten, abgesehen von der Unkenntlichmachung und anschliessenden Löschung, um die Verwendung für Werbezwecke zu verhindern. Das Unternehmen bestätigte weiter, keine Informationen über in der Schweiz ansässige Personen im Zusammenhang mit dem Oracle-ID-Graph-Dienst und auch keine Offline-Informationen über sie zu bearbeiten. Zudem nahm der EDÖB zur Kenntnis, dass Oracle America sämtliche «AddThis»-Dienste per 31. Mai 2023 eingestellt hat.

Aus diesen Gründen hat der EDÖB seine Abklärungen eingestellt und die Öffentlichkeit mit einer Kurzmeldung vom 6. Oktober 2023 informiert, dass kein formelles Verfahren eröffnet wird.

TRANSPARENZ JURISTISCHER PERSONEN

Einführung eines Registers wirtschaftlich berechtigter Personen

Mit der Einführung eines Eidgenössischen Registers der wirtschaftlich berechtigten Personen von juristischen Personen und weiteren gezielten Massnahmen soll die wirksame Bekämpfung von Geldwäscherei, Terrorismusfinanzierung und Wirtschaftskriminalität gestärkt werden. Gleichzeitig wird damit der Entwicklung internationaler Standards Rechnung getragen. Der EDÖB hat das Gesetzgebungsprojekt begleitet. Seine Kritik wurde teilweise berücksichtigt.

Der Bundesrat beauftragte das Finanzdepartement (EFD) am 12. Oktober 2022 in Zusammenarbeit mit dem Eidgenössischen Justiz- und Polizeidepartement (EJPD) bis zum Sommer 2023 den Entwurf für ein Gesetz über die Transparenz juristischer Personen (TJPG) zu erarbeiten, das namentlich die Identifizierung wirtschaftlich berechtigter Personen erleichtern und so wichtige Elemente des Systems zur Bekämpfung der Finanzkriminalität verstärken und modernisieren soll. Die Vernehmlassung zum TJPG dauerte vom 30. August bis zum 30. November 2023.

Der EDÖB hat seine Standpunkte im Rahmen der Ämterkonsultation eingebracht. Dadurch konnte das Projekt aus datenschutzrechtlicher Sicht verbessert werden, indem etwa eine Präzisierung des Inhalts des neuen Eidgenössischen Registers der wirtschaftlich berechtigten Personen erfolgte.

36

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

WIRTSCHAFT

Die Bedenken des EDÖB zu verschieden Punkten des TJPG konnten bei der Bereinigung des Entwurfes jedoch nur teilweise ausgeräumt werden. Da die Zwecke des Gesetzes mit der Formulierung «insbesondere» nur beispielhaft aufgezählt werden, kritisierte der EDÖB die mangelnde Bestimmtheit dessen Anwendungsbereichs. Der EDÖB hat zudem wiederholt betont, dass jeder Zugriff einer Behörde auf das Register einen erkennbaren Zweck verfolgen und verhältnismässig sein muss. Deshalb ist jeder Onlinezugriff

einer Behörde, wie etwa jene des Bundesamtes für Statistik oder des Nachrichtendienstes, schlüssig zu begründen. Als ungenügend rügten wir auch die Bestimmtheit der Regelung des Profilings.

Der EDÖB hat in der Ämterkonsultation vom EFD des Weiteren vergeblich verlangt, vor der Einführung des Registers mit Onlinezugriffen von verschiedenen Behörden mindestens eine Vorprüfung zur Durchführung einer Datenschutz-Folgenabschätzung durchzuführen und die Feststellungen dazu im erläuternden Bericht festzuhalten. Die federführenden Ämter haben die Anhandnahme entsprechender Arbeiten unterlassen. In Ermangelung einer Datenschutz-Folgenabschätzung fehlen gewisse Erkenntnisse, die für eine präzise Regelung im Gesetz notwendig wären.

In der zweiten Ämterkonsultation (März 2024) hat der EDÖB festgestellt, dass die verbundenen Risiken potenziell hoch und Onlinezugriffe weder in quantitativer noch in qualitativer Hinsicht ausreichend begründet sind. (s. auch Kap. 2.4)

Neues Gesetz zur Überprüfung ausländischer Investitionen

Der Bundesrat verabschiedete am 15. Dezember 2023 die Botschaft für ein Bundesgesetz über die Prüfung ausländischer Investitionen. In der Ämterkonsultation wirkte der EDÖB auf die Berücksichtigung datenschutzrechtlicher Vorgaben hin.

Durch die Einführung einer Investitionsprüfung sollen Übernahmen von inländischen Unternehmen durch ausländische Investoren verhindert werden, sofern diese Übernahmen die öffentliche Ordnung oder Sicherheit der Schweiz gefährden oder bedrohen. Zu diesem Zweck sieht der Entwurf zu einem Bundesgesetz über die Investitionsprüfung vor, Übernahmen von inländischen Unternehmen einer Genehmigungspflicht durch das SECO zu unterstellen. Dies betrifft Unternehmen, die in einem besonders kritischen Bereich tätig sind und durch ausländische Investoren übernommen werden, welche staatlich kontrolliert werden.

Mehr Transparenz

Anlässlich der Ämterkonsultation zur Botschaft zum Investitionsprüfgesetz konnte der EDÖB – wie bereits bei der Ämterkonsultation zum Vorentwurf – auf die Berücksichtigung datenschutzrechtlicher Vorgaben hinwirken. Beispielsweise erreichte der EDÖB bezüglich der Zusammenarbeit des SECO mit inländischen Behörden, dass klarer statuiert wird, wer wem zu welchem Zweck und auf welche Weise welche Daten bekanntgibt.

Erweitertes Beschwerderecht

Der EDÖB äusserte sich auch etwa kritisch zur Regelung des Rechtsschutzes, welche die Beschwerdeberechtigung ursprünglich auf den ausländischen staatlichen Investor und das inländische Unternehmen beschränkte. Neu sieht der Gesetzesentwurf vor, dass diese Einschränkung der Beschwerdeberechtigung nicht gilt bei einer Auskunfts- oder Editionsverfügung des SECO. Damit können nebst dem ausländischen staatlichen Investor und dem inländischen Unternehmen nun auch die weiteren an der Übernahme beteiligten Personen den Rechtsweg beschreiten, wenn sie eine Auskunftsverfügung des SECO anfechten wollen.

  1. Tätigkeitsbericht 2023/24

37

Datenschutz

1.4 Gesundheit

AUFSICHT IM KRANKENVERSICHERUNGSWESEN

Austausch zwischen EDÖB und BAG

Der EDÖB und das BAG pflegen einen regelmässigen Austausch im Zusammenhang mit der Umsetzung der von der EFK erlassenen Koordinationsempfehlungen betreffend die Aufsicht über die Krankenversicherungen.

In einer beim Bundesamt für Gesundheit (BAG) durchgeführten Prüfung zur Aufsicht im Versicherungsbereich stellte die Eidgenössische Finanzkontrolle (EFK) fest, dass Klärungsbedarf in Bezug auf die Rollen des EDÖB und des BAG besteht und dass zwischen den beiden Behörden ein Austausch und eine Koordination eingeführt werden müssen (Prüfauftrag EFK-20424). Im Rahmen ihrer Tätigkeit müssen Krankenversicherer die sozialversicherungsrechtlichen und die datenschutzrechtlichen Bestimmungen einhalten. Sie unterstehen somit der Aufsicht sowohl des BAG als auch des EDÖB.

Angesichts der sich überschneidenden Kompetenzen begrüsste der EDÖB eine Koordination der Aufsichtstätigkeiten des BAG und des EDÖB sowie

eine Klärung der Rollen und Verantwortlichkeiten im Bereich der Krankenversicherung und erinnerte gleichzeitig daran, dass seine Unabhängigkeit von den betreffenden Koordinationsbemühungen unberührt bleiben muss und dass er insbesondere weiterhin seine aufsichtsrechtliche Funktion gegenüber dem BAG wahrnehmen werde. Die Umsetzung der Empfehlungen der EFK begann mit einer durch den EDÖB und das BAG gemeinsam durchgeführten Überarbeitung des Kreisschreibens Nr. 7.1 über die Aufsicht des BAG über das Krankenversicherungswesen (vgl. 29. TB, Kap. 1.6).

In einem zweiten Schritt führten das BAG und der EDÖB zur Erreichung des von der EFK vorgegebenen Ziels, eine Verbesserung der Aufsicht über die Krankenversicherer zu erreichen, einen regelmässigen Austausch zwischen den Behörden ein, um von der Erfahrung und Praxisnähe des BAG durch seine Einsätze vor Ort und den durch das revidierte DSG erweiterten rechtlichen Zuständigkeiten des EDÖB profitieren zu können. In den ersten beiden Austauschrunden konnten folgende Bereiche koordiniert werden:

  • Einführung von neuen Apps oder Plattformen im Versicherungswesen;

  • Entwicklung von neuen Versicherungsmodellen;

  • Externalisierung von Gesundheitsdaten;

  • Reaktionen auf das Inkrafttreten des überarbeiteten Kreisschreibens Nr. 7.1 über die Aufsicht;

  • Umsetzung der Pflicht der Leistungserbringer zur Zustellung einer Rechnungskopie an die Versicherten;

  • Gesuche von Versicherungen um Zugang zu Arbeitsverträgen im Bereich der Betreuung und Pflege zu Hause;

  • Erreichbarkeit der Vertrauensärztinnen und Vertrauensärzten der Versicherer für die behandelnden Ärzte;

  • Datenschutzaspekte bei der Entwicklung von Gesundheitszentren, die Fachpersonen aus verschiedenen Bereichen des Gesundheitswesens vereinen;

  • Problemkreis der Bescheinigungen, die von Versicherungen für Steuerzwecke ausgestellt werden. Diesbezüglich wurde daran erinnert, dass die Steuerbehörden keine detaillierte Auflistung der Gesundheitsleistungen benötigen, sondern lediglich Angaben zu den Prämienbeiträgen und den Gesundheitskosten.

Der EDÖB und das BAG tauschten sich zudem über die laufenden versicherungsrechtlichen Aufsichtstätigkeiten in ihrem jeweiligen Fachgebiet aus.

38

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

IMPFDATEN

Projekt Datenrettung «meineimpfungen.ch»

Nach der Übernahme der Daten der früheren Plattform «meineimpfungen.ch» durch die Stammgemeinschaft eHealth Aargau hat der EDÖB die nunmehr zuständige Beauftragte für Öffentlichkeit und Datenschutz des Kantons Aargau amtshilfeweise unterstützt. Das unter anderem vom BAG finanzierte Projekt zur zumindest teilweisen Herausgabe der Impfdaten soll neu frühestens ab Frühjahr 2024 realisiert werden.

Die von einer privatrechtlichen Stiftung betriebene und massgeblich vom Bund subventionierte Plattform «meineimpfungen.ch» hatte gravierende datenschutzrelevante Mängel aufgewiesen, was den EDÖB im März 2021 dazu bewogen hatte, ein formelles Verfahren durchzuführen und im August des gleichen Jahres mit formellen Empfehlungen abzuschliessen. Die Stiftung konnte die Mängel sowie die fehlende Integrität der Daten nicht beheben, sodass im November 2022 letztlich der Konkurs über die Stiftung eröffnet werden musste. Angesichts der akuten Gefahr einer Versteigerung der in die Konkursmasse gefallenen Daten hat der EDÖB sodann unter Mitwirkung des Datenschutzbeauftragten des Kantons Bern gegenüber dem Konkursamt Bern

Mittelland die Löschung der Daten verlangt. Nachdem sich das Departement Gesundheit und Soziales (DGS) des Kantons Aargau und das Bundesamt für Gesundheit schriftlich zur Einhaltung datenschutzrechtlicher Vorgaben verpflichteten, konnte der EDÖB auf seine Löschempfehlung zurückkommen, worauf die Daten zwecks Prüfung einer Herausgabe an die Betroffenen an den Kanton Aargau übergingen. (Der EDÖB hat in seinen letzten beiden Tätigkeitsberichten jeweils ausführlich dazu informiert, s. 29. und 30. TB, jeweils Kap. 1.4)

Im Rahmen eines Vorprojekts ist die vom Kanton Aargau mit dem Auftrag der «Datenrettung» betreute Stammgemeinschaft eHealth Aargau (SteHAG) vorerst zum Schluss gekommen, dass eine Rückgabe der Impfdaten an die früheren Nutzerinnen und Nutzer der Plattform möglich sei. Im daraufhin aufgesetzten Projekt sollten die technischen Voraussetzungen für

eine datenschutzkonforme Datenherausgabe geschaffen werden, wie die Verantwortlichen im Mai 2023 mitteilten.

Am 11. Dezember 2023 gab die SteHAG bekannt, dass das unter anderem vom BAG finanziell unterstützte Projekt frühestens ab Frühjahr 2024 realisiert werden könne, was eine weitere Verzögerung bei der Herausgabe der mittlerweile fast dreieinhalb Jahre alten Impfdaten an die Betroffenen bedeutet.

Für die Aufsicht über die Datenbearbeitung ist seit dem Übergang der Daten an den Kanton Aargau die Beauftragte für Öffentlichkeit und Datenschutz dieses Kantons zuständig. Der EDÖB hat seine Feststellungen, die er im Rahmen des Verfahrens rund um die Impfplattform gemacht hatte, seinem kantonalen Pendant amtshilfeweise übermittelt.

Basierend auf den Erkenntnissen des Sachverhaltes von «meineimpfungen.ch» äusserte sich der EDÖB auch bei anderen Gelegenheiten dahingehend,

dass bei der Beauftragung oder Subventionierung von Privaten, welche für den Bund digitale Angebote erbringen, die Sicherheitsstandards des Bundes vereinbart, umgesetzt und kontrolliert werden müssen.

  1. Tätigkeitsbericht 2023/24

39

Datenschutz

img-6.jpeg

MEDIZINISCHE PRAXIS

Unterzeichnen einer neuen Einwilligungserklärung durch Patientinnen und Patienten

Im Berichtsjahr häuften sich beim EDÖB die Anfragen zum Formular zur Einwilligungserklärung, das Gesundheitsfachpersonen seit Inkrafttreten des neuen DSG ihren Patientinnen und Patienten zur Unterschrift vorlegen. Diese Neuerung – und dabei insbesondere die Unterzeichnungspflicht – warf bei den Patientinnen und Patienten zahlreiche Fragen auf.

Mehrere Organisationen und Dachverbände der Ärzteschaft bieten ihren Mitgliedern und Partnern Vorlagen zur Einwilligungserklärung an. Diese Formulare dienen in der Regel einerseits dazu, die Patientinnen und Patienten klar und transparent über die datenschutzkonforme Bearbeitung ihrer Daten zu informieren, namentlich über den vorgesehenen Bearbeitungszweck und über die Weitergabe von Daten an Dritte (z. B. Übermittlung an eine

40

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

WEITERVERWENDUNG VON DATEN

weitere Arztperson oder ein Abrechnungsunternehmen), damit sie Datenbearbeitungen, die sie betreffen, nach-

vollziehen können und in der Lage sind, ihnen rechtsgültig zuzustimmen. Andererseits können Gesundheitsfachpersonen mit dem Formular die ausdrückliche Einwilligung der Patientin oder des Patienten einholen, welche zur Übersendung von besonders schützenswerten Daten erforderlich ist, zu denen Gesundheitsdaten zählen. Dazu sei vermerkt, dass die Information und die Einwilligung laut Gesetz nicht zwingend schriftlich erfolgen müssen und eine ausreichend klare Willensäusserung der betreffenden Person genügt. In der Praxis wird die schriftlich dokumentierte Einwilligung jedoch aus beweistechnischen Gründen oftmals vorgezogen. Mit ihrer Unterschrift bestätigt die behandelte Person, dass sie informiert wurde und einer Bearbeitung ihrer Daten im beschriebenen Umfang zustimmt. Aus Gründen der Verhältnismässigkeit beschränkt sich die Datenweitergabe jedoch auf jene Daten, welche die jeweiligen Dritten zur Erreichung ihrer legitimen Bearbeitungsziele benötigen, sodass keine Massdatenübertragung erfolgen darf.

Parallel dazu unterliegen Gesundheitsdaten auch dem Arztgeheimnis. Jede Übersendung von Patientendaten an Dritte setzt demnach unter Strafan-

drohung nach Art. 321 des Strafgesetzbuchs eine vorgängige Einwilligung voraus, wobei Melde- und Auskunftspflichten gegenüber Behörden oder Dritte vorbehalten bleiben.

Es steht der Patientin oder dem Patienten frei, das Formular (nicht) zu unterschreiben. Allerdings brauchen Gesundheitsfachpersonen diese Einwilligung, um Gesundheitsdaten an Dritte herauszugeben, und sie haben ein berechtigtes Interesse, sich mit einem schriftlichen Dokument abzusichern, in dem auch bestätigt wird, dass die erforderliche vorgängige Information durchgeführt wurde. Wer die Einwilligung verweigert oder durch Streichung von Bestimmungen einschränkt, muss also damit rechnen, dass die Gesundheitsfachperson die Behandlung aufgrund der entstandenen Rechtsunsicherheit ablehnt, in der sie sich befinden kann.

Der EDÖB empfiehlt deshalb, bei Unklarheiten, offenen Fragen oder falls Elemente des Formulars übertrieben wirken, das Gespräch mit der zuständigen Person zu suchen, um geeignete Präzisierungen anzubringen.

Verhältnis zwischen Datenschutzgesetz und Humanforschungsgesetz

Das Humanforschungsgesetz (HFG) und das Datenschutzgesetz (DSG) regeln beide die Weiterverwendung von Daten zu Forschungszwecken, was zu häufigen Fragen zu den Überschneidungsbereichen zwischen diesen Gesetzen führt. Im Berichtsjahr befasste sich der EDÖB im Rahmen von Ämterkonsultationen und im Zusammenhang mit Anfragen von Privaten oder von Bundesorganen regelmässig mit den Überschneidungen von HFG und DSG.

Die beiden Gesetze behandeln teilweise ähnliche Sachverhalte, namentlich die Regelungen zur Weiterverwendung von vorgängig zu anderen Zwecken gesammelten Daten (Beispiel: Eine Ärztin möchte die Untersuchungsergebnisse eines Patienten an Forschende übermitteln). Hierfür gelten Art. 31 Abs. 2 lit. e und Art. 39 DSG (anwendbar auf Privatpersonen bzw. Bundesorgane) und Art. 32 ff. HFG.

Das HFG ist ein Spezialgesetz und hat daher gegenüber dem DSG Vorrang in seinem Geltungsbereich: nämlich in der mit Personen (einschliesslich Verstorbenen, Embryonen und Föten) durchgeführten Forschung zu Krankheiten des Menschen oder zum menschlichen Körper sowie in der Forschung mit biologischem Material

  1. Tätigkeitsbericht 2023/24

41

Datenschutz

ELEKTRONISCHES PATIENTENDOSSIER

oder mit gesundheitsbezogenen Personendaten. Allerdings regelt das HFG nur gewisse Aspekte der Datenbearbeitung. Für Aspekte, die im HFG nicht spezifisch geregelt sind, gilt weiterhin das DSG.

Konkret unterscheiden sich die beiden Gesetze hauptsächlich hinsichtlich der Rechtfertigung für die Weiterverwendung der Daten: Das DSG fordert ein überwiegendes Interesse des Verantwortlichen (Art. 31 Abs. 2 DSG) oder die Geltendmachung von Art. 39 DSG, während das HFG verschiedene Stufen der Einwilligung kennt.

Das Rechtfertigungskonzept des HFG erscheint komplexer als dasjenige des DSG. Da es sich beim Gegenstand des Gesetzes jedoch um ein besonders sensibles Thema – nämlich die Humanforschung – handelt, ist diese Komplexität durchaus gerechtfertigt: Der Standardmechanismus von Art. 31 Abs. 2 DSG wäre hier ungenügend, da er auf einer Güterabwägung durch den Bearbeitungsverantwortlichen selbst beruht, also durch den Arzt, der in diesem Fall «Richter» und Partei zugleich wäre. Die diesbezüglichen Rahmenbedingungen des HFG sind hingegen präziser und führen somit zu einer besseren Rücksichtnahme auf den Willen der Person, zu einer besseren Aufklärung und insgesamt zu mehr Rechtssicherheit, was sowohl im Interesse der betroffenen Personen als auch im Interesse der Forschenden ist.

Umfassende Revision des Bundesgesetzes über das elektronische Patientendossier

Der Bundesrat beabsichtigt, die Weiterentwicklung, Verbreitung und Nutzung des elektronischen Patientendossiers mit einer Reihe von gezielten Massnahmen voranzutreiben und zu fördern. Er hat deshalb im Juni 2023 einen Entwurf für eine Totalrevision des Gesetzes in die Vernehmlassung geschickt, der mehrere wichtige Anpassungen vorsieht. Der EDÖB hat zu einigen Schlüsselelementen Stellung genommen.

Die Revisionsvorlage sieht einen Paradigmenwechsel vor: Während es nach dem geltenden Bundesgesetz über das elektronische Patientendossier (EPDG) für die Erstellung eines elektronischen Patientendossiers (EPD) einer Einwilligung bedarf, soll beim revidierten Gesetz der Grundsatz der ausdrücklichen Einwilligung (Opt-In-Modell) durch ein Widerspruchsrecht (Opt-Out-Modell) ersetzt werden, wonach alle Personen mit Wohnsitz in der Schweiz, die obligatorisch krankenversichert sind, inskünftig über ein

elektronisches Patientendossier verfügen würden, ausser wenn sie nach angemessener Information ausdrücklich darauf verzichtet haben. Dieser Verzicht würde in einem Widerspruchsregister eingetragen. Liegt kein Widerspruch vor, wird das EPD eröffnet und kann durch Gesundheitsfachpersonen und die Patientin oder den Patienten geführt und bearbeitet werden, wobei letztere über den Zugriff auf das EPD bestimmen. Durch das revidierte Gesetz würden auch sämtliche Gesundheitsdienstleister verpflichtet, sich einer zertifizierten Gemeinschaft oder Stammgemeinschaft anzuschliessen sowie behandlungsrelevante Daten ihrer Patientinnen und Patienten im EPD abzulegen, damit sie anderen Gesundheitsfachpersonen zur Verfügung stehen.

Als Aufsichtsbehörde im Bereich des Datenschutzes vertritt der EDÖB die Auffassung, dass das derzeitige Modell, bei dem zur Eröffnung eines elektronischen Dossiers eine Einwilligung vorliegen muss, das Recht auf

Selbstbestimmung der betroffenen Personen besser gewährleistet und ihnen ermöglicht, selbst zu bestimmen, ob sie ein elektronisches Dossier anlegen möchten oder nicht, und wenn ja, zu welchem Zweck die betreffenden Personendaten (z. B. Gesundheitsdaten) bearbeitet werden dürfen. Sollte die

42

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

Widerspruchsvariante dennoch obsiegen, müsste dafür gesorgt werden, dass das Modell ohne übermässigen Formalismus und in allen Kantonen einheitlich umgesetzt wird.

Die Revision sieht auch weitere Neuerungen vor, die eine Änderung oder Erweiterung der Personendatenbearbeitungen, die das gegenwärtige EPD vorsieht, darstellen und ein erhöhtes Risiko für die Persönlichkeit und für die informationelle Selbstbestimmung der betroffenen Personen mit sich bringen. Deshalb forderte der EDÖB das Bundesamt für Gesundheit dazu auf, eine Evaluation der betreffenden zusätzlichen Risiken vorzunehmen, erforderlichenfalls eine Datenschutz-Folgenabschätzung durchzuführen und die Ergebnisse seiner Überlegungen zu präsentieren. Wenn Daten generell nur Befugten zugänglich sind, müssen Patientinnen und Patienten über die Bedeutung der einzelnen Einwilligungen und über die entspre-

chende Hierarchie und die Möglichkeit, den Zugang einzuschränken, informiert werden. Gemäss dem Prinzip der datenschutzfreundlichen Voreinstellungen ist sodann generell zu gewährleisten, dass die Parameter der höchstmöglichen Vertraulichkeitsstufe angehören sowie dass ohne Tätigwerden der betroffenen Person kein Zugriff durch Gesundheitsfachpersonen erfolgen kann. Patientinnen und Patienten sollten systematisch über den Eintritt in bzw. den Austritt aus Gruppen von Gesundheitsfachpersonen informiert werden, ausser sie hätten einen gegenteiligen Wunsch geäussert.

Der EDÖB schätzt die Tatsache, dass das Zugangsrecht der Krankenversicherer darauf beschränkt werden soll, mit Einwilligung der Patientinnen und Patienten gewisse definierte administrative Daten zu speichern. Der EDÖB begrüsst zudem, dass die Gesetzesrevision die Verwendung von nicht anonymisierten medizinischen EPD-Daten für Forschungszwecke von einer ausdrücklichen Einwilligung der Patientin oder des Patienten abhängig macht.

Als problematisch stuft er hingegen den Zugang zum EPD durch Gesundheitsanwendungen Dritter ein, wie es die Revisionsvorlage vorsieht. Mit Einwilligung der Patientin oder des Patienten sollen Gesundheitsanwendungen auf das EPD zugreifen und medizinische Daten abfragen und/oder speichern können, beispielsweise mit einem Smartphone oder einem medi-

medizinischen Gerät. Aus Sicht des EDÖB sind Datenschutz und Datensicherheit für sämtliche Anwendungen umfassend zu gewährleisten. Wurden die Zuverlässigkeit und das Sicherheitsniveau der Gesundheitsanwendungen vorgängig geprüft und zertifiziert, stellt ihr Zugriff auf das EPD aus Sicht des EDÖB jedoch weder für die Patientendaten noch für die betriebliche Sicherheit des EPD selbst ein Risiko dar. Die Bereitstellung einer Schnittstelle ist nur dann vertretbar, wenn vorab eine gründliche Risikoanalyse durchgeführt wurde und Massnahmen zur Risikominderung getroffen wurden. Ferner muss der Datentransfer von der Anwendung zum EPD ausreichend gesichert und verschlüsselt sein.

Der EDÖB vertritt die Auffassung, dass im Gesetz angesichts der grossen Zahl der betroffenen Personen sowie des besonders schützenswerten Charakters der betreffenden Daten weitere Präzisierungen der datenbearbeitungsspezifischen Zuständigkeiten und Verantwortlichkeiten notwendig sind.

  1. Tätigkeitsbericht 2023/24

43

Datenschutz

1.5 Arbeit

ARBEITSRECHT

Vorgaben bei der Führung von Personaldossiers

Die Pflicht zur Löschung von nicht mehr benötigten Personendaten, beziehungsweise deren Aufbewahrung im Personaldossier, wirft bei den verantwortlichen Arbeitgeberinnen und Arbeitgebern Fragen auf. Zu deren Beantwortung ist insbesondere das Verhältnismässigkeitsprinzip von wesentlicher Bedeutung.

Im Berichtsjahr wurde der EDÖB erneut vermehrt in Bezug auf die Datenschutzkonformität bei der Führung von Personaldossiers kontaktiert, insbesondere mit Blick auf Aufbewahrungsfristen und Aufbewahrungsformen, aber auch die rechtskonforme Löschung von Personaldaten. Die Bearbeitung von Personendaten ist im Arbeitsverhältnis zulässig, wenn die allgemeinen Grundsätze der Datenbearbeitung nach DSG (insbesondere

die Grundsätze der Verhältnismässigkeit sowie der Zweckbindung) sowie nach Obligationenrecht eingehalten sind.

Das bedeutet: Der Arbeitgeber darf nur diejenigen Personendaten bearbeiten, die zur Erfüllung des Arbeitsverhältnisses (in Bezug auf Eignung und Durchführung) notwendig sind. Das bedeutet auch, dass Personendaten gelöscht werden müssen, wenn diese nicht (mehr) notwendig sind oder der Zweck der Datenbearbeitung erfüllt ist. Ausführliche Informationen zu Aufbewahrungsfristen vor, während und nach dem Arbeitsverhältnis, sowie zur Form der Aufbewahrung finden sich auf der Webseite des EDÖB.

ARBEITSRECHT

Datenschutzrechtliche Qualifikation von Pensionskassen

Der EDÖB wurde von zahlreichen Vorsorgeeinrichtungen und Branchenverbänden zur Stellungnahme gebeten in Bezug auf die Frage, welchen Bestimmungen des DSG Pensionskassen unterstellt sind. Nach Auffassung des EDÖB handeln Pensionskassen im Obligatorium der beruflichen Vorsorge (BVG) als Bundesorgane, während im Überobligatorium die Bestimmungen für Private anwendbar sind. Die Frage ist relevant, weil Bundesorgane ihre Bearbeitungstätigkeiten gemäss Artikel 12 DSG sowie den Datenschutzberater gemäss Artikel 10 DSG dem EDÖB melden müssen. Die Durchführung der obligatorischen Versicherung der beruflichen Vorsorge (BVG-Obligatorium) stellt eine öffentliche Aufgabe des Bundes dar (Bundesaufgabe im Sinne von Art. 5 lit. i DSG). Gemäss Rechtsprechung des Bundesverwaltungsgerichts gelten die registrierten Pensionskassen, die an der Durchführung der obligatorischen Versicherung beteiligt sind, als mit einer Bundesaufgabe betraute juristische Personen (BVGer, A-4467-2011, E. 4.2). Um ihren gesetzlichen Verpflichtungen im BVG-Obligatorium nachzukom-

men, müssen Pensionskassen zwingend Personendaten von Versicherten bearbeiten. Sie bearbeiten somit Personendaten für die Erfüllung dieser Bundesaufgabe und handeln im BVG-Obligatorium als Bundesorgan.

Im Überobligatorium gelten für Pensionskassen hingegen die spezifischen Bestimmungen des DSG für Private, dies jedoch nur, sofern die Datenbearbeitung vollständig von der öffentlichen Aufgabe getrennt bzw. ausschliesslich dem Überobligatorium zuzuordnen ist. Dies ist der Fall für Vorsorgeeinrichtungen, welche ausschliesslich ausserhalb des Obligatoriums Leistungen erbringen und somit nicht registriert sind (Art. 48 BVG e contrario). Dazu gehört beispielsweise auch die freiwillige Selbstvorsorge der Säule 3A/3B. Sofern eine Trennung der Bereiche nicht möglich ist oder sich als schwierig erweist, sind auf die gesamte Tätigkeit die Bestimmungen für Bundesorgane anwendbar.

Pensionskassen, die als Bundesorgane für den obligatorischen Teil bzw. als Private für den überobligatorischen Teil handeln, unterstehen der Aufsicht des EDÖB. Dies gilt auch für sogenannte umhüllende Pensionskassen, d. h. Vorsorgeeinrichtungen, die sowohl im obligatorischen als auch im überobligatorischen Bereich tätig sind, je nachdem, ob die fragliche Datenbearbeitung im BVG-Obligatorium, oder im Überobligatorium erfolgen.

Pensionskassen als kantonale oder kommunale öffentliche Organe Pensionskassen von Angestellten der Kantone, Gemeinden und Städte,

44

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

welche Aufgaben im Zusammenhang mit der beruflichen Vorsorge ausführen und in diesem Rahmen Personendaten bearbeiten, sind in der Regel keine Bundesorgane. Diese stellen kantonale oder kommunale öffentliche Organe dar und unterstehen im BVG-Obligatorium der kantonalen Datenschutzgesetzgebung sowie der kantonalen bzw. städtischen Aufsicht.

Dienstleistungsgesellschaften von Pensionskassen handeln als Auftragsbearbeiter

In der Praxis kommt es vor, dass Vorsorgeeinrichtungen einen Teil oder die Gesamtheit des operativen Geschäftsbetriebs an eine externe Gesellschaft übertragen. Solche Dienstleistungsgesellschaften sind im Auftrag der Vorsorgeeinrichtung tätig und handeln als Auftragsdatenbearbeiter im Sinne von Art. 9 DSG.

Die Frage der Qualifikation als Bundesorgan im Sinne des DSG ist für die Pensionskassen auch deshalb relevant, weil Bundesorgane ihre Bearbeitungstätigkeiten gemäss Artikel 12 DSG dem EDÖB melden müssen. Entsprechend wurden im Verlauf des Berichtsjahres über 1000 Einträge von Vorsorgeeinrichtungen in das Register der Verzeichniseinträge (Datareg) getätigt.

img-7.jpeg

  1. Tätigkeitsbericht 2023/24

45

Datenschutz

1.6 Verkehr

ZAHLREICHE PROJEKTE

Beratungen und Ämterkonsultationen im Bereich Mobilität

Der EDÖB hat sich bei Projektberatungen und in Ämterkonsultationen wiederholt zu Verkehrs- und Mobilitätsthemen geäussert. Er fordert von staatlich konzessionierten öV-Betrieben, dass anonymes Reisen und der Einsatz von Bargeld möglich bleiben und weder durch Entzug von Vergünstigungen noch durch administrative Nachteile erschwert werden.

Der EDÖB beriet im Berichtsjahr sowohl Private wie auch Bundesorgane im Bereich der Mobilität. Ein zentrales Anliegen war, dass Verkehrsbetriebe für die Personenbeförderung, die eine gesetzlich geregelte staatliche Aufgabe darstellt, den Reisenden weiterhin garantieren, im Inland anonym reisen zu können. Zudem sollen Anbieter von datenrelevanten Dienstleistungen weiterhin Bargeld als Zahlungsmittel annehmen.

Plattform «NOVA» für den öffentlichen Verkehr

Im Zusammenhang mit der im Februar 2022 gemeldeten Schwachstelle der zentralen Vertriebsplattform «NOVA», welche die SBB im Auftrag der Branchenvereinigung des öffentlichen Verkehrs Alliance SwissPass (ASP) betreibt (s. 29. TB, Kap. 1.7), wies der EDÖB die SBB unter anderem auf das Erfordernis der Verhältnismässigkeit bei der Aufbewahrung hin. Die Einhaltung der Löschfristen war zu Anfang des Berichtsjahrs nicht vollumfänglich umgesetzt. Das Datenschutzteam der SBB führte gegen Ende des Berichtsjahres ein Audit durch, um zu klären, ob die Löschregeln in NOVA

komplett umgesetzt sind. Sollte das Audit Lücken ans Licht bringen, wird der EDÖB darauf hinwirken, dass diese vollständig geschlossen werden.

Ferner hat die Branche auf den 1. Januar 2024 verbindliche Standards zur Informationssicherheit in Kraft gesetzt, welche die an NOVA angeschlossenen Verkehrsunternehmen einhalten müssen. Für bereits an NOVA angeschlossene Verkehrsbetriebe gilt eine einmalige Übergangsfrist: Diese müssen bis spätestens Ende Juni 2024 mittels Self-Assessment nachweisen, dass sie die Vorgaben einhalten. Festgestellte Lücken sind von den betreffenden Unternehmen zu dokumentieren und bis Ende 2024 zu beheben.

Kundenfrequenzmesssystem der SBB

Betreffend das Projekt Kundenfrequenzmesssystem 2.0 (KFMS 2.0) der SBB, welches aufgrund des ursprünglich unpräzis formulierten Texts in der Ausschreibung Anlass zu Spekulationen gegeben hatte (s. 30. TB, Kap. 1.6), legte die SBB dem EDÖB, wie im Rahmen der Beratung durch den EDÖB vereinbart, eine Datenschutz-Folgenabschätzung (DSFA) vor. Gestützt auf die DSFA und Ausführungen der SBB kam der EDÖB zum Schluss, dass zu keinem Zeitpunkt Personendaten generiert werden, die im Sinne eines theoretischen Risikos missbräuchlich verwendet werden könnten. Entsprechend erachtete er die Messung der Kundenfrequenz in ihrer aktuellen Ausgestaltung als datenschutzkonform.

Pilotprojekt von SwissPass für die Erhebung der Verteilschlüssel

Alliance SwissPass benötigt bestimmte Daten, um die Einnahmen aus Pauschal-fahrausweisen wie beispielsweise Generalabonnementen (GA) angemessen unter den Transportunternehmen verteilen zu können. Nunmehr soll dieser sogenannte «Verteilschlüssel» digital erhoben und die Kunden zu einer Onlineerhebung der GA-Benutzung eingeladen werden. Für die Teilnahme muss eine Tracking-App eines mandatierten externen Partners (z. B. Marktforschungsinstitut) auf dem Handy installiert werden, die in regelmässigen Abständen den Standort des Handys erfasst. Zur Berechnung der Reisewege sendet das Smartphone u. a. die aufgezeichneten Standortdaten an das Marktforschungsinstitut. Die aufgezeichneten Reisen werden so dann anonymisiert an die Geschäftsstelle Alliance SwissPass (ASP) gesendet, welche die Reisen taxiert und anschliessend die Berechnung des GA-Verteilschlüssels durchführen kann. In der Folge löscht das Marktforschungsinstitut die Personendaten.

Der EDÖB wies die SBB u. a. darauf hin, dass für die Umsetzung dieses Projekts der Datensicherheit genügend Beachtung geschenkt werden müsse, da sich durch die digitale Erhebung neue Risiken ergeben. Bei der Wahl des Marktforschungsinstituts muss darum bezüglich der Aufbewahrung der Daten dem Datenschutz Rechnung getragen werden (z. B. Serverstandort in der Schweiz). Auch die datenschutzrechtlichen Grundsätze der Zweckbindung und Transparenz müssen jederzeit eingehalten werden.

46

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

PNR-DATEN

Automatisiertes Fahren

Auch im Bereich des automatisierten Fahrens hat sich der EDÖB mehrfach geäussert. So etwa in der Ämterkonsultation des ASTRA zur einschlägigen Verordnung. Wir wirkten darauf hin, dass die beabsichtigten Zwecke ohne Bearbeitung besonders schützenswerter Personendaten und ohne Profiling mit hohem Risiko erreicht werden. Ferner wies der EDÖB darauf hin, dass bei Rechtssetzungsprojekten rechtzeitig zu prüfen ist, ob eine Datenschutz-Folgenabschätzung durchzuführen ist. Das ASTRA informierte den EDÖB dahingehend, dass unsere Anregungen im Verordnungsentwurf weitgehend übernommen wurden.

Videoüberwachung im öffentlichen Verkehr

Verschiedene konzessionierte Busunternehmen sowie Hersteller von Fahrzeugen des öffentlichen Transports gelangten mit der Frage an den EDÖB, wie bei neuen Bussen eine Rundum-Videoüberwachung im Innen- und Aussenbereich datenschutzkonform ausgestaltet werden könne. Neben dem Bestehen einer hinreichend konkreten, gesetzlichen Grundlage ist es notwendig, dass der Verhältnismässigkeitsgrundsatz beachtet wird und für die Betroffenen klar ersichtlich ist, dass sie gefilmt werden. Sie müssen auch wissen, an wen sie sich für Auskünfte wenden können, um ihre Betroffenenrechte ausüben zu können.

Ämterkonsultation Flugpassagierdatengesetz (FPG)

Das EJPD hat sein Gesetzgebungsprojekt zur Nutzung von Flugpassagierdaten, (sog. Passenger Name Records, PNR) durch die Schweiz überarbeitet und eine zweite Ämterkonsultation durchgeführt. Der EDÖB nahm in dieser zweiten Konsultation Stellung.

PNR-Daten werden bei der Buchung eines Flugs durch den Passagier an die Fluggesellschaft oder die Reiseagentur mitgeteilt. Die Informationen sollen zur Verhinderung von Terrorismus und Schwerstkriminalität dienen, indem sie beispielsweise mit den einschlägigen Strafverfolgungsdatenbanken abgeglichen werden. Viele europäische Staaten haben bereits entsprechende Stellen (sog. «Passenger Information Units», PIU) eingerichtet, die diese Fluggastdaten sammeln, speichern und bearbeiten.

Der EDÖB hat auch in dieser zweiten Ämterkonsultation im Berichtsjahr Stellung genommen (vgl. zur ersten Ämterkonsultation 29. TB Kap. 1.7 und 28. TB Kap. 1.8). Unter anderem wies er darauf hin, dass bei Gesetzgebungsprojekten ab Inkrafttreten des revidierten DSG am 1. September 2023 rechtzeitig geprüft werden muss, ob die Datenbearbeitung ein potenziell hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen birgt und folglich eine Datenschutz-Folgeabschätzung durchgeführt werden muss. Letztere ist dem EDÖB jeweils vor der Ämterkonsultation zur Stellungnahme zu unterbreiten.

Für den EDÖB war ferner zentral, dass beim Gesetzgebungsprojekt und dessen Umsetzung die Bearbeitungsgrundsätze des DSG, wie etwa der Grundsatz der Verhältnismässigkeit, eingehalten werden. So muss beispielsweise sichergestellt werden, dass bei falschen Treffern (sog. False Positives) die Personen, welche Kriterien eines Risikoprofils zwar erfüllen, jedoch nicht als verdächtig eingestuft werden, nicht als verdächtig markiert im System verbleiben und die Daten umgehend pseudonymisiert und anschliessend gelöscht werden. Die Anliegen des EDÖB hinsichtlich der DSFA wurden aufgenommen und entsprechend in der Botschaft ausgewiesen.

  1. Tätigkeitsbericht 2023/24

47

img-8.jpeg

img-9.jpeg

Datenschutz

1.7 International

EUROPÄISCHE UNION

Angemessenheitsbeschluss der EU

Am 15. Januar 2024 bestätigte die Europäische Kommission die Angemessenheit des Schweizer Datenschutzniveaus. Mit Bericht vom 15. Januar 2024 anerkannte die Europäische Kommission, dass die Gesetzgebung der Schweiz weiterhin ein angemessenes Schutzniveau für die Bearbeitung von Personendaten bietet. Personendaten aus einem Mitgliedstaat der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) können weiterhin in die Schweiz übermittelt werden, ohne dass zusätzliche Garantien zur Sicherstellung eines ausreichenden Datenschutzniveaus erforderlich sind, was von beträchtlicher wirtschaftlicher Bedeutung ist.

Die Schweiz verfügt seit dem Jahr 2000 über einen Angemessenheitsentscheid der EU. Dieser wurde gestützt auf die damalige Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr erlassen. Diese Richtlinie wurde im Jahre 2016 durch die Verordnung (EU) 2016/679 (Datenschutzgrundverordnung – DSGVO) ersetzt (vgl. 30. TB, S. 11).

Für den Wirtschaftsstandort und die Wettbewerbsfähigkeit der Schweiz ist dies von grosser Bedeutung.

DATA PRIVACY FRAMEWORK

Rahmenwerk für die Datenbekanntgabe in die USA

Im Sommer 2023 einigten sich die EU und die USA auf ein Rahmenwerk für die Datenübermittlung von der EU in die USA. Dies führte dazu, dass die Europäische Kommission einen Angemessenheitsbeschluss treffen konnte. Auch die Schweiz führte Gespräche mit den USA. Im September 2020 stellte der EDÖB vor dem Hintergrund des Schrems II-Urteils des EuGH fest, dass das Privacy Shield Rahmenwerk zwischen der Schweiz und den USA trotz der Gewährung von besonderen Schutzrechten für Betroffene in der Schweiz kein adäquates Schutzniveau für Datenbekanntgaben von der Schweiz an die USA bietet (s. Schwerpunkt II im 28. TB). Seither sind für Übermittlungen von Personendaten aus der Schweiz in die Vereinigten Staaten zusätzliche Garantien i. S. v. Art. 16 Abs. 2 DSG erforderlich, wie etwa Datenschutzklauseln, Standarddatenschutzklauseln oder verbindliche unternehmensinterne Datenschutzvorschriften.

Im Juli 2023 einigten sich die EU und die USA auf ein neues Rahmenwerk, das EU-US Data Privacy Framework (DPF), auf dessen Grundlage die EU-Kommission einen neuen Angemessenheitsbeschluss betreffend die Datenübermittlung in die USA erliess. Das darin festgehaltene angemessene Datenschutzniveau gilt jedoch nur für Personendaten, welche an zertifizierte US-Unternehmen übermittelt werden, welche am EU-US-DPF teilnehmen. Gemäss der EU-Kommission trägt das DPF den Bedenken des EuGH aus dem Schrems II-Urteil Rechnung, da u. a. der Zugang von US-Nachrichtendiensten zu EU-Personendaten eingeschränkt sowie ein Gericht zur Datenschutzüberprüfung (Data Protection Review Court, DPRC) eingeführt wurde, zu dem Einzelpersonen in der EU Zugang haben. Das Vereinigte Königreich erliess gestützt auf eine Erweiterung des EU-US DPF seinerseits auch einen Angemessenheitsbeschluss zugunsten der USA, das sog. UK-US Data Bridge.

Die Schweiz führte ihrerseits auch Gespräche mit den USA über ein datenschutzrechtliches Rahmenwerk. Seit dem Inkrafttreten des revidierten Datenschutzgesetzes am 1. September 2023 liegt die Zuständigkeit zur Beurteilung der Angemessenheit des Datenschutzes ausländischer Staaten und internationaler Organisationen beim Bundesrat und nicht mehr beim EDÖB. Die

  1. Tätigkeitsbericht 2023/24

49

Datenschutz

EUROPARAT

vom Bundesrat als angemessen beurteilten Staaten und internationalen Organisationen sind im Anhang zur Datenschutzverordnung aufgeführt. Demzufolge sind für Datenübermittlungen aus der Schweiz in die USA bis zum Inkrafttreten eines entsprechenden Angemessenheitsbeschlusses des Bundesrates und der Ergänzung der Staatenliste im Anhang 1 der Verordnung über den Datenschutz (DSV) zusätzliche Garantien i. S. v. Art. 16 Abs. 2 DSG erforderlich. Im Fall des Zustandekommens eines neuen datenschutzrechtlichen Rahmenwerks zwischen der Schweiz und den USA dürfte der darauf gestützte Angemessenheitsbeschluss des Bundesrates nur für Datenübermittlungen an teilnehmende, zertifizierte US-Unternehmen gelten (ähnlich wie unter dem EU-US-DPF und unter dem ehemaligen CH-US Privacy Shield), während Übermittlungen an nicht-zertifizierte US-Unternehmen die Sicherstellung zusätzlicher Garantien i. S. v. Art. 16 Abs. 2 DSG weiterhin voraussetzen dürften.

Konvention 108+ ratifiziert

An den Plenarversammlungen des beratenden Ausschusses zur Datenschutzkonvention des Europarates wurden die zwei ersten Module der Standardvertragsklauseln für die grenzüberschreitende Übermittlung personenbezogener Daten verabschiedet. Die Schweiz hat die modernisierte Datenschutzkonvention des Europarates (Konvention 108+) kurz nach dem Inkrafttreten des revidierten DSG ratifiziert. Diese sollte im Verlaufe des Jahres 2024 in Kraft treten. Der EDÖB nimmt regelmässig an den beiden Plenarversammlungen sowie an den Bürositzungen des beratenden Ausschusses zum Übereinkommen des Europarates zum Schutz des Menschen bei der automatisierten Verarbeitung personenbezogener Daten (Übereinkommen SEV 108) teil. An der Plenarversammlung vom Juni 2023 hat der beratende Ausschuss das erste Modul der Standardvertragsklauseln für die grenzüberschreitende Übermittlung personenbezogener Daten verabschiedet. Dieses ist auf die Datenbekanntgabe zwischen zwei Verantwortlichen zugeschnitten. Modul 2 gilt dagegen für die Datenbekanntgabe von einem Verantwortlichen an einen Auftragsbearbeiter als Importeur. Letzteres wurde an der Plenarversammlung vom November 2023 verabschiedet. Zurzeit wird das dritte und letzte Modul ausgearbeitet, das die Datenübertragung zwischen zwei Auftragsbearbeitern betrifft. Die Vertreterin des EDÖB wirkt bei der Ausarbeitung dieser Standardvertragsklauseln als Berichterstatterin.

Der beratende Ausschuss befasst sich auch mit der Datenbearbeitung im Rahmen von Abstimmungen und Wahlen sowie mit der Datenbearbeitung im Rahmen von Neurowissenschaften. Sämtliche Dokumente stützen sich bereits auf die modernisierte Konvention 108 (so genannte «C108+» bzw. Konvention 108+) ab. Das Änderungsprotokoll zur C108 wurde am 18. Mai 2018 vom Ministerrat verabschiedet. Die modernisierte Konvention wird jedoch erst in Kraft treten, wenn 38 Vertragsstaaten sie ratifiziert haben. Die Konvention steht auch Staaten offen, die nicht Mitglieder des Europarats sind, und entfaltet somit auch ausser-europäisch Wirkung. Mit dem revidierten DSG wurde in der Schweiz auf Bundesebene auch die C108+ umgesetzt. Aus diesem Grund konnte die Schweiz die Ratifizierungsurkunde der C108+ am 7. September 2023 als 28. Mitgliedstaat der Generalsekretärin des Europarates überreichen. Per Ende Dezember hatten 31 Staaten ratifiziert und 15 Staaten noch ohne Ratifizierung unterzeichnet. Es ist damit zu rechnen, dass in nächster Zeit weitere Ratifikationen folgen werden und die C108+ im Laufe des Jahres 2024 in Kraft treten wird.

50

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

EUROPA

Treffen mit ICO und EDSA

Der EDÖB hat sich zusammen mit dem Datenschutzbeauftragten des Vereinigten Königreichs und der Vorsitzenden des Europäischen Datenschutzausschusses informell ausgetauscht über eine mögliche Intensivierung der Zusammenarbeit des EDSA mit Staaten ausserhalb der EU und des EWR, die über ein äquivalentes Datenschutzniveau verfügen.

Im September 2023 haben sich der EDÖB und der Beauftragte der Datenschutzbehörde des Vereinigten Königreichs (Information Commissioner’s Office, ICO) mit der Vorsitzenden des Europäischen Datenschutzausschusses (EDSA) zu einem informellen Meeting in Brüssel getroffen, um die künftige Zusammenarbeit zwischen diesen Behörden zu evaluieren.

Unabhängig davon hat die EU-Kommission Anfang März ein hochrangiges Treffen aller Behörden mit Angemessenheitsbeschluss organisiert. Sowohl die ICO als auch der EDÖB und der EDSA nahmen an diesem Treffen teil. Diskussionsgegenstand war insbesondere die Zusammenarbeit der Behörden bei der Durchsetzung von Datenschutzbestimmungen.

EUROPEAN CASE HANDLING WORKSHOP

Internationales Treffen in der Schweiz

Der jährlich stattfindende ECHW wurde im Berichtsjahr vom EDÖB organisiert und in Bern ausgetragen. Bei diesem praxisorientierten Workshop tauschten sich Vertreterinnen und Vertreter von 37 Datenschutzbehörden aus 27 europäischen Staaten und der Schweiz über die neusten Technologien und damit einhergehende datenschutzrechtliche Fragestellungen aus. Ziel war es, die Rechtsprechung zu analysieren und Lösungen für tägliche Problemstellungen zu diskutieren.

Der EDÖB führte vom 8. bis 9. November 2023 den European Case Handling Workshop (ECHW) in Bern durch. Unter der Schirmherrschaft der Konferenz der Europäischen Datenschutzbehörden (Spring Conference), hatte der praxisorientierte Workshop den Austausch verschiedener Datenschutzbehörden (DSB) zum Gegenstand und brachte über 80 Vertreter und Vertreterinnen von 37 Datenschutzbehörden aus 27 europäischen Staaten sowie der Schweiz in der Bundeshauptstadt zusammen.

  1. Tätigkeitsbericht 2023/24

51

Datenschutz

JOINT STATEMENT

Die 13 Workshops wurden von unterschiedlichen DSB geleitet. Sie umfassten Themen zu aktuellen Herausforderungen im Umgang mit neusten Technologien und offenen Fragen aus der Praxis des europäischen wie schweizerischen Datenschutzes von nationaler und grenzüberschreitender Bedeutung. So etwa Fragen der «Handhabung digitaler Gesichtserkennungstechniken (facial detection vs. facial recognition) und deren Einflüsse auf den Datenschutz» oder zur Definition der «Personendaten» im Zusammenhang mit neusten Technologien (z. B. künstliche Intelligenz, Analyse- und Werbetracking). Ein weiteres Thema war der US Cloud Act und die autorisierten Zugriffe von US-Strafverfolgungsbehörden auf Personendaten, welche Ableger von US-Unternehmen in Europa bearbeiten. Dies auch im Zusammenhang mit Projekten im öffentlichen Sektor, bei denen Cloud-Applikationen (z. B. Microsoft 365) genutzt werden.

Die ergebnisreichen Diskussionen und aktive Beteiligung aller Teilnehmenden ermöglichten einen konstruktiven Austausch und lieferten wertvolle Inputs für die tägliche Arbeit der europäischen und schweizerischen Datenschutzbehörden.

Gemeinsame Erklärung zu «Data Scraping» und Datenschutz

Der EDÖB hat mit elf anderen nationalen Datenschutzbehörden ein Joint Statement an die Social Media Plattformen zum Schutz der Personendaten gegen sog. «Data Scraping» unterzeichnet. Unter dem Begriff versteht man das automatisierte Auslesen von Daten aus dem Internet.

Zusammen mit elf anderen nationalen Datenschutzbehörden hat der EDÖB im August 2023 eine gemeinsame Erklärung (Joint Statement) an die Social Media Plattformen zum Schutz der Personendaten gegen sog. «Data Scraping» veröffentlicht. Dabei handelt es sich allgemein um das automatisierte Auslesen von Daten aus dem Internet.

Social Media Unternehmen und Webseitenbetreiber werden darin aufgefordert, Massnahmen zum Schutz von Personendaten gegen Data Scraping zu treffen. Data Scraping kann eine Verletzung der Datensicherheit (Data Breach) darstellen. Mit dem am 1. September 2023 in Kraft getretenen revidierten DSG sind Unternehmen verpflichtet, dem EDÖB Verletzungen der

Datensicherheit zu melden, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führen (Art. 24 Abs. 1 DSG).

Die gemeinsame Erklärung führt auf, welche Vorkehrungen Einzelpersonen treffen können, um das Risiko des Abgreifens ihrer Daten aus dem Internet zu minimieren. Social Media Unternehmen und Webseitenbetreiber sind gehalten, aktiv darüber zu informieren, wie sie ihre Kundschaft gegen Data Scraping schützen und mit welchen Massnahmen Letztere zum Schutz ihrer Daten beitragen kann.

52

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

INTERNATIONAL

OECD

Die OECD führt umfangreiche Forschungsarbeiten und Analysen zum Datenmanagement durch, um Impulse für die Diskussion auf internationaler Ebene zu geben. Gleichzeitig strebt die OECD an, das Vertrauen in den grenzüberschreitenden Datenverkehr zu stärken. Zu diesem Zweck zielt die Arbeit der OECD darauf ab, zur Schaffung eines globalen digitalen Umfelds beizutragen, das grenzüberschreitende Datenströme ermöglicht und gleichzeitig sicherstellt, dass ein gewünschtes Mass an Kontrolle über die Daten und ein ausreichender Datenschutz beim Überschreiten nationaler Grenzen aufrechterhalten wird.

Insbesondere aufgrund der geographischen Vielfalt der OECD, welche neben europäischen Staaten auch Mitglieder wie die USA, Japan oder Australien zusammenbringt, spielt diese internationale Organisation auf globaler Ebene eine Vorreiterrolle in der Förderung des Schutzes der Privatsphäre. Selbst wenn die meisten OECD-Instrumente Soft-Law-Charakter haben, legen sie oft den Grundstein für künftige Verhandlungen über rechtsverbindliche Instrumente. Im Bereich des Datenschutzes gilt die Arbeit der OECD

als Inspirationsquelle für wichtige internationale Instrumente, wie etwa die DSGVO oder das EU-US DPF.

Der EDÖB ist in der Arbeitsgruppe der OECD für Data-Governance und Schutz der Privatsphäre in der digitalen Wirtschaft (Working Party on Data Governance and Privacy in the Digital Economy, DGP) vertreten. Diese erstattet dem OECD-Ausschuss für die Politik der digitalen Wirtschaft (CDEP) Bericht und setzt sich aus Delegierten der 38 Mitgliedstaaten der OECD zusammen, darunter insbesondere Vertreter der Regierungen und der Datenschutzbehörden. Sie arbeitet mit den anderen Arbeitsgruppen des CDEP und anderen OECD-Gremien zusammen und ist für die Entwicklung und Förderung evidenzbasierter Strategien zur Datenverwaltung und zum Schutz der Privatsphäre zuständig. Ziel dieser Strategien ist es, den sozialen und wirtschaftlichen Nutzen der umfassenden und effektiveren Nutzung von Daten zu maximieren und gleichzeitig die damit verbundenen Risiken und Herausforderungen für den Schutz der Privatsphäre zu bewältigen. Zu erwähnen sind in diesem Zusammenhang etwa die Überarbeitung der OECD-Empfehlung zur Grenzüberschreitenden Zusammenarbeit der Durchsetzung von Erlassen zum Schutz der Privatsphäre, die neuen Erkenntnisse und Analysen zu Data Free Flow with Trust (DFFT) oder die Analyse der aktuellen politischen und regulatorischen Ansätze zu Privacy Enhancing Technologies (PETs).

SCHENGEN

BTLE und EDSA

Die Border Travel and Law Enforcement (BTLE) Gruppe, eine Unterarbeitsgruppe des Europäischen Datenschutzausschusses (EDSA), behandelt auch Themen zum Schengen-Besitzstand. Als assoziiertes Schengen-Mitglied hat die Schweiz an den Schengen-relevanten Themen mitgewirkt. Dazu gehören das Erarbeiten und Finalisieren der Leitsätze zu Artikel 37 der Richtlinie (EU) 2016/680 sowie das Formulieren neuer Leitsätze zu den Rechten betroffener Personen unter derselben Richtlinie. Die Unterarbeitsgruppe BTLE hat im Berichtsjahr zu Handen des EDSA die Leitlinien zum Artikel 37 der Richtlinie (EU) 2016/680 der EU erarbeitet, welche den Datenschutz im Bereich der Strafverfolgung regelt. Artikel 37 dieser Richtlinie (kurz: Law Enforcement Directive, LED) regelt die «Datenübermittlung vorbehaltlich geeigneter Garantien». Die Leitlinien beschreiben insbesondere die rechtlichen Voraussetzungen, welche die geeigneten Garantien erfüllen müssen, wenn Daten in ein Drittland (d. h. ein Land ausserhalb des EU/EWR-Raums) übermittelt

  1. Tätigkeitsbericht 2023/24

53

Datenschutz

SCHENGEN

werden. In diesem Zusammenhang hat der EDÖB dargelegt, dass die Schweiz als Schengen-assoziierter Staat kein Drittland ist, was berücksichtigt worden ist, indem die Schweiz im Sinne von Artikel 37 nicht als Drittland gilt. Mit dem Abschluss der Arbeiten stand das Dokument vom 27. September bis 8. November 2023 öffentlich zur Stellungnahme zur Verfügung.

Die soeben aufgenommenen Arbeiten betreffen das Ausarbeiten neuer Leitsätze zu den «Rechten betroffener Personen» unter vorgenannter Richtlinie. Im Zentrum stehen dabei Artikel 12 und 15 LED «Mitteilungen und Modalitäten für die Ausübung der Rechte der betroffenen Person» und die «Einschränkung des Auskunftsrechts». Ebenfalls werden in diesem Rahmen die Aspekte des direkten (d. h. beim Verantwortlichen selbst) und indirekten (wie bspw. in Belgien via die Datenschutzbehörde) Zugangs zu Personendaten analysiert und Erläuterungen dazu entworfen.

Aufsichtskoordinationsgruppen über die Informationssysteme SIS II, VIS und Eurodac

Die Datenbearbeitungen bei den Schengen-Informationssystemen befinden sich wieder auf Vor-Corona-niveau, nachdem ein quantitativer Einbruch während der Pandemie verzeichnet wurde. Aus einzelnen Staaten wurden besonders viele Auskunftsgesuche gestellt. Zum ersten Mal erfolgte über ausgewählte NGOs ein aktiver Austausch mit der zivilen Gesellschaft.

Der SIS-Ausschuss für die koordinierte Aufsicht (Coordinated Supervision Committee, CSC) und die Aufsicht Koordinierungsgruppen (Supervision Coordination Group, SCG) VIS und Eurodac sind unter dem EU-Recht eingerichtete Gremien, die den Schutz personenbezogener Daten in den entsprechenden Informationssystemen überwachen. Diese Gruppen bestehen aus Vertreterinnen und Vertretern der nationalen Datenschutzbehörden und dem Europäischen Datenschutzbeauftragten.

Mit dem neuen Evaluierungs- und Überwachungsmechanismus wird jeder Schengen-Mitgliedstaat alle sieben und nicht mehr wie bis anhin alle fünf Jahre evaluiert. Die Evaluierungen erfolgen jeweils in den Bereichen Datenschutz, Polizeikooperation, IT-Grosssysteme (SIRENE, SIS), Rückkehr,

Grenzschutz und Visa-Expertenpools. Der EDÖB hatte vom 13.–17. November 2023 einen Experten für die Evaluierung Estlands im Bereich Datenschutz entsandt.

Mit dem Übergang des Sekretariats vom Europäischen Datenschutzbeauftragten (EDSB) zum Europäischen Datenschutzausschuss (EDSA) im März 2023, sind die Anzahl der jährlichen Sitzungen im Bereich SIS von zwei auf vier erhöht worden. Die Datenschutzbehörden stellten an den Sitzungen fest, dass aus einzelnen Staaten besonders viele Schengen-Auskunftsgesuche erfolgen, teilweise werden sogar die gleichen Gesuche an Dutzende Datenschutzbehörden gleichzeitig verschickt. Die Entwicklung der Situation wird aktuell beobachtet.

Im Rahmen der SIS CSC Sitzungen wurde dieses Jahr auch der aktive Austausch mit der zivilen Gesellschaft gepflegt, indem ausgewählte grössere europäische NGOs zum Austausch eingeladen wurden.

Die Datenbearbeitungen waren während der Pandemiezeit umfangmässig stark eingebrochen. Diese befinden sich zwischenzeitlich wieder auf Vor-Coronaniveau.

54

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

SCHENGEN

Koordinationsgruppe der schweizerischen Datenschutzbehörden

Die Datenschutzbehörden von Bund und Kantonen sowie des Fürstentums Liechtenstein haben sich im Rahmen der Schengen Koordinationsgruppe unter dem Vorsitz des EDÖB zweimal getroffen.

Die Schengen Koordinationsgruppe der Datenschutzbehörden von Bund und Kantonen traf sich im Juni und im Dezember 2023. Der EDÖB hat in dieser Gruppe den Vorsitz. Die Datenschutzbehörde des Fürstentums Liechtenstein ist Mitglied mit Beobachterstatus. An beiden Sitzungen informierte der EDÖB über die Arbeitsergebnisse der Sitzungen aus den europäischen Aufsichtskoordinationsgruppen über die

Informationssysteme SIS und VIS in Brüssel. Der EDÖB und die kantonalen Datenschutzbehörden haben sich so dann über ihre Erfahrungen aus den von ihnen durchgeführten Kontrollen ausgetauscht.

Die Kantone berichten, dass die regelmässig durchgeführten Logfiles-Kontrollen bei Mitarbeiterinnen und Mitarbeitern mit entsprechenden Zugriffsrechten auf Schengen-Informationssysteme für ein erhöhtes Bewusstsein für den Datenschutz sorgen.

Da die Koordinationsgruppe neu in einem formellen Bundesgesetz und nicht mehr nur in einer Verordnung geregelt ist, wurde die Geschäftsordnung formell angepasst.

Eine Unterarbeitsgruppe erarbeitet aktuell ein Muster für die Aktualisierung der Webseiten der kantonalen Datenschutzbehörden. Dieses soll es ihnen erleichtern, auf ihren Webseiten Informationen zu Schengen aufzuführen, in denen betroffene Personen auch auf Ihre Rechte hingewiesen werden.

SCHENGEN

Tätigkeiten auf nationaler Ebene

Die Kontrolle bei fedpol als zentraler Zugangsstelle des zentralen Visa-Informationssystems (C-VIS) wurde weitergeführt und eine Logfiles-Kontrolle beim Grenzwachtkorps begonnen.

Der EDÖB hat seine im Vorjahr eröffnete Kontrolle bei fedpol als zentraler Zugangsstelle des C-VIS betreffend die Abfrage von Schengen-Visa-Daten zum Zweck der Verhütung, Aufdeckung oder Ermittlung terroristischer und sonstiger schwerwiegender Straftaten weitergeführt, aber aufgrund der neueröffneten Untersuchung Xplain (s. Kap. 1.2) zwischenzeitlich sistieren müssen.

  1. Tätigkeitsbericht 2023/24

55

Datenschutz

INTERNATIONALES TREFFEN

Im Berichtsjahr hat der EDÖB zudem eine VIS-Logfiles-Kontrolle beim Grenzwachtkorps begonnen, die darauf gerichtet ist, die Rechtmässigkeit der getätigten Zugriffe zu prüfen. Zur Durchführung hat der EDÖB beim Datenschutzberater des Staatssekretariats für Migration SEM stichprobenmässig die erstellten Zugriffsprotokolle (sog. Logfiles) eines definierten Zeitraums von zugriffsberechtigten Mitarbeiterinnen und Mitarbeitern des Grenzwachtkorps herausverlangt und analysiert. Mit den Zugriffsberechtigten wurden verschiedene Interviews durchgeführt, in welchen diese dem EDÖB die Rechtmässigkeit einzelner Anfragen erläutern und belegen sollten.

Die Schengen-Mitgliedstaaten sind verantwortlich, dass eine gemäss Verordnung (EU) 2016/679 eingerichtete nationale Kontrollstelle die Rechtmässigkeit der Verarbeitung personenbezogener Daten kontrolliert. Nach Verordnung (EG) Nr. 767/2008 haben sie nach Massgabe ihres innerstaatlichen Rechts dafür zu sorgen, dass Übermittlungen aus dem C-VIS protokolliert werden und dass diese Protokolle den nationalen Datenschutzbehörden auf Anfrage zur Verfügung gestellt werden. In der Schweiz ist das SEM die dafür zuständige Stelle.

Französischsprachige Vereinigung der Datenschutzbehörden

Die Mitglieder der französischsprachigen Vereinigung der Datenschutzbehörden (AFAPDP), darunter der EDÖB, trafen sich am 2. und 3. Oktober 2023 in Tanger. Am französischsprachigen Treffen über den Schutz personenbezogener Daten nahmen Behörden aus 26 Ländern Teil, die durch eine gemeinsame Sprache, eine gemeinsame juristische Tradition und gemeinsame Werte verbunden sind.

Im Mittelpunkt der zweitägigen Zusammenkunft stand dieses Jahr das Data Scraping (Abschöpfen von Daten). Dieses automatisierte Auslesen personenbezogener Daten aus dem Internet bringt eine Reihe von Risiken mit sich und ermöglicht unter anderem gezielte Cyberattacken, Identitätsdiebstahl, Profiling, Spams oder auch unerlaubtes

Direktmarketing. Das Kommissariat für den Schutz der Privatsphäre Kanadas, die Nationale Aufsichtskommission für personenbezogene Daten Marokkos (CNPD) und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte legten eine Stellungnahme vor, die im vergangenen August zusammen mit elf weiteren Datenschutzbehörden als gemeinsame Erklärung veröffentlicht wurde und Social Media Unternehmen sowie Webseitenbetreibern eine Reihe von Massnahmen empfiehlt.

Während des Informationsaustauschs über Neuerungen und Aktuelles auf dem Gebiet der Gesetzgebung über personenbezogene Daten im französischsprachigen Raum konnte der EDÖB das neue DSG vorstellen. Anlässlich der 14. Generalversammlung wurden der Tätigkeitsbericht und der Finanzbericht geprüft und verabschiedet. Ausserdem nahm die Vereinigung die Datenschutzbehörden Georgiens, Mauretaniens sowie des Kosovos auf, wodurch sich ihre Mitgliederzahl auf 26 erhöhte. Die betreffenden Länder sind in der «Organisation internationale de la Francophonie» vertreten.

56

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

INTERNATIONALE ZUSAMMENARBEIT

Privacy Symposium in Venedig

Der EDÖB nahm am Privacy Symposium teil. Diese internationale Konferenz fördert den Dialog, die Zusammenarbeit und die Konvergenz zwischen Expertinnen und Experten, Forschenden und Datenschutzbehörden weltweit. 2023 fand das Symposium vom 17. bis 21. April in Venedig unter der Schirmherrschaft der italienischen Datenschutzbehörde (Garante) statt.

Das Privacy Symposium diente dem Austausch über neueste Entwicklungen und Perspektiven im Bereich des Datenschutzes und des Schutzes der Privatsphäre. Die Università Ca’Foscari empfing über 200 ausgewiesene Fachpersonen zu mehr als 80 Panels über diverse aktuelle Themen wie internationale Zusammenarbeit, Datenschutzkonformität technologischer Lösungen, sozio-ökonomische Perspektiven, Forschung und Innovation.

Der Eröffnungstag war dem Übereinkommen des Europarats zum Schutz des Menschen bei der Verarbeitung personenbezogener Daten (Übereinkommen 108) gewidmet. In verschiedenen Sitzungen und Workshops wurde über die zukünftigen Auswirkungen des Änderungsprotokolls zur

Modernisierung des Übereinkommens (Übereinkommen 108+) beraten. Dabei geht es um die Stärkung des Datenschutzes weltweit und um die Erleichterung des grenzüberschreitenden Datenverkehrs.

Der EDÖB nutzte den Anlass, um das neue Datenschutzgesetz vorzustellen, seine Rolle in Bezug auf das Übereinkommen 108 zu erläutern und die Zusammenarbeit unter den europäischen Aufsichtsbehörden, die nicht Mitglied des EDSA sind, zu fördern. Der EDÖB hatte auch Gelegenheit, mit Amtskolleginnen und Amtskollegen aus Italien (Garante) und Deutschland (BfDI) sowie mit dem Europäischen Datenschutzbeauftragten (EDSB) informelle Gespräche über Themen wie ChatGPT, Cloud Computing und Datenübermittlung ins Ausland zu führen.

GLOBALE FRAGESTELLUNGEN

Internationale Konferenz der Datenschutzbeauftragten

Im Mittelpunkt der Internationalen Konferenz der Datenschutzbeauftragten (Global Privacy Assembly, GPA) standen die neuen Technologien und deren Auswirkungen auf die Privatsphäre. An ihrer 45. Jahrestagung verabschiedete die GPA sieben Resolutionen, wovon zwei die künstliche Intelligenz betrafen.

Die 45. Tagung der 1979 ins Leben gerufenen Internationalen Konferenz der Datenschutzbeauftragten fand vom 15. bis 20. Oktober 2023 in Hamilton (Bermudas) statt. Ziel der Global Privacy Assembly ist es, sich mit den wichtigsten Anliegen im Bereich des Schutzes der Privatsphäre auseinanderzusetzen und zu überlegen, wie Regulierungsbehörden in einer zunehmend datengetriebenen Welt sowohl individuell als auch gemeinsam für einen besseren Schutz der Privatsphäre sorgen können. Der EDÖB ist Mitglied der GPA.

Die diesjährige Tagung war hauptsächlich den Auswirkungen von Technologien – etwa künstliche Intelligenz (KI) und generative KI – auf die Privatsphäre gewidmet.

  1. Tätigkeitsbericht 2023/24

57

Datenschutz

Dazu wurden zwei Resolutionen verabschiedet:

  • Die Resolution über Systeme der generativen künstlichen Intelligenz appelliert an die Notwendigkeit, bei der Entwicklung, Nutzung und Einführung von KI-Systemen die Grundprinzipien des Datenschutzes einzuhalten.
  • Die Resolution über künstliche Intelligenz im Arbeitsbereich unterstreicht die Bedeutung der Grundsätze und Garantien des Datenschutzes im Zusammenhang mit der Entwicklung und Nutzung von KI-Systemen im Arbeitsverhältnis (einschliesslich der Rekrutierung).

An ihrer Tagung verabschiedete die GPA zudem die fünf nachstehenden Resolutionen:

  • Resolution über die weltweiten Datenschutzgrundsätze, um die 2009 in Madrid von der GPA verabschiedeten Grundsätze im Lichte der neuesten technologischen Entwicklungen zu aktualisieren. Die Resolution berücksichtigt neue Konzepte wie beispielsweise Datenschutz durch Technik und durch datenschutzfreundliche Voreinstellungen, das Recht auf Datenportabilität und

Rahmenbedingungen für das Profiling und für automatisierte Entscheidungen;

  • Resolution über die Einrichtung einer Ressourcenbibliothek zu den wichtigsten Grundsätzen des Datenschutzes;
  • Resolution über die Schaffung einer Arbeitsgruppe über einen genderübergreifenden Ansatz beim Datenschutz;
  • Resolution über Gesundheitsdaten und wissenschaftliche Forschung;
  • Resolution über die Verleihung eines gemeinsamen Preises für Datenschutz und Menschenrechte durch die GPA und Access Now.

Schliesslich genehmigte die GPA ihren Strategieplan 2023–2025. Dessen Hauptakzente liegen auf den Rechten der betroffenen Personen und auf dem Kapazitätsausbau der Datenschutzbehörden.

EUROPA

Europäische Konferenz der Datenschutzbeauftragten in Budapest

An der Europäischen Konferenz der Datenschutzbeauftragten wurden unter anderem neueste Entwicklungen sowie hängige Fragen bei der grenzüberschreitenden Datenbekanntgabe erörtert. Zudem diskutierten die Datenschutzbeauftragten anhand von Beispielen über die Zusammenarbeit der Datenschutzbehörden und prüften Möglichkeiten, um das Bewusstsein der breiten Öffentlichkeit für die Anliegen des Datenschutzes zu schärfen. Das Konferenzprogramm sah erstmals eine öffentliche Sitzung vor.

An der geschlossenen Sitzung befassten sich die Datenschutzbeauftragten mit vier Themen: neue Technologien, Wettbewerbsrecht, Gerichtsentscheide und beste Praktiken/Fallbeispiele auf dem Gebiet der Zusammenarbeit zwischen Ländern des EWR-Raums und Nicht-EWR-Ländern bei der Durchsetzung von Rechtsvorschriften. Das Panel zu den neuen Technologien setzte sich mit deren Auswirkungen auf unsere Gesellschaft und insbesondere auf unsere Denkweise und auf zwischenmenschliche Beziehungen auseinander. Beim Panel über das Wettbewerbsrecht wurden die Wechselwirkungen zwischen Wettbewerbsrecht und Datenschutz untersucht, um Möglichkeiten zu identifizieren, damit sich beide Rechtsgebiete gegenseitig unterstützen können. Das Panel über beste Praktiken/Fallbeispiele auf dem Gebiet der

58

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Datenschutz

Zusammenarbeit zwischen Ländern des EWR-Raums und Nicht-EWR-Ländern lieferte einen Überblick über die bisherigen Erfahrungen bei der Zusammenarbeit in Bereichen, die nicht die DSGVO betreffen. Das Panel über Gerichtsentscheide lieferte eine Bestandsaufnahme der wichtigsten Verfahren aus Strassburg und Luxemburg anhängig.

Die Frühjahrskonferenz bot dem breiten Publikum erstmals eine öffentliche Sitzung an. Die Panels waren dem Verhältnis zwischen Behörden und Delegierten, der Vernetzung und Schulung der Delegierten und ihrer Rolle innerhalb der Organisation gewidmet.

Die Mitglieder verabschiedeten drei Resolutionen:

  • Resolution über die Notwendigkeit einer engeren Zusammenarbeit in den Bereichen Datenschutz und Wettbewerbsrecht;
  • Resolution zur Akkreditierung der Datenschutzbehörde von San Marino;
  • Resolution zur Überarbeitung der Prozessordnung der Konferenz.

Die 31. Europäische Konferenz der Datenschutzbeauftragten fand vom 10. bis 12. Mai 2023 in Budapest statt. An der geschlossenen Sitzung nahmen 138 Mitglieder von Datenschutzbehörden teil. Für die öffentliche Sitzung waren über 350 Teilnehmende aus 39 Ländern angemeldet.

img-10.jpeg

  1. Tätigkeitsbericht 2023/24

59

Öffentlichkeitsprinzip

Öffentlichkeitsprinzip

2.1 Allgemein

Das Öffentlichkeitsgesetz (BGÖ) soll die Transparenz über den Auftrag, die Organisation und die Tätigkeit der Verwaltung fördern, indem es den Zugang zu amtlichen Dokumenten gewährleistet (vgl. Art. 1 BGÖ). Das Öffentlichkeitsprinzip soll das Vertrauen in Staat und Behörden fördern, indem es das Verwaltungshandeln nachvollziehbar macht und dadurch die Akzeptanz staatlichen Handelns erhöht.

Die von der Bundesverwaltung gelieferten Zahlen zu den im Jahr 2023 eingegangenen Gesuchen um Zugang zu amtlichen Dokumenten lassen erkennen, dass das Bedürfnis von Medien und Gesellschaft nach spezifischer Information und einer transparenten Verwaltung (bzw. Verwaltungstätigkeit) ungebrochen ist und zu einem neuen Höchststand an Gesuchen geführt hat. Im Berichtsjahr sind fast 50 Prozent mehr Zugangsgesuche bei den Bundesbehörden eingereicht

worden als im Vorjahr. Diese Zunahme hat sich gemäss Rückmeldung der Behörden auch im Aufwand für die Bearbeitung der Gesuche niedergeschlagen. Insgesamt zeigte sich, dass die Umsetzung des Öffentlichkeitsprinzips anspruchsvoll und herausfordernd bleibt. Aus den nachfolgenden Zahlen (s. Kap. 2.2) ist zu entnehmen, dass die in den letzten Jahren festgestellte Tendenz eines konstant hohen Anteils an Fällen, in welchen der Zugang vollständig gewährt wird, auch für das Berichtsjahr bestätigt werden kann.

Sind Gesuchstellende oder von der Zugangsgewährung betroffene Dritte mit der von der Behörde beabsichtigten

Zugangsgewährung nicht einverstanden, bietet das Öffentlichkeitsgesetz diesen die Möglichkeit, beim Beauftragten einen Antrag auf Schlichtung einzureichen. Der Beauftragte verzeichnete im Berichtsjahr 132 eingegangene Schlichtungsanträge, was im Vergleich zum Vorjahr eine leichte Zunahme von zwei Prozent bedeutet. Ziel des Schlichtungsverfahrens ist die rasche Einigung zwischen den Beteiligten. Die Durchführung von mündlichen Schlichtungsverhandlungen hat sich auch im Jahr 2023 bewährt: Die Auswertung der im Berichtsjahr abgearbeiteten Schlichtungsanträge ergibt, dass in jenen Fällen, in welchen eine Schlichtungssitzung durchgeführt werden konnte, in 55 Prozent eine einvernehmliche Lösung resultierte.

Die seit Jahren grosse Zahl an Schlichtungsanträgen und die pandemiebedingt schriftlich durchgeführten Schlichtungsverfahren führten zu einem Rückstau bei der Erledigung der Schlichtungsverfahren. Festzustellen ist gleichzeitig eine zunehmende Komplexität der Anfragen und der zu

62

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

beantwortenden juristischen Fragestellungen, wobei im Berichtsjahr besonders die Schlichtungsverfahren im Zusammenhang mit den Covid-19-Impfstoffverträgen oder der Übernahme der Credit Suisse durch die UBS hervorzuheben sind. Die genannten Faktoren hatten auch im Berichtsjahr zur Folge, dass der Beauftragte bei einem hohen Anteil der Verfahren die gesetzliche Erledigungsfrist von 30 Tagen überschritt.

Im Berichtsjahr mussten wiederum verstärkt Bestrebungen der Verwaltung festgestellt werden, Teilbereiche ihrer Tätigkeit oder bestimmte Kategorien von Dokumenten vom Öffentlichkeitsprinzip auszunehmen

(s. Kap. 2.4). In diesem Zusammenhang wird von Seiten der Verwaltung regelmässig vorgebracht, dass nur bei Ausschluss des Öffentlichkeitsgesetzes die Einhaltung gesetzlicher Melde- und Mitwirkungspflichten gewährleistet werden kann. In einem Rechtsstaat ist nach Auffassung des Beauftragten indes davon auszugehen, dass gesetzliche Auskunfts- und Meldepflichten beachtet und durchgesetzt werden. Mögliche Rechtsverletzungen von Beaufsichtigten vermögen – selbst wenn oder gerade weil sie auf das Öffentlichkeitsprinzip zurückzuführen sind – keinesfalls derartige Einschränkungen des Öffentlichkeitsgesetzes zu rechtfertigen. Die Einführung solcher Vorbehalte führt zu einer Schwächung des Öffentlichkeitsprinzips und der damit bezweckten Verwaltungstransparenz. Eine Übersicht über die spezialgesetzlichen Vorbehalte gemäss Art. 4 BGÖ finden sich in Kapitel 2.5.

  1. Tätigkeitsbericht 2023/24

63

Öffentlichkeitsprinzip

2.2 Zugangsgesuche – erhebliche Zunahme im 2023

Gemäss den Zahlen, die von den Bundesbehörden gemeldet wurden, gingen im Berichtsjahr 1701 Zugangsgesuche ein (2022 waren es 1153 Gesuche); dies entspricht einer Zunahme von 48 Prozent gegenüber 2022. Hinzu kommen 37 im Jahr 2023 bearbeitete Zugangsgesuche, welche in Vorjahren eingereicht worden sind. Dabei gewährten die Behörden insgesamt in 830 Fällen (48 Prozent) einen vollständigen Zugang (gegenüber 624 bzw. 53 Prozent im Jahr 2022), währenddem bei 402 Gesuchen (23 Prozent) ein teilweiser respektive aufgeschobener Zugang zu den Dokumenten gewährt wurde (Vorjahr: 236 Gesuche resp. 20 Prozent). In 176 Fällen (zehn Prozent) wurde die Einsichtnahme vollständig verweigert (gegenüber 99 bzw. acht Prozent im Jahr 2022). Nach Angaben der Behörden wurden 73 Zugangsgesuche zurückgezogen (vier Prozent gegenüber 53 bzw. fünf Prozent im Jahr 2022), 96 Gesuche waren Ende 2023 noch hängig, und in 161 Fällen war kein amtliches Dokument vorhanden.

Wir rechnen auch in den kommenden Jahren mit einem weiterhin grossen Interesse am Zugang zu Verwaltungsinformationen, wenngleich sich das während der Coronapandemie besonders ausgeprägte Informations- und Transparenzbedürfnis im Berichtsjahr mittlerweile weitestgehend auf andere Ereignisse des Weltgeschehens richtet. Die Behörden konnten die

Zugangsgesuche für «Corona-Dokumente» statistisch erfassen und dem Beauftragten zusammen mit den jährlich zu meldenden Angaben übermitteln (s. Statistik Zugangsgesuche zu Corona-Dokumenten). Gemäss Angaben der Bundesbehörden wiesen 39 von den insgesamt 1738 bearbeiteten Zugangsgesuchen (zwei Prozent) einen Bezug zu Corona auf, was im Vergleich zum Vorjahr (acht Prozent) erneut einen erheblichen Rückgang darstellt. Dabei zeigt sich, dass der vollständige Zugang in 12 Fällen (31 Prozent) und damit im Vergleich zur Gesamtstatistik weniger oft gewährt wurde. Während die Behörden in 17 Fällen (44 Prozent) und damit in Bezug auf Corona-Dokumente öfter den Zugang teilweise gewährt oder aufgeschoben haben, kann hinsichtlich des einen Falles der vollständigen Zugangsverweigerung (zwei Prozent) ein fünfmal tieferer Anteil im Verhältnis zur Gesamtstatistik festgestellt werden. Zwei Zugangsgesuche zu Corona-Dokumenten waren Ende

2023 noch hängig und in sieben Fällen war kein amtliches Dokument vorhanden.

Zusammenfassend stellt der Beauftragte fest, dass im Berichtsjahr erstmals seit 2015 in weniger als der Hälfte der Fälle ein vollständiger Zugang zu den Dokumenten gewährt wurde. Hingegen bewegen sich die vollständigen Zugangsverweigerungen, welche sich im Laufe der Jahre auf knapp zehn Prozent einpendelten, weiterhin stabil auf tiefem Niveau.

Departemente und Bundesämter

Einzelne Verwaltungseinheiten standen im Jahr 2023 besonders im Fokus der Medien und der Gesellschaft. Aufgabenbedingt sahen sich insbesondere das VBS (432), das UVEK (236) sowie auch das EDI (230) und das EDA (228) mit einer grossen Anzahl von Zugangsgesuchen konfrontiert. Im Fall des EDI richteten sich departementsübergreifend 15 Prozent der Gesuche auf den Zugang zu amtlichen Dokumenten mit Corona-Bezug (Vorjahr 38 Prozent). Gemäss den Behörden handelte es sich dabei teilweise um sehr umfangreiche und komplexe Gesuche. In einer Vielzahl der Fälle war laut Rückmeldungen

64

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

auch eine aufwändige verwaltungsinterne Koordination zwischen Ämtern oder Departementen notwendig.

Auf Stufe Amt zeigen die gemeldeten Zahlen, dass das BASPO mit 277 Fällen im Jahr 2023 am meisten eingegangene Zugangsgesuche meldete. Danach folgen das BAFU mit 98, das GS-EFD mit 87 und das GS-VBS mit 83 Gesuchen. 14 Behörden meldeten, dass im Berichtsjahr bei ihnen kein Zugangsgesuch eingegangen ist. Der Beauftragte selbst sah sich mit 14 Zugangsgesuchen konfrontiert, wobei er

den Zugang in zehn Fällen vollständig gewährte. In einem Fall wurde der Zugang vollständig verweigert und drei Zugangsgesuche waren Ende 2023 noch hängig.

Der 2023 für den Zugang zu amtlichen Dokumenten erhobene Gebührenbetrag beläuft sich auf insgesamt CHF 14 226 und liegt 42 Prozent unter der Vorjahressumme (CHF 24 582).

Während das EDA, das EJPD, das VBS, die Parlamentsdienste und die Bundesanwaltschaft überhaupt keine Gebühren erhoben, verrechneten die übrigen vier Departemente und die Bundeskanzlei den Gesuchstellenden einen Teil ihres Zeitaufwands (EDI: CHF 6403; WBF: CHF 4498; UVEK: CHF 1675; EFD: CHF 1500; Bundeskanzlei: CHF 150). Dazu sei vermerkt, dass lediglich bei 19 der 1738 bearbeiteten Zugangsgesuche eine Gebühr erhoben wurde. Gegenüber dem Vorjahr, in dem in 29 Fällen eine Gebühr verlangt

Grafik 1: Beurteilung Zugangsgesuche – Entwicklung seit 2010

img-11.jpeg

  1. Tätigkeitsbericht 2023/24

65

Öffentlichkeitsprinzip

img-12.jpeg

wurde, stellt dies – sowohl in Bezug auf die Anzahl Fälle, in welchen eine Gebühr erhoben wurde, wie auch bezüglich des Gesamtbetrages der Gebühren – einen deutlichen Rückgang dar. Ohnehin bleibt die Erhebung von Gebühren weiterhin die Ausnahme: Knapp 99 Prozent der Zugangsgesuche waren im Jahr 2023 gebührenfrei. Die auch im Berichtsjahr gelebte Verwaltungspraxis, wonach amtliche Dokumente grundsätzlich kostenlos eingesehen werden können, ist seit dem 1. November 2023 im Öffentlichkeitsgesetz verankert. Ausnahmsweise können weiterhin Gebühren erhoben werden, wenn ein Zugangsgesuch eine besonders aufwändige Bearbeitung durch die Behörde erfordert. Der Bundesrat hat festgelegt, dass mehr als 8 Arbeitsstunden als besonderer Aufwand gelten, wobei der Beauftragte zu bedenken gegeben hatte, dass eine zu tief angesetzte Aufwandschwelle dem Willen des Gesetzgebers nicht Rechnung trage (zur entsprechenden Änderung der Öffentlichkeitsverordnung s. Kap. 2.4).

Was den Zeitaufwand für die Bearbeitung von Zugangsgesuchen anbelangt, weist der Beauftragte darauf hin, dass die Behörden nicht verpflichtet sind, diesen zu erfassen, und dass es keine für die gesamte Bundesverwaltung geltenden gesetzlichen Vorgaben für eine einheitliche Erfassung gibt. Die ihm auf freiwilliger Basis übermittelten Angaben widerspiegeln die tatsächlich geleisteten Arbeitsstunden

66

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

daher nur bedingt. Gemäss diesen Angaben hat der Zeitaufwand für das Berichtsjahr mit 6469 Stunden im Vergleich zum Vorjahr (5404 Stunden) deutlich zugenommen.

Dass die von den Behörden gemeldeten, für die Bearbeitung der Zugangsgesuche anfallenden Aufwände nur bedingt dem tatsächlich erforderlichen Zeitaufwand entspricht, lässt sich exemplarisch an den vom BAG gemeldeten Angaben erkennen. Zusätzlich zu den von den zuständigen Facheinheiten des BAG punktuell angegebenen Aufwandzeiten von 287,5 Stunden und der juristischen Unterstützung durch seine Öffentlichkeitsberaterin im Umfang von 80 Stellenprozenten, meldete das BAG für die Bearbeitung

der Zugangsgesuche im Zusammenhang mit Covid-19 (einschliesslich Schlichtungs- und Beschwerdeverfahren) einen weiterhin hohen Aufwand, welcher mindestens 2,8 Vollzeitstellen betrug. Ähnliches dürfte für weitere Einheiten der Bundesverwaltung gelten.

Eine Abnahme ist beim gemeldeten Zeitaufwand für die Vorbereitung von Schlichtungsverfahren auszumachen: 730 Stunden gegenüber 1006 Stunden im Vorjahr (vgl. dazu im Jahr 2021:

865 Stunden; 2020: 569 Stunden; 2019: 473 Stunden; 2018: 672 Stunden und 2017: 914 Stunden).

Parlamentsdienste

Gemäss Angabe der Parlamentsdienste sind im Berichtsjahr zwei Zugangsgesuche bei ihnen eingegangen. In einem Fall wurde der Zugang vollständig verweigert und im andern Fall existierte kein amtliches Dokument.

Bundesanwaltschaft

Die Bundesanwaltschaft meldete für 2023 den Eingang von zwei Gesuchen. In einem Fall wurde der Zugang vollumfänglich gewährt, im andern existierte kein amtliches Dokument.

Grafik 2: Erhobene Gebühren seit Inkrafttreten des BGÖ

img-13.jpeg

  1. Tätigkeitsbericht 2023/24

67

Öffentlichkeitsprinzip

2.3 Schlichtungsverfahren – leichte Zunahme der Schlichtungsanträge

Im Jahr 2023 wurden beim Beauftragten 132 Schlichtungsanträge eingereicht. Verglichen mit den 2022 eingegangenen 129 Anträgen entspricht dies einer Zunahme von zwei Prozent. Die meisten Schlichtungsanträge wurden von Medienschaffenden (74) und Privatpersonen (31) eingereicht. Diese Zahlen lassen folgende Feststellungen zu: In den 739 Fällen, in denen die Bundesverwaltung den Zugang vollständig oder teilweise verweigerte, beziehungsweise aufschob oder vorbrachte, dass keine amtlichen Dokumente vorhanden sind, kam es 132-mal bzw. in 18 Prozent der Fälle zur Einreichung eines Schlichtungsantrags.

2023 konnten 142 Schlichtungsanträge erledigt werden, wovon 18 Anträge (14 Prozent) amtliche Dokumente mit einem Bezug zu Corona betrafen. Davon

waren 105 im Berichtsjahr, 34 im Vorjahr und 3 in früheren Jahren eingegangen. In 54 Fällen konnte eine Einigung erzielt werden. Ausserdem erliess der Beauftragte 47 Empfehlungen, durch welche 61 Fälle erledigt werden konnten, in denen eine einvernehmliche Lösung zwischen den Parteien nicht ersichtlich war.

Zu den abgeschlossenen Fällen zählen auch zwölf Anträge, die nicht fristgerecht eingereicht wurden, neun Fälle, in denen die Voraussetzungen für die Anwendung des Öffentlichkeitsgesetzes nicht gegeben waren, sowie sechs Schlichtungsanträge, die zurückgezogen wurden.

Per Ende Jahr war in neun Schlichtungsverfahren im Einvernehmen mit den Beteiligten resp. auf Wunsch der Antragstellenden hin eine Sistierung erfolgt.

Anteil einvernehmlicher Lösungen

Zu den vielen Vorteilen der einvernehmlichen Lösungen gehört u. a. auch, dass sie eine Klärung der Sachlage und eine Beschleunigung des Zugangsverfahrens ermöglichen und zudem die allfällige zukünftige Zusammenarbeit zwischen den an der Schlichtungssitzung Beteiligten erleichtern.

Die Wirksamkeit der Durchführung von mündlichen Schlichtungssitzungen lässt sich vor allem am Anteil der einvernehmlichen Lösungen

Grafik 3: Schlichtungsanträge seit Inkrafttreten des BGÖ

img-14.jpeg

68

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

im Verhältnis zu den Empfehlungen ablesen. Im Berichtsjahr konnten 54 einvernehmliche Lösungen erzielt werden, und der Beauftragte gab 47 Empfehlungen zur Lösung von 61 Fällen ab. Im Verhältnis zu den Empfehlungen machen die einvernehmlichen Lösungen somit einen Anteil von 47 Prozent aus. Hierzu bedarf es allerdings einiger Erläuterungen: Eine einvernehmliche Lösung kann regelmässig nur dann erreicht werden, wenn überhaupt eine Schlichtungsverhandlung durchgeführt werden kann. So konnte im Berichtsjahr in den 62 durchgeführten Schlichtungsverhandlungen in 34 Fällen (55 Prozent) eine Einigung erzielt werden. In den 58 Fällen, in denen auf die Durchführung einer Schlichtungssitzung mit physischer Anwesenheit der Beteiligten verzichtet wurde (z. B. aufgrund der grossen Anzahl der am Verfahren Beteiligten), konnte das Verfahren nur in 20 Fällen (34 Prozent) mit einer einvernehmlichen Lösung erledigt werden.

Im Ergebnis lässt sich feststellen, dass sich mündliche Schlichtungsverhandlungen nach wie vor bewähren, um zu einer einvernehmlichen Lösung zu kommen. Nach Ansicht des Beauftragten ist Dieses Vorgehens ist darum

gegenüber den schriftlichen Verfahren weiterhin zu bevorzugen und zu fördern. Die Durchführung von mündlichen Schlichtungssitzungen erweist sich für alle Verfahrensbeteiligten als vorteilhaft.

Hinweis: Sämtliche Empfehlungen aus dem Berichtsjahr sind auf der Website des Beauftragten abrufbar (www.edoeb.admin.ch).

Tabelle 1: Einvernehmliche Lösungen

202347%
2022 (Corona-Einfluss)51%
2021 (Corona-Einfluss)44%
2020 (Corona-Einfluss)34%
201961%
201855%

Dauer der Schlichtungsverfahren

Untenstehende Tabelle ist in drei von der Verfahrensdauer abhängige Spalten aufgeteilt. Der Genauigkeit halber sei hierzu festgehalten, dass der Zeitraum, während dem ein Schlichtungsverfahren auf Antrag resp. mit Einverständnis der Beteiligten sistiert ist, nicht zur Behandlungsdauer gezählt wird. Eine Sistierung des Schlichtungsverfahrens erfolgt insbesondere dann, wenn eine Behörde nach der Schlichtungssitzung ihre Position überprüfen möchte, oder wenn sie betroffene Dritte anhören muss. Wird die Schlichtungssitzung auf Antrag einer beteiligten Partei verschoben (bspw. aufgrund von Ferienabwesenheit oder Krankheit), wird die Zeitspanne zwischen dem ursprünglich vorgesehenen Termin und dem neu angesetzten Termin bzw. die daraus resultierende Verfahrensverlängerung ebenfalls nicht zur Bearbeitungsdauer gezählt.

Aus der Tabelle wird ersichtlich, dass 27 Prozent der im Jahr 2023 abgeschlossenen Schlichtungsverfahren innerhalb der ordentlichen Frist von 30 Tagen bearbeitet wurden. In 35 Prozent der Fälle dauerte das Schlichtungsverfahren zwischen 31 und 99 Tagen und in 38 Prozent 100 Tage oder länger.

  1. Tätigkeitsbericht 2023/24

69

Öffentlichkeitsprinzip

Hierzu ist anzumerken, dass von den 39 fristgerecht erledigten Schlichtungsanträgen das Schlichtungsverfahren nur in 15 Fällen (38 Prozent) durch eine Einigung oder Empfehlung erledigt wurde und dementsprechend eine materielle Auseinandersetzung mit dem Schlichtungsgegenstand stattgefunden hat. In den anderen 24 Fällen (62 Prozent) resultierte keine materielle Beurteilung in der Sache; es handelte sich dabei insbesondere um Fälle, welche offensichtlich ausserhalb des Geltungsbereichs des Öffentlichkeitsgesetzes anzusiedeln sind oder in welchen die formellen Voraussetzungen für die Eröffnung eines Schlichtungsverfahrens nicht gegeben waren.

Der Bearbeitungsrückstand aus den Vorjahren führte auch im Berichtsjahr zu einer verlängerten Verfahrensdauer. Hinzu kommt, dass die Anzahl der eingegangenen Schlichtungsanträge Schwankungen ausgesetzt ist. Während beispielsweise im April und November (je 15) sowie im März (17)

viele Anträge beim Beauftragten eingegangen sind, gingen im September nur fünf und im August gar nur zwei Anträge ein.

Die Vorgabe der gesetzlichen Frist von 30 Tagen für die Durchführung von Schlichtungsverfahren konnte vor der Pandemie regelmässig eingehalten werden, wenn die Schlichtungssitzungen erfolgreich mit einer Einigung abgeschlossen werden konnten. Auch wenn dies für das Berichtsjahr nicht gilt, kann im Verhältnis zum Vorjahr eine leicht höhere Quote festgestellt werden: im Falle der Erledigung des Verfahrens durch eine Einigung konnte die 30-tägige Frist in 35 Prozent der Fälle eingehalten werden (gegenüber 29 Prozent im Vorjahr). Die Ursache

dafür ist namentlich darin zu erkennen, dass aufgrund der für die Bearbeitung der Schlichtungsanträge zur Verfügung stehenden personellen Ressourcen und des Bearbeitungsrückstands die Schlichtungssitzung in 83 Prozent der Fälle so angesetzt werden musste, dass die Frist bereits zum Zeitpunkt des Sitzungstermins abgelaufen war. Hatte der Beauftragte mangels einvernehmlicher Lösung eine Empfehlung auszusprechen, konnte er den Beteiligten die schriftliche Empfehlung sogar nur in einem Fall innert 30 Tagen nach Eingang des Antrags und damit innert gesetzlicher Frist zustellen.

Häufige Gründe für eine Fristüberschreitung waren ausserdem ausserordentlich umfangreiche Zugangsbegehren, eine grosse Zahl der am Verfahren beteiligten Drittpersonen oder die juristische Komplexität der Fragestellung. Diese Gründe treffen auch auf jene 54 Fälle zu, deren Bearbeitung 100 Tage oder mehr in Anspruch nahm. Dazu zählen beispielsweise die Schlichtungsverfahren im Zusammenhang mit den Covid-19-Impfstoffverträgen oder der Übernahme der Credit Suisse durch

Tabelle 2: Bearbeitungsdauer Schlichtungsverfahren

Bearbeitungsdauer in TagenZeitraum 2014 – August 2016*Pilotphase 2017Zeitraum 2018Zeitraum 2019Zeitraum 2020Zeitraum 2021Zeitraum 2022Zeitraum 2023
innert 30 Tagen11%59%50%57%43%42%25%27%
zwischen 31 und 99 Tagen45%37%50%38%30%51%42%35%
mehr als 100 Tage44%4%0%5%27%7%33%38%
  • Quelle: Präsentation des Beauftragten, Veranstaltung zum 10. Jahrestag des BGÖ, 2. September 2016

70

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

die UBS (vgl. dazu die Empfehlungen des Beauftragten vom 23. November 2023 und vom 27. November 2023). Weil die Bearbeitung in solchen Fällen oft besonders aufwändig ist, steht es dem Beauftragten gemäss Artikel 12a der Verordnung über das Öffentlichkeitsprinzip der Verwaltung (VBGÖ; SR 152.31) frei, die ordentliche Frist angemessen zu verlängern.

Positiv hervorgehoben werden kann, dass im Gegensatz zu den beiden Vorjahren im 2023 mehr Schlichtungsanträge erledigt wurden (142) als eingegangen sind (132).

Anzahl hängiger Fälle

Die unten aufgeführten Angaben geben Auskunft über die Anzahl Fälle, die am Ende der jeweiligen Berichtsjahre hängig waren. Anfang Januar

2024 waren 31 Schlichtungsverfahren hängig, wovon neun sistiert sind (je eines aus den Jahren 2019 und 2021, zwei aus dem Jahr 2022 und fünf aus dem Berichtsjahr). Siebzehn Fälle konnten bis zum Redaktionsschluss des vorliegenden Berichts abgeschlossen werden.

Tabelle 3: Hängige Schlichtungsverfahren

Ende 202331 (davon 17 bis zum Redaktionsschluss erledigt und 9 sistiert)
Ende 202241 (davon 16 bis zum Redaktionsschluss erledigt und 13 sistiert)
Ende 202127 (davon 14 bis zum Redaktionsschluss erledigt und 8 sistiert)
Ende 202017 (davon 9 bis zum Redaktionsschluss erledigt und 8 sistiert)
Ende 201943 (davon 40 bis zum Redaktionsschluss erledigt und 3 sistiert)
Ende 201815 (davon 13 im Februar 2019 erledigt und 2 sistiert)
  1. Tätigkeitsbericht 2023/24

71

Öffentlichkeitsprinzip

2.4 Gesetzgebungsverfahren

FINANZEN

Überführung der CS-Notverordnung ins Bankengesetz

Die Übernahme der Credit Suisse durch die UBS erfolgte gestützt auf bundesrätliches Notrecht, das die diesbezüglichen amtlichen Dokumente vom Zugang nach dem Öffentlichkeitsgesetz ausschloss. Im nachfolgenden ordentlichen Gesetzgebungsverfahren hat sich der Beauftragte gegen die Aufnahme einer entsprechenden Regelung ausgesprochen.

Angesichts der heftigen Marktturbulenzen, mit denen die Credit Suisse kämpfte, hat der Bundesrat am 16. März 2023 direkt gestützt auf die Bundesverfassung die befristete Verordnung über zusätzliche Liquiditätshilfe-Darlehen und die Gewährung von Ausfallgarantien des Bundes für Liquiditätshilfe-Darlehen der Schweizerischen Nationalbank SNB an systemrelevante Banken erlassen. Auf dieser Grundlage verabschiedete er ein Massnahmenpaket zur Stabilisierung der schweizerischen Volkswirtschaft, das die Übernahme der Credit Suisse durch die UBS ermöglichte und Garantien des Bundes und der Nationalbank in Höhe von insgesamt 209 Milliarden Franken

beinhaltete. Das Zugangsrecht der Bevölkerung nach dem Öffentlichkeitsgesetz zu Informationen und Daten im Zusammenhang mit dem Vollzug dieser Notverordnung wurde gemäss derselben ausgeschlossen. In den Erläuterungen wurde dazu festgehalten, dass es sich bei der erwähnten Bestimmung um eine dem BGÖ vorgehende Spezialbestimmung handelt.

Im Vernehmlassungsentwurf zur Änderung des Bankengesetzes hat das Staatssekretariat für internationale Finanzfragen SIF mit der Überführung des Notpaketes in ein ordentliches Bundesgesetz die Weitergeltung des Ausschlusses des Öffentlichkeitsgesetzes vorgeschlagen. Das SIF begründete die Weitergeltung damit, dass die zur Verfügung gestellten Informationen und Daten sensibler Natur seien und regelmässig Geschäfts- oder Fabrikationsgeheimnisse im Sinne des Öffentlichkeitsgesetzes enthalten dürften. Ausserdem sollte der Ausschluss des Öffentlichkeitsgesetzes nach Auffassung des SIF sicherstellen, dass die zuständigen Verwaltungseinheiten von den betroffenen Finanzinstitutionen alle relevanten Informationen für den Vollzug der Verordnung vollständig und zeitnah erhalten. Mit identischer Begründung beabsichtigte das SIF die Einführung eines weiteren Ausschlusses des Öffentlichkeitsgesetzes für Informationen im Zusammenhang mit der Gewährung von Ausfallgarantien bei Transaktionen nach dem Fusionsgesetz.

Der Beauftragte wandte sich gegen alle vorgeschlagenen Einschränkungen des BGÖ und gab nebst intertemporalrechtlichen Einwänden zu bedenken, dass das Öffentlichkeitsgesetz weiter in seiner Substanz ausgehöhlt würde, wenn der Bevölkerung der Zugang zu Dokumenten im Bereich der Finanzhilfen erneut generell verwehrt würde, nachdem dies bereits im Falle des Covid-19-Solidarbürgschaftsgesetzes (s. 28. TB, Kap. 2.4) und dem Rettungsschirm für die Elektrizitätswirtschaft (s. 30. TB, Kap. 2.4) geschehen war.

In der Vernehmlassungsvorlage hat der Bundesrat die beiden Einschränkungen, wie vom EDÖB gefordert, gestrichen. Im Entwurf für die Änderung des Bankengesetzes, welcher zurzeit von den zuständigen Kommissionen des eidgenössischen Parlaments beraten wird, sind die beanstandeten Ausnahmen vom Öffentlichkeitsprinzip nicht mehr enthalten.

Detailliertere Ausführungen zum Ausschluss des Zugangsrechts nach dem Öffentlichkeitsgesetz durch die Notverordnung finden sich in den Empfehlungen des EDÖB vom 27. November 2023.

72

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

ARCHIVIERUNG

Teilrevision Archivierungsverordnung

Die Koordination von Archivierungsgesetz und Öffentlichkeitsgesetz und die damit verbundene Frage, welcher der beiden Erlasse bei Zugangsgesuchen zu archivierten Dokumenten nach dem Öffentlichkeitsgesetz anzuwenden ist, sollte nach Auffassung des Bundesarchivs auf Verordnungsstufe geregelt werden. Demgegenüber fordert der EDÖB eine Anpassung des Archivierungsgesetzes.

Bereits im Jahr 2022 hatte der Beauftragte in der Ämterkonsultation zum Aussprachepapier betreffend die Notwendigkeit einer Revision des Archivierungsgesetzes dargelegt, dass die Koordination von Archivierungs- und Öffentlichkeitsgesetz und die damit verbundene Frage, welcher der beiden Erlasse bei Zugangsgesuchen zu archivierten Dokumenten nach dem Öffentlichkeitsgesetz während der Schutzfrist anzuwenden ist, weitreichende praktische Konsequenzen hat. Wir forderten deshalb, dass die Koordination der beiden Bundesgesetze auf Gesetzesstufe zu regeln sei (s. 30. TB, Kap. 2.4). Das Bundesarchiv hat dieses Anliegen zunächst als verfrüht verworfen. Später hat der Bundesrat in Kenntnis der entgegenstehenden Einschätzung des Beauftragten entschieden, dass die Koordination durch eine Anpassung der Archivierungsverordnung erfolgen soll.

Die vom Bundesarchiv erarbeitete Regelung sah die Einführung des Prinzips der «Anwendung des vorteilhafteren Gesetzes» vor, nach welchem bei der Gesuchsprüfung das für den jeweiligen Fall günstigere Zugangsregime (nach Archivierungs- oder Öffentlichkeitsgesetz) angewendet würde. Nach Auffassung des Bundesarchivs hätte diese Koordinationsregelung in der Archivierungsverordnung verankert werden sollen.

Der Beauftragte wies in der Vorkonsultation darauf hin, dass die Beurteilung eines Gesuchs und die Feststellung der für den konkreten Fall vorteilhafteren Rechtsgrundlage bisweilen schwierig bis unmöglich ist. Die formellen und materiellen Vorgaben von Öffentlichkeits- und Archivierungsgesetz weisen bedeutende Unterschiede auf, weswegen ein Vergleich mit erheblichen Schwierigkeiten verbunden sein dürfte. Der Vorentwurf liess zudem offen, ob die gesuchstellende Person oder die Behörde darüber entscheidet, welches Gesetz vorteilhafter ist und nach welchem Recht sich das Verfahren bis zu diesem Entscheid richtet. Schliesslich wies der Wortlaut der vorgeschlagenen Bestimmung auf eine lediglich alternative Anwendung der beiden Erlasse

hin, indem ein Gesuch ausschliesslich nach dem Öffentlichkeits- oder dem Archivierungsgesetz beurteilt würde, woraus mutmasslich eine Einschränkung eines der beiden Gesetze resultierte.

Der Beauftragte stellte in Frage, ob einer gesuchstellenden Person gestützt auf eine Verordnungsbestimmung verweigert werden kann, einen ablehnenden Entscheid der Behörde sowohl nach dem Öffentlichkeitsgesetz wie auch nach dem Archivierungsgesetz parallel (im entsprechenden Rechtsmittelverfahren) überprüfen zu lassen. Abschliessend gelangte er zur Ansicht, dass die vom Bundesarchiv vorgeschlagene Verordnungsbestimmung in der Praxis nicht umsetzbar wäre und eine Koordination von Archivierungs- und Öffentlichkeitsgesetz auf Gesetzesstufe nicht zu ersetzen vermöchte.

Im tatsächlich in die Ämterkonsultation geschickten Entwurf für eine Teilrevision der Archivierungsverordnung hat das Bundesarchiv dann auf eine Regelung der Koordination gänzlich verzichtet. Stattdessen sollen in Fortführung der heutigen Praxis Erfahrungswerte zu deren Praktikabilität und Aufwand gesammelt werden. Das Bundesarchiv begründete diesen Entscheid mit den Rückmeldungen unter anderem jener des Beauftragten.

Dies, obwohl wir in der Ämterkonsultation erklärten, dass die Fortführung der heutigen Praxis nicht als geeignete Koordinationslösung betrachtet werden kann, weil sie eine Vielzahl nicht geklärter Aspekte formeller und materieller Art offenbart.

  1. Tätigkeitsbericht 2023/24

73

Öffentlichkeitsprinzip

FINANZKRIMINALITÄT

Neues Bundesgesetz über die Transparenz von juristischen Personen

Mit einem Gesetz über die Transparenz von juristischen Personen soll ein zentrales Register zur Identifikation der effektiv an juristischen Personen wirtschaftlich Berechtigten geschaffen werden. Trotz Intervention des EDÖB sieht der Gesetzesentwurf einen Ausschluss des Öffentlichkeitsgesetzes vor. Am 30. August 2023 eröffnete der Bundesrat die Vernehmlassung für das neue Bundesgesetz über die Transparenz juristischer Personen und die Identifikation der wirtschaftlich berechtigten Personen (TJPG). Dieses sieht die Schaffung eines Eidgenössischen Registers mit aktuellen Informationen zu wirtschaftlich berechtigten Personen der erfassten Rechtseinheiten vor, wodurch das Dispositiv zur Bekämpfung

von Geldwäscherei, Terrorismusfinanzierung und Wirtschaftskriminalität weiter gestärkt werden soll.

Der Vorentwurf des Staatssekretariats für internationale Finanzfragen SIF regelt, welche Behörden und Personen Zugang zu dem neuen Register der wirtschaftlich berechtigten Personen haben. Im erläuternden Bericht erklärt das SIF, dass (nicht aufgeführte) Dritte hingegen keinen Zugang zu den Informationen haben dürfen, weil eine weitere Öffnung des Registers angesichts des begrenzten öffentlichen Interesses einen unverhältnismässigen Eingriff in das verfassungsmässige Recht auf Privatsphäre und Schutz von Personendaten vor missbräuchlicher Verwendung darstellt. Der ursprüngliche erläuternde Bericht hält dazu ergänzend fest, dass die Zugangsregeln Spezialbestimmungen im Sinne von Art. 4 Bst. b des Öffentlichkeitsgesetzes darstellen. Solche spezialgesetzlichen Vorbehalte haben zur Folge, dass das Öffentlichkeitsgesetz für den Zugang zu diesen Informationen nicht anwendbar ist.

Der Beauftragte vertrat in der Konsultation den Standpunkt, dass die erwähnten Bestimmungen keine spezialgesetzlichen Vorbehalte darstellen. Regelungsgegenstand sei vielmehr das Zugangsrecht zum Register resp. die damit verbundene Datenbekanntgabe und folglich nichts anderes als die Schaffung einer gesetzlichen Grund-

lage für die Bekanntgabe von Daten im Sinne von 36 DSG/Art. 57r RVOG. Daran vermag nach Auffassung des Beauftragten auch ein entsprechender Hinweis in den Erläuterungen nichts zu ändern. Unabhängig davon erkennt der Beauftragte keine Notwendigkeit, die Daten des Registers generell und voraussetzungslos der Verwaltungsöffentlichkeit nach dem Öffentlichkeitsgesetz zu entziehen, zumal die dort verankerten Ausnahmebestimmungen einen umfassenden Schutz der privaten Interessen der Betroffenen explizit gewährleisten.

Im erläuternden Bericht zur Vernehmlassungsvorlage wurde die Formulierung, wonach die Zugangsregeln Spezialbestimmungen gemäss Art. 4 BGÖ darstellen, schliesslich zwar fallen gelassen. Zum Bedauern des EDÖB hat der Bundesrat aber dann im Nachgang an das durchgeführte Vernehmlassungsverfahren den Gesetzesentwurf mit einem expliziten Ausschluss des Öffentlichkeitsgesetzes ergänzt, wonach dieses nicht anwendbar ist auf Daten aus dem Transparenzregister, die sich auf natürliche und juristische Personen beziehen. (s. auch Kap. 1.3)

74

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

GEBÜHRENREGELUNG

Kostenlosigkeit als Grundsatz – Gebühren bei besonderem Aufwand

Das Parlament hat den Grundsatz des gebührenfreien Zugangs zu amtlichen Dokumenten beschlossen und festgelegt, dass Gebühren nur erhoben werden können, wenn ein Zugangsgesuch eine besonders aufwändige Bearbeitung durch die Behörde erfordert. Der Bundesrat erachtet mehr als acht Arbeitsstunden als besonderen Aufwand. Der Beauftragte hatte sich für eine höhere Schwelle zur Auslösung der Gebührenpflicht ausgesprochen.

Im September 2022 hatte das Parlament beschlossen, dass anstelle der bisherigen grundsätzlichen Gebührenerhebung neu der Grundsatz des kostenlosen Zugangs zu amtlichen Dokumenten gelten soll. Ausnahmeweise können Gebühren erhoben werden, wenn ein Zugangsgesuch eine besonders aufwändige Bearbeitung durch die Behörde erfordert. Der Gesetzgeber beauftragte den Bundesrat, in der Öffentlichkeitsverordnung zu regeln, ab welcher Anzahl Arbeitsstunden für die Bearbeitung eines Zugangsgesuchs ein besonderer Aufwand erforderlich ist und deshalb eine Gebühr in Betracht gezogen werden kann. Ausserdem sollte der Bundesrat den Stundenansatz für die Arbeitszeit über dem Schwellenwert, ab welchem eine Gebühr in Rechnung gestellt werden kann, festlegen. Auf diese Weise

soll die ausnahmsweise Gebührenerhebung an ein objektives Kriterium – nämlich die investierte Bearbeitungszeit – gebunden und eine unterschiedliche Gebührenpraxis in der Bundesverwaltung verhindert werden.

In einer Vorkonsultation in der Interdepartementalen Arbeitsgruppe Transparency und in der darauffolgenden Ämterkonsultation zur Änderung der Öffentlichkeitsverordnung schlug das BJ – nebst redaktionellen Änderungen – eine Aufwandschwelle von 30 Arbeitsstunden als besonders aufwändige Bearbeitung vor. Der Beauftragte wies darauf hin, dass der Gesetzgeber mit dem Grundsatz des kostenlosen Zugangs Gebührenstreitigkeiten minimieren und die kostenlose Verwaltungsöffentlichkeit favorisieren wolle und die Gesetzesänderung als entscheidenden Schritt zur Stärkung des Öffentlichkeitsprinzips betrachte. Die Aufwandschwelle von 30 Stunden erachtete der Beauftragte als vertretbar. Bezugnehmend auf allfällige Forderungen nach einer tieferen Aufwandschwelle betonte er, dass jede Lösung

des Bundesrates den Willen des Gesetzgebers umzusetzen hat und Senkungen der Gebührenpflicht demzufolge nicht zu einer ansteigenden Belastung für gesuchstellende Personen, Behörden und Gerichte und damit zu einer Verkehrung der Revision in ihr Gegenteil führen dürfen.

Nach Eingang der Stellungnahmen in der Ämterkonsultation senkte das BJ die Schwelle des Arbeitsaufwandes von 30 auf 20 Stunden. Der Beauftragte gab in einer weiteren Stellungnahme zu bedenken, dass diese Senkung der Aufwandschwelle seiner Ansicht nach dem Willen des Gesetzgebers nicht Rechnung trage.

Im September 2023 entschied der Bundesrat, die Schwelle zur Gebührenpflicht sogar auf 8 Arbeitsstunden zu senken. Ab dieser Schwelle können demnach zugangsgesuchstellenden Personen 100 Franken pro Arbeitsstunde in Rechnung gestellt werden. Fällt eine Gebühr an, muss die Gesuchstellerin oder der Gesuchsteller vorgängig informiert werden.

Bei einem Zugangsgesuch von Medienschaffenden wird die Gebühr um 50 Prozent reduziert. Gleichzeitig hat der Bundesrat beschlossen, dass die Behörden dem Beauftragten jährlich nicht nur den Gesamtbetrag der für den Zugang zu amtlichen Dokumenten verlangten Gebühren melden müssen, sondern auch die Anzahl Fälle, in denen eine Gebühr erhoben wurde. Die neue Regelung wurde auf den 1. November 2023 in Kraft gesetzt.

  1. Tätigkeitsbericht 2023/24

75

Öffentlichkeitsprinzip

BERICHT DER GPK-S

Stellungnahme des Bundesrates

Die Geschäftsprüfungskommission des Ständerates (GPK-S) hält in ihrem Untersuchungsbericht über nicht auffindbare E-Mails im Generalsekretariat des Eidgenössischen Departements des Innern (GS-EDI) fest, dass die Vorgaben in Sachen Ablage und Archivierung von Dokumenten in der Bundesverwaltung nicht einheitlich sind und einer Klärung bedürfen. Die Kommission gelangt auch zum Schluss, dass das Einsichtsrecht des Beauftragten zu stärken ist. Aus ihrer Sicht sollte der Bundesrat die Möglichkeit prüfen, dem Beauftragten im Öffentlichkeitsgesetz ein Interventions- oder Verfügungsrecht einzuräumen für den Fall, dass sein Einsichtsrecht nicht respektiert wird. Der Bundesrat lehnt ein solches Verfügungsrecht ab, ist aber bereit, mögliche Interventionsrechte zu prüfen.

In einem Zeitungsartikel vom 14. Juni 2022 wurde darüber berichtet, dass im Zusammenhang mit der versuchten Erpressung von Bundesrat Alain Berset verschiedene E-Mails im Generalsekretariat des EDI (GS-EDI) nicht mehr auffindbar gewesen bzw. gelöscht worden seien und dass dieser Sachverhalt Gegenstand eines Schlichtungsverfahrens beim Beauftragten sei. Die Geschäftsprüfungskommission des Ständerates (GPK-S) beauftragte ihre Subkommission EJPD/BK in genereller

Weise und im konkreten Fall abzuklären, welche Vorgaben zur Aufbewahrung und Archivierung von Unterlagen in der Bundesverwaltung existieren und welche Dokumente in Anwendung des Öffentlichkeitsgesetzes zugänglich gemacht werden müssen.

In ihrem Untersuchungsbericht («Archivierung und Ablage von Dokumenten sowie Verfahren bei Zugangsgesuchen nach BGÖ: allgemeine Abklärungen zu den Vorgaben und im Kontext des Vorwurfes von nicht auffindbaren E-Mails im GS-EDI») setzt sich die GPK-S vorab mit den gesetzlichen Grundlagen der Aufbewahrung, Ablage und Archivierung von Unterlagen (insbesondere Archivgesetz) und zum Zugang zu amtlichen Dokumenten (Öffentlichkeitsgesetz) auseinander. Sie stellt hierzu fest, dass die gesetzlichen Grundlagen sich nicht nur in Bezug auf die Begrifflichkeiten, sondern auch hinsichtlich Zielsetzung, Regelungsgegenstand und Geltungsbereich unterscheiden und daher einer Klärung bedürfen.

In Bezug auf den konkreten Fall führt die Kommission aus, dass nicht abschliessend geklärt werden konnte, ob und in welchem Umfang die nicht

auffindbaren E-Mails existiert haben und ob ein Teil davon allenfalls vernichtet worden sei. Es sei aber davon auszugehen, dass die fraglichen E-Mails nicht nur privater Natur gewesen seien und die Geschäftsrelevanz zu bejahen sein dürfte.

Die GPK-S stellt in ihrem Bericht klar, dass die Aufbewahrung und Archivierung von Unterlagen sowie die Gewährleistung des Zugangs zu amtlichen Dokumenten der Bundesverwaltung für die Nachvollziehbarkeit und die Transparenz des Verwaltungshandelns zentral ist. Weiter hält die GPK-S fest, dass das GS-EDI durch seine Weigerung, dem Beauftragten im Schlichtungsverfahren die Einsicht in Dokumente zu gewähren, seine rechtlichen Verpflichtungen nach Öffentlichkeitsgesetz nicht nachgekommen ist. Die Kommission hebt im Bericht hervor, dass im Schlichtungsverfahren nach Öffentlichkeitsgesetz das Einsichtsrecht des Beauftragten zentral ist, um beurteilen zu können, ob Unterlagen oder E-Mails als amtliche Dokumente gelten. Wird seitens der Behörden die Einsichtnahme verweigert, kann der Beauftragte seinen gesetzlichen Schlichtungsauftrag nicht richtig wahrnehmen. Daher ist es aus Sicht der Kommission notwendig, dass dem Beauftragten der Zugang zu allen Unterlagen gewährt wird, damit er beurteilen kann, ob die Dokumente und Unterlagen einen amtlichen Charakter aufweisen. Die Kommission erachtet die Situation, dass dem Beauftragten in einem Schlichtungsverfahren die Einsicht in die strittigen

76

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

Dokumente verweigert wird, als nicht zufriedenstellend und bittet den Bundesrat ausdrücklich, eine Änderung des Öffentlichkeitsgesetzes zu prüfen, wonach dem Beauftragten ein Interventionsrecht oder Verfügungsrecht eingeräumt wird.

Der von der GPK-S im Oktober 2023 veröffentlichte Bericht enthält fünf Empfehlungen an den Bundesrat, von welchen drei einen direkten Bezug zum Öffentlichkeitsgesetz aufweisen:

  • In Empfehlung 1 lädt die Kommission den Bundesrat ein, zu prüfen, ob Anpassungen der gesetzlichen Vorgaben in Bezug auf das Einsichtsrecht zu Dokumenten notwendig sind, die sowohl einen Bezug zum Amt wie auch den privaten Bereich tangieren, insbesondere auch im Hinblick auf Magistratspersonen.

  • In der Empfehlung 4 wird der Bundesrat eingeladen zu prüfen, ob das Öffentlichkeitsgesetz auch auf abgeschlossene Strafverfahren anwendbar ist bzw. sein sollte und gegebenenfalls bei der nächsten Revision präzisiert werden soll.

  • In Empfehlung 5 wird der Bundesrat eingeladen, eine Änderung des Öffentlichkeitsgesetzes zu prüfen, wonach dem Beauftragten ein Interventions- oder Verfügungsrecht eingeräumt wird, wenn sein Einsichtsrecht nicht respektiert wird.

Die GPK-S ersuchte den Bundesrat um eine Stellungnahme zum Bericht. Die Ämterkonsultation zur Stellungnahme des Bundesrates zum Bericht der GPK-S führte das Bundesamt für Justiz (BJ) durch. Der entsprechende Antwortentwurf sah vor, dass der Bundesrat den Prüfaufträgen hinsichtlich der Empfehlungen 1–4 vollständig, in Bezug auf die Empfehlung 5 jedoch nur teilweise nachkommt.

Zur Empfehlung 5 wurde vorgeschlagen, dass sich der Bundesrat lediglich mit der Prüfung der Interventionsrechte des Beauftragten für den Fall, dass sein Einsichtsrecht nicht gewahrt wird, einverstanden erklärt, ein entsprechendes Verfügungsrecht wird jedoch ablehnt. Begründet wurde dies damit, dass es sich beim Schlichtungsverfahren nach Öffentlichkeitsgesetz um ein formloses, unpräjudizielles und informelles Verfahren handle und eine Verfügungskompetenz des Beauftragten daher nicht systemgemäss sei. Der Beauftragte hielt dem entgegen, dass es dem expliziten Wunsch der GPK-S entspreche, einerseits die Einräumung eines Interventionsrechts zu prüfen und andererseits im Rahmen dieser Prüfung die Frage eines spezifi-

schen Verfügungsrechts des Beauftragten mit einzubeziehen, statt durch Vorwegnahme materieller Antworten zum Vornherein auszuschliessen. Durch diese unnötige Einschränkung werde eine von der GPK-S gewünschte ergebnisoffene Prüfung nicht mehr möglich. Aus diesen Gründen beantragte der Beauftragte die voraussetzungslose Annahme der Empfehlung 5. Diesen Antrag lehnte das BJ ab und hielt an der bloss teilweisen Annahme der Empfehlung 5 durch den Bundesrat fest: Die Ergebnisse der Ämterkonsultation hätten dieses Vorgehen bestätigt, da die weiteren Teilnehmer mit dem vom BJ vorgeschlagenen Vorgehen einverstanden gewesen seien oder sogar die vollumfängliche Ablehnung der Empfehlung 5 beantragt hätten.

In seiner Stellungnahme vom 11. Januar 2024 an die GPK-S lehnt der Bundesrat die Prüfung eines Verfügungsrechts für den Beauftragten ab; die übrigen Empfehlungen der GPK-S nimmt er vollumfänglich an. Überdies hat er das EJPD beauftragt, die Empfehlungen bis Ende 2024 zu überprüfen und ihm Vorschläge zum weiteren Vorgehen zu unterbreiten.

  1. Tätigkeitsbericht 2023/24

77

Öffentlichkeitsprinzip

2.5 Spezialgesetzliche Vorbehalte nach Art. 4 BGÖ

Das Öffentlichkeitsgesetz (BGÖ) bedarf der Koordination mit Bestimmungen in Spezialgesetzen des Bundes, welche eine Sonderregelung für den Zugang zu amtlichen Dokumenten vorsehen. Nach Art. 4 BGÖ sind Bestimmungen anderer Bundesgesetze

vorbehalten, die bestimmte Informationen als geheim bezeichnen (lit. a) oder vom Öffentlichkeitsgesetz abweichende Voraussetzungen für den Zugang zu bestimmten Informationen vorsehen (lit. b), was zur Folge hat, dass die Bestimmungen des Öffentlichkeits-

gesetzes für den Zugang zu diesen Informationen nicht anwendbar sind.

Ob einer Gesetzesbestimmung Vorrang im Sinne einer Spezialbestimmung gemäss Art. 4 BGÖ zukommt, ist jeweils für den konkreten Fall durch Auslegung der betreffenden Normen zu ermitteln.

Tabelle 4: Spezialbestimmungen nach Art. 4 BGÖ

Erlass (Kurzform) und AbkürzungSR-Nr.Art./Abs.Inkraftsetzung am:
Informationssicherheitsgesetz (ISG)128Art. 4 Abs. 1bis(noch offen)
Botschaft zur Änderung des Bundesgesetzes über die Krankenversicherung (Massnahmen zur Kostendämpfung – Paket 2)832.10Art. 52c Abs. 1 und 2 E-KVG Art. 52d Abs. 4 E-KVG Übergangsbestimmung III, Abs. 5 E-KVGBotschaft vom 7. September 2022 Stand: Beratung im Parlament
831.20Art. 14quinquies Abs. 3 E-IVG Übergangsbestimmung E-IVG
Bundesgesetz über Subsidiäre Finanzhilfen zur Rettung systemkritischer Unternehmen der Elektrizitätswirtschaft (FiREG)734.91Art. 20 Abs. 41. Oktober 2022
Bundesgesetz über das öffentliche Beschaffungswesen (BGB)172.056.1Art. 48 Abs. 1 (explizierter Zugang vorgeschrieben); Art. 11 Bst. e (gilt nur während Vergabeverfahren als Spezialbestimmung)1. Januar 2021
Covid-19-Solidarbürgschaftsgesetz (Covid-19-SBG)951.26Art. 12 Abs. 219. Dezember 2020
Bundesgesetz über die Organisation der Bahninfrastruktur (OBI) (Mantelerlass)
Eisenbahngesetz (EBG)742.101Art. 14 Abs. 21. Juli 2020
Seilbahngesetz (SebG)743.01Art. 24e1. Juli 2020
Personenbeförderungsgesetz (PBG)745.1Art. 52a1. Juli 2020
Bundesgesetz über die Binnenschifffahrt (BSG)747.201Art. 15b1. Juli 2020
Nachrichtendienstgesetz (NDG)121Art. 671. September 2017
Lebensmittelgesetz (LMG)817.0Art. 24 Spezialbestimmung gemäss Botschaft zum Bundesgesetz über Lebensmittel und Gebrauchsgegenstände vom 25. Mai 20111. Mai 2017
Bundesgesetz über die Förderung der Forschung und der Innovation (FIFO)420.1Art. 13 Abs. 4 (s. Urteil des BVGer A-6160/2018 vom 4. November 2019 E. 4)1. Januar 2014
Bankengesetz (BankG)952.0Art. 47 Abs. 11. Januar 2009 (Bst. a und b) bzw. 1. Juli 2015 (Bst. c)
Patentgesetz (PatG)232.14Art. 90 PatV, der sich auf Art. 65 Abs. 2 PatG stützt (s. Urteil des BGer 4A_249/2021 vom 10. Juni 2021)1. Juli 2008
Patentverordnung (PatV)232.141

78

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Öffentlichkeitsprinzip

Erlass (Kurzform) und AbkürzungSR-Nr.Art./Abs.Inkraftsetzung am:
Inkrafttreten des Öffentlichkeitsgesetzes1. Juli 2006
Parlamentsgesetz (ParlG)171.10Art. 47 Abs. 1 (s. Urteil des BVGer A-6108/2016 vom 28. März 2018 E. 3.1)1. Dezember 2003
Güterkontrollgesetz (GKG)946.202Art. 4 und 5 (s. Urteil des BVGer A-5133/2019 vom 24. November 2021 E. 5.3.2.4)1. Oktober 1997
Bundesgesetz über die direkte Bundessteuer (DBG)642.11Art. 110 Abs. 11. Januar 1995
Verrechnungssteuergesetz (VStG)642.21Art. 37 Abs. 11. Januar 1967
Bundesgesetz über die Stempelabgaben (StG)641.10Art. 33 Abs. 11. Juli 1974
Mehrwertsteuergesetz (MWSTG)641.20Art. 74 Abs. 1 (s. Urteil des BGer 1C_272/2022 vom 15. November 2023 E. 3.4)1. Januar 2010
Steuerharmonisierungsgesetz (STHG)642.14Art. 39 Abs. 1 Vgl. JAAC 2016.1 (p. 1-14), édition du 26 janvier 2016: Secret fiscal et accès à des documents officiels1. Januar 1993
Bundesstatistikgesetz (BstatG)431.01Art. 14 (s. Urteil des BGer 1C_50/2015 vom 2. Dezember 2015 E. 4.2 ff.)1. August 1993

(Liste nicht abschliessend)

Tabelle 5: Keine Spezialbestimmungen nach Art. 4 BGÖ

Erlass (Kurzform) und AbkürzungSR-Nr.Art./Abs.Inkraftsetzung am:
Bundesgesetz über die Produktesicherheit (PrSG)930.11Art. 10 Abs. 4 i.V.m. Art. 12 (s. Urteil des BGer 1C_299/2019 vom 7. April 2020 E. 5.5)1. Juli 2010
Revisionsaufsichtsgesetz (RAG)221.302Art. 19 Abs. 2 (s. Urteil des BGer 1C_93/2021 vom 6. Mai 2022 E. 3.6)1. September 2007
Fernmeldegesetz (FMG)784.10Art. 24f (s. Urteil des BVGer A-516/2022 vom 12. September 2023 E. 6.5)1. April 2007
Bundesgesetz über den Allgemeinen Teil des Sozialversicherungsrechts (ATSG)830.1Art. 33 (Im vorliegenden Fall keine Spezialbestimmung nach Art. 4 BGÖ: s. Urteil des BVGer A-5111/2013 vom 6. August 2014 E. 4.1 ff.; A-4962/2012 vom 22. April 2013 E. 6.1.3)1. Januar 2003
Heilmittelgesetz (HMG)812.21Art. 61 und 62 (s. Urteil des BGer 1C_562/2017 vom 2. Juli 2018 E. 3.2; Urteil des BVGer A-3621/2014 vom 2. September 2015 E. 4.4.2.3 ff.)1. Januar 2002
Bundesgesetz über die berufliche Alters-, Hinterlassenen- und Invalidenvorsorge (BVG)831.40Art. 86 (s. Urteil des BGer 1C_336/2021 vom 3. März 2022 E. 3.4.3)1. Januar 2001

(Liste nicht abschliessend)

  1. Tätigkeitsbericht 2023/24

79

Der EDÖB

Der EDÖB

3.1 Aufgaben und Ressourcen

Leistungen und Ressourcen im Bereich Datenschutz

Personalbestände

Wie im letzten Tätigkeitsbericht dargelegt worden ist, konnte der EDÖB die vom Bundesrat in seiner Botschaft zur Totalrevision des DSG vorgesehenen zusätzlichen Stellen rechtzeitig vor dessen Inkraftsetzung, die am 1. September 2023 erfolgte, rekrutieren und einarbeiten (s. 30. TB, Kap. 3.1). Der Bestand des für Belange des Datenschutzes eingesetzten Personals beläuft sich somit unverändert auf 33 Vollzeitstellen.

Tabelle 6: Für DSG-Belange einsetzbare Stellen

200522
201023
201824
201924
202027
202127
202227
202333
202433

Leistungen

Die Aufgaben des EDÖB als für die Bundesorgane und die Privatwirtschaft zuständige Datenschutzbehörde werden gemäss dem Neuen Führungsmodell Bund (NFB) den vier Leistungsgruppen Beratung, Aufsicht, Information und Gesetzgebung zugewiesen. Im Berichtsjahr vom 1.4.2023 bis 31.3.2024 wurden die beim EDÖB für den Datenschutz einsetzbaren Personalressourcen wie folgt auf diese Gruppen aufgeteilt:

Tabelle 7: Leistungen Datenschutz

Beratung Bund15,7%
Beratung Private20,8%
Zusammenarbeit mit ausl. Behörden15,9%
Zusammenarbeit mit Kantonen0,9%
Total Beratung53,3%
Aufsicht15,5%
Zertifizierung0,0%
Register Datensammlung0,2%
Total Aufsicht15,7%
Information14,4%
Ausbildung/Referate3,4%
Total Information17,8%
Gesetzgebung13,2%
Total Gesetzgebung13,2%
Total Datenschutz100,0%

Beratung

Im Leistungsbereich der Beratung sieht sich der EDÖB, aufgrund seiner gesetzlichen Verpflichtung, digitale Grossprojekte zu begleiten, mit einer konstant hohen Nachfrage konfrontiert. Die für die Beratung aufgewendeten personellen Mittel bezifferten sich im Berichtsjahr auf 53,3 Prozent, was geringfügig über dem Wert des Vorjahres (52,5) liegt. Ende der Berichtsperiode waren aufsichtsrechtliche Beratungen von zehn grossen Projekten im Gang. Vier dieser Projekte stehen im Zusammenhang mit der digitalen Transformation der Bundesverwaltung. Die Zahl der Anfragen und Anzeigen hat im Vergleich zur letzten Berichtsperiode von 4091 auf 5074 um fast 1000 zugenommen. Die drei Teams des Direktionsbereichs Datenschutz haben monatlich im Durchschnitt 51 Anfragen und Anzeigen von Bürgerinnen und Bürgern mit Standardschreiben beantwortet.

82

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Die digitale Datenbearbeitungen und der Einsatz künstlicher Intelligenz (KI) setzten sich sowohl in der Wirtschaft als auch den Bundesbehörden beschleunigt durch, womit die Anzahl von umfangreichen Datenbearbeitungsprojekten ansteigt.

Tabelle 8: Beratungen in umfangreicheren Projekten für 2023

Grundrechte1
Gesetzgebung neues DSG4
Verkehr1
Gesundheit2
Polizei und Justiz2
Total10

Aufsicht

Aufgrund der Dynamik von Cloud- und KI-gestützten Applikationen müssen Kontrollen rasch durchgeführt werden. Wegen häufiger Anpassungen von Programmen und Nutzungsbedingungen und der unerlässlichen Kombination von juristischem und technischem Fachwissen muss der EDÖB zeitliche Unterbrüche bei den Sachverhaltsabklärungen wenn immer möglich vermeiden, indem er für umfassendere Kontrollen mehrere Mitarbeitende einsetzt. In der aktuellen Berichtsperiode lag der Anteil der für Kontrollen und Aufsichtsverfahren einsetzbaren Ressourcen bei 15,7%

Prozent, was dem tiefen Mittelwert der Berichtsjahre ab 2015 entspricht. In der aktuellen Berichtsperiode wurden mit diesen Mitteln zwölf umfassendere Kontrollen bestritten.

Nachdem das zusätzlich rekrutierte Personal zunächst in erheblichem Umfang für Arbeiten zur Einführung des neuen Rechts eingesetzt wurde, soll dieses inskünftig schwerpunktmässig mit der Durchführung von Aufsichtsaufgaben betraut werden. Der Beauftragte beabsichtigt dadurch, die Kontrolldichte über die Bundesorgane und die rund 12 000 grossen und mittleren kaufmännischen Unternehmen sowie die rund 10 000 Stiftungen und Vereine der Schweiz sukzessive zu erhöhen.

Gesetzgebung

Die mit der digitalen Transformation der Bundesämter einhergehenden Anpassungen der Personendatenbearbeitungen muss im Rahmen gesetzlicher Grundlagen erfolgen. Diese Anpassungen ziehen deshalb eine Vielzahl von neuen und revidierten Bearbeitungsvorschriften im Bundesrecht

nach sich, zu denen der EDÖB in diversen Konsultationsverfahren Stellung bezieht. Im Berichtsjahr sind 297 Ämterkonsultationen bei uns eingegangen.

Information

Mit Blick auf die inzwischen erfolgte Inkraftsetzung des neuen DSG und der Vollzugsverordnung wurden aufwändige Vorbereitungsarbeiten sowie interne und externe Schulungen durchgeführt. Dennoch konnten die für die Leistungsgruppe «Information» eingesetzten Ressourcen im Berichtsjahr mit anteilmässig 17,8% gegenüber dem Vorjahr (22,2%) signifikant gesenkt werden

Teilnahme an Kommissionsberatungen und Anhörungen durch parlamentarische Kommissionen

In der Berichtsperiode hat der Beauftragte an folgenden Anhörungen und Kommissionsberatungen teilgenommen:

  • April 2023: Subkommissionen FK-S und FK N zur Rechnung 2022
  • April 2023: SPK-N zum Ausschluss des Öffentlichkeitsgesetzes durch Notrecht
  • April 2023: SPK-N zur parlamentarischen Initiative Bendahan
  1. Tätigkeitsbericht 2023/24

83

Der EDÖB

  • • April 2023: RK-N zur Auswirkung des Gesetzesvorschlags der EU-Kommission zur Chatkontrolle
  • • Mai 2023: SPK-N zum Ausschuss des Öffentlichkeitsgesetzes durch Notrecht
  • • Mai und November 2023: SPK-N zum Recht auf digitale Unversehrtheit in der Verfassung aufnehmen
  • • Mai 2023: WAK-N zum Zollgesetz
  • • Juli, Oktober und November 2023: SPK-S zum Bundesgesetz über das nationale System zur Abfrage von Adressen natürlicher Personen (Adressdienstgesetz)
  • • Oktober 2023: SPK-S zum Bundesgesetz über die Krankenversicherung. Änderung (Massnahmen zur Kostendämpfung – Paket 2)
  • • Oktober 2023: Subkommissionen FK-S und FK-N zum Budget 2024
  • • November 2023: Gerichtskommission
  • • Januar 2024: SPK-N zum Bundesgesetz über das nationale System zur Abfrage von Adressen natürlicher Personen (Adressdienstgesetz)
  • • Januar und Februar 2024: RK-N zum Bundesgesetz über den elektronischen Identitätsnachweis und andere elektronische Nachweise (E-ID-Gesetz)
  • • März 2024: RK-S zum Bundesgesetz über den elektronischen Identitätsnachweis und andere elektronische Nachweise (E-ID-Gesetz)

Leistungen und Ressourcen im Bereich Öffentlichkeitsgesetz

Der Bestand des für Schlichtungen und Empfehlungen nach dem Öffentlichkeitsgesetz einsetzbaren Personals beträgt unverändert 6 Vollzeitstellen. Der Beauftragte wird weiter darauf hinwirken, dass die wegen der Pandemie und der anhaltend hohen Anzahl von Schlichtungsgesuchen entstandenen Bearbeitungsrückstände in den nächsten Berichtsperioden sukzessive abgebaut werden. Ob und wie schnell dies gelingen kann, wird von der quantitativen Entwicklung der Schlichtungsanträge und deren Komplexität abhängen.

Mit Blick auf die einzelnen Leistungsgruppen ergeben sich somit folgende, für die Bemessung der Mittel wegleitende Wirkungsziele:

Tabelle 9: Wirkungsziele EDÖB

LeistungsgruppeWirkungsziele
BeratungDer EDÖB entfaltet eine erwartungsadäquate Präsenz für die Beratung von Privatpersonen und die Begleitung von datenschutzsensiblen Projekten der Wirtschaft und der Bundesbehörden.
AufsichtDer EDÖB entfaltet eine glaubwürdige Dichte an Kontrollen.
InformationDer EDÖB sensibilisiert die Öffentlichkeit proaktiv für technologie- und anwendungsbezogene Risiken der Digitalisierung. Er stellt der Bevölkerung eine zeitgemässe, benutzerfreundliche Website und digitale Meldeportale zur Verfügung.
GesetzgebungDer EDÖB nimmt rechtzeitig und aktiv Einfluss auf alle datenschutzrelevanten Spezialnormen und Regelwerke, die auf nationaler und internationaler Ebene geschaffen werden. Er unterstützt die interessierten Kreise bei der Formulierung von Regeln der guten Praxis.

84

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

DPO UND ISBO

Der EDÖB verbessert seine Selbstkontrolle

Mit Inkraftsetzung des neuen Datenschutzgesetzes wurde die Selbstkontrolle im Hinblick auf den rechtskonformen Vollzug der Datenschutzvorschriften innerhalb des EDÖB als Behörde gestärkt. Der Beauftragte hat zwei neue Teilzeitstellen in Form eines Datenschutzberaters (DPO, engl. Data Protection Officer) und eines Informatiksicherheitsbeauftragten (ISBO) eingeführt.

Die Selbstkontrolle soll durch geeignete Massnahmen, den rechtskonformen Vollzug der bundesrechtlichen Datenschutzvorschriften innerhalb unserer Behörde gewährleisten. Diese Aufgabe wurde schon vor dem Inkrafttreten des revidierten Datenschutzgesetzes umgesetzt, danach nun aber formell an zwei fachlich unabhängige Funktionen innerhalb unserer Behörde zugewiesen: Den Datenschutzberater und den Informatiksicherheitsbeauftragten.

Der Aufgabenbereich des Datenschutzberaters des EDÖB umfasst insbesondere die Beantwortung von Auskunftsgesuchen und die Prüfung der Bearbeitungen von Personendaten

durch den EDÖB als Behörde sowie die Empfehlung von Korrekturmassnahmen, wenn eine Verletzung der Datenschutzvorschriften festgestellt wird. Zudem begleitet der Datenschutzberater die Prüfung, Durchsetzung und Aktualisierung von Bearbeitungsreglementen.

Der Informatiksicherheitsbeauftragte des EDÖB bildet die Ansprechperson für den Informationssicherheitsbeauftragten der Bundeskanzlei, welche für die Informatiksicherheit aller Infrastrukturen und Applikationen zuständig ist, welche sie für den EDÖB betreibt. Innerhalb unserer Organisation ist der Informatiksicherheitsbeauftragte die zentrale Anlaufstelle für Datensicherheitsfragen. Weiter kontrolliert er die Erarbeitung und Umsetzung der Datensicherheitsvorgaben der Bundeskanzlei in Bezug auf den EDÖB und wirkt bei Sensibilisierungsmassnahmen mit.

  1. Tätigkeitsbericht 2023/24

85

Der EDÖB

3.2 Kommunikation

Neue Website mit Meldeportalen

Die Arbeiten an der neuen Website, deren Inhalte auf das revidierte Datenschutzgesetz abgestimmt wurden, haben das Kommunikationsteam des EDÖB auch im vorliegenden Berichtsjahr beansprucht. Nach der erfolgreichen Lancierung am 11.05.2023 wurden die Internetseiten laufend ergänzt. Insbesondere wurden zahlreiche Informationen und Hilfsmittel rund um die neuen Gesetzesbestimmungen erarbeitet und online gestellt. Die drei neuen Meldeportale und verschiedenen Kontaktformulare werden rege genutzt und vereinfachen es sowohl den Betroffenen als auch den Verantwortlichen, mit dem EDÖB in Kontakt zu treten (s. dazu auch Schwerpunkt I).

Zahlen

Mit 6 Medienmitteilungen und 20 Kurzmeldungen ist der EDÖB auch seinerseits rund zweimal pro Monat an die Öffentlichkeit gelangt, sei es, um über neu eröffnete oder abgeschlossene Verfahren (Sachverhaltsabklärungen

nach dem alten Gesetz – Untersuchungen nach neuem Recht) zu informieren, oder über aktuell wichtige Datenschutzthemen oder Ereignisse zu informieren, welche Gegenstand der öffentlichen Diskussion waren. Auch zum Öffentlichkeitsgesetz hat sich der EDÖB – zusätzlich zu den im Jahr 2023 insgesamt 45 publizierten Empfehlungen – geäussert: Die Aufhebung des Öffentlichkeitsgesetzes durch Notrecht im Fall Credit Suisse erinnert an die notrechtlichen Entscheide während der Coronapandemie und wirft grundsätzliche Rechtsfragen auf.

Weitere Themen

Die Digitalisierungsvorhaben der Bundesverwaltung standen vermehrt unter öffentlicher Beobachtung: Sei es der bislang nicht geglückte Rettungsversuch der Impfdaten der Plattform meineimpfungen.ch (s. Kap. 1.4) und die

geplante Integration der Impfdaten in das elektronische Patientendossier (EPD), die Schaffung einer staatlich anerkannten elektronischen Identität (E-ID) oder die Cloud-Strategie des Bundes mit der Einführung von Microsoft 365 und dem damit einhergehenden Wechsel in die Public Cloud eines grossen US-Konzerns. Der EDÖB begleitet die grossen Digitalprojekte des Bundes eng und bringt seine Position als Aufsichtsorgan ein, damit diese datenschutzkonform umgesetzt werden (s. Kap. 1.1).

Ein grosses öffentliches Augenmerk hat weiterhin die Cybersicherheit. Täglich berichten die Medien zu unerlaubten Datenzugriffen. Bei Cybervorfällen in der Schweiz wird der EDÖB oft um eine Einschätzung gebeten. Im Fall des Hackerangriffs auf die Firma Xplain eröffnete der EDÖB wegen Anzeichen auf potenziell schwere Verstösse gegen die Datenschutzvorschriften eine Untersuchung gegen die Bundesämter für Polizei (Fedpol) sowie für Zoll und Grenzsicherheit (BAZG) und dehnte sie wenig später auf das betroffene Unternehmen aus (s. Kap. 1.2).

Auch zum immer populärer werdenden Phänomen der künstlichen Intelligenz (kurz KI) erhielt der EDÖB

86

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

im Berichtsjahr zahlreiche Anfragen. Der vermehrte Einsatz von KI-gestützten Anwendungen stiftet Verunsicherung in der Bevölkerung, und das Medienmonitoring zeigt, dass sich Befürchtungen vor permanenter Überwachung mehren – sei es im öffentlichen Raum an Bahnhöfen, beim Einkaufen im Supermarkt oder selbst in Schlafzimmern, wenn z. B. Gesundheits-Apps Ruhezeiten registrieren. Gleichzeitig steigt durch KI-Anwendungen die Gefahr der Desinformation: Mit Fake News werden Nutzerinnen und Nutzer von Onlinediensten manipuliert und die öffentliche Meinungsbildung erschwert. Auch die Gefahr des Identitätsmissbrauchs ist gestiegen.

img-15.jpeg

  1. Tätigkeitsbericht 2023/24

87

Der EDÖB

3.3 Statistiken

Statistiken über die Tätigkeiten des EDÖB vom 1. April 2023 bis 31. März 2024 (Datenschutz)

Aufwand nach Aufgabengebiet

img-16.jpeg

Aufwand nach Sachgebiet

img-17.jpeg

88

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Mehrjahresvergleich Aufwand

(Angaben in Prozent)

img-18.jpeg

  1. Tätigkeitsbericht 2023/24

89

Der EDÖB

Übersicht der Zugangsgesuche nach Öffentlichkeitsgesetz vom 1. Januar bis 31. Dezember 2023

DepartementAnzahl GesucheZugang vollständig gewährtZugang vollständig verestgeltZugang teilweise gewährt/aufgeschobenZugangsgesuch zurückgezogenZugangsgesuch nängigkein amliches Dokument vorhanden
BK90432118053
EDA22887236251833
EDI230811667252615
EJPD1528014279517
VBS4323099726927
EFD19152416391412
WBF1758027395618
UVEK236972454141334
BA2100001
PD2010001
Total 2023 (%)1738 (100)830 (48)176 (10)402 (23)73 (4)96 (6)161 (9)
Total 2022 (%)1180 (100)624 (53)99 (8)236 (20)53 (5)69 (6)99 (8)
Total 2021 (%)1385 (100)694 (50)126 (9)324 (23)48 (4)78 (6)115 (8)
Total 2020 (%)1193 (100)610 (51)108 (9)293 (24)35 (3)80 (7)67 (6)
Total 2019 (%)916 (100)542 (59)86 (9)171 (19)38 (4)43 (5)36 (4)
Total 2018 (%)647 (100)355 (55)66 (10)119 (18)24 (4)50 (8)33 (5)
Total 2017 (%)586 (100)325 (56)108 (18)106 (18)21 (4)26 (4)-
Total 2016 (%)554 (100)299 (54)88 (16)105 (19)29 (5)33 (6)-
Total 2015 (%)600 (100)320 (53)99 (17)128 (21)31 (5)22 (4)-
Total 2014 (%)582 (100)302 (52)124 (21)124 (21)15 (3)17 (3)-
Total 2013 (%)470 (100)218 (46)123 (26)103 (22)18 (4)8 (2)-

90

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Statistiken über Zugangsgesuche nach Öffentlichkeitsgesetz

vom 1. Januar bis 31. Dezember 2023

Anzahl Gesuchedavon eingereicht in VorfahrenZugang vollständig gewährtZugang vollständig verweigertZugang teilweise gewährt/refgschobenZugangsgesuch zurückgezogenZugangsgesuch hängigkein amilizes Dokument vorhanden
Bundeskanzlei BKBK760332018023
EDÖB1401010030
Total900432118053
Eidg. Departement für Auswärtige Angelegenheiten EDAEDA228087236251833
Total228087236251833
Eidg. Departement des Inneren EDIGS EDI190543502
EBG30200010
BAK72601000
BAR11100000
METEO CH00000000
NB00000000
BAG764213288151
BFS100710011
BSV100900001
BLV33013310313
SNM00000000
swissmedic67313525987
Suva40400000
compenswiss00000000
Total23010811667252615
Eidg. Justiz- und Polizeidepartement EJPDGS EJPD150902022
BJ3402052007
fedpol130262102
METAS30210000
SEM70036020833
Dienst ÜPF30001002
SIR80520001
IGE40400000
ESBK20200000
ESchK00000000
RAB00000000
ISC-EJPD00000000
NKVF00000000
Total15208014279517
  1. Tätigkeitsbericht 2023/24

91

Der EDÖB

Anzahl Gesuchedavon eingereicht in Vor JahrenZugang vollständig gewährtZugang vollständig verweigertZugang teilweise gewährt/aufgeschobenZugangsgesuch zurückgezogenZugangsgesuch vanzigkein amtliches Dokument vorhanden
Eidg. Departement für Verteidigung, Bevölkerungsschutz und Sport VBSGS VBS832175414511
Verteidigung170312128
NDB3103219016
AB-ND10010000
armasuisse80204011
BASPO277027600100
BABS80503000
swisstopo70303001
OA00000000
Total43223099726927
Eidg. Finanz- departement EFDGS EFD870182431437
EFV100413101
EPA30200001
ESTV2401056201
BAZG3173714061
BBL73700000
BIT60005100
EFK60312000
SIF140322151
PUBLICA10010000
ZAS20200000
Total1911052416391412

92

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Anzahl gesuchedavon eingereicht in VorfahrenZugang vollständig gewährtZugang vollständig verweigertZugang teilweise gewährt/aufgeschobenZugangsgesuch fürückgezogenZugangsgesuch hängigkein amiläres Dokument vorhanden
Eidg. Departement für Wirtschaft, Bildung und Forschung WBFGS WBF110134003
SECO47271320025
SBFI70301102
BLW1601102021
Agroscope00000000
BWL72212101
BWO30201000
PUE100226000
WEKO181961200
ZIVI00000000
BFK10100000
SNF10000010
EHB00000000
ETH Bereich5304221116
InnoSuisse10001000
Total17558027395618
Eidg. Departement für Umwelt, Verkehr, Energie und Kommunikation UVEKGS UVEK24010100112
BAV90502011
BAZL275787212
BFE2002110115
ASTRA1701501001
BAKOM240904425
BAFU981441126746
ARE30300000
ComCom10000001
ENSI62002031
ESTI10001000
PostCom32201000
UBI10010000
ERI00000000
SUST20020000
Total23610972454141334
  1. Tätigkeitsbericht 2023/24

93

Der EDÖB

Anzahl GesucheGeron eingereicht in Vor-JahrenZugung vollständig gewährtZugung vollständig verweigertZugung teilweise gewährt/aufgeschobenZugunggesuch zurückgezogenZugunggesuch nangigkein amtliches Dokument vorhanden
Bundesanwaltschaft BABA20100001
Total20100001
Parlamentsdienste PDPD20010001
Total20010001
Gesamttotal1738378301764027396161

94

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Zugangsgesuche 2023 mit Corona-Bezug

Gesuche im Zusammen- hang mit COVID-19Zugang vollständig gewährtZugang vollständig verweigertZugang teilweise gewährt/ aufgeschobenZugangsgesuch zurückgezogenZugangsgesuch nangigkein amliches document vorhanden
Bundeskanzlei BKTotal0000000
Eidg. Departement für Auswärtige Angelegenheiten EDATotal0000000
Eidg. Departement des Inneren EDIBAG229011020
BFS1000001
swissmedic12215004
Total3511116025
Eidg. Finanz- departement EFDTotal0000000
Eidg. Justiz- und Polizeidepartement EJPDTotal0000000
Eidg. Departement für Umwelt, Verkehr, Energie und Kommunikation UVEKBAKOM1001000
ComCom1000001
Total2001001
Eidg. Departement für Verteidigung, Bevölkerungsschutz und Sport VBSTotal0000000
Eidg. Departement für Wirtschaft, Bildung und Forschung WBFSECO1000001
ETH-Bereich1100000
Total2100001
Bundesanwaltschaft BABA0000000
Total0000000
Parlamentsdienste PDPD0000000
Total0000000
Gesamttotal3912117027
  1. Tätigkeitsbericht 2023/24

95

Der EDÖB

Anzahl Schlichtungsgesuche nach Kategorien der Antragstellenden

Kategorie Antragsteller2023202220212020201920182017
Medien74475331342421
Privatpersonen (bzw. keine genaue Zuordnung möglich)31374942402635
Interessenvertreter (Verbände, Organisationen, Vereine usw.)891657914
Rechtsanwälte1627127542
Unternehmen3919747137
Universitäten0001000
Total132129149931337679

96

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Zugangsgesuche der gesamten Bundesverwaltung vom 1. Januar bis 31. Dezember 2023

img-19.jpeg

img-20.jpeg

  1. Tätigkeitsbericht 2023/24

97

Der EDÖB

3.4 Organisation EDÖB (Stand 31. März 2024)

Organigramm

img-21.jpeg

98

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Der EDÖB

Mitarbeiter und Mitarbeiterinnen des EDÖB

Anzahl Mitarbeitende 47

FTE 40.2

nach Geschlecht Frauen 24 51%

Männer 23 49%

nach Beschäftigungsgrad 1-89% 28 60%

90-100% 19 40%

nach Sprache Deutsch 35 75%

Französisch 11 23%

Italienisch 1 2%

nach Alter 20-49 Jahre 27 57%

50-65 Jahre 20 43%

Kaderpositionen Frauen 6 55%

Männer 5 45%

  1. Tätigkeitsbericht 2023/24

99

Abkürzungsverzeichnis

Abkürzungsverzeichnis

BACS Bundesamt für Cybersicherheit

BAZG Bundesamt für Zoll und Grenz- sicherheit

BGA Archivierungsgesetz

BGÖ Bundesgesetz über das Öffentlich- keitsprinzip der Verwaltung (Öffentlich- keitsgesetz

DataReg Register der Bearbeitungstätig- keiten der Bundesorgane

DPO Datenschutzberater (Data Protection Officer)

DSFA Datenschutz-Folgenabschätzung

DSG Bundesgesetz über den Daten- schutz (Datenschutzgesetz)

DSV Verordnung über den Datenschutz (Datenschutzverordnung)

DSGVO EU-Datenschutzgrundverordnung

DTI Bereich Digitale Transformation und IKT-Lenkung der Bundeskanzlei

EDÖB Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

EDSA Europäischer Datenschutzausschuss

EDSB Europäischer Datenschutz- beauftragter

E-ID Elektronische Identität

EPD Elektronisches Patientendossier

Fedpol Bundesamt für Polizei

FPG Flugpassagierdatengesetz

GPA Internationale Konferenz der Datenschutzbeauftragten

HFG Humanforschungsgesetz

IKT Informations- und Kommuni- kationstechnologien

ISG Bundesgesetz über die Infor- mationssicherheit

ISBO Informatiksicherheitsbeauftragte der Organisationseinheit

KI Künstliche Intelligenz

PNR Flugpassagierdaten (Passenger Name Record)

Privatim Konferenz der Schweizer Datenschutzbeauftragten (kantonale Datenschutzbehörden)

SAS Schweizerische Akkreditierungs- stelle

SIS II Schengener Informationssystem der zweiten Generation

TB Tätigkeitsbericht des EDÖB

TJPG Gesetz über die Transparenz juristischer Personen

VBGÖ Verordnung über das Öffentlich- keitsprinzip in der Verwaltung

VDSZ Verordnung über Datenschutzzertifizierungen

VIS Visa-Informationssystem

100

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter

Abbildungsverzeichnis

Abbildungsverzeichnis

Grafiken

Grafik 1: Beurteilung Zugangsgesuche – Entwicklung seit 2010 ... S. 65

Grafik 2: Erhobene Gebühren seit Inkrafttreten des BGÖ ... S. 67

Grafik 3: Schlichtungsanträge seit Inkrafttreten des BGÖ ... S. 68

Tabellen

Tabelle 1: Einvernehmliche Lösungen ... S. 69

Tabelle 2: Bearbeitungsdauer Schlichtungsverfahren ... S. 70

Tabelle 3: Hängige Schlichtungsverfahren ... S. 71

Tabelle 4: Spezialbestimmungen nach Art. 4 BGÖ ... S. 78

Tabelle 5: Keine Spezialbestimmungen nach Art. 4 BGÖ ... S. 79

Tabelle 6: Für DSG-Belange einsetzbare Stellen ... S. 82

Tabelle 7: Leistungen Datenschutz ... S. 82

Tabelle 8: Beratungen in umfang- reicheren Projekten für 2023 ... S. 83

Tabelle 9: Wirkungsziele EDÖB ... S. 84

  1. Tätigkeitsbericht 2023/24

101

Impressum

Dieser Bericht ist in vier Sprachen vorhanden und über das Internet (www.derbeauftragte.ch) aufrufbar.

Vertrieb: BBL, Verkauf Bundespublikationen, CH-3003 Bern

www.bundespublikationen.admin.ch

Art.-Nr. 410.031.D

Layout: Ast & Fischer AG, Wabern

Fotografie: Monika Flückiger

Schriften: Pressura, Documenta

Druck: Ast & Fischer AG, Wabern

Papier: PlanoArt®, holzfrei hochweiss

img-22.jpeg

Kennzahlen

Leistungen Datenschutz

53%

Beratung

16%

Aufsicht

18%

Information

13%

Gesetzgebung

Zugangsgesuche Öffentlichkeitsprinzip (BGÖ)

48%

gewährt

23%

teilweise gewährt/ aufgeschoben

10%

verweigert

4%

Rückzug

6%

hängig

9%

kein amtliches Dokument vorhanden

Anliegen des Datenschutzes

Faire Information

Unternehmen und Bundesorgane informieren transparent über ihre Datenbearbeitung: verständlich und vollständig.

Wahlmöglichkeit

Betroffene geben ihre Einwilligung informiert und erhalten eine echte Wahlfreiheit.

Risikoanalyse

Bereits im Projekt werden die möglichen Datenschutzrisiken identifiziert und deren Auswirkungen mit Massnahmen minimiert.

Datenrichtigkeit

Die Bearbeitung erfolgt mit zutreffenden Daten.

Verhältnismässigkeit

Kein Datensammeln auf Vorrat, sondern nur so weit wie nötig zur Erreichung des Zwecks. Die Datenbearbeitung wird umfang- mässig und zeitlich limitiert.

Zweckgebundenheit

Die Daten werden nur zu dem Zweck bearbeitet, der bei der Beschaffung angegeben wurde, aus den Um- ständen ersichtlich oder gesetzlich vorgesehen ist.

Datensicherheit

Die Datenbearbeiter stellen technisch und organisatorisch sicher, dass die Personendaten hinreichend geschützt sind.

Dokumentation

Alle Datenbearbeitungen werden durch den Datenbearbeiter dokumentiert und klassifiziert.

Eigenverantwortung

Private und Bundesorgane nehmen ihre Pflicht zur Beachtung der Datenschutzgesetzgebung eigen- verantwortlich wahr.

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Feldeggweg 1 CH-3003 Bern

E-Mail: info@edoeb.admin.ch

Website: www.derbeauftragte.ch

@EDÖB – PFPDT – IFPDT

@derBeauftragte

Telefon: +41 (0)58 462 43 95 (Mo–Fr, 10–11:30 Uhr)

Telefax: +41 (0)58 465 99 96

Continua la tua ricerca in ChatGPT o Claude

Collega Omnilex per cercare nel corpus legale dal tuo assistente IA.