Das revidierte Datenschutzgesetz (DSG) wirft seine Schatten voraus. Es wird voraussichtlich im Jahr 2022 in Kraft treten und führt schon heute zu einem Modernisierungsdruck auf die kantonalen Datenschutzgesetze. Beim Übergang zum neuen Recht arbeiten die Datenschutzorgane von Bund und Kantonen eng und pragmatisch zusammen. Im dynamischen Spannungsfeld der Pandemie wirken sie darauf hin, die Einschränkungen auf das private und selbstbestimmte Leben, welches durch die Digitalisierung bereits unter Druck steht, möglichst gering zu halten.
Die Bevölkerung ist heute einer immer weitreichenderen sowie stärker automatisierten und personalisierten Datenbearbeitung ausgesetzt. War bislang die globale Digitalisierung aller Lebensbereiche der zentrale Treiber dieser Entwicklung, so gesellte sich im Jahr 2020 die Pandemie hinzu, welche das Gros der Bevölkerung hinter die Bildschirme der digitalen Heimarbeit verbannte. In diesem spannungsgeladenen Umfeld setzen sich die Datenschutzbeauftragten von Bund und Kantonen für den Erhalt des privaten und selbstbestimmten Lebens ein, welches die Bundesverfassung der Bevölkerung garantiert.
Am 25. September 2020 haben die Eidgenössischen Räte nach jahrelangem Ringen das revidierte Datenschutzgesetz des Bundes verabschiedet. Dieses hebt den Persönlichkeitsschutz der Bevölkerung auf ein Niveau an, das den Risiken der digitalen Realität Rechnung trägt und der Wirtschaft den freien Datenaustausch mit dem Ausland auch in Zukunft ermöglich soll. Die Kantone sind daran, die auf eidgenössischer Ebene erfolgten Neuerungen nachzuvollziehen, indem sie ihre Datenschutzgesetzgebungen mit der von der Schweiz unterzeichneten Erweiterung der Europaratskonvention 108 in Einklang bringen. Eine Minderheit der Kantone hat diesen Prozess bereits abgeschlossen.
Kernpunkte des neuen DSG – Inkraftsetzung Mitte 2022
Das revidierte DSG wird voraussichtlich im zweiten Halbjahr 2022 in Kraft treten. Es soll die Aufsicht des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragen (EDÖB) über private und bundesbehördliche Datenbearbeiter stärken. Neu wird er über ein auf die Gefahren der digitalen Realität angepasstes Repertoire von risikobasierten Arbeitsinstrumenten verfügen, und die Wirtschaft wird ihm gegenüber neue Vorlage- und Meldepflichten wahrzunehmen haben. Zudem wird der EDÖB neu Verfügungen erlassen und datenschutzwidriges Verhalten dadurch rascher unterbinden können. Sanktionskompetenzen und hohe Bussen gehören aber – anders als bei den Datenschutzbehörden im umliegenden Europa – weiterhin nicht zu seinem Instrumentarium.
Obwohl dem EDÖB zur Umsetzung der neuen Aufgaben drei zusätzliche Stellen zugesprochen wurden und ihm gemäss Gesetzesbotschaft weitere in Aussicht gestellt worden sind, wird er seine Aufgaben weiterhin pragmatisch ausüben und nach Massgabe des Opportunitätsprinzips Prioritäten setzen müssen. Wie bis anhin wird er auf eine enge Zusammenarbeit mit den behördlichen und betrieblichen Datenschutzverantwortlichen setzen, zumal Letztere vom neuen Gesetz verstärkt in Verantwortung genommen werden. Ein zentrales Mittel zur Durchsetzung seiner Forderungen wird weiterhin der auch vom neuen Gesetz vorgesehene Gang an die Öffentlichkeit darstellen.
Pandemie – Einschränkungen mit Augenmass und nur auf Zeit
Pragmatismus gilt es für die Datenschutzbehörden von Bund und Kantonen auch an den Tag zu legen, um im dynamischen Umfeld der aktuellen Pandemie, die weltweit zu einschneidenden Einschränkungen von Privatsphäre und Selbstbestimmung geführt hat, Wirkung zu erzielen. Es gibt aber auch den Tag danach: So dürfte die systematische Einforderung von Personendaten durch Private im Kontext der Pandemie die Selbstbestimmung der Bevölkerung über die aktuelle Krise hinaus prägen. Es gilt zu bedenken, dass es Personen gibt, die nicht willens sind, ein mit einem bestimmten Programm bestücktes Smart Device vorzuzeigen, weil sie sich vor einem Zugriff auf die dort vorhandenen Daten ihrer digitalen Lebensführung fürchten. Weiter gibt es Menschen, die dazu aufgrund ihres Alters, ihrer Gesundheit oder wegen Behinderungen gar nicht in der Lage sind. Vor diesem Hintergrund hat der EDÖB auf seiner Webseite auch datenschutzrechtlichen Anforderungen publiziert, deren Erfüllung Private sicherzustellen haben, ehe sie den Zugang zu Gütern oder Leistungen von Gesundheitsdaten wie Impfbestätigungen oder Testresultaten abhängig machen (siehe Link zur Mitteilung unten).
Im Sog der Corona-Krise bewegt sich der Datenschutz im Spannungsfeld zwischen dem Recht jeder Person auf Schutz ihrer Privatsphäre und informationelle Selbstbestimmung sowie der Pflicht von Bund und Kantonen, dieselben Personen vor der Pandemie zu schützen. Dies stellt auch die kantonalen Datenschutzbehörden (Mitglieder von privatim) vor besondere Herausforderungen: Ein Beispiel ist die Publikation von Infektionszahlen bei grösseren, nicht aber kleineren Gemeinden, weil erkrankte Personen in kleinräumigen Umgebungen leicht identifizierbar sind. Ein anderes der Einsatz einer nur teilweise datenschutzkonformen Applikation im Fernunterricht, welche die Kontakte zwischen Lehrkräften und Schülerinnen und Schülern aufrechterhält.
Ein weiterer Schwerpunkt der Datenschutzaufsicht liegt darin, darauf hinzuwirken, dass notrechtliche Eingriffe der Exekutivbehörden in die Privatsphäre und Selbstbestimmung der Bevölkerung zeitlich begrenzt bleiben und rechtzeitig durch parlamentarische Erlasse abgelöst werden. So konnte für die SwissCovid App das vom DSG vorgesehene, ordentliche Pilotverfahren durchgeführt werden, bevor der Vollbetrieb auf einer eigens dafür geschaffenen Gesetzesgrundlage im Epidemiengesetz aufgenommen wurde, welche den freiwilligen Einsatz dieser App garantiert.
Herausforderungen für den EDÖB und die kantonalen Datenschutzbehörden
Für die Datenschutzorgane von Bund und Kantonen gilt es, im dynamischen Spannungsfeld der Pandemie die Einschränkungen auf das private und selbstbestimmte Leben, welches durch die Digitalisierung ohnehin bereits unter Druck steht, möglichst gering zu halten.
Gleichzeitig sensibilisieren und begleiten sie die Bevölkerung und die Behörden bei der Einführung und Umsetzung der erneuerten Datenschutzgesetzgebungen von Bund und Kantonen, wobei der für die Wirtschaft zuständige EDÖB ein besonderes Gewicht auf die Zusammenarbeit mit den Datenschutzverantwortlichen in den Betrieben legt.
Mit ihrem gemeinsamen Auftritt manifestieren die Datenschutzbehörden von Bund und Kantonen ihren Willen zusammenzuarbeiten und die Herausforderung der Digitalisierung und der Pandemie pragmatisch anzupacken.
Der Internationale Datenschutztag wird auf Initiative des Europarates seit 2007 jedes Jahr am 28. Januar europaweit und auch in Übersee ausgerichtet. Er hat zum Ziel, das Bewusstsein der Bürgerinnen und Bürger für den Schutz der Privatsphäre und das Recht auf informationelle Selbstbestimmung zu stärken und eine nachhaltige Verhaltensänderung im Umgang mit neuen Technologien zu bewirken.
