F S D Z RECHTSANWÄLTE & N O T A R I A T AG Aktuelle Entwicklungen im Datenschutz der Schweiz unter Berücksichtigung der Entwicklungen in der EU Von Andreas Marti, Rechtsanwalt LL.M. FSDZ-Rechtsanwälte & Notariat AG, Artherstrasse 23a, 6300 Zug Regeste: IT-Recht; Datenschutz; Persönlichkeitsrechte Revision des Datenschutzgesetz / DSG in der Schweiz;, EU-Datenbank- Grundverordnung; Europarats-Konvention zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten; Private; Direkt-Marketing; Profiling; Scoring. I. Einleitung Sowohl in der EU als auch der Schweiz sind zurzeit Bestrebungen im Gang, das Datenschutzrecht umfassend zu revidieren. Die Tendenz geht dabei Richtung Stärkung des Datenschutzes für die von Datenbearbeitungen betroffenen Privatpersonen. Dazu werden verschiedene Massnahmen diskutiert. Vorliegender Artikel gibt einen Überblick über den derzeitigen Status der Revisionsbemühungen. Er konzentriert sich dabei auf die diskutierten Änderungen, welche insbesondere einen Einfluss auf die Datenbearbeitung durch Private haben könnten. Änderungen der von der öffentlichen Hand und den datenbearbeitenden Behörden zu beachtenden Datenschutzbestimmungen sind ebenfalls vorgesehen, jedoch wird auf diese nicht weiter eingegangen. Ein besonderes Augenmerk wird dem möglichen Einfluss auf das Direkt-Marketing gewidmet, welches in besonderem Mass von den Revisionsbemühungen betroffen ist. Die Gesetzgebungsverfahren für die Revision sind unterschiedlich weit fortgeschritten 1. Sie stehen jedoch in einer starken Abhängigkeit zueinander. Die Schweiz kann es sich dabei nicht leisten einen deutlichen tieferen Datenschutzlevel als in der EU zu gewährleisten, als die EU. Ansonsten riskiert sie, dass der Datenschutz in der Schweiz von den umliegenden Ländern bzw. der EU nicht mehr als angemessen erachtet werden könnte, was empfindlichen Einfluss auf den grenzüberschreitenden Geschäftsverkehr und insbesondere auf den Datenverkehr haben würde. II. Status Gesetzesrevisionen A: Geplante Revision des Datenschutzgesetzes in der Schweiz Zurzeit wird unter dem Titel der Stärkung des Datenschutzes vom Bundesrat die Revision des Bundesgesetzes über den Datenschutz (DSG) vorangetrieben. Es soll insbesondere an veränderte technologische und gesellschaftliche Verhältnisse angepasst werden. Offizielle Ziele des Revisionsprojekts sind 2 : Feststellung und Prüfung allfälliger Datenschutzprobleme soweit sinnvoll und möglich schon bei der Entwicklung neuer Technologie im Rahmen einer Gesamtkonzeption Stärkere Sensibilisierung betroffener Personen für die mit den technologischen Entwicklungen einhergehenden Risiken für den Persönlichkeitsschutz 1 Folgende Unterlagen und damit zusammenhängende Materialien wurden hauptsächlich berücksichtigt: Normkonzept zur Revision des Datenschutzgesetzes. Bericht der Begleitgruppe Revision DSG vom 29. Oktober 2014 Modernisierungsentwurf der Europarats-Konvention zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten ( E-Konvention SEV 108 ) 1 Entwurf der EU-Datenschutz-Grundverordnung ( EU-DS-GVO ; Entwurf der Kommission vom Januar 2012; unter zusätzlicher Berücksichtigung des EP-Standpunkts vom März 2014) 2 vgl. Stärkung des Datenschutzes, Mitteilung des Bundesamtes für Justiz unter https://www.bj.admin.ch/bj/de/home/staat/gesetzgebung/datenschutzstaerkung.html.
Erhöhung Transparenz über Datenbearbeitungen Verbesserung Datenkontrolle und herrschaft. Stärkung der Aufsichtsmechanismen des EDÖB. Prüfung, ob Rechtsansprüche der Betroffenen sowie deren Durchsetzung an die aufgrund der technologischen Entwicklungen veränderten Verhältnisse angepasst werden sollen. In diesem Zusammenhang sollen zum Beispiel eine Stärkung der kollektiven Rechtsdurchsetzung und eine Präzisierung des Rechts auf Vergessen erwogen werden Schutz Minderjährige Der aktuelle Status der Revision des DSG ist wie folgt: 3 Dezember 2011 Bundesrat heisst den Bericht über die Evaluation des Datenschutzgesetzes gut und beauftragt das Eidgenössische Justiz- und Polizeidepartement (EJPD), gesetzgeberische Massnahmen zur Stärkung des Datenschutzes zu prüfen sowie bis Ende 2014 Vorschläge zum weiteren Vorgehen zu unterbreiten. Dabei soll das EJPD namentlich die Ergebnisse der Evaluation und die gegenwärtig laufenden Entwicklungen beim Europarat und in der Europäischen Union berücksichtigen. Sept. 2012 - Okt. 2014 Um das nötige Fachwissen einzubeziehen sowie die Interessen der verschiedenen, von einer allfälligen Revision des DSG betroffenen Personengruppen zu gewährleisten, setzt das Bundesamt für Justiz (BJ) eine Begleitgruppe ein, welche den gesetzgeberischen Handlungsbedarf zum DSG erörtert und in einem Bericht zusammenfasst. Die Begleitgruppe setzt sich aus 14 Vertretern verschiedener Behörden, von Wirschafts- und Konsumentenverbänden sowie der Università della Svizzera italiana zusammen. April 2015 Der Bundesrat nimmt den Bericht der Begleitgruppe sowie die Vorschläge des EJPD zum weiteren Vorgehen zur Kenntnis. Er beauftragt das EJPD, ihm unter Berücksichtigung der derzeit laufenden Datenschutzreformen in der EU und beim Europarat bis spätestens Ende August 2016 einen Vorentwurf für eine Revision des DSG zu unterbreiten. B: Geplante Revisionen zum Datenschutz in der EU Die Revision des schweizerischen DSG soll gleichzeitig die Ratifizierung der sich derzeit in grundlegender Überarbeitung befindlichen Europarats-Konvention zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (Konvention SEV 108) ermöglichen und, soweit dies im Rahmen der Weiterentwicklung des Schengen/Dublin-Besitzstandes erforderlich ist, die neuen EU-Datenschutzerlasse übernehmen. Die Revisionsbemühungen auf europäischer Ebene sind ebenfalls noch nicht abgeschlossen. Diese werden nachfolgend kurz erläutert. Die bisherige Version der Europarats-Konvention zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten wurde 1981 in Strassburg abgeschlossen und sie ist in der Schweiz per 1. Februar 1998 in Kraft getreten 4. Diese stellt im internationalen Bereich die einzige verbindliche völkerrechtliche Regelung im Bereich des Datenschutzes dar. Mit der jetzt vorgesehenen Modernisierung könnte sich diese Konvention zu einem universellen Mindeststandard entwickeln. Ein Abschluss erscheint noch 3 vgl. Stärkung des Datenschutes, Mitteilung des Bundesamtes für Justiz unter https://www.bj.admin.ch/bj/de/home/staat/gesetzgebung/datenschutzstaerkung.html. 4 Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten (SR 0.235.1)
in diesem Jahr möglich. Es ist dabei wahrscheinlich, dass die Schweiz die überarbeitete, breiter anwendbare neue Version der Konvention ebenfalls annehmen wird. Andernfalls riskiert die Schweiz erhebliche negative Konsequenzen für die Wirtschaft. 5 Der Entwurf zur EU-Datenschutz-Richtlinie zur polizeilichen und justiziellen Zusammenarbeit stellt eine Weiterentwicklung des Schengen/Dublin Besitzstandes dar. Sie wird somit zu übernehmen sein, was jedoch auch gesondert von der Revision des DSG geschehen könnte 6. Der Zeitplan zur EU-Datenschutz-Grundverordnung ist derzeit noch offen und die sogenannten Trilog- Verhandlungen zwischen Vertretern des Europäischen Parlaments, des Rates und der Kommission sind noch nicht abgeschlossen. Allerdings ist unklar, welchen Einfluss diese Verordnung auf die Revision des schweizerischen DSG genau haben wird. Die Schweiz ist vorab nur soweit an diese gebunden, als sie eine Schengen/Dublin-Weiterentwicklung darstellt. Die Schweiz kann es sich jedoch vermutlich nicht erlauben, ausserhalb von Schengen/Dublin merklich hinter den Schutzstandard in der EU zurückzufallen. Andernfalls besteht das latente Risiko, dass die EU den Datenschutz in der Schweiz als nicht mehr angemessen betrachten könnte, was zu erheblichen Problemen und zusätzlichen Anforderungen beim Datenverkehr Schweiz-EU führen würde. 7 C: Politischer Hintergrund Sowohl in der EU als auch in der Schweiz ist der politische Prozess bis zur Verabschiedung der verschiedenen geplanten Gesetzesanpassungen im Bereich Datenschutz noch nicht abgeschlossen. In diesem Jahr gab es zum Beispiel in Bezug auf die EU-Datenschutz-Grundverordnung verschiedene Versuche, die vorgesehenen Änderungen zu entschärfen und zum Beispiel die Zweckbindung der Datenbearbeitung aufzulockern sowie gewisse Geschäftsmodelle im Bereich Direkt-Marketing / Scoring zu schützen 8. In der Schweiz gibt es ebenfalls klare Anzeichen für politischen Widerstand gegen die derzeitigen Bestrebungen, das Datenschutzgesetz umfassend zu revidieren und insbesondere zu verschärfen. Aus dem Bericht der Begleitgruppe Revision DSG geht an diversen Stellen hervor, dass verschiedene Teilnehmer der Gruppe mit den Anpassungen nicht einverstanden waren. Eine Minderheit war grundsätzlich der Auffassung, dass zuerst der Abschluss der Reformen im Bereich des Datenschutzes innerhalb der EU und des Europarates abzuwarten sei und dass nur die Änderungen vorgeschlagen werden sollen, welche für den Marktzugang (freier Datenverkehr) erforderlich seien. Economiesuisse, der Schweizerische Gewerbeverband SGV und der Verein Unternehmens-Datenschutz VUD haben entsprechende Stellungnahmen zum Bericht der Begleitgruppe abgegeben, welche dem Normkonzept angehängt wurden. Die Mehrheit der Begleitgruppe sprach sich jedoch für die grundsätzliche und weitergehende Revision aus und der Bundesrat hat mittlerweile den Auftrag für die Ausarbeitung eines Vorentwurfs der Revision bis August 2016 beim Bundesamt für Justiz in Auftrag gegeben. 5 vgl. Normkonzept zur Revision des Datenschutzgesetzes, Bericht der Begleitgruppe Revision DSG vom 29. Oktober 2014, Ziffer 2., Seite 4 f. 6 vgl. Normkonzept zur Revision des Datenschutzgesetzes Bericht der Begleitgruppe Revision DSG vom 29. Oktober 2014, Ziffer 2., Seite 5 f. 7 vgl. Normkonzept zur Revision des Datenschutzgesetzes, Bericht der Begleitgruppe Revision DSG vom 29. Oktober 2014, Ziffer 2., Seite 6. 8 Vgl. z.b. die Zeitungsartikel von Zeit Online Bundesregierung hofiert Lobbyisten, Patrick Beuth, 10. März 2015, unter http://www.zeit.de/digital/datenschutz/2015-03/eu-datenschutzgrundverordnung-ministerrat-bundesregierung-lobbyplag und von der TAZ Weichspüler für den Datenschutz, Svenja Bergt vom 4. März 2015, unter http://taz.de/grundverordnungder-eu/%21155814/.
D: Zeithorizont Die Überarbeitung der Konvention SEV 108 dürfte im Verlauf dieses oder nächsten Jahres abgeschlossen werden. Eine Ratifikation durch die Schweiz wird aber voraussichtlich erst mit Inkraftsetzung des DSG möglich werden. Der erste Entwurf zum DSG wird frühestens per August 2016 erwartet. Die anschliessende Vernehmlassung und politische Entscheidfindung wird ebenfalls noch Zeit kosten, weshalb noch einige Zeit bis zu einem Inkrafttreten vergehen wird (schätzungsweise 2018 oder später). Die EU-Datenschutz-Grundverordnung wird nach Abschluss des Trilogs Ende 2015 zwischen Vertretern des Europäischen Parlaments, des Rates und der Kommission, ebenfalls noch einige Zeit bis zur Inkraftsetzung in Anspruch nehmen (schätzungsweise 2018). Dabei ist jedoch zu beachten, dass diese Verordnung voraussichtlich direkt in allen Mitgliedstaaten anwendbar sein wird, wodurch die sonstige Übergangsphase (oft 2 Jahre) in der EU für die Übernahme ins nationale Recht wegfällt. Dies könnte insofern direkten Einfluss auf das Geschäft von Schweizer Unternehmen haben, sofern diese Daten von Personen aus der EU bearbeitet, da hierfür EU-Recht direkt anwendbar ist. E: Würdigung Zu diesem Zeitpunkt erscheint es wahrscheinlich, dass die Schweiz gestützt auf die zurzeit überarbeitete Konvention SEV 108 und die geplante EU-Datenschutz-Grundverordnung vergleichbare Anpassungen des bestehenden DSGs beschliessen wird. Im Einzelnen stehen jedoch die entsprechenden Gesetzesänderungen noch nicht fest. Die bisherigen Resultate müssen deshalb aufgrund der laufenden Verhandlungen und Diskussionen mit Vorbehalt gewürdigt werden. Es ist sehr wohl denkbar, dass die sich derzeit abzeichnenden Bestimmungen bis zum Inkrafttreten noch weiter angepasst und abgeändert werden. Dies erscheint insbesondere auch für den Bereich des Direkt-Marketing und des Profilings möglich. Es erscheint wahrscheinlich, dass die Schweiz sich mit der Revision des DSG grundsätzlich an die neuen Bestimmungen aus der EU halten wird und in einigen Jahren vergleichbare, gegenüber heute strengere Regelungen einführen wird. Ein zentraler Grund dafür liegt in der Gefahr, als Land mit nicht angemessenem Datenschutz-Level qualifiziert zu werden, was erheblich negative Auswirkungen für den Datenverkehr zwischen EU und Schweiz haben würde. III. Wichtige, sich abzeichnende Änderungen in der Schweiz A: Normkonzept Als Grundlage für eine erste Einschätzung dient in erster Linie das Normkonzept zur Revision des Datenschutzgesetzes im Bericht der Begleitgruppe Revision DSG vom 29. Oktober 2014, welches vermutlich eine Grundlage für den bis Ende August 2016 vom BJ auszuarbeitenden Entwurf des revidierten DSG bilden wird. Mit Veröffentlichung des Entwurfs wird eine detailliertere Beurteilung der Folgen der Gesetzesänderung möglich werden. Es ist davon auszugehen, dass in diesem Gesetzesentwurf auch die noch in diesem Jahr zu erwartenden Weiterentwicklungen in der EU und im Europarat mitberücksichtigt werden. B: Zentrale Punkte Im Hinblick auf private Datenbearbeitung stehen folgende Änderungen im Vordergrund: Konkretisierungsregeln / Regeln der Guten Praxis Im Normkonzept wird mehrheitlich vorgeschlagen, dass ein neues Expertenkomitee neben der Datenschutzaufsichtsbehörde mit der Erstellung von zusätzlichen Regeln (entweder verbindlich oder als Regeln der Guten Praxis) betraut werden soll. Aufgrund der Abstraktheit der Regeln im DSG und der sich stellenden komplexen Umsetzungsfragen werden solche zusätzliche Regeln für datenbearbeitende Schweizer Unternehmen entscheidend sein, um den genauen Einfluss auf das eigene Geschäft und den Umfang der benötigten Umsetzungsmassnamen abschätzen zu können. Ohne solche Regeln werden weiterhin erhebliche Rechtsunsicherheiten bei der Umsetzung bestehen bleiben.
Erweiterung Informationspflichten Die Informationspflichten an Datenbearbeitende nehmen voraussichtlich deutlich zu. Die Konsumenten werden vor der unerwarteten Bearbeitung der eigenen Daten zusätzlich geschützt. Damit sinkt ohne Einführung von Ausnahmenregeln gleichzeitig die Möglichkeit im Direkt-Marketing, interessante und verwertbare Daten von natürlichen und juristischen Personen in der Schweiz zu erhalten. Ausserdem werden sich schwierige Fragen in Bezug zum Umgang mit bisher erfassten Personendaten ergeben. Ein möglicherweise notwendig werdendes Kontaktieren von bereits erfassten Personen und deren Daten könnte erhebliche organisatorische und finanzielle Folgen für Schweizer Unternehmen, vorab im Direkt-Marketing-Bereich, zur Folge haben. Erweiterung Sorgfaltspflichten Strengere Grundsätze wie Privacy by Default und Privacy by Design, die weitgehenden Dokumentationspflichten, allenfalls notwendig werdende Datenschutzfolgeabschätzungen und Meldungen von erfolgten Verletzungen können potentiell einen erheblichen Einfluss auf die Geschäftstätigkeit von Schweizer Unternehmen haben. Soweit dies nicht bereits erfolgt ist, wird die Implementierung oder Verbesserung eines angemessenen Datenschutz- und Informationssicherheits-Managementsysteme in besonders betroffenen Betrieben klar zu empfehlen sein. Ein solches System hilft dabei, bei allfälligen Vorwürfen von Datenschutzverletzungen und bei eingeleiteten Verfahren der Aufsichtsbehörde sich bestmöglich zu verteidigen. Natürlich werden hier ebenfalls die oben unter dem ersten Punkt erwähnten konkretisierenden Regeln zu konsultieren und umzusetzen sein. Erweiterung der Rechte der betroffener Personen inkl. Erleichterungen der Rechtsdurchsetzung Die vorgeschlagenen Änderungen zielen auf eine klare Verbesserung der Stellung der von Datenbearbeitungen Betroffenen. Sie sollen besser auf ihre Rechte hingewiesen, ihre Rechte sollen ausgeweitet und insbesondere deren Durchsetzung soll erleichtert werden. Dazu werden eine Reihe verschiedener Massnamen vorgeschlagen. Einen erheblichen Einfluss könnten dabei insbesondere folgende Änderungen haben: o die Beweislastumkehr zugunsten der Betroffenen, o die Pflicht zur Information an Empfänger von zu berichtigenden Daten, o das Recht auf Löschung (auch Recht auf Vergessen ), o der geplante Schutz vor automatisierter Entscheidfindung und damit verbundene Einschränkungen fürs Profiling, o die allfällige Einführung einer Kausalhaftung der Datenbearbeitenden und o vorgesehene Kostenerleichterungen für die Prozessführung, Stärkung des kollektiven Rechtschutzes und Einführung der Möglichkeit, an eine (Branchen-) Ombudsstelle zu gelangen. Erweiterung Kompetenzen Aufsichtsbehörde Zentral erscheinen dabei: die mögliche Durchführung einer Vorabklärung, die Möglichkeit der Eröffnung einer formellen Untersuchung, zusätzliche Informationsbeschaffungsbefugnisse im Rahmen des formellen Untersuchungsverfahrens und erweiterte Verfügungs- und Sanktionskompetenzen. Sofern die entsprechende Finanzierung der Aufsichtsbehörde sichergestellt wird, erhöht dies die Wahrscheinlichkeit von Untersuchungen und gegebenenfalls von empfindlichen Sanktionen bei Datenschutzverletzungen.
IV. Fazit Generell werden Unternehmen den eigenen Umgang mit Personendaten nach Inkrafttreten der Gesetzesrevisionen nochmals prüfen wollen, um einen rechtsgenügenden Datenschutz gewährleisten zu können. Aufgrund der drohenden empfindlichen Bussen und dem voraussichtlichen Ausbau der Kompetenzen der Aufsichtsbehörden, müssen die Gesetzesrevision weiter verfolgt und bei Bedarf rasch umgesetzt werden. Für jene Schweizer Unternehmen, für welche die Bearbeitung von Personendaten ein besonders wichtiger Bestandteil der Geschäftstätigkeit darstellt (insbesondere im Bereich Direkt-Marketing) besteht durch die zu erwartenden Gesetzesreformen im Bereich des Datenschutzes kurz- bis mittelfristig die Gefahr (voraussichtlich 2018 oder später), dass das bisherige Geschäftsmodell in Bezug auf die Verwertung und Vermarktung von personenbezogenen Daten, insbesondere unter Verwendung von Scoring / Profiling Dienstleistungen, empfindlich getroffen werden könnte. Generell sind die beabsichtigten Änderungen klar zur Stärkung des Persönlichkeitsschutz von betroffenen Personen gedacht, was mit dem Geschäftsmodel einiger Unternehmen nur schwer zu vereinbaren ist. Für das Zulassen einer weniger restriktiven Datenbearbeitung in diesem Bereich gäbe es ebenfalls einige Argumente (kundenspezifische Ansprache, effizientere Werbung, Wirtschaftsfreiheit und funktionierender Markt etc.). Jedoch scheinen diese bisher kaum in die Ausarbeitung der Gesetzesreformen eingeflossen zu sein. Ob diese Argumente im Laufe des Gesetzgebungsprozesses noch zu einer Abschwächung der bisher vorgeschlagenen Änderungen führen werden, bleibt abzuwarten. Die Normdichte wird in diesem Bereich mit hoher Wahrscheinlichkeit weiter zunehmen. Bleibt zu hoffen, dass durch die Festlegung geeigneter konkretisierender Regeln ( Gute Praxis ) den Unternehmen in den verschiedenen betroffenen Branchen genügend klare und praxisorientierte Weisungen zur Verfügung gestellt werden, so dass die Rechtssicherheit tatsächlich verbessert werden kann.