Rapporto sui risultati

Riferimento: BAV-011-11/15/2/1/3/1

Abs. 2 MODIG nicht abgedeckt werden. Die Bearbeitung von besonders schützenswerten Personendaten wird gestützt auf Art. 18 Abs. 2 MODIG in beschränktem Masse möglich sein. Mit dem Begriff "Bearbeiten" kann jedoch kaum die Definition nach Art. 3 lit. e DSG gemeint sein. Vielmehr soll der MDA die Möglichkeit geboten werden, mittels besonders schützenswerten Personendaten adäquate Sachdaten zu generieren. Insofern bedarf die Formulierung von Art. 18 Abs. 2 MODIG einer Präzisierung.

Grüne: Wir stellen allerdings fest, dass weder im Gesetzesentwurf noch im Bericht ansatzweise genügend auf den Datenschutz und die digitale Selbstbestimmung eingegangen wird. Das Gesetz verweist lediglich auf das Datenschutzgesetz (DSG) oder delegiert Datenschutzfragen an den Bundesrat. Weder aus dem Gesetz noch dem erläuternden Bericht geht hervor, wie die digitale Selbstbestimmung tatsächlich umgesetzt werden soll. Die angedachte Mobilitätsdateninfrastruktur steht in einem offensichtlichen Spannungsfeld, wenn etwa bei einem Ticketkauf für ein öffentliches Verkehrsmittel nicht entschieden werden kann, ob die eigenen Daten in den Datenraum gegeben werden sollen oder nicht, da gar nicht Möglichkeit besteht, ein anderes Verkehrsmittel zu nehmen – und beim Ticketkauf kann nur den allgemeinen Geschäfts- oder Transportbedingungen zugestimmt werden. Das Grundproblem liegt darin, dass der Gesetzesentwurf sich in erster Linie an die Mobilitätsanbieter richtet und definiert, welche Daten sie liefern. Welche Daten die Endnutzer*innen preisgeben und wie sie vor allem verhindern, dass Daten an Dritte weitergegeben werden, an die sie keine Daten preisgeben wollen, sind kein Thema. Daran ändert auch nicht, dass es sich beim grössten Teil der Daten um Sachdaten handelt. Es werden auch Personendaten in die Mobilitätsdateninfrastruktur einfliessen. Diese konzeptuelle Lücke im vorgeschlagenen neuen Bundesgesetz über die Mobilitätsdateninfrastruktur muss aus Sicht der GRÜNEN dringend geschlossen werden. Einerseits aus Gründen des Datenschutzes, andererseits um die Glaubwürdigkeit der «vertrauenswürdigen Datenräume» zu erhalten.

VCS: Bei der Weitergabe von Personendaten soll zusätzlich konsequent das Prinzip Opt-In gelten. Grundsätzlich sollen Personendaten nicht weitergegeben werden. Bearbeitung von Personendaten (Art. 18 MODIG) / Datenschutz Gemäss Art. 18 MODIG richtet sich die Bearbeitung von Personendaten durch die MDA nach den Artikeln 33-43 des Datenschutzgesetzes (DSG; SR 235.1). Die MDA kann Bewegungsdaten und besonders schützenswerte Personendaten über die Gesundheit von Reisenden mit Behinderungen bearbeiten, soweit dies zur Erfüllung ihrer Aufgaben nach Art. 13 Abs. 2 Bst. d MODIG erforderlich ist. Der Bundesrat regelt die Einzelheiten zur Bearbeitung dieser Daten. Im Erläuternden Bericht wird erwähnt, dass eine Bearbeitung von Personendaten durch die Betreiberin der NADIM erforderlich sein kann, wenn über die NADIM auch Funktionalitäten angeboten werden, die es erlauben, den Vertrieb von Mobilitätsangeboten einfacher abzuwickeln, wie beispielsweise Buchungs- und Bezahlfunktionen. Den Datenschutz haben die Datenlieferantinnen und -lieferanten durch geeignete Massnahmen sicherzustellen (Ziff. 4.1.8.6.3, S. 28). Mit der NADIM soll grundsätzlich die Umsetzung der Prinzipien der digitalen Selbstbestimmung aktiv gefördert werden. In der ersten Phase der NADIM stehe dies jedoch voraussichtlich nicht im Fokus (Erläuternder Bericht, Seite 29). Für den VCS ist es aus Kundensicht zentral, dass falls über die NADIM nicht nur Sachdaten sondern auch Personendaten ausgetauscht werden, dabei das strickte Prinzip des Opt-In gilt: Sämtliche Personendaten dürfen ausschliesslich und nur dann über die NADIM ausgetauscht werden, wenn sich Seite 6 die betreffende Person aktiv für die Weitergabe ihrer Daten entscheidet. Personen, welche sich nicht ausdrücklich für die Weitergabe ihrer Daten entscheiden, sollen dadurch keine Nachteile – etwa bei der Benutzung der App – erwachsen.

VöV: Aus dem MODIG und dem erläuternden Bericht geht klar hervor, dass über die NADIM grundsätzlich Dienste und Funktionen angeboten werden können, welche u.a. die Bearbeitung von Personendaten zum Gegenstand haben. Diesfalls würden durch die MDA Personendaten bearbeitet werden. In diesem Zusammenhang erscheint der unter Art. 19 Abs. 3 MODIG erwähnte Haftungsausschluss problematisch. Denn als Verantwortlicher in Bezug auf die Datenbearbeitung gilt jede private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet (Art. 5 Bst. j revDSG). Sofern eine gemeinsame Verantwortlichkeit vorliegt, können betroffene Personen ihre Rechte grundsätzlich gegenüber sämtlichen Co-Verantwortlichen geltend machen und Behörden können gegen jeden von ihnen rechtlich