Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Buchstabe d Bearbeiten

Der Begriff des Bearbeitens in Buchstabe d bleibt inhaltlich unverändert. Die Liste wurde jedoch ergänzt um "Speichern" und "Löschen" mit dem Ziel, sich dem Wortlaut des

Europäischen Rechts anzunähern (Art. 2 Bst. b E-SEV 108, Art. 4 Abs. 1 der Verordnung [EU] 2016/679 und Art. 3 Abs. 2 der Richtlinie [EU] 2016/680). Wie im aktuellen Recht ist die Liste der möglichen Bearbeitungsvorgänge nicht abschliessend, so dass zahlreiche

Operationen darunter fallen können (Organisation, Sortieren, Verändern, Auswerten von Daten etc.).

Anders als das Schweizer Recht verwendet die Europäische Union den Begriff des

Verarbeitens statt Bearbeiten. Aus Praktikabilitätsgründen wurde darauf verzichtet, das Schweizer Recht auch in dieser Hinsicht anzupassen, zumal inhaltlich kein Unterschied besteht.

Buchstabe f Profiling

Der Bundesrat schlägt vor, den Begriff «Persönlichkeitsprofil», der in Artikel 3 Buchstabe d DSG definiert ist, aufzuheben. Der Begriff «Persönlichkeitsprofil» ist eine Besonderheit unserer Gesetzgebung. Weder das europäische Recht noch andere ausländische

Gesetzgebungen kennen diesen Begriff. Seit dem Inkrafttreten des DSG im Jahr 1992 kam ihm keine grosse Bedeutung zu und heute scheint er durch die Entwicklung neuer

Technologien überholt. An seiner Stelle wird im VE der Begriff des «Profiling» verwendet. Der Begriff findet sich in Art. 3 Ziff. 4 der Richtlinie (EU) 2016/680 und Art. 4 Ziff. 4 der Verordnung (EU) 2016/679. Obwohl die beiden Begriffe Ähnlichkeiten aufweisen, sind sie nicht deckungsgleich. Das Persönlichkeitsprofil ist das Ergebnis eines

Bearbeitungsprozesses und erfasst damit etwas Statisches. Hingegen umschreibt das Profiling eine bestimmte Form der Datenbearbeitung, mithin einen dynamischen Prozess. Darüber hinaus ist der Vorgang des Profilings auf einen bestimmten Zweck ausgerichtet. So ist Profiling definiert als jede Auswertung von Personendaten oder nicht-personenbezogenen Daten, um wesentliche persönliche Merkmale zu analysieren oder Entwicklungen

vorherzusagen. Der VE-DSG führt als Beispiele für persönliche Merkmale, die analysiert werden können, die Arbeitsleistung, die wirtschaftliche Lage, die Gesundheit, die Intimsphäre oder auch die Mobiliät auf. Diese Analyse kann beispielsweise erfolgen, um herauszufinden, ob eine Person für eine bestimmte Tätigkeit geeignet ist.

Die Begriffsdefinition erfasst die Auswertung von Personendaten sowie anderen Daten und trägt damit der Tatsache Rechnung, dass es durch die technische Entwicklung (Big Data) vermehrt möglich wird, Daten ohne persönlichen Bezug so auszuwerten, dass anschliessend Personendaten vorliegen. Ohne Bedeutung ist dabei, ob der Verantwortliche, der das

Profiling betreibt, dies für eigene Zwecke tut oder für einen Dritten. Ebenfalls bezieht Profiling sowohl die automatisierte als auch die nicht-automatisierte Auswertung von Daten mit ein (zur Abgrenzung zur automatisierten Einzelentscheidung vgl. Ziff. 8.1.3.3). Dies erscheint sachgerecht, weil der Automatisierungsgrad der Verarbeitung (z.B. mit oder ohne

Algorithmus) kein sachgerechtes Kriterium dafür ist, welche Aktivitäten den besonderen Schutz der betroffenen Person erfordern. Vielmehr ist massgebend, dass Daten im Hinblick auf die Untersuchung zentraler Persönlichkeitsmerkmale ausgewertet werden. Auf diese Weise ergibt sich auch keine Schutzlücke durch die terminologische Umstellung vom

Persönlichkeitsprofil auf das Profiling. Darüber hinaus erlaubt es der neue Begriff, den verschiedenen Bundesorganen gezielter eine gesetzliche Grundlage zu gewähren. Nur jene Bundesorgane, welche tatsächlich Profiling betreiben, sollen eine entsprechende Kompetenz erhalten.

Daten, welche aufgrund eines Profilings entstehen, sind grundsätzlich Personendaten im Sinne von Artikel 3 Buchstabe a VE-DSG. Je nach Gegenstand kann es sich dabei auch um besonders schützenswerte Personendaten handeln.

Buchstabe h Verantwortlicher

Der VE-DSG sieht die Einführung dieses Begriffs vor, damit die gleiche Terminologie wie im E-SEV 108 (Art. 2 Bst. b), in der Richtlinie (EU) 2016/680 (Art. 3 Ziff. 8) und in der

Verordnung (EU) 2016/679 (Art. 4 Ziff. 7) verwendet wird. Als «Verantwortlicher» gilt die