Ergebnisbericht

Ergebnisbericht Vernehmlassung Bundesgesetz über elektronische Identifizierungsdienste (E-ID-Gesetz, EIDG)

Die GLP begrüsst, dass die Inhaberin oder der Inhaber darüber entscheidet, welche Personenidentifizierungsdaten der IdP an die Betreiberinnen von E-ID-verwendenden Diensten übermitteln darf und dass der IdP das ausdrückliche Einverständnis der Inhaberin oder des Inhabers der E-ID zur Erstübermittlung von Personenidentifizierungsdaten einholen muss. Die GLP regt an zu präzisieren, dass nur die staatlich bestätigten Daten vom Weitergabeverbot nach Abs. 3 erfasst werden, nicht aber der beim IdP bereits bestehende Datenbestand, der keinen Bezug zum E-ID-System aufweist. Auf den letzteren Datenbestand sollte für die GLP nur das gewöhnliche Datenschutzrecht anwendbar sein.

Der Gemeindeverband sieht Klärungsbedarf in verschiedenen Fragen, insbesondere zum Umfang des Handelsverbots, bzw. der Erlaubnis des Handels mit den Personenidentifizierungsdaten nach Art. 7 Abs. 1 und Abs. 4. Die E-ID-Inhaberin und der E-ID-Inhaber müsse sich auf jeden Fall bewusst sein, welche Daten an Dritte weitergegeben werden und welche nicht. Der Gemeindeverband schlägt vor, Art. 10 Abs. 3 wie folgt zu ergänzen: Für die Bekanntgabe der Daten nach Art. 7 Abs. 1 und 4 an Dritte ist das Einverständnis des E-ID-Inhabers einzuholen.

Die FER begrüsst die Erwähnung des Einverständnisses der Inhaberin oder des Inhabers der E-ID zur Datenübermittlung und die Einschränkung der Datenbearbeitung durch den Staat und die IdP. Der VSKB regt an, Kongruenz der Sicherheitsniveaus von E-ID-verwendenden Diensten und übermittelten Personendaten zu schaffen: Daten von bestimmten Sicherheitsniveaus sollten nur an E-ID-verwendende Dienste (bspw. Online-Shops) weitergegeben werden können, wenn diese nachgewiesenermassen ein ausreichendes Sicherheitsniveau implementiert haben. SBV und VSBK regen an, zur Stärkung des Datenschutzes den Geltungsbereich von Art. 10 Abs. 3 auf sämtliche Absätze von Art. 7 zu Personenidentifizierungsdaten auszuweiten. Der VSKB sieht die aktuelle Eingrenzung der Datenbearbeitung als zu restriktiv und schlägt vor, diese Vorgabe hinsichtlich möglicher künftiger Entwicklungen abzuschwächen. Die SBV sieht in der vorgeschlagenen Regelung der Datenweitergabemöglichkeiten einen Widerspruch zu den grundsätzlichsten Anforderungen an einen vernünftigen Datenschutz.

Das Verbot der Weitergabe von Personenidentifizierungsdaten in seiner absoluten Form erachten KARTAC und SPA als zu weitgehend, nicht kompatibel mit der Geldwäschereigesetzgebung und nicht praktikabel. KARTAC und SPA regen an, das in Art. 10 Abs. 3 VE E-ID-Gesetz vorgesehene absolute Verbot der Weitergabe von Personenidentifizierungsdaten und darauf basierenden Nutzungsprofilen durch den IdP oder den Betreiber von E-IDverwendenden Diensten zu ersetzen und an dessen Stelle einen Ansatz zu wählen, welcher einerseits nicht im Widerspruch zu (bewährten) rechtlichen Mechanismen der Geldwäschereibekämpfung steht und andererseits der E-ID-Inhaberin/dem E-ID-Inhaber ein Mitspracherecht bei der Verwendung der Daten zubillige. Der ASUT geht davon aus, dass die Vorschriften des Datenschutzgesetzes (in Revision) vollumfänglich Anwendung finden werden. Die SPA erachtet das vorgesehene Verbot der Weitergabe der Daten innerhalb eines Konzerns als nicht praktikabel und nicht der heutigen Realität entsprechend. Der SFTI sieht die explizite Eingrenzung der Datenbearbeitung für den IdP auf die zwei Anwendungsfälle „Identifizierung“ und „Authentifizierung“ möglicherweise mit Blick auf die Herausforderungen und Bedürfnisse des praktischen Alltags als zu einschränkend an und empfiehlt deshalb eine offenere Formulierung.

Der SAV ist der Meinung, dass der Handel mit Daten auf das Notwendige zu beschränken und im vorliegenden Gesetz zu bestimmen sei, welche Daten gehandelt werden dürfen, um alle Personen gleich zu behandeln. Der VSED beantragt eine Ergänzung des Abs. 3 mit einem Erfordernis einer Einverständniserklärung für die Bekanntgabe der Daten nach Art. 7 Abs. 1 und 4 an Dritte.