Erläuternder Bericht

Angesichts der allgemeinen Unsicherheit betreffend die Veröffentlichung von Daten von gTLDs wie «.swiss» in der WHOIS-Datenbank ist es sinnvoll, auf die von der ICANN zu verabschiedenden Spezi- fikationen zu verweisen (Art. 52 Abs. 1 VID). Dieser allgemeine Verweis ist auch dadurch gerechtfer- tigt, dass die künftig im WHOIS veröffentlichten Daten kaum mehr sensibel sind und grösstenteils keine personenbezogenen Daten im Sinne der europäischen DSGVO oder des Schweizer DSG dar- stellen. Ausserdem geht es hier auch um die Praktikabilität und Rechtssicherheit. Es soll vermieden werden, dass die VID ständig angepasst werden muss, wenn die ICANN ihre Spezifikationen – die auch für die Domain «.swiss» gelten – ändert.

Allerdings ist es angesichts der Bedürfnisse in Bezug auf die Domain «.swiss» gerechtfertigt, der Re- gisterbetreiberin die Möglichkeit zu geben, bestimmte personenbezogene Daten zu veröffentlichen (Art. 52 Abs. 2 VID). Dies betrifft zunächst den Namen einer Organisation, die Halterin eines Domain-Namens ist, d. h. eine Gesellschaft oder juristische Person (Bst. a). Die Veröffentlichung ist in diesem Fall damit gerechtfertigt, dass hinsichtlich der in der Domain «.swiss» tätigen Unternehmen und juristi- schen Personen Transparenz herrschen muss und die Daten über juristische Personen (in Bezug auf die DSGVO) nicht geschützt sind oder (gemäss DSG, das entsprechend angepasst werden dürfte)

bald nicht mehr geschützt sein könnten. In diesem Zusammenhang sollte es möglich sein, die Identifi- zierungsangaben und Kontaktdaten der Halterinnen und Halter von Domain-Namen zu veröffentli- chen, wenn es sich um juristische Personen handelt (Bst. b; wird derzeit in der ICANN diskutiert).

Schliesslich sollten die Identifizierungsangaben und Kontaktdaten aller Halterinnen und Halter veröf- fentlicht werden können, die ihre Zustimmung gegeben haben («Opt-in» in Bst. c). In Artikel 52 Absatz 3 VID wird der bisherige Absatz 2 unverändert übernommen.

Da die Identifizierungsangaben und Kontaktdaten der Halterinnen und Halter von Domain-Namen nicht mehr im WHOIS veröffentlicht werden, muss der Zugang zu diesen personenbezogenen Daten geregelt werden, wenn berechtigte und überwiegende Interessen Dritter bestehen (Art. 52 Abs. 4).

Dies gilt insbesondere für Strafverfolgungsbehörden und andere Behörden, Forschende und im Be- reich der Cybersicherheit tätige Organisationen, Inhaberinnen und Inhaber von Rechten an geistigem Eigentum und ihre Anwältinnen und Anwälte, Organisationen für die Betrugsbekämpfung, aber auch für geschädigte Konsumentinnen und Konsumenten und jede andere Person, die ein überwiegendes Interesse an Daten einer Halterin oder eines Halters eines bestimmten Domain-Namen hat. Diese Fra- gen werden innerhalb des EPDP-Teams der ICANN intensiv diskutiert, das ein einheitliches Datenzu- griffssystem für alle Registerbetreiberinnen und Registrare von gTLDs einführen will (Unified Access Model oder System for Standardized Access/Disclosure of Non-Public Registration Data [SSAD]).

Noch ist offen, welches Modell umgesetzt werden wird, doch könnte ein von der ICANN verwaltetes zentrales Portal implementiert werden, das nach einem noch vollständig zu definierenden Authentisie- rungs- und des Autorisierungsverfahren Zugang zu den Daten bietet. Parallel dazu wurde das veral- tete technische Protokoll überarbeitet (wurde 1982 von der Internet Engineering Task Force (IEFT) veröffentlicht!), das dem Betrieb des WHOIS-Dienstes zugrunde liegt. Das neue Protokoll RDAP (Re- gistration Data Access Protocol) wurde von der ICANN und der IETF gemeinsam entwickelt und stan- dardisiert neue sichere und differenzierte Zugangsformate für Datenbanken wie WHOIS. Die Register- betreiberinnen und Registrare von gTLDs wurden verpflichtet, vor dem 26. August 2019 einen RDAP-Dienst einzurichten.

Da darin derzeit auch die grösste Unsicherheit hinsichtlich des Zugangs zu den personenbezogenen Daten von Halterinnen und Haltern von Domain-Namen besteht, ist es sinnvoll, sich diesbezüglich hauptsächlich auf die Spezifikationen der ICANN zu stützen (Art. 52 Abs. 6 VID). Die Pflicht der Zu- gangsgewährung gilt nicht nur für die Registerbetreiberin, sondern auch für die Registrare, wenn sie im Auftrag der Halterinnen und Halter von Domain-Namen tätig sind, deren personenbezogene Daten angefordert werden (Abs. 5). Auf der Grundlage der ICANN-Spezifikationen muss die Registerbetrei- berin möglicherweise einen erleichterten Datenzugang für Behörden oder sogar für andere Personen- gruppen bereitstellen.

Das BAKOM sollte die Kompetenz erhalten, zusätzlich und bei Bedarf die Modalitäten und Verfahren für den Zugang unter Beachtung der ICANN-Vorschriften zu regeln und die Höhe der Vergütung für