Ergebnisbericht

Aktenzeichen: BAV-011-11/15/2/1/3/1

vorgehen. Ob und inwiefern bezüglich der MODI eine alleinige bzw. gemeinsame Verantwortlichkeit der beteiligten Parteien vorliegt, gilt es hier nicht zu beurteilen. Es braucht jedoch eine gut durchdachte Regelung und die sich in diesem Zusammenhang stellenden Fragen müssen beantwortet werden können. Ein gänzlicher Haftungsausschluss erscheint unter Berücksichtigung des Umstandes, dass die MDA unter Umständen Personendaten bearbeiten kann, zudem kritisch. Umso wichtiger ist es, dass die NADIM ausschliesslich als schlanke Schnittstelleninfrastruktur ausgestaltet wird, die Mobilitätsdaten bereitstellt und deren Austausch ermöglicht, jedoch nicht darüberhinausgehende Dienste und Funktionen (wie z.B. Vertriebsfunktionalitäten) zur Verfügung stellt, welche u.a. die Bearbeitung von Personendaten erforderlich machen. Art. 18 MODIG (Bearbeitung von Personendaten) könnte diesfalls gestrichen werden.

ZG: Es bleibt unklar, ob auch Personendaten der Endkundinnen und -kunden zu den Kerndaten (Art.

6) zählen können. Die Lieferung von Personendaten durch die Datenlieferanten sind ausdrücklich als Kerndaten auszunehmen (siehe Antwort 19b).

Gemäss Art. 18 Abs. 2 wird eine gesetzliche Grundlage für Bewegungsdaten und besonders schützenswerte Personendaten geschaffen. Daraus könnte gefolgert werden, dass (einfache) Personendaten und personenbezogene Bewegungsdaten an sich bearbeitet werden dürfen (gemäss Art. 13 Abs. 2 Bst. c und d; siehe Erläuterung zu Art. 13 sowie Bemerkungen in Ziff. 7.8).Im Gesetz ist klar festzuhalten, wem gegenüber Personen- und Bewegungsdaten in welchen Fällen für wie lange zugänglich gemacht werden dürfen bzw. wann diese zu löschen sind (siehe Erläuterungen zu Art. 18).

Frage 19b: MDA – Datenschutz durch Datenliefernde

Teilen Sie die Ansicht, dass es grundsätzlich Aufgabe der Datenlieferantinnen und -lieferanten ist, den Schutz der Personendaten ihrer Endkundinnen und -kunden sicherzustellen z.B. über die Einlieferung anonymisierter Daten?

Hinweise der Zustimmenden

Ja – «Die Sicherstellung des Datenschutzes ist jedoch eine gemeinsame Aufgabe.»

AMAG: Allerdings scheint es erwähnenswert, dass sich MODI hier nicht ganz aus der Verantwortung ziehen kann (insbesondere im Rahmen der Kombinierbarkeit von Daten) – es ist also eine gemeinsame Verantwortung zu realisieren.

BE: Allerdings hat auch der «Sammler» und Anbieter der Daten über die nationale Infrastruktur dafür zu sorgen, dass beispielsweise bei der Aufbewahrung und der eigenen Weitergabe von Informationen der Schutz der Personendaten sichergestellt wird.

CHACOMO: Die Verantwortung der Datenlieferanten endet bei Datenschutzverletzungen, die sich spezifisch durch die Kombination oder Vernetzung mit Daten Dritter auf Ebene der MODI ergeben könnten.

NE, ZH, ZVV: En tant qu'intermédiaire de données, l'exploitant du MODI a une part de responsabilité.

Post: Der Datenlieferant wird den Schutz der Personendaten nicht gewährleisten können, alleine durch die Einlieferung von stets anonymisierten Daten. Um eine Identifikation von Personen zu verunmöglichen müssten die Daten (z.B. Einsteigeort) derart stark verfremdet werden, dass der mittelfristige Nutzen der NADIM gefährdet ist. Aus diesem Grund scheint es sinnvoll, dass auch die MDA eine Mitverantwortung bei der Einhaltung des Datenschutzes trägt.