Erläuternder Bericht

Absatz 3: Die IAMV ist aufgrund von Artikel 84 Absatz 3 ISG auch auf die verpflichteten Behörden nach Artikel 2 Absatz 1 Buchstaben a und c–e ISG anwendbar, soweit diese keine eignen Bestimmungen erlassen. Damit dieses Konstrukt funktioniert, müssen die anderen verpflichteten Behörden mindestens regeln, wer in ihrem Bereich die datenschutzrechtliche Verantwortung innehat.

Absatz 4: Aufgrund der neuen Absätze 2 und 3 wird der heutige Absatz 2 inhaltlich unverändert zu Absatz 4.

Art. 11 Abs. 2 und 3

Die heutigen Absätze 2 und 3, wonach in den IAM-Systemen keine Persönlichkeitsprofile und ohne besondere rechtliche Grundlage auch keine besonders schützenswerten Personendaten bearbeitet werden dürfen, sind einerseits aufgrund von Artikel 20 Absatz 2 ISG und andererseits aufgrund der Totalrevision des nDSG zweifach zu überarbeiten (vgl. die Ausführungen unter Ziff. 3.4). Erstens tritt an die Stelle des Verbots der Bearbeitung von Persönlichkeitsprofilen ein Verbot des Profiling (vgl. Art. 5 Bst. f nDSG). Zweitens gelten biometrische Daten, die eine Person eindeutig identifizieren, neu pauschal als besonders schützenswerte Personendaten. Für ihre Bearbeitung wird aber in Artikel 20 Absatz 2 ISG eine allgemeine Grundlage geschaffen. Solche biometrischen Daten dürfen daher nach dem Anhang (Bst. a Ziff. 11) neu grundsätzlich in allen IAM-Systemen bearbeitet werden, in denen es zur risikogerechten Identifizierung erforderlich ist.

Art. 13 Abs. 4

In Buchstabe a wird der Klarheit halber explizit festgehalten, dass die fragliche Rechtsgrundlage (auch) die Bearbeitung der bereitzustellenden Daten vorsehen muss.

Art. 14 Abs. 2

Diese Bestimmung bleibt materiell unverändert, jedoch ist der Verweis nicht mehr auf Artikel 2a des Bundesgesetzes vom 3. Oktober 2008²⁵ über die militärischen Informationssysteme (MIG), sondern neu auf das ISG zu machen.

Gliederungstitel vor Art. 18 sowie Art. 18 Abs. 1 und 2

Informationssicherheit und die Einhaltung derer Vorgaben sollen nicht ausschliesslich für IAM-Systeme selbst gelten, sondern ebenso für Verzeichnisdienste anwendbar sein. Dies gilt auch für bundesexterne Anbieter von Verzeichnisdiensten, insbesondere wenn diese Anbieter nicht bereits ein IAM-System betreiben. Der Verordnungstext wird daher entsprechend ergänzt.

Art. 20 IAM-Gesamtsystem

Gemäss heutigem Artikel 20 können die IAM-Systeme der Bundesverwaltung untereinander sowie mit den IAM-Systemen der Parlamentsdienste oder der Armee in optimaler Art untereinander verbunden werden, um eine effiziente Aufgabenteilung zu ermöglichen. Dies bedeutet auch, dass in der Art einer Föderation Benutzerdaten untereinander ausgetauscht werden können. Neu sollen die genannten IAM-Systeme auch mit den IAM-Systemen nach Artikel 21 verbunden werden können, weshalb Artikel 20 materiell entsprechend ergänzt wird. Formell neu ist, dass sämtliche IAM-Systeme ausserhalb der Bundesverwaltung (externe IAM-Systeme), also auch die bisher in Artikel 20 aufgeführten IAM-Systeme der Parlamentsdienste und der Armee, zusammen in Artikel 21 aufgelistet werden.

Art. 21 Anschluss externer IAM-Systeme: Voraussetzungen

Einleitungssatz: Wenn ein externes IAM-System nach Artikel 21 mit den IAM-Systemen der Bundesverwaltung, der Parlamentsdienste oder der Armee verbunden werden sollen, ist es insbesondere aus Sicherheitsgründen zwingend, dass sich die fraglichen Betreiberinnen und Betreiber der IAMV unterwerfen. Der Einleitungssatz wird daher entsprechend ergänzt.

Buchstaben a und b: Neu werden in der Aufzählung auch die bisher in Artikel 20 aufgeführten IAM-Systeme der Parlamentsdienste und de Armee aufgelistet.

Die Buchstaben c–f entsprechen den heutigen Buchstaben a–d.