Erläuternder Bericht

Artikel 3 Anforderungen an den Einsatz der Ton- und Bildübertragungssysteme

Artikel 3 regelt die Anforderungen an Datenschutz und Datensicherheit, die beim Ein- satz von Ton- und Bildübertragungssystemen erfüllt sein müssen. Ton- und Bildüber- tragungssysteme umfassen diejenigen Systeme, die den elektronischen Austausch von Informationen zwischen mehreren Personen per Ton- und Bildübertragung ermög- lichen. Sie werden eingesetzt, um Prozesshandlungen mittels Video- oder Telefonkon- ferenzen durchzuführen oder einzelne Personen per solche Mittel zuzuschalten.

Absatz 1 regelt die datenschutz- und datensicherheitsrechtlichen Anforderungen an die Übertragung der Daten:

− Erstens muss sichergestellt sein, dass sich alle Server, über die Ton und Bild übertragen bzw. die von den Teilnehmenden und den Betreibenden des Sys- tems genutzt werden, in der Schweiz oder in einem Staat mit angemessenem Datenschutzniveau nach Artikel 16 Absatz 1 DSG befinden (Bst. a). Diese An- forderung schränkt die Wahl der möglichen Anbieterinnen zwar ein, allerdings kann damit sichergestellt werden, dass bei der Datenbearbeitung die Vorgaben des DSG erfüllt werden und die Daten folglich hinreichend geschützt sind. Aus- geschlossen werden sollen insbesondere Services, die auf Servern in den USA laufen und die Vertraulichkeit der Daten nicht gewährleisten. Um diese Anforde- rung zu gewährleisten, sind in der Regel vertragliche Abreden mit den Anbiete- rinnen bzw. das Setzen von entsprechenden Bedingungen beim Bezug der Sys- teme erforderlich. Unter Umständen muss das eingesetzte System so ausge- staltet und konfiguriert sein, dass es über Server ausserhalb der vorgegebenen Standorte gar nicht erst nutzbar ist.

− Zweitens müssen Ton und Bild bei Anwendung des Systems bzw. bei der Video- oder Telefonkonferenz verschlüsselt übertragen werden (Bst. b). Video- und Te- lefonkonferenzen sollen nur über verschlüsselte Kanäle stattfinden. Das ist zum Schutz der personenbezogenen Daten der Beteiligten erforderlich. Konkrete An- forderungen an die Verschlüsselung sind aber nicht vorgesehen. So bleibt etwa offen, welche Art der Verschlüsselung gewährt ist (Server-to-Server, Client-to-Server, End-to-End etc.).²⁰

− Drittens haben die Gerichte sicherzustellen, dass sich das eingesetzte Server- system, über das die Übertragung stattfindet, auf dem neusten Sicherheitsstand befindet und bekannte kritische Lücken geschlossen sind (Bst. c). Diese Vor- gabe entspricht den Anforderungen an die Systemsicherheit nach Artikel 3 Ab- satz 2 Buchstabe f DSV. Alle eingesetzten Softwarekomponenten sind regel- mässig auf aktuelle Sicherheitslücken zu überprüfen und zu aktualisieren (Patch-Management). Ebenso ist es erforderlich, dass verfügbare Updates so- fort vorgenommen werden. Der Systemsicherheit dient auch die Sensibilisierung der Benutzerinnen und Benutzer für sichere Praktiken wie bspw. die Verwen- dung sicherer Passwörter.