Erläuternder Bericht

die Unterstützungsleistung an die Erbringerin selbst oder die Abgeltung für die Leis- tungen von beigezogenen Dritten.

- Artikel 33d VE-PG (Notlagen Post- und Zahlungsverkehr): Der Bundesrat kann das

UVEK neu ermächtigen, auf Antrag der Post diese vorübergehend vollständig oder teilweise von der Pflicht zur Einhaltung der Vorgaben zu Umfang, Zugang und Qua- lität zu entbinden. Er regelt im Einzelnen die Voraussetzungen zur Entbindung so- wie das Verfahren zur Antragstellung.

6.8 Datenschutz

Das revidierte Gesetz verpflichtet die Post dazu, im Rahmen der Grundversorgung mit Postdiensten ein hybrides Zustellsystem anzubieten (Art. 14 Abs. 9 VE-PG) und in die- sem Zusammenhang die Sicherheit und Vertraulichkeit der Daten zu gewährleisten (Art. 14 Abs. 10 VE-PG). Dies ist aktuell bereits in der Verordnung geregelt (Art. 35a und 35f VPG). Das hybride Zustellsystem wurde per 1. April 2026 in die Grundversor- gung mit Postdiensten aufgenommen. Das BAKOM hatte in einer Risikovorprüfung festgestellt, dass die geplante umfangreiche Bearbeitung von besonders schützens- werten Personendaten voraussichtlich zu einem hohen Risiko für die Grundrechte der betroffenen Personen führen wird. Die Post respektive deren Konzerngesellschaft ePost Service AG als Betreiberin der Plattform für das hybride Zustellsystem war des- halb verpflichtet, eine Datenschutz-Folgenabschätzung (DSFA) gemäss Artikel 22 des Datenschutzgesetzes vom 25. September 2020⁶³ (DSG) durchzuführen. Die wichtigs- ten Risiken sowie die Massnahmen der Post zu deren Minimierung werden im Folgen- den erörtert.

Unbefugter Zugriff: Eine Offenlegung vertraulicher Inhalte und Metadaten würde das Briefgeheimnis und die Persönlichkeitsrechte der betroffenen Personen erheblich ver- letzen. Um dies zu verhindern, werden sämtliche Daten während der Übertragung und Speicherung mandanten- und nutzerbasiert verschlüsselt. Die Schlüsselverwaltung er- folgt von der Plattform entkoppelt über ein unabhängiges Key-Management-System mit verteilter Schlüsselhoheit. Zugriffe auf das System und die Daten sind rollenbasiert ge- regelt und auf das notwendige Minimum beschränkt. Aufgrund dieser Massnahmen gilt ein unbefugter Zugriff als sehr unwahrscheinlich.

Datenverlust und Systemausfall: Der Verlust rechtserheblicher Dokumente oder Zu- stellnachweise sowie ein länger andauernder Systemausfall könnten gravierende Fol- gen haben. Deshalb setzt die Post hochverfügbare Speichersysteme ein. Die Daten werden mehrfach redundant gespeichert und regelmässig automatisiert gesichert. Für schwerwiegende Systemstörungen gibt es Notfall- und Wiederanlaufprozesse, die re- gelmässig geübt werden. Die Daten und Systeme sind über mehrere Standorte hinweg repliziert. Aufgrund dieser Vorkehrungen gilt ein Systemausfall, der länger als 24 Stun- den dauert, als unwahrscheinlich. Ein Datenverlust gilt als sehr unwahrscheinlich.