Erläuternder Bericht

und dabei bei Bedarf auch besonders schützenswerte Personendaten zu bearbeiten. Diese Aufgaben ergeben sich aus Artikel 28d Buchstabe a (Sicherstellung der Sicher- heit und Verfügbarkeit der DNS‑Infrastruktur) sowie Artikel 28e Buchstabe c (Massnah- men gegen widerrechtliche oder ordnungswidrige Nutzung von Domain‑Namen und Zusammenarbeit mit spezialisierten Stellen im Bereich Cybersicherheit). Mit den in Ar- tikel 28a anvisierten Beauftragten ist insbesondere Switch als Registerbetreiberin der .ch domain gemeint, welche einen wesentlichen Beitrag zum Schutz der Domain-Na- men vor Cyberdrohungen leistet und deshalb auch die notwendigen Personendaten bearbeiten dürfen soll.

Nach Artikel 34 Absatz 2 DSG dürfen besonders schützenswerte Personendaten sowie Profilings nur bearbeitet werden, wenn hierfür eine ausdrückliche gesetzliche Grund- lage besteht. Artikel 30a Absatz 1 schafft diese Grundlage und ermöglicht es dem BAKOM und den nach Artikel 28a Beauftragten auch verdeckte Analysen vorzuneh- men und biometrische Daten sowie Daten über verwaltungs‑ und strafrechtliche Ver- folgungen oder Sanktionen zu bearbeiten, soweit dies für den Schutz vor Cyberbedro- hungen erforderlich ist.

Zwar sind die dabei verwendeten Daten nicht in jedem Fall besonders schützenswert, doch kann ihre algorithmische Auswertung oder ihr Abgleich mit weiteren Informationen

– etwa zur Feststellung der Identität der Halterin oder des Halters eines Domain‑Na- mens – bereits ein Profiling darstellen. In bestimmten Konstellationen kann zudem die Bearbeitung besonders schützenswerter Daten notwendig sein, um die Resilienz der DNS-Infrastrukturen und den Schutz vor Cyberbedrohungen wirksam zu gewährleis- ten. So können etwa einschlägige Vorstrafen wertvolle Hinweise für die Erkennung von Risikoprofilen liefern. Der Zugang zu solchen Informationen trägt wesentlich dazu bei, die Herkunft gezielter Bedrohungen wie «Distributed‑Denial‑of‑Service»‑Angriffe (DDoS), Phishing oder die Verbreitung von Malware zu erkennen und zuzuordnen. In Einzelfällen kann auch die in Netzwerken zunehmend eingesetzte biometrische Identi- fikation erforderlich sein, um Handlungen einer bestimmten Person zuzuweisen oder eine unzulässige Nutzung von Domain‑Namen festzustellen, die auf cyberkriminelle Aktivitäten hinweisen kann.

Die Bekämpfung von mithilfe von Domain-Namen verübter Cyberkriminalität ist ein gu- tes Beispiel für die Bearbeitung von Personendaten nach diesem Absatz. Gestützt auf Artikel 28e Buchstabe c ermöglicht Artikel 25 Absatz 1^bisbis 1^quaterVID zum Beispiel der Registerbetreiberin von .ch, einen Domain-Namen bei Verdacht auf eine Nutzung in unrechtmässiger Weise oder zu einem unrechtmässigen Zweck nicht zu aktivieren, da die Aktivierung, die die effektive Nutzung des Domain-Namens ermöglicht, erst nach einer erneuten Identifikation der Halterin oder des Halters innerhalb von 30 Tagen er- folgt. Dieser Prozess der aufgeschobenen Nutzung von Domain-Namen (Deferred De- legation) basiert auf einem Bewertungsalgorithmus (Scoring) der Registerbetreiberin, der die Registrierungsdaten überprüft und beurteilt, ob die gesuchstellende Person kor- rekte Angaben zu ihrer Identität gemacht hat. Statistische und historische Daten der Registerbetreiberin, Informationen von Computer Emergency Response Teams (CERT) und Dritten, die an der Bekämpfung von Cyberkriminalität beteiligt sind, sowie wissenschaftliche Arbeiten dienen als Grundlage für die Analyse, um so eine fundierte Vorhersage hinsichtlich der künftigen Nutzung eines Domain-Namens zu treffen.

Vor diesem Hintergrund und zur effizienten Bekämpfung wachsender Bedrohungen im Bereich der Cybersicherheit ermächtigt diese Rechtsgrundlage die zuständigen Behör- den zum gezielten und verhältnismässigen Einsatz fortschrittlicher Technologien, ein- schliesslich künstlicher Intelligenz. Dadurch soll insbesondere die automatisierte