Erläuternder Bericht

Analyse digitaler Verhaltensweisen ermöglicht werden, bei denen ein Verdacht auf missbräuchliche oder strafbare Aktivitäten besteht, um im digitalen Raum mittels Do- main‑Namen begangene Angriffe zu erkennen, zu verhüten und zu verhindern.

Abs. 2

Die Weitergabe der bearbeiteten Daten sowie der Ergebnisse von Profilings an Schwei- zer Behörden sowie an private und öffentliche Stellen sollen unter spezifischen Um- ständen ermöglicht werden. Damit wird ein strukturierter Informationsaustausch ge- schaffen, der erforderlich ist, um Cyberbedrohungen umfassend zu erkennen, zu ana- lysieren und zu entschärfen. Die Weitergabe ist jedoch nur zulässig, wenn die empfan- gende Behörde selbst über eine hinreichende gesetzliche Grundlage verfügt – was eine wichtige datenschutzrechtliche Schranke darstellt und den Grundsatz der Zweck- bindung sicherstellt. Es handelt sich dabei um Behörden, die ebenfalls im Bereich der Cybersicherheit Aufgaben erfüllen, wie namentlich das BACS, fedpol oder das Staats- sekretariat für Sicherheitspolitik (SEPOS).

Abs. 3

Der Bundesrat wird ermächtigt, die Einzelheiten der Bearbeitung besonders schützens- werter Personendaten sowie der Durchführung von Profilings zu regeln. Er kann ins- besondere Anforderungen an die Datensicherheit, die Verfahrensabläufe, die Protokol- lierung, die Lösch‑ und Aufbewahrungsfristen sowie an die Zuständigkeiten festlegen. Diese Delegation ermöglicht eine flexible und technologieneutrale Ausgestaltung, wel- che der raschen Entwicklung im Bereich der Cybersicherheit Rechnung trägt.

Sie stützt sich auf Artikel 34 Absatz 3 DSG, wonach für die Bearbeitung besonders schützenswerter Personendaten oder die Durchführung von Profilings in bestimmten Fällen eine Grundlage in einem Gesetz im materiellen Sinn ausreicht. Der Bundesrat hat dabei sicherzustellen, dass solche Bearbeitungen keine besonderen Risiken für die Grundrechte der betroffenen Personen bergen. Es handelt sich um Datenbearbeitun- gen, die für die Erfüllung einer gesetzlichen Aufgabe unerlässlich sind (vgl. Art. 34 Abs. 3 Bst. a DSG) und deren Zweck – der Schutz der betroffenen Ressourcen – für sich genommen kein besonderes Risiko für die Grundrechte der Benutzerinnen und Benutzer darstellt (vgl. Art. 34 Abs. 3 Bst. b DSG).

Da es nicht möglich ist, im Voraus alle Instrumente zu definieren, die zur Bekämpfung von Cyberkriminalität erforderlich sein können – etwa zur Erkennung, Verhütung, Ver- hinderung oder Verfolgung von Straftaten, die im digitalen Raum mithilfe von Domain-Name begangen werden –, obliegt es dem Bundesrat, die Durchführung von Profilings und die Bearbeitung besonders schützenswerter Daten im Bedarfsfall zu konkretisie- ren. Dabei hat er die besonderen Eigenschaften der eingesetzten Instrumente zu be- rücksichtigen, wie sie in der Fernmeldegesetzgebung etwa im Rahmen des Prozesses der aufgeschobenen Nutzung von Domain‑Namen der VID vorgesehen sind oder künf- tig vorgesehen werden können. Dazu gehört namentlich die Festlegung der betroffenen besonders schützenswerten Daten sowie der Anforderungen an deren technischen und organisatorischen Sicherheit.

Abs. 4

Absatz 4 stellt klar, dass die allgemeinen Bestimmungen über Datenbearbeitung (vgl. Art. 13a) und Amtshilfe (vgl. Art. 13b) auch auf die in Artikel 30a geregelten Datenbear- beitungen und deren Bekanntgabe an schweizerische oder ausländische Behörden