Um es gleich vorwegzunehmen: Das Schutzobjekt der eidgen\u00f6ssischen Datenschutzaufsicht sind nicht Daten, sondern die Privatsph\u00e4re und die informationelle Selbstbestimmung von Personen. Soweit Informationen keinen unmittelbaren Bezug zu bestimmten oder bestimmbaren Personen aufweisen, fallen sie weder unter das Bundesgesetz \u00fcber den Datenschutz (DSG) noch in die Aufsicht des Eidgen\u00f6ssischen Datenschutz- und \u00d6ffentlichkeitsbeauftragten (Ed\u00f6b).<\/p>\n
Mit der totalrevidierten Fassung des DSG, die voraussichtlich am 1. September 2023 in Kraft treten kann, wird dessen Geltungsbereich auf die Bearbeitung von Daten beschr\u00e4nkt, die sich auf nat\u00fcrliche Personen beziehen. Mit der Vertraulichkeit der Konstruktionspl\u00e4ne von Waffensystemen oder der Preiskalkulationen von Medikamenten m\u00f6gen gewichtige \u00f6ffentliche Interessen oder private Interessen juristischer Personen verbunden sein. Fehlt jedoch ein Bezug zu bestimmten oder bestimmbaren nat\u00fcrlichen Personen, st\u00fctzt sich der Schutz solcher Informationen k\u00fcnftig nicht mehr auch auf das Datenschutzgesetz, sondern nur noch auf andere Normen der Rechtsordnung. Dazu z\u00e4hlen etwa die Strafbestimmungen zur Wahrung des Amts- und Berufsgeheimnisses oder des Gesch\u00e4fts- und Fabrikationsgeheimnisses.<\/p>\n
Nur noch als Sachdaten gelten auch vormalige Personendaten, die nachtr\u00e4glich vollst\u00e4ndig anonymisiert wurden, sodass sie keine R\u00fcckschl\u00fcsse auf nat\u00fcrliche Personen mehr erm\u00f6glichen. Auch verschl\u00fcsselte Daten lassen sich f\u00fcr jene, die sie nicht entschl\u00fcsseln k\u00f6nnen, nicht auf Personen zur\u00fcckf\u00fchren, sodass sie f\u00fcr Letztere keine Personendaten darstellen.<\/p>\n
Die Unterscheidung von Sach- und Personendaten steht in einem gewissen Kontrast zur Realit\u00e4t. Denn erstens werden Sach- und Personeninformationen meist vermischt bearbeitet. Zweitens st\u00f6sst die Anonymisierung von Personendaten an Grenzen: Oft lassen sich Daten nach Entfernung von Personenattributen wie Namen, Geburtsdaten oder Adressen weiterhin mit anderen Datenbest\u00e4nden wie z.B. im Internet abgleichen, was dazu f\u00fchren kann, dass R\u00fcckschl\u00fcsse auf bestimmbare Personen m\u00f6glich werden. Und drittens existiert heute (noch) keine marktreife Technologie, welche die Bearbeitung von komplexen Inhaltsdaten im verschl\u00fcsselten Zustand erlaubt. Mit anderen Worten: Das Problem l\u00e4sst sich bisher auch nicht technologisch l\u00f6sen.<\/p>\n
Solange die Anonymisierung und die Verschl\u00fcsselung von Personendaten in der digitalen Realit\u00e4t von heute unbew\u00e4ltigte Herausforderungen darstellen, muss sich die Datenschutzaufsicht der Eidgenossenschaft mit einer F\u00fclle von Vorhaben und Technologien auseinandersetzen, die unerw\u00fcnschte R\u00fcckschl\u00fcsse auf bestimmte oder bestimmbare Personen nicht mit Sicherheit ausschliessen, sondern nur erschweren. In ihrer t\u00e4glichen Arbeit besch\u00e4ftigt sich die eidgen\u00f6ssische Datenaufsicht demzufolge mit den ungewissen Auswirkungen, die der Einsatz entsprechender Technologien auf das private und selbstbestimmte Leben der betroffenen Personen zeitigen k\u00f6nnten.<\/p>\n
Nehmen wir das Beispiel der Exporte von Personendaten in die zahlreichen Staaten, die wie die USA \u00fcber keine Datenschutzgesetzgebung verf\u00fcgen, die mit jenen der Schweiz und der Mitgliedsstaaten der EU resp. des EWR vergleichbar ist. Solche Exporte stellen heute eine Knacknuss dar. Denn einerseits verf\u00fcgen US-Technologiekonzerne wie Microsoft, Google oder Amazon aufgrund ihrer technologischen Leistungsf\u00e4higkeit und Kapitalkraft als Anbieter von Cloud-Diensten \u00fcber eine Marktf\u00fchrerschaft, welche sowohl ihre private als auch ihre staatliche Kundschaft in Europa in eine faktische Abh\u00e4ngigkeit gebracht hat.<\/p>\n
Andererseits existiert eine \u2013 wenngleich f\u00fcr die Schweiz nicht verbindliche \u2013 h\u00f6chstrichterliche Rechtsprechung des Europ\u00e4ischen Gerichtshofs. Diese besagt, dass Personendaten von Einwohnerinnen und Einwohnern der EU resp. des EWR nicht ohne Weiteres in einem von US-Konzernen betriebenen Rechenzentrum bearbeitet werden d\u00fcrfen. Diese Rechtsprechung hat der Gerichtshof damit begr\u00fcndet, dass die Rechtsordnung der USA B\u00fcrgerinnen und B\u00fcrgern von Drittstaaten keinen mit dem europ\u00e4ischen Recht vergleichbaren Schutz vor US-beh\u00f6rdlichen Eingriffen in ihre Privatsph\u00e4re gew\u00e4hrt.<\/p>\n
Soweit die US-Rechtsordnung extraterritoriale Wirkungen zeitigt, d\u00fcrfte diese Rechtsprechung auch f\u00fcr die Bearbeitung von Personendaten in Rechenzentren zu beachten sein, die US-Konzerne auf dem Territorium eines EU- oder EWR-Mitgliedsstaates betreiben. Denn wenn verschl\u00fcsselte Personendaten \u2013 wie oben beschrieben \u2013 im Zustand der Ver\u00e4nderung lesbar werden, k\u00f6nnen die Betreiber solcher Rechenzentren die f\u00fcr sie lesbaren Informationen auf Druck ihrer Mutterkonzerne in den USA auch den dortigen Beh\u00f6rden zug\u00e4nglich machen.<\/p>\n
Wird die Auslagerung von Personendaten in solche Rechenzentren nun also verboten oder aufgrund der faktischen Abh\u00e4ngigkeit von US-Cloud-Anbietern geduldet werden? In der EU resp. dem EWR haben die Datenschutzbeh\u00f6rden erst Ans\u00e4tze einer Praxis zur Umsetzung der h\u00f6chstrichterlichen Rechtsprechung entwickelt. Und in der Schweiz wird zu dieser Frage eine gerichtliche Praxis erst noch entstehen m\u00fcssen.<\/p>\n
Vielleicht wird es aber bereits vorher zu einer L\u00f6sung des Dilemmas kommen, indem die USA und Europa \u2013 nicht zuletzt auch als Folge ihrer politischen Ann\u00e4herung im Zuge des Ukraine-Konflikts \u2013 ihre Datenschutzgesetzgebungen einander angleichen. M\u00f6glicherweise wird es auch der technische Fortschritt sein, der diesen gordischen Knoten durchtrennt: Es ist zu hoffen, dass eines Tages sichere Ausf\u00fchrungsumgebungen auf den Markt kommen, die es den Kunden von Cloud-Anbietern erlauben, komplexe Dateninhalte nicht nur in den Phasen der Speicherung und des Transports zu verschl\u00fcsseln, sondern auch w\u00e4hrend ihrer Ver\u00e4nderung den Zugriff durch unberechtigte Dritte zu verunm\u00f6glichen. Das k\u00f6nnte die datenschutzrechtliche Problematik des Datenexports \u00fcber weite Strecken entsch\u00e4rfen. Denn ausl\u00e4ndische Anbieter von Cloud-Diensten k\u00f6nnten sich durch den Einsatz solcher Verfahren selbst der M\u00f6glichkeit berauben, die Inhalte der Daten ihrer europ\u00e4ischen Kunden auszulesen und Dritten zug\u00e4nglich zu machen.<\/p>\n
Das Beispiel veranschaulicht, worin die Kernherausforderung der Datenschutzaufsicht des Bundes besteht: Sie hat den Anspruch der Einwohnerinnen und Einwohner der Schweiz auf ein privates und selbstbestimmtes Leben im dynamischen und globalisierten Umfeld von Wirtschaft, Technologie und Politik zu sch\u00fctzen.<\/p>","protected":false},"excerpt":{"rendered":"
Um es gleich vorwegzunehmen: Das Schutzobjekt der eidgen\u00f6ssischen Datenschutzaufsicht sind nicht Daten, sondern die Privatsph\u00e4re und die informationelle Selbstbestimmung von Personen. Soweit Informationen keinen unmittelbaren Bezug zu bestimmten oder bestimmbaren Personen aufweisen, fallen sie weder unter das Bundesgesetz \u00fcber den Datenschutz (DSG) noch in die Aufsicht des Eidgen\u00f6ssischen Datenschutz- und \u00d6ffentlichkeitsbeauftragten (Ed\u00f6b). Mit der totalrevidierten […]<\/p>","protected":false},"author":9498,"featured_media":173667,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"om_disable_all_campaigns":false,"ep_exclude_from_search":false,"footnotes":""},"post__type":[69,66],"post_opinion":[],"post_serie":[],"post_content_category":[154],"post_content_subject":[169,176,166,171],"acf":{"seco_author":9498,"seco_co_author":"","author_override":"","seco_author_post_ocupation_year":"","seco_author_post_occupation_de":"Eidgen\u00f6ssischer Datenschutz- und \u00d6ffentlichkeitsbeauftragter (Ed\u00f6b), Bern","seco_author_post_occupation_fr":"Pr\u00e9pos\u00e9 f\u00e9d\u00e9ral \u00e0 la protection des donn\u00e9es et \u00e0 la transparence (PFPDT), Berne","seco_co_authors_post_ocupation":null,"short_title":"Datenschutz in der Schweiz \u2013 Knacknuss Datenexport","post_lead":"Die Datenschutzaufsicht des Bundes sch\u00fctzt den Anspruch der Bev\u00f6lkerung auf ein privates und selbstbestimmtes Leben in der dynamischen und globalisierten Realit\u00e4t der Digitalisierung. Bez\u00fcglich Migration von Personendaten in Cloud-Dienste von US-Unternehmen bleiben wichtige Rechtsfragen offen.","post_hero_image_description":"K\u00fchlwasserleitungen in einem Google-Datencenter in der Stadt The Dalles im US-Bundesstaat Oregon.","post_hero_image_description_copyright_de":"","post_hero_image_description_copyright_fr":"","post_references_literature":"","post_kasten":null,"post_notes_for_print":"","first_teaser_header_de":"","first_teaser_header_fr":"","first_teaser_text_de":"","first_teaser_text_fr":"","second_teaser_header_de":"","second_teaser_header_fr":"","second_teaser_text_de":"","second_teaser_text_fr":"","kseason_de":"","kseason_fr":"","post_in_pdf":"","main_focus":[171836,171848,174416],"serie_email":null,"frontpage_slider_bild":"","artikel_bild-slider":null,"legacy_id":"","post_abstract":"","magazine_issue":null,"seco_author_reccomended_post":"","redaktoren":[4306],"korrektor":4139,"planned_publication_date":"20220712","original_files":null,"external_release_for_author":"20220708","external_release_for_author_time":"00:05:00","link_for_external_authors":"https:\/\/dievolkswirtschaft.ch\/de\/exedit\/62a73c76e6277"},"_links":{"self":[{"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/posts\/172955"}],"collection":[{"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/users\/9498"}],"replies":[{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/comments?post=172955"}],"version-history":[{"count":16,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/posts\/172955\/revisions"}],"predecessor-version":[{"id":190351,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/posts\/172955\/revisions\/190351"}],"acf:user":[{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/users\/4139"},{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/users\/4306"},{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/users\/9498"}],"acf:post":[{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/main_focus_post\/171848"},{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/main_focus_post\/171836"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/media\/173667"}],"wp:attachment":[{"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/media?parent=172955"}],"wp:term":[{"taxonomy":"post__type","embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/post__type?post=172955"},{"taxonomy":"post_opinion","embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/post_opinion?post=172955"},{"taxonomy":"post_serie","embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/post_serie?post=172955"},{"taxonomy":"post_content_category","embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/post_content_category?post=172955"},{"taxonomy":"post_content_subject","embeddable":true,"href":"https:\/\/dievolkswirtschaft.ch\/de\/wp-json\/wp\/v2\/post_content_subject?post=172955"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}