Stirbt der freie Datenverkehr zwischen der EU und der Schweiz, nachdem das Rahmenabkommen gescheitert ist?
Grund für die Frage ist, dass der freie Datenverkehr einen Angemessenheitsbeschluss der Europäischen Kommission voraussetzt. Die EU-Kommission stellt damit fest, dass für Personendaten in der Schweiz ein angemessener Schutz besteht.
Der bestehende Angemessenheitsbeschluss stammt vom 26. Juli 2000. Eigentlich war ein neuer Angemessenheitsbeschluss bereits im letzten Jahr erwartet worden. Nun könnten weitere europäische Sanktionen den freien Datenverkehr betreffen.
Die grünliberale Nationalrätin Judith Bellaïche bat den Bundesrat am 7. Juni 2021 mit parlamentarischer Frage 21.7527 um eine Einschätzung:
«Wie wirkt sich der Verhandlungsabbruch mit der EU auf die längst überfällige Äquivalenzanerkennung des revidierten Datenschutzgesetzes aus, und was gedenkt der Bundesrat zu unternehmen, um diese Äquivalenzanerkennung herbeizuführen?»
Einschätzung von Bundesrätin Karin Keller-Sutter
Bundesrätin und Justizministerin Karin Keller-Sutter lieferte eine Woche später im Parlament nur eine allgemein gehaltene Antwort mit im Wesentlichen folgendem Inhalt:
- Die «Evaluation der Europäischen Kommission [sei] noch im Gange»,
- es bestehe «kein direkter sachlicher Zusammenhang […] [z]wischen der Evaluation des schweizerischen Datenschutzniveaus durch die Europäische Kommission und dem institutionellen Abkommen», und
- der Bundesrat habe «derzeit keine Anhaltspunkte dafür, dass das schweizerische Datenschutzrecht die Anforderungen an ein angemessenes Schutzniveau gemäss Artikel 45 Absatz 2 der Datenschutz-Grundverordnung nicht erfüll[e]».
Ausserdem erklärte die Bundesrätin, die Europäische Kommission müsste «mit der Schweiz Beratungen aufnehmen, um für die Situation Abhilfe zu schaffen», wenn sie «die Angemessenheitsentscheidung für die Schweiz infrage stellen» sollte.
Was die Bundesrätin nicht erklärte: Gemäss Art. 45 Abs. 6 DSGVO muss die EU-Kommission zwar tatsächlich Beratungen aufnehmen, aber erst, nachdem der Angemessenheitsbeschluss widerrufen, geändert oder ausgesetzt worden ist:
«Die Kommission nimmt Beratungen mit dem betreffenden Drittland […] auf, um Abhilfe für die Situation zu schaffen, die zu dem […] erlassenen Beschluss geführt hat.»
Hoffnung mit Blick auf Grossbritannien?
Für Grossbritannien hat die EU-Kommission trotz Brexit am 28. Juni 2021 zwei neue Angemessenheitsbeschlüsse angenommen. Wie zu vernehmen ist, hofft man in Bern auf einen vergleichbaren Angemessenheitsbeschluss.
Die Angemessenheitsbeschlüsse für Grossbritannien haben allerdings mindestens zwei Haken:
Einerseits wird Grossbritannien an der kurzen Leine geführt, denn die Angemessenheitsbeschlüsse enden automatisch nach vier Jahren:
«Die Angemessenheitsbeschlüsse enthalten erstmals eine Verfallsklausel, durch die ihre Geltungsdauer strikt begrenzt wird: Beide Beschlüsse laufen vier Jahre nach ihrem Inkrafttreten aus. Danach könnten sie erneuert werden, falls das Vereinigte Königreich weiterhin ein angemessenes Datenschutzniveau sicherstellt. Während dieser vier Jahre wird die Kommission die Rechtslage im Vereinigten Königreich weiterhin im Blick behalten und jederzeit eingreifen können, falls das Vereinigte Königreich von dem derzeit bestehenden Datenschutzniveau abweicht. Sollte die Kommission beschließen, die Angemessenheitsbeschlüsse zu erneuern, würde der Annahmeprozess erneut eingeleitet.»
Andererseits sollen insbesondere alle Überwachungsmassnahmen verhältnismässig sein und bei Geheimdiensten von einem unabhängigen Rechtsorgan genehmigt werden müssen:
«In Bezug auf den Zugriff auf personenbezogene Daten durch Behörden im Vereinigten Königreich (insbesondere aus Gründen der nationalen Sicherheit) sieht das System des Vereinigten Königreichs starke Garantien vor. Insbesondere die Datenerhebungen durch Nachrichtendienste unterliegen der vorherigen Genehmigung durch ein unabhängiges Rechtsorgan. Alle Maßnahmen müssen notwendig und im Hinblick auf das verfolgte Ziel verhältnismäßig sein. […]»
In der Schweiz wehrt sich die Digitale Gesellschaft mit Beschwerden gegen die unverhältnismässige Massenüberwachung ohne Anlass und Verdacht mittels Kabelaufklärung und Vorratsdatenspeicherung.
Bundesrätliche Antwort im Volltext:
«Der Schweiz wurde im Jahr 2000 von der Europäischen Kommission attestiert, dass sie über ein angemessenes Datenschutzniveau verfügt. Diese Angemessenheitsentscheidung ist seit dem 25. August 2000 in Kraft und gilt auch unter der Datenschutz-Grundverordnung 2016/679 der EU weiter, solange sie nicht von der Europäischen Kommission widerrufen, geändert oder ausgesetzt wird.
Die Europäische Kommission muss die bestehenden Angemessenheitsentscheidungen regelmässig überprüfen. Die Schweiz wird deshalb im Moment gleichzeitig mit den anderen Drittstaaten, welche über eine Angemessenheitsentscheidung der Europäischen Kommission verfügen, evaluiert. Dieser Prozess folgt fachlichen Kriterien, die für alle Drittstaaten gleichermassen gelten.
Zwischen der Evaluation des schweizerischen Datenschutzniveaus durch die Europäische Kommission und dem institutionellen Abkommen besteht kein direkter sachlicher Zusammenhang. Die Evaluation der Europäischen Kommission ist noch im Gange.
Der Bundesrat hat derzeit keine Anhaltspunkte dafür, dass das schweizerische Datenschutzrecht die Anforderungen an ein angemessenes Schutzniveau gemäss Artikel 45 Absatz 2 der Datenschutz-Grundverordnung nicht erfüllt. So wird insbesondere die vom Parlament am 25. September 2020 verabschiedete Totalrevision des Datenschutzgesetzes zu einer Annäherung an den Datenschutzstandard der EU führen. Sollte die Europäische Kommission die Angemessenheitsentscheidung für die Schweiz infrage stellen, müsste sie mit der Schweiz Beratungen aufnehmen, um für die Situation Abhilfe zu schaffen. Der Bundesrat würde dann seinen Handlungsspielraum prüfen, um die Situation schnellstmöglich zu klären, gegebenenfalls durch die Einleitung von Gesetzesänderungen.»
Bild: Pixabay / Caniceus, Pixabay-Lizenz.