Direkt zum Inhalt wechseln
Beitrag

Endlich! Die Schweiz ratifiziert Ergänzungen der Europäischen Datenschutzkonvention 108+

Datenschutzrecht Beschäftigtendatenschutz IT-Sicherheit

Der Europarat verabschiedete bereits 1981 das erste und bislang einzige zwischenstaatliche Abkommen im Bereich des Datenschutzes, das «Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten» – eher bekannt als Übereinkommen Nr. 108 oder Europäische Datenschutzkonvention. Die Europäische Datenschutzkonvention wurde mittlerweile modernisiert. Das neue Übereinkommen 108+ wurde am 7. September 2023 auch von der Schweiz ratifiziert. Welche Neuerungen das Übereinkommen 108+ für die Schweiz mit sich bringt, wird im folgenden Beitrag in Kürze aufgezeigt.

Das ursprüngliche Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten von 1981 (Europäische Datenschutzkonvention) hat den Zweck, die Rechte und Grundfreiheiten bei der automatischen Verarbeitung personenbezogener Daten zu schützen („Datenschutz“), insbesondere das Recht auf einen „Persönlichkeitsbereich“. Es stellt das einzige rechtsverbindliche internationale Instrument zum Schutz personenbezogener Daten dar. Das Übereinkommen hat mit seinem technologieneutralen und prinzipienbasierten Ansatz – durchaus erfolgreich – seinen Zweck verfolgt, musste nun aber auf die „neuen Realitäten der Online-Welt“ angepasst werden.

 

Ziele der Modernisierung

Die Modernisierung der Europäischen Datenschutzkonvention 108 verfolgte zwei Ziele: Zum einen die Bewältigung von Herausforderungen, welche sich aus dem Einsatz neuer Informations- und Kommunikationstechnologien ergeben und zum anderen die Stärkung der wirksamen Umsetzung des Übereinkommens.

Das Übereinkommen 108+ will die Förderung des Rechts auf Privatsphäre verstärken und versteht sich als Antwort auf die zunehmende Digitalisierung. Nebst den ursprünglichen Garantien der Europäischen Datenschutzkonvention 108, werden neue Garantien wie die Grundsätze der Transparenz, der Verhältnismässigkeit, der Rechenschaftspflicht, die Datenbeschränkung als «Schlüsselelemente des Schutzmechanismus» anerkannt und in die modernisierte Version integriert.

 

Neuerungen «in a nutshell»

Die wichtigsten Neuerungen, welche das Übereinkommen 108+ mit sich bringt, werden nachfolgend ausführlich aufgezeigt:

In Artikel 1 wird das Ziel des Übereinkommens klar hervorgehoben, nämlich jeder Person, die der Gerichtsbarkeit einer der Vertragsparteien unterliegt (unabhängig von ihrer Staatsangehörigkeit oder ihrem Wohnsitz), den Schutz ihrer personenbezogenen Daten bei der Verarbeitung zu gewährleisten und so zur Achtung ihrer Rechte und Grundfreiheiten und insbesondere ihres Rechts auf Privatsphäre beizutragen. Mit dieser Formulierung unterstreicht das Übereinkommen die Tatsache, dass die Verarbeitung personenbezogener Daten die Ausübung anderer Grundrechte und ‑freiheiten positiv beeinflussen kann, die somit durch die Gewährleistung des Rechts auf Datenschutz erleichtert werden können.

Der Anwendungsbereich des Übereinkommens, welcher sich aus Artikel 3 ergibt, gilt weiterhin für die Datenverarbeitungen im öffentlichen und privaten Sektor. Der Anwendungsbereich umfasst sowohl die automatisierte als auch die nichtautomatisierte Verarbeitung personenbezogener Daten, die in die Zuständigkeit einer Vertragspartei des Übereinkommens fällt. Nun haben die Vertragsparteien aber nicht mehr die Möglichkeit, Erklärungen abzugeben, die darauf abzielen, bestimmte Arten der Datenverarbeitung (z. B. zu Zwecken der nationalen Sicherheit und Verteidigung) von der Anwendung des Übereinkommens auszunehmen.

Jede Vertragspartei hat in ihrem innerstaatlichen Recht die Maßnahmen zu treffen, die zur Durchführung des Übereinkommens erforderlich sind. Außerdem sollte jede Vertragspartei nachweisen, dass diese Massnahmen tatsächlich ergriffen wurden und wirksam sind, und akzeptieren, dass der Ausschuss des Übereinkommens die Einhaltung dieser Anforderungen überprüfen kann. Dieser Evaluierungsprozess der Vertragsparteien („Follow-up-Mechanismus„) ist notwendig, um zu gewährleisten, dass das im Übereinkommen festgelegte Schutzniveau von den Vertragsparteien auch tatsächlich gewährt wird.

In Artikel 5 wird die Anwendung des Grundsatzes der Verhältnismässigkeit dahingehend präzisiert, dass er für die gesamte Verarbeitung und insbesondere für die bei der Verarbeitung verwendeten Mittel und Methoden gelten sollte. Er wird darüber hinaus durch den Grundsatz der Datenminimierung verstärkt. Gemäss der neu eingeführten Bestimmung in Artikel 5 muss genau festgelegt werden, auf welcher Rechtsgrundlage die Verarbeitung erfolgt. Die Einwilligung der betroffenen Person oder ein anderer legitimer Grund (Vertrag, Interesse der betroffenen Person, rechtliche Verpflichtung des für die Verarbeitung Verantwortlichen usw.) ist notwendig.

Zusätzlich wurde der Katalog der sensiblen Daten erweitert und umfasst neu auch genetische und biometrische Daten sowie Daten, die aufgrund ihrer Informationen über die Gewerkschaftszugehörigkeit oder die ethnische Herkunft verarbeitet werden.

Artikel 8 fordert sodann, dass die Transparenz der Verarbeitung zu gewährleisten ist. Verantwortliche müssen zu diesem Zweck eine Reihe von Informationen zur Verfügung stellen, insbesondere über ihre Identität und ihren üblichen Wohnsitz oder Sitz, über die Rechtsgrundlage und die Zwecke der Verarbeitung, die Datenempfänger und die Kategorien der verarbeiteten personenbezogenen Daten. Darüber hinaus sollten sie alle zusätzlichen Informationen zur Verfügung stellen, die für eine faire und transparente Verarbeitung erforderlich sind.

Mit Artikel 9 werden den betroffenen Personen neue Rechte eingeräumt, damit sie im digitalen Zeitalter mehr Kontrolle über ihre Daten haben: Das modernisierte Übereinkommen erweitert den Katalog der Informationen, die den betroffenen Personen zu übermitteln sind, wenn sie von ihrem Auskunftsrecht Gebrauch machen. Außerdem haben die betroffenen Personen das Recht, die Gründe für die Datenverarbeitung zu erfahren, deren Ergebnisse auf sie angewandt werden. Dieses neue Recht ist besonders wichtig im Hinblick auf das Profiling von Personen. Denn damit verbunden ist eine weitere Neuerung, nämlich das Recht, keiner die betroffene Person betreffenden Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht, ohne dass der Standpunkt der betroffenen Person berücksichtigt wird. Die betroffenen Personen haben das Recht, grundsätzlich jederzeit gegen die Verarbeitung ihrer personenbezogenen Daten Widerspruch einzulegen.

 

Ausnahmen und Einschränkungen:

Die in der Konvention verankerten Rechte sind nicht absolut und können eingeschränkt werden, wenn dies gesetzlich vorgeschrieben ist und eine notwendige Massnahme in einer demokratischen Gesellschaft auf der Grundlage bestimmter und begrenzter Gründe darstellt. Zu diesen begrenzten Gründen gehören nun auch „wesentliche Ziele des öffentlichen Interesses“ sowie ein Verweis auf das Recht auf freie Meinungsäusserung.

Es sei noch einmal darauf hingewiesen, dass die Vertragsparteien des modernisierten Übereinkommens im Gegensatz zu den früheren Bestimmungen des Übereinkommens 108 nicht mehr in der Lage sein werden, bestimmte Arten der Verarbeitung vom Anwendungsbereich des Übereinkommens auszuschließen.

 

Effektivere Durchsetzung

Aufbauend auf Artikel 1 des Protokolls ergänzt das modernisierte Übereinkommen den Katalog der Befugnisse der Behörden durch eine Bestimmung, wonach die Behörden neben ihren Befugnissen zum Einschreiten, zur Durchführung von Ermittlungen, zur Einleitung von Gerichtsverfahren oder zur Anzeige von Verstößen gegen die Datenschutzbestimmungen auch die Pflicht haben, alle beteiligten Akteure (betroffene Personen, für die Verarbeitung Verantwortliche, Auftragsverarbeiter usw.) zu sensibilisieren, zu informieren und aufzuklären. Außerdem können die Behörden Entscheidungen treffen und Sanktionen verhängen.

Das modernisierte Übereinkommen befasst sich darüber hinaus mit der Frage der Zusammenarbeit zwischen den Aufsichtsbehörden; wobei die Untersuchungen koordiniert und gemeinsame Massnahmen durchgeführt werden sollen.

 

Ratifizierung als wichtiger Schritt zur internationalen Zusammenarbeit

Um die aufgezeigten Modernisierungen auch ins Schweizerische Recht zu übernehmen und insbesondere die internationale Zusammenarbeit zu stärken, wurde das Übereinkommen 108+ nun auch in der Schweiz ratifiziert. Dies stellt sicherlich einen wichtigen Schritt in Richtung Verbesserung der internationalen Zusammenarbeit im Bereich des Datenschutzes im Lichte der zunehmenden Digitalisierung dar. Ein Inkrafttreten des Übereinkommens ist derzeit jedoch noch nicht absehbar, da dies erst erfolgt, wenn 36 Vertragsstaaten das Übereinkommen ratifiziert haben (aktueller Stand: 28 Staaten).

 

 

 

Quellen: