Vorratsspeicherung: Gästedatenbank ist rechtmässig (BGer 2C_369/2021)

In einem neuen Urteil hat sich das Bundesgericht mit der Frage der Vorratsdatenspeicherung beschäftigt. Am 22. September 2021 entschied das Bundesgericht, dass die vom Kanton Bern betriebene zentrale Gästedatenbank zulässig ist.

Streitig war insbesondere, ob die vom Kanton vorgeschriebene Weiterleitung der Gästedaten durch Restaurants, Bars, etc. an die zentrale kantonale Datenbank eine genügende gesetzliche Grundlage hat. Dies ist der Fall, diese findet sich nämlich im Epidemiegesetz und der Covid-19 Verordnung des Bundesrats.

Das Urteil ist hier abrufbar.

Was ist das Problem?

Der Kanton Bern hat seine Regelungen zum Contact Tracing in der Verordnung über Massnahmen zur Bekämpfung der Covid-19-Epidemie im April 2021 geändert. Er wich vom Grundsatz der Mitteilung von Kontaktdaten auf Anfrage hin ab. Zwecks effizienter Pandemiebekämpfung entscheid sich der Kanton Bern, eine zentrale Gästedatenbank einzuführen, die von der Gesundheits-, Sozial- und Integrationsdirektion betrieben wird.

Restaurationsbetriebe wurden neu verpflichtet, die von ihnen erhobenen Gästedaten mind. alle 24 Stunden an die zentrale Datenbank zu übermitteln. Damit nahm der Kanton Bern eine sog. Vorratsdatenspeicherung vor, die in einem Spannungsverhältnis zum Recht auf informationelle Selbstbestimmung steht. Die Grundsätze des Datenschutzes sehen dahingegen die Datensparsamkeit vor, d.h. die Beschränkung der Datensammlung auf das Notwendige.

Die strittige Verordnung enthält unter anderem folgende Passagen:

"Art. 3a Zentrale Datenbank 

2 Die Datenbank dient der Bearbeitung von Kontaktdaten zwecks Identifizierung und Benachrichtigung ansteckungsverdächtiger Personen nach Artikel 33 EpG (Contact Tracing). 

Art. 3b Bearbeitung von Kontaktdaten  

1 Die erhobenen Kontaktdaten dürfen zu keinem anderen Zweck als dem Contact Tracing gemäss Artikel 3a Absatz 2 bearbeitet werden. 

2 Auf die Kontaktdaten darf nur aufgrund eines konkreten gesundheitsrelevanten Ereignisses zugegriffen werden und der Zugriff ist auf die erforderlichen Daten zu beschränken."

Was sagt der Beschwerdeführer?

Der Beschwerdeführer brachte vor, dass das Bundesrecht im Epidemiegesetz und der Covid-19 Verordnung das Contact-Tracing abschliessend regle. Der Kanton Bern dürfe daher höchstens Details regeln, nicht aber den Mechanismus abändern und eine zentrale Speicherung vorschreiben.

Zudem handle es sich um Gesundheitsdaten, die als besonders schützenswert gelten. Für deren Speicherung durch den Kanton benötige es eine formell-gesetzliche Grundlage. Art. 58 des Epidemiegesetzes reiche hierfür nicht aus, "da er die kantonalen Behörden nur insoweit zur Bearbeitung von Personendaten ermächtige, als der Vollzug bundesrechtskonform erfolge, was bei der angefochtenen Regelung nicht der Fall sei." (vgl. E. 5.1)

Wie argumentiert das Bundesgericht?

Das Bundesgericht macht zusammengefasst folgende Ausführungen:

Rechtliche Grundlage

"Die Erhebung von Kontaktdaten und deren Weiterleitung an die zuständige kantonale Stelle sind bereits durch das Bundesrecht vorgeschrieben. Insoweit auferlegt die angefochtene Verordnung niemandem neue Rechtspflichten, die den Charakter einer Vollzugsverordnung sprengen würden. Auch die damit verbundenen Datenbearbeitungen finden in Art. 58 EpG eine hinreichende formell-gesetzliche Grundlage." (E. 5.3.4)

"Es liegt auf der Hand, dass ein Contact Tracing umso wirksamer ist, je schneller die potenziell von einer Ansteckung betroffenen Personen benachrichtigt werden können, was wiederum bedingt, dass die Kontaktdaten den Behörden möglichst rasch zur Verfügung stehen. Wenn im Verdachtsfall die Behörde zuerst bei den betreffenden Restaurationsbetrieben anfragen und alsdann das Eintreffen der Daten abwarten muss, entsteht eine Zeitverzögerung, die vermieden werden kann, wenn die Daten bereits in einer Datenbank zur Verfügung stehen." (E. 5.4.6)

Verhältnismässigkeit

"Zunächst ist festzuhalten, dass die erhobenen Daten nur die Anwesenheit bestimmter Personen in einem bestimmten Restaurant betreffen und keine Gesundheitsinformationen enthalten. Es handelt sich damit entgegen der Auffassung des Beschwerdeführers nicht um besonders schützenswerte Personendaten." (E 6.3)

"Die vorliegend streitige Datenbearbeitung betrifft nur Daten, die für sich allein wenig bedeutsam sind [...]. Der Grundrechtseingriff ist nicht schwer. Die Daten dürfen nach ausdrücklicher Verordnungsbestimmung zu keinem anderen Zweck als dem Contact Tracing verwendet werden; es darf auf sie nur aufgrund eines konkreten gesundheitsrelevanten Ereignisses zugegriffen werden und der Zugriff ist auf die erforderlichen Daten zu beschränken (Art. 3b Abs. 1 und 2 Covid-19 V). Zudem müssen die Grundsätze des kantonalen Datenschutzgesetzes eingehalten (Art. 3c Abs. 1 Covid-19 V) und die Daten nach 14 Tagen vernichtet werden (Art. 3b Abs. 4 Covid-19 V). Insgesamt ist unter diesen Umständen die Datenbearbeitung sehr beschränkt. [...]

Die Information, dass jemand - gegebenenfalls mehrmals innert 14 Tagen - ein bestimmtes Restaurant besucht, stellt für sich alleine noch kein datenschutzrechtlich problematisches Persönlichkeitsprofil dar." (E. 6.6.2)