nDSG

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 53 E-DSG, welcher im revDSG als Art. 59 ausgestaltet ist.)

Nach Artikel 33 Absatz 1 VDSG wird für die Gutachten des Beauftragten für private Personen eine Gebühr erhoben. Die Bestimmungen der Allgemeinen Gebührenverordnung vom 8. September 2004 (AllgGebV) sind anwendbar.

Gemäss Absatz 1 wird auf Gesetzesstufe der Grundsatz verankert, wonach der Beauftragte für bestimmte Dienstleistungen gegenüber privaten Personen eine Gebühr erheben muss. Darunter fallen die Stellungnahme zu einem Verhaltenskodex (Bst. a), die Genehmigung von Standarddatenschutzklauseln und verbindlichen unternehmensinternen Datenschutzvorschriften (Bst. b), die Konsultation aufgrund einer Datenschutz-Folgenabschätzung (Bst. c), die Massnahmen nach Artikel 44 Absatz 2 und 45 E‑DSG (Bst. d) sowie Beratungen in Fragen des Datenschutzes (Bst. e). Im Umkehrschluss ergibt sich aus Absatz 1, dass für eine Untersuchung, die ohne Anordnung von vorsorglichen Massnahmen oder Verwaltungsmassnahmen abgeschlossen wird, keine Gebühr erhoben wird.

In Absatz 2 wird der Bundesrat beauftragt, die Höhe der Gebühren zu bestimmen. Entsprechend den Anforderungen von Artikel 46a Absatz 1 RVOG darf er ausschliesslich für die Verrichtungen nach Artikel 53 Absatz 1 E‑DSG Gebühren erheben. Zudem muss er die Höhe der Gebühren so festlegen, dass sie die Kosten für die Verrichtungen decken (Kostendeckungsprinzip). Es ist also nicht vorgesehen, die gesamte Tätigkeit des Beauftragten durch Gebühren zu finanzieren. Es sollen ausschliesslich die Kosten für die Verrichtungen nach Absatz 1 gedeckt werden. Bei der Regelung des Tarifs kann der Bundesrat je nach Dienstleistung einen Pauschaltarif oder einen Stundenansatz festlegen.

Nach Absatz 3 kann der Bundesrat darüber hinaus die Fälle festlegen, in denen es möglich ist, auf die Erhebung einer Gebühr zu verzichten oder sie zu reduzieren. So kann auf eine Gebührenerhebung beispielsweise verzichtet werden, wenn an der Dienstleistung ein überwiegendes öffentliches Interesse besteht und sie zur Beachtung des Datenschutzes beiträgt. Artikel 3 Absatz 2 Buchstabe a AllgGebV enthält eine ähnliche Lösung. Der Beauftragte kann die Gebühr auch stunden, herabsetzen oder erlassen, wenn es sich beim Verantwortlichen oder Auftragsbearbeiter um eine natürliche Person oder ein kleines oder mittleres Unternehmen handelt.

Gebühren werden nur gegenüber privaten Personen erhoben. In Bezug auf die Beratung der Kantonsbehörden ist Artikel 3 Absatz 1 AllgGebV anwendbar: Die Bundesverwaltung erhebt keine Gebühren von interkantonalen Organen, Kantonen und Gemeinden, soweit diese Gegenrecht gewähren. Die Dienstleistungen für Organe des Bundes und der Kantone werden kostenlos erbracht.

Aufgrund zahlreicher kritischer Stellungnahmen zum Vorentwurf hat der Bundesrat die Strafbestimmungen grundlegend überarbeitet.

In der Vernehmlassung wurde (unter Hinweis auf die Verordnung [EU] 2016/679) die Einführung von finanziellen Verwaltungssanktionen gefordert. Finanzielle Verwaltungssanktionen mit strafendem Charakter sind in der Schweiz aber eine Ausnahme. Sie gehören klassischerweise in Bereiche, in denen Unternehmen einer verwaltungsrechtlichen Aufsicht unterstehen, weil sie eine wirtschaftliche Aktivität ausüben, für die sie eine Konzession oder Bewilligung benötigen oder für die sie staatliche Subventionen erhalten (z. B. im Postwesen oder für Geldspiele). Sie wurden ausserdem im Kartellrecht eingeführt, als es im StGB noch keine Unternehmensstrafbarkeit gab. Solche finanziellen Verwaltungssanktionen haben Strafcharakter, weshalb gewisse strafprozessuale Garantien einzuhalten sind. Das grundsätzlich anwendbare Verwaltungsverfahren regelt diese Fragen jedoch nicht. Es geht bei solchen Sanktionen zudem um eine direkte Zurechnung fremden Verschuldens an ein Unternehmen. Dies hat der Gesetzgeber mit der Unternehmensstrafbarkeit nach Artikel 102 StGB aber abgelehnt: Die Verantwortlichkeit nach Artikel 102 StGB ist keine Kausal- oder Gefährdungshaftung, sondern verlangt ein spezifisches Organisationsverschulden. Mit der Einführung von pönalen Verwaltungssanktionen im DSG würde dieser strafrechtliche Grundsatzentscheid durch die Hintertür des Verwaltungsrechts stark relativiert.

Im Bereich des Datenschutzes wären solche Verwaltungssanktionen zudem besonders heikel. Der persönliche Geltungsbereich des DSG ist deutlich breiter als derjenige von Gesetzen in Bereichen, in denen klassischerweise finanzielle Verwaltungssanktionen zu finden sind und in denen die wirtschaftliche Tätigkeit durch Unternehmen ausgeübt wird. Das DSG richtet sich zwar auch an Grossunternehmen, erfasst aber ebenso KMU und natürliche Personen. Weil kein kodifiziertes Prozessrecht für Verwaltungssanktionen mit pönalem Charakter existiert, bestünde unter anderem die Gefahr, dass die verfahrensrechtliche Stellung von natürlichen Personen ausgehöhlt würde. Dies gilt insbesondere, weil zwischen juristischen und natürlichen Personen im Nebenstrafrecht verfahrensrechtliche Unterschiede bestehen. Zusammenfassend würde die Einführung von finanziellen Verwaltungssanktionen im DSG damit eine grosse Rechtsunsicherheit erzeugen, was (nicht nur im Bereich des Datenschutzes) kaum vertretbar ist.

Der Bundesrat will deshalb an etablierte Strukturen mit gefestigter Praxis anknüpfen. In der Schweiz wird die Einhaltung grundlegender verwaltungsrechtlicher Pflichten mit dem Verwaltungsstrafrecht bzw. dem Nebenstrafrecht sichergestellt. Normadressaten sind natürliche Personen. Obschon die verwaltungsrechtliche Pflicht dem Unternehmen obliegt, wird ihre Verletzung den Leitungspersonen zugerechnet (vgl. Art. 29 StGB und Art. 6 VStR). Die in der Vernehmlassung geäusserte Sorge, dass jeder beliebige Angestellte eines Unternehmens bestraft werden könnte, erweist sich deshalb als unbegründet. Die Sanktionierung mit strafrechtlichen Mitteln bedeutet auch, dass Gewinne, die aus DSG-Straftaten stammen, und Deliktswerkzeuge somit nach den Bestimmungen des StGB eingezogen werden können (Art. 69 ff. StGB). Der Beauftragte soll zudem nicht strafrechtliche Sanktionen aussprechen, weil sonst die Organisation des Beauftragten grundlegend verändert und deutlich ausgebaut werden müsste. Der Bundesrat zieht daher das bestehende Strafverfolgungssystem vor.

Das strafrechtliche Dispositiv des DSG muss im Vergleich zum geltenden Recht verstärkt werden. Die Sanktionen müssen abschreckend sein, wie vom E‑SEV 108 (Art. 10) und der Richtlinie (EU) 2016/680 (Art. 57) verlangt. Ein zu mildes Strafsystem kann zur Folge haben, dass die EU die schweizerische Regelung als nicht mehr angemessen erachtet. Das vorgeschlagene Sanktionensystem sieht in den Grundzügen nun wie folgt aus:

• Auf die Pönalisierung von fahrlässigen Pflichtverletzungen wird in Übereinstimmung mit den jüngsten Entscheiden des Parlaments verzichtet (vgl. z. B. den Entwurf zum Geldspielgesetz). Der Beauftragte hätte dagegen bevorzugt, dass auch die Fahrlässigkeit strafbarwäre.

• Die verwaltungsrechtlichen Pflichten wurden konkretisiert und die Pönalisierung auf wesentliche Pflichtenbeschränkt.

• Zur Kompensation erhält der Beauftragte die Kompetenz, die Einhaltung der DSG-Pflichten zu verfügen und mit einer Ungehorsams-Strafdrohung zu verbinden. Dieses Modell ist im Nebenstrafrecht weit verbreitet (z. B. im Bundesgesetz vom 22. Juni 2007 über die Eidgenössische Finanzmarktaufsicht [FINMAG]) und entspricht dem Mechanismus von Artikel 292 StGB. Falls erforderlich, kann sich der Beauftragte in kantonalen Strafverfahren als Privatklägerbeteiligen.

• Die Bussenobergrenze wird vom Bundesrat auf maximal 250 000 Franken festgelegt. Die Erhöhung erfolgt insbesondere um das schweizerische Recht der Verordnung (EU) 2016/679 anzunähern. Es wäre jedoch fragwürdig, die Bussenobergrenze gegen natürliche Personen noch höher anzusetzen mit der Begründung, Unternehmen würden durch tiefe Bussen nicht abgeschreckt. Die Strafbestimmungen des E‑DSG richten sich primär an natürliche Personen, hier insb. an Leitungspersonen (vgl. Artikel 29 StGB und Artikel 6 VStrR). Es ist anzumerken, dass etwa im FINMAG fahrlässige Pflichtverletzungen mit Busse bis zu 250 000 Franken bedroht sind (Art. 44 ff. FINMAG), das Missachten einer Verfügung jedoch mit Busse bis zu 100 000 Franken (Art. 48 FINMAG). Der Beauftragte ist dagegen der Ansicht, die Bussen seien nicht ausreichend abschreckend, namentlich was deren Höhe betrifft.

• Die Verletzung der beruflichen Schweigepflicht ist wie bisher eine Übertretung.

• Soweit Daten durch ein Unternehmen bearbeitet werden, obliegen die aus dem DSG abgeleiteten Pflichten in der Regel dessen Leitungspersonen. Diese sind gesetzlich verpflichtet, die Einhaltung dieser Pflichten im Unternehmen sicherzustellen. Die Verletzung von Pflichten oder der Ungehorsam gegen eine Verfügung des Beauftragten, die sich an das Unternehmen richtet, werden daher in Anwendung von Art. 29 StGB und Art. 6 VStR den Leitungspersonen im Unternehmen und nicht den bloss ausführenden Mitarbeitern angelastet.

• Soweit die Busse 50 000 Franken nicht übersteigt, können Unternehmen in Anwendung von Art. 7 VStrR direkt gebüsst werden. Dies trägt auch der in der Vernehmlassung vorgebrachten Kritik Rechnung.