Neuer Leitfaden zu Datenbearbeitungen im Zusammenhang mit Wahlen und Abstimmungen

Rechtliche und tatsächliche Ausgangslage

Der Leitfaden basiert auf dem aktuell geltenden (schweizerischen) Datenschutzrecht, dem Bundesgesetz über den Datenschutz vom 19. Juni 1992 (DSG). Deshalb fehlen Stellungnahmen zu einer etwaigen Anwendbarkeit der EU-Datenschutz-Grundverordnung (DSGVO), bspw. mit Bezug auf in der EU ansässige Auslandschweizer, und zum Umgang mit den strengeren Vorschriften bei der Datenbearbeitung (vgl. dazu allgemein MLL-News vom 30.7.2017). Gleiches gilt auch für die laufende Totalrevision des Schweizer Datenschutzrechts, welche ebenfalls zu grundlegenden Änderungen führen wird (vgl. dazu MLL-News 21.9.2017).

Bemerkenswert ist sodann die Tatsache, weshalb und dass er überhaupt verfasst wurde. Die Autoren begründen dies einleitend wie folgt: Immer neue Entwicklungen im E-Commerce-Bereich und «laufend neue Datenbearbeitungs-Phänomene» würden sich auf das Wahl- oder Abstimmungsverhalten auswirken. Es gelte deshalb einen Beitrag zum verfassungsmässigen Ablauf des politischen Prozesses zu leisten und die «Akteure» dazu anzuhalten, auch die datenschutzrechtlichen Garantien zu beachten. Mit automatisierten Bearbeitungsmethoden würde durch gezielte Ansprache von Stimmberechtigen die politische Meinungsbildung im Vorfeld von Abstimmungen und Wahlen zu beeinflussen versucht. Den dabei aktiven Akteuren soll mit dem Leitfaden eine Auslegungshilfe an die Hand gegeben werden, wie bei einer solchen Bearbeitung datenschutzkonform vorzugehen sei.

Der Leitfaden verfolgt insofern nicht bloss eine rechtliche, sondern durchaus auch eine politische Zielsetzung und kann als eine Reaktion auf den Skandal rund um Cambridge Analytica gesehen werden. Die Verfasser bringen jedoch zum Ausdruck, dass es primär um die Verwirklichung des datenschutzrechtlichen Transparenzanspruchs geht, mithin die digitalen Bearbeitungsmethoden erkenn- und nachvollziehbar zu machen. Abzugrenzen davon sei das Themenfeld der sog. «Fake News», das sich auf die Problematik des Wahrheitsgehaltes von Sachinhalten beziehe, die nicht Gegenstand der Datenschutzgesetzgebung darstellen würde.

Akteure der Datenbearbeitung

Adressanten des Leitfadens, als Bearbeiter von Personendaten im Zusammenhang von Wahlen und Abstimmungen, sind damit die politischen Parteien und Interessengruppen, öffentlichen Register (Stimmregister der Kantone), Datenhändler, Datenanalyse-Unternehmen (wie etwa Kommunikationsagenturen), Datenplattformen (Facebook; Twitter) und Einzelpersonen. Diese «Akteure» sollten sich dabei ihrer Rolle im Bearbeitungsprozess bewusst sein: Sind sie Inhaber der Daten oder handeln sie im Rahmen eines Auftragsverhältnisses und daher als «Auftragsbearbeiter»?

Die (eigene) Qualifizierung ist von Bedeutung, da nicht zu Letzt davon abhängt, welche Pflichten des Datenschutzrechts zu erfüllen sind. Der Leitfaden bietet ihnen dazu Hand, gerade mit Blick auf die Beschaffung von Daten und deren Auswertung (Stichwort: Microtargeting und Personalisierung). Die tabellarische Aufstellung zum Schluss des Leitfadens ist hierzu sicherlich eine hilfreiche und dankbare Anleitung.

Politische Daten, sensitive Daten

Von Bedeutung ist im vorliegenden Kontext bereits die Qualifikation der zu bearbeitenden Personendaten. Denn Personendaten über die politischen Ansichten gelten als besonders schützenswert (vgl. Art. 3 lit. c Ziff. 1 DSG), d.h. in den Worten des Leitfadens: Die digitale Datenbearbeitung im Zusammenhang mit dem politischen Prozess unterliegt «aufgrund ihrer Zweckausrichtung, weltanschauliche Ansichten von vielen Menschen zu beeinflussen, in der Regel dem für besonders schützenswerte Personendaten geltenden Schutzniveau».

Die Autoren betonen sodann, es dürfe dabei nicht vergessen werden, dass durch Abgleich und Zusammentragen sensibler und auch nicht sensibler Daten ein Persönlichkeitsprofil entstehen kann, welches wiederum einem besonderen Schutzniveau unterliegt. Das Gesetz versteht unter einem Persönlichkeitsprofil „eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt“ (Art. 3 lit. d DSG). Der Leitfaden verweist in diesem Zusammenhang auf den «Moneyhouse-Entscheid» des Bundesverwaltungsgerichts (vgl. dazu MLL-News vom 31.5.2017).

Zu beachten ist jedoch, dass im Rahmen der Revision des Datenschutzgesetzes voraussichtlich auf den Begriff des Persönlichkeitsprofils verzichtet wird, da dieser auch in der DSGVO nicht enthalten ist. Personendaten über politische oder weltanschauliche Ansichten sollen demgegenüber weiterhin, wie auch in der DSGVO, als besonders schützenswert gelten.

Informationspflicht und Erfordernis einer ausdrücklichen Einwilligung

Die Qualifikation der Daten als besonders schützenswert zieht zahlreiche Rechtsfolgen nach sich. Namentlich gilt für die Beschaffung resp. Bearbeitung solcher Daten bereits im geltenden Recht eine strafbewehrte Informationspflicht, die über das allgemeine Transparenzgebot hinausgeht (Art. 14 DSG). Der Leitfaden konzentriert sich in diesem Zusammenhang jedoch primär auf die Frage, welche Informationen erforderlich sind, damit eine Einwilligung der betroffenen Stimmbürger in die Datenbearbeitungen gültig ist. Dabei handelt es sich jedoch um die Frage, ob ein Rechtfertigungsgrund vorliegt (Art. 13 und Art. 4 Abs. 5 DSG). Anders als im EU-Recht und im Leitfaden suggeriert wird, ist ein Rechtfertigungsgrund (oder in der Terminologie der DSGVO ein Erlaubnistatbestand) jedoch nach Schweizer Recht nicht in jedem Fall erforderlich. Dies wäre in erster Linie dann der Fall, wenn die allgemeinen Datenbearbeitungsgrundsätze verletzt werden, also bspw. die Datenbearbeitungen nicht genügend erkennbar oder unverhältnismässig sind.

Sofern jedoch eine Rechtfertigung erforderlich ist, kann diese im vorliegenden Kontext primär in einer Einwilligung oder einem überwiegenden (privaten oder öffentlichen) Interesse bestehen. Bedauerlicherweise enthält der Leitfaden keine Aussagen dazu, unter welchen Umständen von einem überwiegenden Interesse ausgegangen werden kann. Vielmehr wird darin bloss festgehalten, dass «im politischen Kontext meist nur die Einwilligung der Betroffenen in Frage kommt.»

Sofern letztlich eine Einwilligung für die Bearbeitung von (besonders schützenswerten) Daten über die politischen Ansichten erforderlich ist, verlangt das Gesetz jedenfalls zusätzlich, dass diese «ausdrücklich» erfolgt. Die Interpretation dieser Anforderung ist seit jeher umstritten. Im Leitfaden wird hierzu jedenfalls am bereits vom EDÖB bekannten Standpunkt festgehalten und dementsprechend Folgendes ausgeführt:

• «Eine ausdrückliche Einwilligung liegt namentlich dann vor, wenn sich die betroffenen Personen auf der Webseite eines Akteurs registriert haben und sich ausdrücklich (z.B. durch Setzen eines entsprechenden Häkchens) damit einverstanden erklären, dass ihre hinterlegten Daten entsprechend bearbeitet werden.
• Erklärungen, mit denen Personen lediglich in genereller Weise Nutzungsbedingungen annehmen, sind hingegen keine ausdrücklichen Einwilligungen.
• Das gleiche gilt für Äusserungen, mit denen Anliegen und Inhalte der Akteure beispielsweise auf sozialen Plattformen abonniert oder kommentiert werden.»

Auch in Bezug auf die Frage, was unter der Anforderung der «Freiwilligkeit» einer Einwilligung zu verstehen ist, wird im Leitfaden ein strittiger Standpunkt vertreten. Verlangt wird, dass

«die Betroffenen hinsichtlich der Aktivierung oder Desaktivierung einzelner Aspekte und Funktionalitäten der digitalen Applikationen (z.B. durch setzen entsprechender Häkchen) differenziert einwilligen können und dadurch eine echte Wahl haben, nicht nur ob, sondern auch in welchem Mass sie ihre Daten zur Verfügung stellen.»

Ausführlich behandelt der Leitfaden sodann, wie erwähnt, die Frage, wann die Einwilligung auf einer angemessenen Information basiert. Dies setzt nach Ansicht der Verfasser unter anderem voraus, dass die betroffenen Personen vor einer (allfälligen) Registrierung vollständig über die Bearbeitung ihrer Daten und die Funktionsweise der dafür eingesetzten Analysemethoden inklusive automatisierte Programme und künstliche Intelligenz ins Bild gesetzt werden. Die Informationen müsse dabei leicht verständlich, rasch auffindbar und übersichtlich vermittelt werden. Die Zwecke und Wirkungsweisen der digitalen Bearbeitungsmethoden und Technologien müssten in mehreren adressatengerechten Erklärungstiefen zugänglich gemacht werden. Dazu führt der Leitfaden Folgendes aus:

«Die Kaskade der Informationen beginnt mit einer gut sichtbaren Kurzinformation auf der Registrierungsseite, welche die wichtigsten Punkte der Datenbearbeitung erklärt. Jeder dieser Punkte enthält weiterführende Links, die den Leser auf die jeweils relevanten Passagen der einschlägigen Bearbeitungsreglemente und Datenschutzbestimmungen führen.»

Fazit

Der Leitfaden veranschaulicht für die Beteiligten eine Vielzahl von zentralen Vorgaben des Schweizer Datenschutzrechts. Damit leistet der Leitfaden einen Beitrag zur Sensibilisierung im Umgang mit Personendaten im politischen Kontext. Über die Datenbearbeitungen im Zusammenhang mit Wahlen und Abstimmungen hinaus ist sodann bedeutsam, dass dem Leitfaden die aktuellen Standpunkte der Schweizer Datenschutzbehörden rund um die Frage nach der Gültigkeit von Einwilligungen entnommen werden können. Auch wenn diese in verschiedener Hinsicht auf einer zu strengen und unrichtigen Gesetzesinterpretation beruhen, wird damit zumindest Klarheit geschaffen, wie die Behörden einen Sachverhalt im Rahmen eines Verfahrens einschätzen würden.

Weitere Informationen:

• Leitfaden der Datenschutzbehörden von Bund und Kantonen zur Anwendung des Datenschutzrechts auf die digitale Bearbeitung von Personendaten im Zusammenhang mit Wahlen und Abstimmungen in der Schweiz
• Urteil des Bundesverwaltungsgerichts vom 18. April 2018 (A-4232/2015, («Moneyhouse»)
• MLL-News vom 31.52017: «Datenschutzrecht: Moneyhouse muss Praxis zur Profilbildung anpassen – keine Unterbindung der Suchmaschinen-Indexierung verlangt»