Die Rechtsnatur pseudonymisierter Bankkundendaten ist lange unklar geblieben. Nach jüngster Rechtsprechung sind solche Daten prinzipiell aus Sicht des Empfängers weder vom DSG noch vom Bankgeheimnis geschützt, sofern die Pseudonymisierung die Wiedererkennung der betroffenen Kunden wirksam verhindert. Angesichts der einschlägigen Rechtsprechung sind jedoch bestimmte Vorsichtsmassnahmen (namentlich eine gründliche Risikobewertung) vor der Weitergabe pseudonymisierter Bankkundendaten empfehlenswert.

Ein Blick zurück auf das letzte Datenschutzjahrzehnt: Eine schmerzvolle Geburt des neuen Bundesdatenschutzgesetzes, das weiter an der Schwäche seines Vorgängers leidet. Auch weiterhin sind – trotz fundamental unterschiedlicher Rechtfertigungskonzepte – die Regeln für den öffentlich-rechtlichen und den privatrechtlichen Datenschutz ineinander verwoben. Wenn sich der Pulverdampf der lobbyistenreichen Schlacht im Bundesparlament verzogen hat, wächst hoffentlich die Einsicht, dass der nächste Schritt die Aufteilung in zwei getrennte Gesetze sein muss.

Der Zugang zu Daten ist für die Informations- und Kommunikations­gesellschaft von entscheidender Bedeutung. Wie dieser Zugang in Wirtschaft und Staat ermöglicht werden soll, ist aber noch weitgehend offen, und der grösste Teil der wertvollen Daten fliesst zu einigen Datenmonopolisten. Die Frustration über diese Situation wird rasch am Datenschutz abgearbeitet. Dabei ist der Datenschutz fundamental für eine liberale Wirtschafts- und Gesellschaftsordnung. Die revidierten Datenschutzgesetzgebungen in Europa und der Schweiz sind aber nicht geeignet, das Spannungsverhältnis zwischen Datennutzung und Datenschutz aufzulösen. Es ist notwendig, dass wir neue Ansätze finden, die den (materiellen) Wert der Daten für die Gesellschaft zugänglich machen, aber gleichzeitig den Wert der Privatsphäre für die liberale Gesellschaft stärken.

Der Beitrag zeigt anhand einer typischen E-Commerce-Transaktion mittels E-ID auf, welche Akteure Daten bearbeiten und an welche gesetzlichen Rahmenbedingungen diese gebunden sind. Dabei wird ersichtlich, dass klare Unterschiede für die Identity-Provider und die E-ID-verwendenden Dienste in Bezug auf die rechtlichen Anforderungen an die Datenbearbeitung existieren. Während das BGEID einen differenzierten Pflichtenkatalog aufstellt für die Datenbearbeitung der Identity-Provider (z.B. Verbot des Verkaufs von Nutzungsprofilen, Datenbearbeitung in der Schweiz, klare Löschungspflichten), werden die E-ID-verwendenden Dienste im BGEID nur punktuell adressiert. Für Letztere gilt das DSG und somit auch die Pflicht, den Datenschutz durch technische und organisatorische Massnahmen sicherzustellen.