Der Zugang zu Daten ist für die Informations- und Kommunikations­gesellschaft von entscheidender Bedeutung. Wie dieser Zugang in Wirtschaft und Staat ermöglicht werden soll, ist aber noch weitgehend offen, und der grösste Teil der wertvollen Daten fliesst zu einigen Datenmonopolisten. Die Frustration über diese Situation wird rasch am Datenschutz abgearbeitet. Dabei ist der Datenschutz fundamental für eine liberale Wirtschafts- und Gesellschaftsordnung. Die revidierten Datenschutzgesetzgebungen in Europa und der Schweiz sind aber nicht geeignet, das Spannungsverhältnis zwischen Datennutzung und Datenschutz aufzulösen. Es ist notwendig, dass wir neue Ansätze finden, die den (materiellen) Wert der Daten für die Gesellschaft zugänglich machen, aber gleichzeitig den Wert der Privatsphäre für die liberale Gesellschaft stärken.

Der Beitrag zeigt anhand einer typischen E-Commerce-Transaktion mittels E-ID auf, welche Akteure Daten bearbeiten und an welche gesetzlichen Rahmenbedingungen diese gebunden sind. Dabei wird ersichtlich, dass klare Unterschiede für die Identity-Provider und die E-ID-verwendenden Dienste in Bezug auf die rechtlichen Anforderungen an die Datenbearbeitung existieren. Während das BGEID einen differenzierten Pflichtenkatalog aufstellt für die Datenbearbeitung der Identity-Provider (z.B. Verbot des Verkaufs von Nutzungsprofilen, Datenbearbeitung in der Schweiz, klare Löschungspflichten), werden die E-ID-verwendenden Dienste im BGEID nur punktuell adressiert. Für Letztere gilt das DSG und somit auch die Pflicht, den Datenschutz durch technische und organisatorische Massnahmen sicherzustellen.

In der physischen Welt ist unsere Identität durch Abgleich innerer und äusserer Wahrnehmungen geformt. Der amtliche Name spielt nur in rechtsverbindlichen Interaktionen eine Rolle und dient als verbindlicher Identifikator. Der Mensch bleibt aber der «Anker»; von ihm werden die Attribute erfasst und an ihm können sie überprüft werden. Bei der digitalen Identität ist die physische Person durch einen meist eindeutigen Bezeichner – den Identifikator – ersetzt. Die der Person zugeordneten Merkmale werden von dem «Besitzer» des Identifikators kontrolliert. Dieser bestimmt, unter welchen Umständen Daten in die Sammlung aufgenommen respektive angepasst werden. Auch wenn die Person nicht bekannt ist, kann doch mit den gesammelten Merkmalen ein Personenprofil aufgebaut und schlussendlich die Person (wieder)erkannt werden. Dabei ist eine gewisse Ungenauigkeit tolerierbar, wie zum Beispiel beim Browser-Fingerprint – einem Identifikator, der für Marketingzwecke eine ausreichende Identifikation erlaubt.

Basierend auf dem CLOUD Act können die USA Executive Agreements mit Drittstaaten über die Herausgabe von Informationen für Strafverfahren eingehen. Ein erstes solches Executive Agreement haben die USA mit dem UK abgeschlossen. Dieser Beitrag erörtert die Vor- und Nachteile eines Executive Agreement und analysiert, ob ein solches auch für die Schweiz sinnvoll wäre.