Parl. Initia­ti­ve Schwa­ab (14.404): Für wirk­lich abschrecken­de Sank­tio­nen bei Datenschutzverletzungen
Kei­ne Fol­ge gege­ben (17.03.2015)

Ein­ge­reich­ter Text

Gestützt auf Arti­kel 160 Absatz 1 der Bun­des­ver­fas­sung und auf Arti­kel 107 des Par­la­ments­ge­set­zes rei­che ich fol­gen­de par­la­men­ta­ri­sche Initia­ti­ve ein:

Das Daten­schutz­ge­setz wird wie folgt geändert:

1. Der Eid­ge­nös­si­sche Daten­schutz- und Öffent­lich­keits­be­auf­trag­te (EDÖB) wird ermäch­tigt, bei einer Ver­let­zung von Bestim­mun­gen des Bun­des­rechts über den Daten­schutz wirk­sa­me, ver­hält­nis­mä­ssi­ge und abschrecken­de Ver­wal­tungs­sank­tio­nen aus­zu­spre­chen. Das Gesetz regelt das Ver­fah­ren und die Rechtsmittelbelehrung.

2. Die Höhe der Ver­wal­tungs­bus­se wird unter Berück­sich­ti­gung der Art, der Schwe­re und der Dau­er der Ver­let­zung und abhän­gig davon, ob eine Wider­hand­lung vor­sätz­lich oder fahr­läs­sig began­gen wur­de, fest­ge­legt. Wird die Ver­let­zung durch eine juri­sti­sche Per­son, die eine gewinn­ori­en­tier­te Tätig­keit aus­übt, began­gen, kann die Bus­se in beson­ders schwer­wie­gen­den Fäl­len bis zu 10 Pro­zent des Umsat­zes betragen.

Begrün­dung

Immer häu­fi­ger kommt es zu gro­ben Ver­let­zun­gen des Daten­schut­zes. Die neu­en Tech­no­lo­gien und die sozia­len Netz­wer­ke machen die Bear­bei­tung von Daten im gro­ssen Stil viel ein­fa­cher. Das Erstel­len von detail­rei­chen Per­sön­lich­keits­pro­fi­len ist ein Leich­tes. Durch Cloud-Com­pu­ting wird das Spei­chern von Daten im Aus­land, oft­mals ohne jede Kon­troll­mög­lich­keit, geför­dert. Mit einem ein­fa­chen Klick kön­nen die Daten von Hun­dert­tau­sen­den von Per­so­nen ent­wen­det, gefälscht oder für nicht beab­sich­tig­te Zwecke ver­wen­det wer­den, und dies meist ohne dass die betrof­fe­nen Per­so­nen es mer­ken. Die­se kön­nen die miss­bräuch­li­che Ver­wen­dung ihrer per­sön­li­chen Daten kaum ver­hin­dern, sind doch die all­ge­mei­nen Geschäfts­be­din­gun­gen auf den mei­sten Web­sites, auf denen Daten erfasst oder bear­bei­tet wer­den, ent­spre­chend ein­sei­tig vor­teil­haft formuliert.

Wenn Pri­vat­per­so­nen und Unter­neh­men sich zu weh­ren ver­su­chen, müs­sen sie mit lang­wie­ri­gen und kost­spie­li­gen Ver­fah­ren rech­nen, und das Ergeb­nis ist sel­ten zufrie­den­stel­lend. Der EDÖB ist nur befugt, Emp­feh­lun­gen abzu­ge­ben. Die­se schei­nen Unter­neh­men, häu­fig mul­ti­na­tio­na­le Inter­net­un­ter­neh­men, die eine wach­sen­de Men­ge per­sön­li­cher Daten kon­trol­lie­ren, jedoch nur sel­ten abzu­schrecken. Es ist dar­um drin­gend nötig, dem EDÖB eine Sank­ti­ons­be­fug­nis zu erteilen.

Damit die Sank­tio­nen auch wirk­lich abschreckend wir­ken, müs­sen die Bus­sen die enor­me Finanz­kraft der betrof­fe­nen mul­ti­na­tio­na­len Unter­neh­men berück­sich­ti­gen. So haben bei­spiels­wei­se die Bus­sen von 150 000 Euro und 900 000 Euro, wel­che die fran­zö­si­sche bezie­hungs­wei­se die spa­ni­sche Daten­schutz­be­hör­de Goog­le wegen wie­der­hol­ter Daten­schutz­ver­let­zun­gen auf­er­legt haben, das Gespött der Euro­päi­schen Kom­mis­si­on auf sich gezo­gen. Die Kom­mis­sa­rin Vivia­ne Reding hat die­se Beträ­ge als “Taschen­geld­stra­fe” bezeich­net. Dar­auf­hin hat sie die feste Absicht bekun­det, die Sank­ti­ons­mög­lich­kei­ten in die­sem Bereich auf über 2 Pro­zent des glo­ba­len Umsat­zes der betrof­fe­nen Unter­neh­men anzu­he­ben. In den USA haben die ame­ri­ka­ni­schen Behör­den (FTC) Goog­le im Jahr 2012 zu einer Bus­se von 22,5 Mil­lio­nen Dol­lar für Ver­let­zun­gen der Pri­vat­sphä­re verurteilt.

Die Schweiz braucht einen wirk­sa­men und den gegen­wär­ti­gen Her­aus­for­de­run­gen ange­mes­se­nen Daten­schutz. Zu einer moder­nen Gesetz­ge­bung gehö­ren zwei­fel­los wirk­lich abschrecken­de Sanktionen.

Bericht der Staats­po­li­ti­schen Kom­mis­si­on vom 31.Oktober 2014: