BGEID: «Datenschutz ungenügend» - Was ist dran an dieser Kritik des Referendumskomitees?

Bei digitalen Vorgängen stehen Daten im Zentrum, was selbstredend auch für die E-ID gilt. Der Datenschutz ist deshalb für die E-ID zentral. Der nüchterne Blick auf die Fakten zeigt, dass das BGEID den Datenschutz deutlich verbessert – der Datenschutz wird mit dem BGEID sogar besser umgesetzt als mit dem Wunschszenario des Referendumskomitees.

Um welche Daten geht es?

Bleiben wir beim Beispiel der Kinokasse aus meinem vorherigen Beitrag Teil 1. Daran anknüpfend können wir die Daten aufzeigen, um die es geht:

• Personenidentifizierungsdaten: Die Kinokasse definiert die Angaben, die sie zur Identifikation der Nutzerin benötigt.
• Nutzungsdaten: Die Kinokasse weiss, wer (die Nutzerin, der Nutzer) wann und mit wem (mit der Kinokasse selber) interagiert.
• Inhaltsdaten: Auch um welchen Film es, ist bei der Kinokasse gespeichert.
• Nutzungsprofil: Wenn die Nutzerin, der Nutzer mehr als einmal in wiedererkennbarer Weise ein Ticket für eine Filmvorführung kauft, gruppiert die Kinokasse diese Angaben sowie die Bestellhistorie zu einem sogenannten Nutzungsprofil.

Um diese Daten wird es fortan gehen. Manchmal werden die Bezeichnungen anders gewählt. In diesem Beitrag verwenden wir die vorstehenden Begriffe.

Was heisst Kenntnis?

Abb. 1: Direktes Login (Modell #1) sowie Logins über Drittdienste (Modelle #2 und #3)

Anzumerken ist noch dies: Was die Kinokasse im Modell #1 und im Modell #2 nicht so genau weiss: Ob die Personenidentifizierungsdaten auch real sind beziehungsweise tatsächlich einer existierenden Person zugeordnet werden können. Dies ist eine Frage der Datenqualität in Bezug auf die Personenidentifizierungsdaten, wenn man so will.

Kenntnis kann und sollte auch differenziert werden, wenn man die Situation analysiert. Manchmal hat eine Anbieterin (zum Beispiel eben die Kinokasse) nur theoretisch Kenntnis von den Angaben, nämlich dann, wenn sich ihr Personal nicht darum kümmert, was auf ihren Servern gespeichert ist. Wer ein System kontrolliert, kann zwar tatsächlich Zugriff auf die Daten nehmen und sie analysieren. Wenn die Anbieterin dies tut und wenn also Personal die Angaben tatsächlich zur Kenntnis nimmt, sprechen wir von Klartextzugriff (das heisst, Menschen sehen die Angaben an und können sie verstehen). Wenn die Anbieterin davon absieht, liegt blosser Maschinenzugriff vor und Mitarbeitende würden auf Rückfrage wahrheitsgemäss aussagen: “Wir wissen nicht, was auf unseren Servern läuft.” Man muss also wie so oft in der IT genauer hinschauen.

Warum bieten Drittdienste Online-Logins an?

Die Nutzerin vertraut Facebook oft mehr als der Kinokasse. Die Kinokasse könnte ja ihr Passwort einsehen und dann missbrauchen (das wäre zum Beispiel dann ein Problem, wenn die Nutzerin Benutzernamen und Passwort mehrfach wiederverwendet und die Anbieterin Klartextzugriff nimmt). Die Kinokasse weiss um diese Sorge. Und sie möchte Hürden beim Bestellvorgang aus dem Weg räumen. Deswegen bietet sie der Nutzerin an, sie könne sich beim Billettkauf mit einem Drittdienst registrieren (im Beispiel: mit dem Facebook-Login).

Die Rolle von Drittdiensten ohne E-ID

Selbstverständlich fallen die Nutzungsdaten dann bei Facebook an. Facebook weiss also, wer mit wem wann einen Vertrag abgewickelt hat. Diese Nutzungsdaten gehen somit in die USA. Der Staat verbietet dies nicht, nicht einmal mit dem geltenden oder dem revidierten Datenschutzgesetz (DSG). Inhaltsdaten gehen über, wenn die Kinokasse zusätzlich noch Weiteres übermittelt. Facebook kann bereits aus den überstellten Nutzungsdaten viele Rückschlüsse ziehen – gänzlich ausserhalb der Einflusssphäre der Schweiz.

Was ist bei der E-ID anders?

Mit der E-ID steht der Nutzerin eine Alternative offen. Der IdP übernimmt dabei zunächst dieselbe Rolle wie Facebook. Auch beim IdP fallen Nutzungsdaten an. Und doch gibt es wichtige Unterschiede, und um diese geht es beim BGEID:

• der IdP ist reguliert, untersteht der Aufsicht der E-ID-Kommission (EIDCOM) und muss die Vorgaben des BGEID einhalten
• er sorgt für getrennte Datenhaltung von Personenidentifikations- und Nutzungsdaten, gewährt Einsicht und löscht die Daten entsprechend den gesetzlichen Vorgaben
• der IdP darf die Personenidentifikationsdaten einerseits und Nutzungsdaten anderseits nicht für eigene Zwecke oder sachfremde Zwecke Dritter verwenden (die vom Referendumskomitee behauptete Kommerzialisierung durch den IdP ist verboten und würde sanktioniert)
• die Kinokasse schliesst einen Anbindungsvertrag mit dem IdP; auch dieser sichert den Datenschutz ab

Mit diesen Massnahmen werden Online-Bewegungen der Nutzerin geschützt. Bei herkömmlichen Drittdiensten fehlt dieser Schutz. Er entsteht erst mit dem BGEID.

Die E-ID verbessert die datenschutzrechtliche Analyse

Aus Sicht des Datenschutzrechts geht es jeweils um Folgendes: Wo und zu welchen Zwecken werden Daten erhoben? Wer hat Zugriff auf Daten? Wer darf Daten verwenden und wer nicht? Schliesslich geht es darum, ob und wie der jeweilige Schutz durch Einsichtsrechte der Nutzerin und Löschpflichten zum Ende der Dienstnutzung abgerundet wird.

Der vorstehende Abschnitt hat gezeigt: Das BGEID sieht sehr strikte Zugriffs- bzw. Weitergabeverbote vor, die es ohne BGEID in der Form nicht gäbe (auch nicht im DSG, das Weitergabeverbote a priori nur für besonders schützenswerte Personendaten vorsieht). Die Weitergabe von Nutzungsdaten wäre unter dem BGEID auch mit Zustimmung der Nutzerin nicht möglich, was den Schutz der Nutzerin klar verbessert (anders im DSG). Ebenso streng ist die Analyse in Bezug auf die Verwendungsverbote. IdP dürfen Personenidentifikations- und Nutzungsdaten nicht für eigene oder sonstige sachfremde Zwecke verwenden. Die Kommerzialisierung durch den IdP ist klar ausgeschlossen.

Die Zukunft würde sich im Vergleich zur heutigen Situation mit dem BGEID somit deutlich verbessern. Aus einer datenschutzrechtlichen Optik führt das Referendum aus Nutzersicht somit zu keiner Verbesserung. Die Datenschutzkritik des Referendumskomitees ist unbegründet.

In einem dritten Beitrag über BGEID gehe ich auf die umstrittenen Punkte des Bundesgesetzes sowie deren Alternativen ein. Dieser wird hier am Montag 15.02.2021 auf cmm360.ch publiziert.

Hier können Sie auch den ersten Teil dieser Beitragsreihe über E-ID nochmals nachlesen!