Dieser Beitrag ist eine Replik auf einen irreführenden und falschen Text in der Republik.ch über den Missbrauch der Daten. Einem solchen Missbrauch steht erstens das BGEID samt strengen Durchsetzungsmechanismen entgegen. Zweitens bestehen keinerlei Anhaltspunkte für einen solchen Missbrauch. Die Vorwürfe in der Republik.ch werden unsachlicherweise in einen verbrecherischen Kontext gehievt.
Die Behauptung, dass der IdP Nutzungsprofile zur Überwachung erstellen und diese kommerzialisieren würde, ist ein blosses Horrorszenario der Gegner, das mit der gesetzgeberischen Realität nichts zu tun hat. Denn zur Überwachung müsste der IdP die Nutzerin tracken. Das darf er nicht. Er müsste ein Nutzungsprofil erstellen. Das darf er nicht. Und er müsste dieses kommerzialisieren. Das darf er nicht. Punkt.
Ein NEIN zum BGEID würde die von den Gegnern behaupteten Probleme, die sich um den IdP drehen, nur zu einem Outsourcer verlagern. Damit ist nichts gewonnen. Im Gegenteil: Die Situation der Nutzerin würde sich bei einer staatlichen E-ID gar verschlechtern.
Ein IdP kann mit seinen AGB das BGEID nicht aushebeln. Denn die Bestimmungen des BGEID sind zwingender Natur, d.h. der IdP und die Nutzerin können davon gerade nicht abweichen.
Der IdP kann mit den Daten der Nutzerin nicht machen, was er will. Vielmehr wird er von einem strengen und umfassenden Konzept zum Schutz der Daten eingeschränkt, das sich aus dem BGEID und dem unbestrittenen DSG ergibt.
Wer als Identity Provider (IdP) E-IDs ausstellt und Daten missbraucht, wird kontrolliert und sanktioniert. Man darf nicht den Fehler machen und nur auf das BGEID schauen. Können IDP machen was sie wollen? Nein. Ist die Aufsicht zahnlos? Nein.
Alle sagen es. Wirklich alle. Durchs Band. In IT-Sachen könne der Staat nichts. Aber: Das ist ein unsachliches Argument. Man sollte es nicht bemühen.
Ist es eigentlich OK, dass man die Verordnung zum BGEID noch nicht sehen kann? Wir finden: Es ist verständlich. Aber in diesem Fall hätte man sie doch schon publizieren sollen.
Dieser Beitrag schildert, wo die Daten für die E-ID herkommen, welche Abläufe rund um Daten von Statten gehen, wer welche Maschinensicht auf Daten hat und wer Klartextsicht auf Daten erhält.
Die Haftung der Inhaberin der E-ID richtet sich nach dem Obligationenrecht. Welche sind die Folgen der Verletzung von Sorgfaltspflichten der Nutzerin? Wer haftet wofür? Und besteht tatsächlich eine Beweislastumkehr?